(57)【要約】  本明細書に記載される様々な実施形態は、ネットワーク内のエンドポイントコンピュータデバイスからデータを収集する、エンドポイントのモデル化およびグループ分けの管理システムを開示する。実施形態によっては、エンドポイント上にインストールされたエージェントは、システムに深い可視性を提供するカーネルレベルでリアルタイム情報を収集することができる。実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、エージェントによって収集されたデータの評価に応答して、挙動の類似性を識別することができる。実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、エンドポイントの挙動の類似性および／または差異に基づいて、論理グループなどのグループ、およびクラスタエンドポイントを動的にモデル化することができる。実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、挙動モデルをエージェントに送信して、エージェントが異変および／またはセキュリティ上の脅威を自律的に識別することを可能にする。【選択図】図２
2020530922.tif 000002
【特許請求の範囲】
【請求項１】
エラスティックコンピュータネットワークのセキュリティおよび完全性を保護するための動的なエンドポイントベースのエッジネットワーキングシステムであって、
複数のエージェントであって、前記複数のエージェントのそれぞれは、標的エンドポイントデバイスにインストールされ、前記標的エンドポイントデバイスは、エラスティックコンピュータネットワークを形成する複数のエンドポイントデバイスのうちの１つであり、前記複数のエージェントのそれぞれは：
前記エージェントのインストールされた前記標的エンドポイントデバイスのオペレーティングシステムにアクセスして、前記標的エンドポイントデバイスのオペレーティングシステムプロセスおよびネットワーク通信の可視性を取得し；
前記標的エンドポイントデバイスの前記オペレーティングシステムプロセスおよび前記ネットワーク通信をモニタリングして、標的エンドポイントデータを取得し、前記標的エンドポイントデータは、標的エンドポイントデバイスのシステムプロセスまたはネットワークプロセスのうち少なくとも１つに関する情報を含み；
前記標的エンドポイントデータを中央サーバシステムに送信し；
前記標的エンドポイントデータに少なくとも一部分において基づき、ローカルセキュリティプロトコルを用いて、前記標的エンドポイントデバイス上の１つまたは複数のローカルな異変の指標を識別し；
前記ローカルセキュリティプロトコルに少なくとも一部分において基づき、エンドポイントレベル上の前記１つまたは複数のローカルな異変の指標に応答する
ように構成され、
前記ローカルセキュリティプロトコルは、前記複数のエンドポイントデバイスのそれぞれのローカルセキュリティを確保するように設計された１つまたは複数のルールセット、ポリシー、またはアクセス権を含む、
複数のエージェント；ならびに
中央サーバシステムであって：
複数のコンピュータ実行可能な命令を記憶するように構成される、１つまたは複数のコンピュータ読み取り可能な記憶デバイス；ならびに
１つまたは複数のハードウェアコンピュータプロセッサであって、前記１つまたは複数のコンピュータ読み取り可能な記憶デバイスとの通信状態にあり、前記中央サーバシステムが：
標的エンドポイントデバイス上にインストールされた前記複数のエージェントのそれぞれから前記標的エンドポイントデータを受信し；
前記複数のエージェントのそれぞれから受信された前記標的エンドポイントデータを解析して、ネットワーク規模のアクティビティパターンを識別し；
前記識別されたネットワーク規模のアクティビティパターンに少なくとも一部分において基づき、ネットワーク規模のセキュリティプロトコルを用いて、前記複数のエンドポイントデバイスを横断するネットワークレベル上の１つまたは複数のネットワーク規模の異変の指標を識別し；
前記ネットワーク規模のセキュリティプロトコルに少なくとも一部分において基づき、前記複数のエンドポイントデバイスを横断するネットワークレベル上の前記１つまたは複数のネットワーク規模の異変の指標に応答する
ものとなるように、前記複数のコンピュータ実行可能な命令を実行するように構成される、ハードウェアコンピュータプロセッサ
を含む中央サーバシステム
を含むエッジネットワーキングシステム。
【請求項２】
前記標的エンドポイントデバイスの前記オペレーティングシステムプロセスおよび前記ネットワーク通信をモニタリングすることは、標的エンドポイントアクティビティを確認することおよび認証することを含む、請求項１に記載の動的なエンドポイントベースのエッジネットワーキングシステム。
【請求項３】
前記複数のエンドポイントデバイスは、１つまたは複数の携帯電話、サーバ、バーチャルマシン、ラップトップ、タブレット、デスクトップコンピュータ、モノのインターネット（ＩｏＴ）のデバイス、固定電話、ウェアラブルデバイス、またはスマートホームデバイスを含む、請求項１に記載の動的なエンドポイントベースのエッジネットワーキングシステム。
【請求項４】
前記ローカルな異変の指標は、前記標的エンドポイントデバイス上に悪質なソフトウェアのアクティビティを含む、請求項１に記載の動的なエンドポイントベースのエッジネットワーキングシステム。
【請求項５】
前記悪質なソフトウェアは、ウイルス、マルウェア、ランサムウェア、アドウェア、スパイウェア、トロイの木馬、ワーム、ルートキット、スケアウェア、ローグウェア、アクティブコンテンツソフトウェア、またはロジックボムを含む、請求項４に記載の動的なエンドポイントベースのエッジネットワーキングシステム。
【請求項６】
前記悪質なソフトウェアは、ゼロデイソフトウェアを含む、請求項４に記載の動的なエンドポイントベースのエッジネットワーキングシステム。
【請求項７】
前記ローカルセキュリティプロトコルに基づき、前記１つまたは複数のローカルな異変の指標に応答することは、前記標的デバイスの１つまたは複数のオペレーティングシステムプロセスまたはネットワーク通信を制御することを含む、請求項１に記載の動的なエンドポイントベースのエッジネットワーキングシステム。
【請求項８】
前記ローカルセキュリティプロトコルに基づき、前記１つまたは複数のローカルな異変の指標に応答することは、前記標的デバイスの１つまたは複数のオペレーティングシステムプロセスまたはネットワーク通信を限定することを含む、請求項１に記載の動的なエンドポイントベースのエッジネットワーキングシステム。
【請求項９】
前記標的デバイスの１つまたは複数のオペレーティングシステムプロセスまたはネットワーク通信を限定することによって、前記標的エンドポイント上に位置する悪質なソフトウェアを有効に隔離する、請求項８に記載の動的なエンドポイントベースのエッジネットワーキングシステム。
【請求項１０】
前記複数のエンドポイントデバイスのうち少なくとも１つのエンドポイントデバイスは、コンピュータネットワークのファイアウォールの外側に位置する、請求項１に記載の動的なエンドポイントベースのエッジネットワーキングシステム。
【請求項１１】
前記標的エンドポイントデータを解析して、前記標的エンドポイントの典型的なネットワークアクセスの挙動および典型的なプロセッサの挙動を決定するように、１つまたは複数の前記中央サーバシステムまたは複数のエージェントがさらに構成される、請求項１に記載の動的なエンドポイントベースのエッジネットワーキングシステム。
【請求項１２】
決定された前記標的エンドポイントの典型的なネットワークアクセスの挙動および典型的なプロセッサの挙動を用いて、前記ローカルセキュリティプロトコルをアップデートする、請求項１１に記載の動的なエンドポイントベースのエッジネットワーキングシステム。
【請求項１３】
１つまたは複数の人工知能（ＡＩ）手法を、１つまたは複数の前記中央サーバシステムまたは複数のエージェントにより採用して、前記標的エンドポイントデータを解析し、前記標的エンドポイントの典型的なネットワークアクセスの挙動および典型的なプロセッサの挙動を決定する、請求項１１に記載の動的なエンドポイントベースのエッジネットワーキングシステム。
【請求項１４】
前記中央サーバシステムはさらに、前記複数のエンドポイントのうちの１つまたは複数のエンドポイントをエンドポイントクラスタにグループ化するものとされ、前記エンドポイントクラスタの１つまたは複数のエンドポイントは、１つまたは複数の類似の処理またはネットワークアクセスパターンを含む、請求項１に記載の動的なエンドポイントベースのエッジネットワーキングシステム。
【請求項１５】
前記中央サーバシステムはさらに、前記エンドポイントクラスタの１つまたは複数のエンドポイントのそれぞれに、共通のローカルセキュリティプロトコルを生成し割り当てるものとされる、請求項１４に記載の動的なエンドポイントベースのエッジネットワーキングシステム。
【請求項１６】
前記複数のエージェントのそれぞれは、前記標的エンドポイントデバイスのポイントインタイムバリデーションを実施するようにさらに構成され、前記ポイントインタイムバリデーションは、前記標的エンドポイントデバイスに予め送信されたローカルな異変の指標がないことの確認を含む、請求項１に記載の動的なエンドポイントベースのエッジネットワーキングシステム。
【請求項１７】
前記ローカルな異変の指標は、前記標的エンドポイントデバイス上のローカルな異変のアクティビティのパターンである、請求項１に記載の動的なエンドポイントベースのエッジネットワーキングシステム。
【請求項１８】
１つまたは複数の前記ローカルセキュリティプロトコルまたは前記ネットワーク規模のセキュリティプロトコルは、ネットワークアドミニストレータにより手動で構成される、請求項１に記載の動的なエンドポイントベースのエッジネットワーキングシステム。
【請求項１９】
１つまたは複数の前記ローカルセキュリティプロトコルまたは前記ネットワーク規模のセキュリティプロトコルは、予め構成されたルールセットに基づく、請求項１に記載の動的なエンドポイントベースのエッジネットワーキングシステム。
【請求項２０】
１つまたは複数の前記ローカルセキュリティプロトコルまたは前記ネットワーク規模のセキュリティプロトコルは、１つまたは複数の前記中央サーバシステムまたは複数のエージェントによって自動的に生成されて割り当てられる、請求項１に記載の動的なエンドポイントベースのエッジネットワーキングシステム。
【請求項２１】
独自のローカルセキュリティプロトコルは、前記複数のエンドポイントデバイスのそれぞれに生成される、請求項１に記載の動的なエンドポイントベースのエッジネットワーキングシステム。
【請求項２２】
前記標的エンドポイントデバイスの１つまたは複数のオペレーティングシステムプロセスまたはネットワーク通信に基づき、前記ローカルセキュリティプロトコルは、１つまたは複数の前記中央サーバまたは複数のエージェントによって動的にアップデートされる、請求項１に記載の動的なエンドポイントベースのエッジネットワーキングシステム。
【請求項２３】
前記ローカルセキュリティプロトコルは、前記複数のエンドポイントデバイスの前記標的エンドポイントデバイスと別のエンドポイントデバイスとの間、前記標的エンドポイントデバイスと外側のサービスもしくはシステムとの間、または前記標的エンドポイントデバイスと内部のサービスもしくはシステムとの間のアクセスを、制限または許容するための１つまたは複数のポリシーを含む、請求項１に記載の動的なエンドポイントベースのエッジネットワーキングシステム。
【請求項２４】
前記複数のエージェントは、可視ネットワークをスキャンして、ネットワークにあるかまたは近接するデバイスを識別するようにさらに構成される、請求項１に記載の動的なエンドポイントベースのエッジネットワーキングシステム。
【請求項２５】
前記スキャンは、ディスカバリプロトコルを利用して、前記ネットワークにあるかまたは近接する前記デバイスを識別し、そのデータを取得することを含む、請求項２４に記載の動的なエンドポイントベースのエッジネットワーキングシステム。
【請求項２６】
前記ネットワークにあるかまたは近接する前記デバイスから取得された前記データは、オペレーティングシステムタイプ、デバイスタイプ、ＩＰアドレス、またはＭＡＣアドレスのうち１つまたは複数を含む、請求項２５に記載の動的なエンドポイントベースのエッジネットワーキングシステム。
【請求項２７】
前記ローカルセキュリティプロトコルに基づき前記１つまたは複数のローカルな異変の指標に応答することは、前記標的エンドポイントデバイスのデータアクセス権を変更すること、ユーザによる前記標的エンドポイントデバイスへのアクセスを除外すること、または前記標的エンドポイントデバイスをロックすることのうち１つまたは複数を含む、請求項１に記載の動的なエンドポイントベースのエッジネットワーキングシステム。
【請求項２８】
エラスティックコンピュータネットワークのセキュリティおよび完全性を保護するためのコンピュータ実装方法であって：
エラスティックコンピュータネットワークを形成する複数のエンドポイントデバイスのそれぞれにソフトウェアエージェントをインストールすること；
前記ソフトウェアエージェントのインストールされたエンドポイントデバイスのオペレーティングシステムに、各ソフトウェアエージェントによりアクセスして、前記エンドポイントデバイスのオペレーティングシステムプロセスおよびネットワーク通信の可視性を取得すること；
前記エンドポイントデバイスの前記オペレーティングシステムプロセスおよび前記ネットワーク通信を、各ソフトウェアエージェントによりモニタリングして、エンドポイントデータを取得することであって、前記エンドポイントデータは、前記エンドポイントデバイスの少なくとも１つの前記システムプロセスまたはネットワークプロセスに関する情報を含むこと；
各ソフトウェアエージェントによって、前記エンドポイントデータを中央サーバシステムに送信すること；
前記エンドポイントデータに少なくとも一部分において基づき、ローカルセキュリティプロトコルを用いた前記ソフトウェアエージェントによって、前記エンドポイントデバイス上の１つまたは複数のローカルな異変の指標を識別すること；
前記ローカルセキュリティプロトコルに少なくとも一部分において基づき、エンドポイント−レベル上の前記１つまたは複数のローカルな異変の指標に対し、各ソフトウェアエージェントにより応答することであって、前記ローカルセキュリティプロトコルは、前記複数のエンドポイントデバイスのそれぞれのローカルセキュリティを確保するように設計された１つまたは複数のルールセット、ポリシー、またはアクセス権を含むこと；
前記複数のエンドポイントデバイスのそれぞれの各ソフトウェアエージェントから、前記エンドポイントデータを、前記中央サーバシステムにより受信すること；
前記複数のエンドポイントデバイスのそれぞれの各ソフトウェアエージェントから受信された前記エンドポイントデータを、前記中央サーバシステムにより解析して、ネットワーク規模のアクティビティパターンを識別すること；
前記識別されたネットワーク規模のアクティビティパターンに少なくとも一部分において基づき、ネットワーク規模のセキュリティプロトコルを用いた前記中央サーバシステムによって、前記複数のエンドポイントデバイスを横断するネットワークレベル上の１つまたは複数のネットワーク規模の異変の指標を識別すること；ならびに
前記ネットワーク規模のセキュリティプロトコルに少なくとも一部分において基づき、前記複数のエンドポイントデバイスを横断する前記ネットワークレベル上の前記１つまたは複数のネットワーク規模の異変の指標に対し、前記中央サーバシステムにより応答すること
を含み、
前記中央サーバシステムは、コンピュータプロセッサと電子記憶媒体とを含む、
コンピュータ実装方法。
【請求項２９】
前記複数のエンドポイントデバイスのうち少なくとも１つのエンドポイントデバイスは、コンピュータネットワークファイアウォールの外側に位置する、請求項２８に記載のコンピュータ実装方法。
【請求項３０】
共通のローカルセキュリティプロトコルは、前記複数のエンドポイントデバイスの一部について生成され、独自のローカルセキュリティプロトコルは、、前記複数のエンドポイントデバイスの別の部分について生成される、請求項２８に記載のコンピュータ実装方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本明細書で開示される実施形態は、一般に、エッジネットワーキングのエンドポイントを動的にモデリングおよびグループ化するためのシステムおよび方法、特に、エンドポイントのコンピュータープロセスおよび電子通信への深い可視性によって可能になる技術的な行動分析に基づいてエンドポイントをモデリングおよびグループ化するためのシステムおよび方法に関する。
【背景技術】
【０００２】
開示
エンタープライズネットワークに接続されたコンピューターエンドポイントでのウイルス、マルウェア、ランサムウェアなどの検出は、これらのシステムに保存されている機密情報とソフトウェアプログラムの維持と保護を担当する情報技術者にとって大規模な問題である。前述の課題は、ファイアウォールやデータアクセス管理システムの背後または内部に配置されたハードウェアに限定されなくなった今日の複雑なエンタープライズネットワークによってさらに複雑になる。クラウドコンピューティングストレージ施設とソフトウェア・アズ・ア・サービス（ＳａａＳ）機能の開発、およびスマートフォン、ラップトップ、タブレット、その他のデバイスなどのモバイルデバイスの急増により、通常、これらはすべてエンタープライズファイアウォールの外側にあり、エンタープライズネットワークは、ファイアウォールおよび／またはデータアクセス管理システムの背後または内部にあるハードウェアに含まれているだけではない。
【０００３】
むしろ、エンタープライズネットワークは、大まかに言って、固定境界ネットワークではなく、今や弾力性のあるネットワークである。したがって、最新のネットワークにより適したコンピュータネットワークのセキュリティ、管理、制御、アクセス、および監視のための新しいシステムと方法が必要である。
【発明の概要】
【０００４】
要約
この要約の目的のために、本発明の或る態様、利点、および新規の特徴を、本明細書で記載する。本発明の特定の実施形態に従って、そのような利点のすべてが必ずしも達成されるとは限らないことを理解されたい。したがって、例えば、当業者は、本明細書で教示または示唆され得る他の利点を必ずしも達成することなく、本明細書で教示される１つの利点または利点群を達成する方法で本発明を実施または実行できることを認識するであろう。
【０００５】
いくつかの実施形態では、本明細書で説明するのは、エラスティックなコンピュータネットワークのセキュリティおよび完全性を保護するための動的エンドポイントベースのエッジネットワーキングシステムであり、そのシステムは以下を含む：複数のエージェント、ここで、複数のエージェントのそれぞれは、エラスティックなコンピュータネットワークを形成する複数のエンドポイントデバイスの１つであるターゲットエンドポイントデバイスにインストールされ、各複数のエージェントは、オペレーティングシステムプロセスの可視性およびターゲットエンドポイントデバイスのネットワークコミュニケーションを得るためにインストールするエージェント上の、ターゲットエンドポイントデバイスのオペレーティングシステムにアクセスすること；オペレーターおよびターゲットエンドポイントデータを得るターゲットエンドポイントデバイスのネットワークシステム、少なくとも１つのシステムプロセス、またはターゲットエンドポイントデバイスのネットワークプロセスに関する情報を構成するターゲットエンドポイントデータを監視すること；ターゲットエンドポイントデータを中央サーバシステムに伝達すること；ローカルセキュリティプロトコル、ターゲットエンドポイントデータに少なくとも部分的に基づいたターゲットエンドポイントデバイス上の１つ以上のローカル異常インジケータの使用を識別すること；並びにローカルセキュリティプロトコルに少なくとも部分的に基づいて、エンドポイントレベルで１つ以上のローカル異常インジケータに応答すること、ここで、ローカルセキュリティプロトコルは、複数のエンドポイントデバイスのそれぞれのローカルセキュリティを確保するように設計された１つ以上のルールセット、ポリシー、またはアクセス権を構成し；また中央サーバシステムは以下を構成する： 複数のコンピュータ実行可能命令を格納するように構成された１つ以上のコンピュータ読み取り可能なストレージデバイス；１つ以上のコンピュータ可読ストレージデバイスと通信する１つ以上のハードウェアコンピュータプロセッサであって、以下のことを行う中央サーバシステムの原因となるための、複数のコンピュータ実行可能な指示を実行するために構成された１つ以上のハードウェアコンピュータプロセッサ：ターゲットエンドポイントデバイス上にインストールされた各複数エージェントからのターゲットエンドポイントデータを受理すること：ネットワーク全体のアクティビティパターンを識別する各複数のエージェントから受理したターゲットエンドポイントを分析すること；ネットワーク全体のセキュリティプロトコルを使用して、特定されたネットワーク全体のアクティビティパターンに少なくとも部分的に基づいて、複数のエンドポイントデバイス全体のネットワークレベルで１つ以上のネットワーク全体の異常インジケータを識別すること；並びにネットワーク全体のセキュリティプロトコルに少なくとも部分的に基づいて、複数のエンドポイントデバイスにわたるネットワークレベルの１つ以上のネットワーク全体の異常インジケータに応答することである。
【０００６】
いくつかの実施形態では、本明細書で提供されるのは、動的エンドポイントベースのエッジネットワーキングシステムであり、ターゲットエンドポイントデバイスのオペレーティングシステムプロセスおよびネットワーク通信を監視することは、ターゲットエンドポイントアクティビティを継続的に検証および認証することを含む。
【０００７】
いくつかの実施形態では、本明細書では、複数のエンドポイントデバイスが１つ以上の携帯電話、サーバ、仮想マシン、ラップトップ、タブレット、デスクトップコンピュータ、モノのインターネット（ＩｏＴ）デバイス、固定電話、ウェアラブルデバイス、またはスマートホームデバイスを含む動的なエンドポイントベースのエッジネットワーキングシステムが提供される。
【０００８】
いくつかの実施形態では、本明細書で提供されるのは、動的なエンドポイントベースのエッジネットワーキングシステムであり、ローカル異常インジケータは、ターゲットエンドポイントデバイス上の悪意のあるソフトウェアのアクティビティを構成する。 
【０００９】
いくつかの実施形態では、悪意のあるソフトウェアには、ウイルス、マルウェア、ランサムウェア、アドウェア、スパイウェア、トロイの木馬、ワーム、ルートキット、スケアウェア、ローグウェア、アクティブコンテンツソフトウェア、または論理爆弾が含まれる。
【００１０】
いくつかの実施形態では、本明細書で提供されるのは、悪意のあるソフトウェアがゼロデイソフトウェアを構成する、動的なエンドポイントベースのエッジネットワーキングシステムである。
【００１１】
いくつかの実施形態では、本明細書で提供されるのは、動的エンドポイントベースのエッジネットワーキングシステムであり、ローカルセキュリティプロトコルに基づく１つ以上のローカル異常インジケータへの応答は、ターゲットデバイスの１つ以上のオペレーティングシステムプロセスまたはネットワーク通信をコントロールすることを構成する。
【００１２】
いくつかの実施形態では、ここで提供されるのは、動的なエンドポイントベースのエッジネットワーキングシステムであり、ローカルセキュリティプロトコルに基づく１つ以上のローカル異常インジケータへの応答は、ターゲットデバイスの１つ以上のオペレーティングシステムプロセスまたはネットワーク通信を制限することを含む。
【００１３】
いくつかの実施形態では、ここで提供されるのは、動的エンドポイントベースのエッジネットワーキングシステムであり、１つ以上のオペレーティングシステムプロセスまたはターゲットデバイスのネットワーク通信を制限することで、ターゲットエンドポイントにある悪意のあるソフトウェアを効果的に分離する。
【００１４】
いくつかの実施形態では、本明細書で提供されるのは、複数のエンドポイントデバイスのうちの少なくとも１つのエンドポイントデバイスが、コンピュータネットワークファイアウォールの外側に位置する、動的エンドポイントベースのエッジネットワーキングシステムである。 
【００１５】
いくつかの実施形態では、本明細書で提供されるのは、動的エンドポイントベースのエッジネットワーキングシステムであり、１つ以上の中央サーバシステムまたは複数のエージェントは、ターゲットエンドポイントデータを分析して、ターゲットエンドポイントの典型的なネットワークアクセス行動および典型的なプロセッサ行動を決定するように、さらに構成される。
【００１６】
いくつかの実施形態では、本明細書で提供されるのは、動的なエンドポイントベースのエッジネットワーキングシステムであり、ターゲットエンドポイントの決定された典型的なネットワークアクセス行動および典型的なプロセッサ行動は、ローカルセキュリティプロトコルを更新するために使用される。
【００１７】
いくつかの実施形態では、本明細書で提供されるのは、動的エンドポイントベースのエッジネットワーキングシステムであり、１つ以上の人工知能（ＡＩ）技術が１つ以上の中央サーバシステムまたは複数のエージェントによって使用され、ターゲットエンドポイントデータを分析し、ターゲットエンドポイントの典型的なネットワークアクセス行動および典型的なプロセッサ行動を分析する。
【００１８】
いくつかの実施形態では、本明細書で提供されるのは、動的エンドポイントベースのエッジネットワーキングシステムであり、中央サーバシステムは、複数のエンドポイントの１つ以上のエンドポイントを、さらにエンドポイントクラスタにグループ化する原因となり、エンドポイントクラスタの１つ以上のエンドポイントは、１つ以上の同様の処理またはネットワークアクセスパターンを構成することである。 
【００１９】
いくつかの実施形態では、本明細書で提供されるのは、動的エンドポイントベースのエッジネットワーキングシステムであり、中央サーバシステムはさらに、共通ローカルセキュリティプロトコルを生成し、エンドポイントクラスタの１つ以上のエンドポイントのそれぞれに割り当てる。
【００２０】
いくつかの実施形態では、本明細書で提供されるのは、動的エンドポイントベースのエッジネットワーキングシステムであり、複数のエージェントのそれぞれは、ターゲットエンドポイントデバイスのポイントインタイム検証を実行するようにさらに構成され、ポイントインタイム検証は、ターゲットのエンドポイントデバイスにローカル異常インジケータが存在する。
【００２１】
いくつかの実施形態では、本明細書で提供されるのは、動的エンドポイントベースのエッジネットワーキングシステムであり、ローカル異常インジケータは、ターゲットエンドポイントデバイス上のローカル異常活動のパターンである。
【００２２】
いくつかの実施形態では、ここで提供されるのは、動的エンドポイントベースのエッジネットワーキングシステムであり、ローカルセキュリティプロトコルまたはネットワーク全体のセキュリティプロトコルの１つ以上が、ネットワーク管理者によって手動で設定される。
【００２３】
いくつかの実施形態では、本明細書で提供されるのは、動的なエンドポイントベースのエッジネットワーキングシステムであり、ローカルセキュリティプロトコルまたはネットワーク全体のセキュリティプロトコルの１つ以上は、事前設定されたルールセットに基づいている。
【００２４】
いくつかの実施形態では、本明細書で提供される動的エンドポイントベースのエッジネットワーキングシステムでは、ローカルセキュリティプロトコルまたはネットワーク全体のセキュリティプロトコルの１つ以上が、中央サーバシステムまたは複数のエージェントの１つ以上によって自動的に生成および割り当てられる。
【００２５】
いくつかの実施形態では、本明細書で提供されるのは、動的なエンドポイントベースのエッジネットワーキングシステムであり、複数のエンドポイントデバイスのそれぞれに対して一意のローカルセキュリティプロトコルが生成される。
【００２６】
いくつかの実施形態では、本明細書で提供されるのは、動的エンドポイントベースのエッジネットワーキングシステムであり、ローカルセキュリティプロトコルは、ターゲットエンドポイントデバイスの１つ以上のオペレーティングシステムプロセスまたはネットワーク通信に基づいて、１つ以上の中央サーバまたは複数のエージェントによって動的に更新される。
【００２７】
いくつかの実施形態では、本明細書で提供されるのは、動的なエンドポイントベースのエッジネットワーキングシステムであり、ローカルセキュリティプロトコルは、ターゲットエンドポイントデバイスと複数のエンドポイントデバイスの別のエンドポイントデバイスの間、ターゲットエンドポイントデバイスと外部サービスまたはシステムの間、もしくはターゲットポイントデバイスと内部サービスまたはシステムの間のアクセスを制限または許可するための１つ以上のポリシーを含む。
【００２８】
いくつかの実施形態では、本明細書で提供されるのは、動的エンドポイントベースのエッジネットワーキングシステムであり、複数のエージェントは、可視ネットワークをスキャンして、ネットワーク内またはネットワークに近接するデバイスを識別するよう、さらに構成される。
【００２９】
いくつかの実施形態では、本明細書で提供されるのは、動的エンドポイントベースのエッジネットワーキングシステムであり、スキャンは、発見プロトコルを利用して、ネットワーク内またはネットワークに近接するデバイスを識別し、そこからデータを取得することを含む。 
【００３０】
いくつかの実施形態では、本明細書で提供されるのは、動的エンドポイントベースのエッジネットワーキングシステムであり、ネットワーク内またはネットワークに近接するデバイスから取得したデータは、オペレーティングシステムタイプ、デバイスタイプ、ＩＰアドレス、またはＭＡＣアドレスの１つ以上を構成する。
【００３１】
いくつかの実施形態では、本明細書で提供されるのは、動的なエンドポイントベースのエッジネットワーキングシステムであり、ローカルセキュリティプロトコルに基づく１つ以上のローカル異常インジケータへの応答は、ターゲットエンドポイントデバイスへのアクセスを除く、ターゲットエンドポイントデバイスのデータアクセス権の変更の１つ以上を含むユーザによって、またはターゲットエンドポイントデバイスをロックする。
【００３２】
いくつかの実施形態では、ここで提供されるのは、エラスティックなコンピュータネットワークのセキュリティと整合性を保護するためのコンピュータ実装方法であり、エラスティックなコンピュータネットワークを形成する複数のエンドポイントデバイスの各ソフトウェアエージェントをインストールすること；各ソフトウェアエージェントによって、オペレーティングシステムプログラムおよびエンドポイントデバイスのネットワーク通信の可視性を取得するためにインストールしたソフトウェアエージェント上の、エンドポイントデバイスのオペレーティングシステムにアクセスすること；ソフトウェアエージェントによって、オペレーティングシステムおよびエンドポイントデータ、少なくとも１つのシステムプロセスまたはエンドポイントデバイスのネットワークプロセスに関する情報を構成するエンドポイントデータを得る、エンドポイントデバイスのネットワーク通信を監視すること；各ソフトウェアエージェントによって、エンドポイントデータを中央サーバシステムに伝達すること；ローカルセキュリティプロトコルを使用するソフトウェアエージェントによって、エンドポイントデータの少なくとも一か所に基づくエンドポイント上の１つ以上のローカル以上インジケータを認識すること；各ソフトウェアエージェントによって、ローカルセキュリティプロトコル上の少なくとも一か所に基づく、エンドポイント上の１つ以上のローカル異常インジケータに応答すること、ここで、ローカルセキュリティプロトコルは、 複数のエンドポイントデバイスの各ローカルセキュリティを確保するように設計された１つ以上のルールセット、ポリシー、またはアクセス権を構成する；中央サーバシステムによって、各複数のエンドポイントデバイス上の各ソフトウェアエージェントからエンドポイントデータを受理すること；ネットワーク全体のアクティビティパターンを識別する各複数のエンドポイントデバイス上の各ソフトウェアエージェントより受理したエンドデータを分析すること；ネットワーク全体のセキュリティプロトコルを使用する中央サーバシステムによって、識別されたネットワーク全体のアクティブパターンの少ない一か所を基にした、複数のエンドポイントデバイスにわたるネットワークレベルの１つ以上のネットワーク全体の異常インジケータを識別すること；並びに 中央サーバシステムによって、ネットワーク全体のセキュリティプロトコル上の少なくとも一か所に基づく、複数のエンドポイントデバイスにわたるネットワークレベルの１つ以上のネットワーク全体の異常インジケータに応答すること、ここで、中央サーバシステムは、コンピュータプロセッサと電子記憶媒体を構成する。 
【００３３】
いくつかの実施形態では、本明細書で提供されるのは、複数のエンドポイントデバイスのうちの、少なくとも１つのエンドポイントデバイスが、コンピュータネットワークファイアウォールの外側に位置する、コンピュータ実装方法である。
【００３４】
いくつかの実施形態では、本明細書で提供されるのは、複数のエンドポイントデバイスの一部について共通のローカルセキュリティプロトコルが生成され、複数のエンドポイントデバイスの別の部分について、一意のローカルセキュリティプロトコルが生成される、コンピュータ実装方法が提供されることである。
【図面の簡単な説明】
【００３５】
本明細書で説明される装置および方法のより良い理解は、添付の図面と併せて以下の説明を参照することにより理解されるであろう。
【図１Ａ】図１Ａは、ファイアウォールおよび／またはデータアクセス管理システムに基づく、従来のエンタープライズネットワーク境界を示すブロック図である；
【図１Ｂ】図１Ｂは、外部デバイスおよびクラウドサービスを伴う、ファイアウォールおよび／またはデータアクセス管理システムに基づく、従来のエンタープライズネットワーク境界を示す、ブロック図である；
【図１Ｃ】図１Ｃは、いくつかの実施形態による、エンドポイントモデリングおよびグループ化管理システムおよびエンドポイントにインストールされたエージェントを使用する、ネットワーク境界を示す、ブロック図である；
【図１Ｄ】図１Ｄは、いくつかの実施形態による、インストールされたエージェントを伴う、エンドポイントのグループ化を示すブロック図である；
【図１Ｅ】図１Ｅは、いくつかの実施形態による、グループ化にアクセス制限を適用するように構成できる、エンドポイントモデリングおよびグループ化管理システムによるグループ化を示す、ブロック図である；
【図１Ｆ】図１Ｆは、いくつかの実施形態による、様々なグループ化を示す、ブロック図である；
【図１Ｇ】図１Ｇは、いくつかの実施形態による、境界内および境界外エンドポイントの様々なグループ化を示す、ブロック図である；
【図１Ｈ】図１Ｈは、いくつかの実施形態による、異なるアクセス制限を伴う様々なグループ化を示す、ブロック図である；
【図１Ｉ】図１Ｉは、いくつかの実施形態による、異常な行動の識別を示すブロック図である；
【図１Ｊ】図１Ｊは、 いくつかの実施形態による、非管理エンドポイントへのエージェントの展開を示す、ブロック図である；
【図２】図２は、いくつかの実施形態による、人工知能（ＡＩ）を使用する、例示的なエッジネットワークを示す図である；
【図３】図３は、いくつかの実施形態による、完全にエラスティックなエッジグリッド内の、エッジネットワークを示す図である；
【図４】図４は、いくつかの実施形態による、エンドポイントモデリングおよびグループ化管理システムを示す概略図である；
【図５】図５は、いくつかの実施形態による、エンドポイントモデリングおよびグループ化管理システムの１つ以上の実施形態を実装するための、ソフトウェアを実行するように構成された、コンピュータハードウェアシステムを示すブロック図である；
【図６】図６は、いくつかの実施形態による、エンドポイントからデータを収集する、１つ以上のエージェントを示すブロック図である；
【図７】図７は、いくつかの実施形態による、エージェントが収集できるデータの、グラフィカルユーザインターフェースである；
【図８】図８は、エンドポイントモデリングおよびグループ化管理システムの、いくつかの実施形態による、エージェントから収集されたデータの分析に基づいた、１つ以上のエージェントへの、１つ以上のモデルの伝達を示す、フロー図である；
【図９】図９は、いくつかの実施形態による、グループビューのグラフィカルユーザインターフェースである；
【図１０】図１０は、いくつかの実施形態による、グループ、データセンタ、およびサービスをリストするダッシュボードの、グラフィカルユーザインターフェースである；
【図１１】図１１は、いくつかの実施形態による、グループおよび関連する違反の、グラフィカルユーザインターフェースである；
【図１２】図１２は、いくつかの実施形態による、２つのサーバおよび２つのサービスへのアクセスコントロールを伴うグループの、グラフィカルユーザインターフェースである；
【図１３】図１３は、いくつかの実施形態による、サーバへのアクセスコントロール、２つのサービス、およびローカルデータベースファイルストレージを伴う、グループのグラフィカルユーザインターフェースである；並びに
【図１４】図１４は、いくつかの実施形態による、グループおよび関連する特性のリストの、グラフィカルユーザインターフェースである。
【発明を実施するための形態】
【００３６】
詳細な説明
いくつかの実施形態、例、および実例を以下に開示するが、本明細書に記載の本発明は、具体的に開示された実施形態、実例、および実例を超え、本発明の他の使用および明白な修正および同等物を含むことが当業者によって理解されるであろう。本発明の実施形態は、添付の図面を参照して記載され、類似の数字は全体を通して類似の要素を指す。本明細書で提示される説明で使用される用語は、本発明の特定の特定の実施形態の詳細な説明と併せて、使用されているという理由だけで、限定または限定的に解釈されることを意図しない。加えて、本発明の実施形態は、いくつかの新規な特徴を構成することができ、単一の特徴がその望ましい属性を単独で担い、または本明細書に記載の発明を実施するのに不可欠ではない。
【００３７】
エンタープライズネットワークに接続されたコンピューターエンドポイントでのウイルス、スパイウェア、トロイの木馬、ランサムウェアなどの悪意のあるソフトウェア（以下、総称して「マルウェア」と呼ぶ）の検出は、それらのシステムに保存される情報とソフトウェアプログラムの維持と保護を担当する情報技術者にとって大規模な問題である。前述の課題は、ファイアウォールおよび／またはデータアクセス管理システムの背後または内部に配置された、ハードウェアに限定されなくなった、今日の複雑なエンタープライズネットワークによって、さらに複雑になる。クラウドコンピューティングストレージ施設とサービスとしてのソフトウェア（ＳａａＳ）機能の開発、およびスマートフォン、ラップトップ、タブレット、その他のデバイスなどのモバイルデバイスの急増により、これらはすべて一般にエンタープライズファイアウォールの外側にあり、エンタープライズネットワークファイアウォールおよび／またはデータアクセス管理システム内の外部からネットワークと通信する複数のハードウェアデバイスで構成される。
【００３８】
むしろ、エンタープライズネットワークは、大まかに言って、固定境界ネットワークと反対の、エラスティックネットワークになった。エラスティックネットワークでは、企業データおよび／またはエンタープライズソフトウェアシステムをマルウェアから保護するという課題はより複雑になる、なぜならＩＴ管理者がファイアウォールおよび／またはデータアクセス管理システム内のコンピューティングデバイスだけでなく、相互作用するコンピューティングデバイスも保護する必要があるからである。例えば、 特に、モバイルデバイスがファイアウォールを通過し、ファイアウォール内のシステムとデータまたはファイアウォール内のエンドポイントに接続されている、他のクラウドコンピューティングシステムにアクセスする許可を持っている場合、エンタープライズファイアウォールおよび／またはデータアクセス管理システムの外部にあり、ウイルスまたは悪意のあるソフトウェアに感染しているモバイルデバイスは、エンタープライズデータおよび／またはエンタープライズファイアウォールおよび／またはデータアクセス管理システム内のシステムを侵害する可能性がある。
【００３９】
特定のアンチウイルスシステムは、既知のウイルス、マルウェア、ランサムウェアなどの検出にのみ焦点を当てており、そのようなシステムはゼロデイ（意味、以前は不明）マルウェアからの保護をほとんど提供しない。現在のマルウェアの多くは、ソフトウェアファイルに関連付けられた新しいデジタル署名を作成するなど、自身を継続的に変身させ、このようなマルウェアの「ブラックリスト」デジタル著名に依存する従来のアンチウイルスシステムによる検出を回避できるように構成されている。従って、特に、エンタープライズネットワークがファイアウォールやデータアクセス管理システム内だけでなく、エラスティックエッジネットワークまたはグリッドのファイアウォールおよび／またはデータアクセス管理システムの外部にも存在するコンピューティング環境では、既知および未知のマルウェアから企業データおよび／またはソフトウェアシステムを保護するように構成されたシステムが必要である。
【００４０】
前述の課題に対処するために、本開示は、エンドポイントデバイスのプロセスおよび/またはネットワークアクセスを自動的かつ動的に制御するためのシステム、方法、およびデバイスを示し、そのようなデバイスは、エンタープライズファイアウォールおよび／またはデータアクセス管理システムの内部または外部に配置される。エンドポイントのプロセスおよび／またはネットワークアクセスをコントロールすることは有益である。なぜなら エンドポイントが影響する場合、ここに開示されたシステムは、エンドポイントを防止するように構成できるため、エンドポイントで動作しているマルウェアが特定のネットワーク接続にアクセスしたり、特定のプロセスを実行したりすることを防ぐことができ、これらはすべて、マルウェアをコントロールしたり、マルウェアの到達範囲を制限したり、マルウェアが他のシステムに拡散したり、企業データを操作したりするのを防ぐことができる。
【００４１】
言い換えれば、ここに開示されたシステムは、エンドポイントがエンタープライズファイアウォールおよび／またはデータアクセス管理システムの内外に存在するか否かに関わらず、エラスティックネットワーク上のすべてのエンドポイントデバイスに対して安全な保護環境を作成するように構成できる。或る実施形態では、システムは、エラスティックネットワーク内のすべてまたは一部のエンドポイントの動作特性の分析に基づいて、エラスティックネットワーク内のエンドポイントに対して安全な保護環境を作成し、エンドポイントに付与するデータアクセスおよび／またはネットワークアクセス権限を決定するように構成できる。多くの場合、マルウェアにより、エンドポイントはプロセスを実行したり、エンドポイントが通常実行またはアクセスしない特定のネットワークパスにアクセスしたりする。従って、異常なパフォーマンスプロセスおよび／または異常なネットワークアクセスを防止することによって、システムは、ウイルス、マルウェア、ランサムウェアなどが、エンドポイントデバイスおよび／またはエンタープライズシステムやデータの損害の原因を防ぐことができる。
【００４２】
いくつかの実施形態では、ここに開示されているシステム、デバイス、および方法は、システム内のさまざまなレベルの粒度で、エンドポイントデータを継続的に収集し、個々のエンドポイントおよび全体としてのネットワークの信頼性を永続的に検証および確立できる、初期の「ゼロトラスト」セキュリティアーキテクチャを作成する概念に基づいて設計できる。既存のセキュリティモデルは、ポイントインタイム認証に基づくため、認証と認証の間に、エンドポイントデバイスまたはネットワークの整合性を確保することができない。本明細書で説明されるシステム、デバイス、および方法は、ポイントインタイム認証を提供できるがいくつかの実施形態では、設計の重要な側面は、ネットワークとそのさまざまなエンドポイントデバイスの整合性の検証の継続的な性質と、ユーザのＩＤの検証である。いくつかの実施形態では、この検証は、個々のエンドポイント、グループ、およびネットワーク全体の使用パターンの人工知能（ＡＩ）による分析を通じて確立される。いくつかの実施形態では、この分析の中心は、エンドポイントデバイスからのデータの継続的な監視と収集、およびユーザ、エンドポイントデバイス、グループ、サブネットワーク、ネットワークセグメント、またはネットワーク全体のベースライン使用量の決定である。 一旦、確立されると、ベースラインの使用状況を継続的に更新し、現在の使用状況と比較して、ユーザおよびエンドポイントデバイスを永続的に認証できる。言い換えれば、本明細書に記載されるシステムは、ネットワークレベルから個々のユーザおよび／またはエンドポイントデバイスに至るまで、様々なレベルの粒度での使用の期待を確立し、その期待を現在の実際の使用と比較して、常に検証を実行できる。いくつかの実施形態では、システムは、エンドポイントデバイスおよびエンドポイントデバイスを使用するユーザの両方の整合性を個別に検証することが可能である。
【００４３】
或る実施形態では、本明細書に開示するシステムは、エンドポイントにエージェントをインストールするように構成できる。或る実施形態では、エージェントは、エンドポイントで発生する、プロセスおよび／またはネットワークトラフィックを分析するように、構成できる。或る実施形態では、エージェントは、このような分析データを中央コンピューティングサーバシステムに伝達するように構成できる。或る実施形態では、中央コンピューティングサーバシステムは、データを分析して、エンドポイントの一般的なネットワークアクセス動作および/または一般的なプロセッサ動作を決定するように構成できる。或る実施形態では、エージェントは、データを分析して、エンドポイントの典型的なネットワークアクセス動作および/または典型的なプロセッサ動作を決定するように構成されており、或る実施形態では、エージェントと中央サーバの両方が、エンドポイントのこのような動作分析を実行するように構成される。或る実施形態では、人工知能（ＡＩ）技術は、そのような行動分析を実行するために、エージェントおよび／または中央サーバによって採用される。このような動作分析に基づいて、エージェントおよび／または中央サーバは、エンドポイントの典型的なプロセスおよび／またはネットワークアクセスパターンを決定および／またはモデル化するように構成できる。 
【００４４】
或る実施形態では、このシステムは、エラスティックネットワーク内の複数のエンドポイントで動作する複数のエージェントを備える。或る実施形態では、複数のエンドポイントで動作する複数のエージェントは、中央サーバと通信しており、および/または上記で開示された同じ行動分析を実行する。或る実施形態では、本明細書で開示されるシステムは、同じおよび／または同様の処理および／またはネットワークアクセスパターンを有するとして、複数のエンドポイントのサブセットをグループ化および／またはモデル化するように構成される。或る実施形態では、本明細書に開示されるシステムは、複数のエンドポイントのさまざまな決定されたグループに、特定のプロセスおよび／または複数のさまざまな決定されたグループに対するネットワークアクセスをコントロールするための１つ以上のルールまたはルールセットに自動的および／または動的に割り当てるように構成することができるいくつかの実施形態では、他のシステム、サーバ、コンピュータ、仮想マシンなどを含むがこれらに限定されないエンドポイントデバイスの組み込みエージェントおよび／またはセキュリティエージェントを介したシステムは、エンドポイントデバイスを監視し、個人にポリシーを適用する機能を備える。いくつかの実施形態では、組み込みエージェントは、バイナリの特定時点のユーザ認証ツールとしてではなく、継続的な検証および認証モニターとして機能する。
【００４５】
いくつかの実施形態では、システムは、エンドポイントデバイスにインストールされた複数のエージェントを構成し、エージェントはエンドポイントデバイスのセキュリティを確保するように設計される。いくつかの実施形態では、セキュリティの確保には、たとえばエージェントがデバイスで発生するほぼすべてのアクティビティを監視できるように、ベースレベルで、デバイスにアクセスすることが含まれる。いくつかの実施形態では、エンドポイントアクティビティへの中断のないアクセスにより、エージェントは、エンドポイントデバイスおよび／またはエンドポイントデバイスを使用するユーザが、システムの期待内および／またはそのための予想される典型的な使用またはアクティビティまたはプロセス内で動作していることを時間の経過とともに検証できる。いくつかの実施形態では、エージェントは、各時点で、エンドポイントデバイスで異常なアクティビティが発生していないことを検証できる。いくつかの実施形態では、システムは、エンドポイントデバイスのオペレーティングシステムのほぼすべての側面を継続的に監視できるため、任意の時点で発生する異常、および異常な動作のパターンを認識して、エンドポイントが侵害されたか安全でないかを判断できる。さらに、いくつかの実施形態では、システムは、監視を通じて、実装されたセキュリティルールが違反しているかどうかを判断したり、エンドポイント機能に対する様々なコントロールまたは制限を実装したり、もしくはシステムまたはネットワーク管理者によって定義されたその他のアクションを実行したりできる。いくつかの実施形態では、これらのアクションとコントロールは、個々のエンドポイントレベルで実装される。いくつかの実施形態では、これらのアクションまたはコントロールは、定義済みまたは未定義のエンドポイントのグループ、またはネットワークレベル全体で実装される。いくつかの実施形態では、中央集中型システムは、ネットワークにインストールされたすべてのエージェントからデータを収集して、ネットワーク全体の使用パターンを識別することができます。これにより、単一のエンドポイントのデータでは識別が困難または不可能な脆弱性や問題を中央システムで識別できる。例えば、１つ以上のエンドポイントでの特定の使用または使用パターンは、そこにインストールされたエージェントによって単独で異常として識別されない場合がありますが、他のエンドポイントまたはネットワークの実質的にすべてのエンドポイントからのデータと組み合わされると、それによって異常として識別される場合がある。いくつかの実施形態では、本明細書に記載されたエージェントベースのシステムは、個々のエンドポイントセキュリティとネットワーク全体のセキュリティを提供する階層化セキュリティソリューションを提供できる。
【００４６】
いくつかの実施形態では、本明細書に記載されたシステムは、エンドポイントアクティビティの低レベルのクロスプラットフォーム監視を提供する。いくつかの実施形態では、システムは、異常として識別されるエンドポイントアクティビティを決定する、一連のルールを創造、定義、および／または動的に変更するように構成される。いくつかの実施形態では、一連のルールは、機械学習の側面、所定のルールセット、および／または管理者管理によって定義できる。
【００４７】
システムがＩＴ管理者の作業を減らすことができるため、および／またはシステムが人間のオペレーターよりもそのような行動パターンを決定できるため、システムがそのような行動分析を実行することは有利である。システムがＩＴ管理者の作業を削減し、および／またはシステムがそのような開発し、および／またはそのようなルールをエンドポイントに割り当てることができるため、特にエンタープライズネットワークが、エンタープライズネットワークに接続された数百、数千、および／または数百万のエンドポイントデバイスを含む状態では、システムが１つ以上のルールまたはルールセットを１つ以上のエンドポイントに自動的および／または動的に割り当てると、有利な場合がある。
【００４８】
いくつかの実施形態では、システムのもう１つの中心的な機能は、アクセスポリシーの創造、生成、および実装であり、これは、ベースラインの使用または使用の予想を決定することに基づくことができる。いくつかの実施形態では、生成されたアクセスポリシーは、特定のエンドポイント上の特定のユーザが特定の時間にアクセスできるエンドポイント、サービス、サーバ、プログラムなどの概要を提供する。いくつかの実施形態では、アクセスポリシーは、エージェントを介したエンドポイントの継続的な監視から収集されたデータと、ユーザやエンドポイントデバイスのベースライン使用量の決定を通じて統合される。いくつかの実施形態では、各個人および／またはエンドポイントデバイスに適用されるアクセスポリシーの集合体は、全体としてネットワークアクセスポリシーを構成する。いくつかの実施形態では、アクセスポリシーは、ユーザおよび／またはエンドポイントデバイスのベースライン使用から、直接、推論または生成され、ＡＩ分析を通じて、手動または自動で更新できる。いくつかの実施形態では、ネットワークはエンドポイントデバイスと中央サーバにインストールされた個々のエージェントによって管理できるため、アクセスポリシーは、ネットワークの全てのレベルで実装できる。
【００４９】
或る実施形態では、エージェントは、複数のエンドポイントのさまざまな決定されたグループに、特定のプロセスおよび/または複数のエンドポイントのさまざまな決定されたグループに対するネットワークアクセスをコントロールするための１つ以上のルールまたはルールセットを割り当てるように構成する。或る実施形態では、中央サーバは、複数のエンドポイントのさまざまな決定されたグループに、特定のプロセスおよび/または複数のエンドポイントのさまざまな決定されたグループに対するネットワークアクセスを制御するための１つ以上のルールまたはルールセットを割り当てるように構成される。或る実施形態では、システムは、エージェントと中央サーバの両方を使用して、複数のエンドポイントのさまざまな決定されたグループに、複数の決定されたグループの特定のプロセスおよび／またはネットワークアクセスを制御するための、１つ以上のルールまたはルールセットを割り当てるように構成する。 
【００５０】
或る実施形態では、特定のエンドポイントで動作するエージェントは、１つ以上のルールまたはルールセットを適用して、エンドポイントで実行されているプログラムまたは命令からのネットワークアクセスパス要求を許可するか拒否するかを決定するように構成できる。 或る実施形態では、中央サーバは、１つ以上のルールまたはルールセットを適用して、エンドポイントで実行されているプログラムまたは命令からのネットワークアクセスパス要求を許可するか拒否するかを決定するように構成できる。或る実施形態では、中央サーバがすべての決定を行い、潜在的な原因となるのではなく、システムが分散的に動作するため、特定のエンドポイントで動作するプログラムまたは命令からのネットワークアクセスパス要求を、許可するか拒否するかをエージェントが決定すると、有利になる場合がある。加えて、分散システムは、ネットワーク上のネットワークトラフィックと中央サーバへのリクエスト数を削減する。いくつかの実施形態では、本明細書に記載のシステムは、ネットワークへのアクセスを管理および制限するための機械学習コンポーネントを構成する。 他の実施形態では、ＡＩ管理とネットワークへのアクセス制限は、人間の管理者管理によって補足または置き換えられる。いくつかの実施形態では、人間の管理者は一般的なルールまたは特定のルールを、手動で実装するか、またはシステム全体かエンドポイントごとにアクセスを管理する。いくつかの実施形態では、システムのルール、ポリシー、およびアクセス権は、それらがどのように作られているかに関係なく、たとえばマルウェアまたはその他の悪意のあるソフトウェアが導入されないこと、整合性が確保されることにより、エンドポイントとネットワークのセキュリティを確保するように設計でき、証明書のセキュリティが侵害されておらず、それらは特に使用に異常がないことを確認する。 
【００５１】
いくつかの実施形態では、本明細書の様々な実施形態によるエッジネットワークは、接続されたエンドポイントの集合を構成し、それによって定義されてもよい。いくつかの実施形態では、ネットワークへのアクセスを管理または制限するためのポリシーまたはルールは、例えば、ネットワーク管理者が手動で考案および実施することもある。いくつかの実施形態では、エッジネットワーキングシステムは、インバウンドおよびアウトバウンド接続のプロファイリング、ネットワークエンドポイントへのエージェントのインストール、および／またはネットワーク内外のさまざまなシステムへのアクセスの管理と規制など、他の機能を実行できる。いくつかの実施形態では、本明細書のシステム、デバイス、方法は、１つ以上のエンドポイントを識別およびグループ化し、エンドポイント間、エンドポイントと外部サービスおよびシステム間、並びにエンドポイントと内部サービスまたはシステム間のアクセスを制限および／または許可するポリシーを管理できる。
【００５２】
いくつかの実施形態では、本明細書に記載のエージェントベースのシステムにより、データの可用性が向上するため、ネットワーク管理が可能となる。ネットワーク管理には、エンドポイントのデータアクセス権の変更、ユーザの除外、および／またはエンドポイントのロックなどが含まれる。いくつかの実施形態では、システムは、ネットワーク外部の１つ以上のソースからのインバウンド接続を、制限することがある。いくつかの実施形態では、システムの監視、ルールセット、および／またはネットワーク管理の側面は、インストールされたエージェントを介して、ネットワークレベルとは反対の、個々のエンドポイントデバイスでコントロールできる。
【００５３】
いくつかの実施形態では、ここで説明するエージェントをエンドポイントデバイスにインストールして、デバイス上の着信および発信トラフィックにアクセスして管理できる。いくつかの実施形態では、エージェントは、デバイスシステムやトラフィックへのアクセスを通して、デバイスのユーザのＩＤと権限を継続的に検証できる。いくつかの実施形態では、ネットワークは、エージェントがインストールされたエンドポイントデバイスによって定義され、システムはインストールされたエージェントを介してネットワークのすべてのデバイスへの可視性とアクセスを獲得する。いくつかの実施形態では、エージェントがエンドポイントにインストールされる場合、エンドポイントデバイスとの実質的にすべての通信は、エージェントによって監視および保存できるため、エンドポイントの物理的な場所に関係なく、ネットワーク管理ルール（アクセス権など）を適用できる。いくつかの実施形態では、本明細書に記載のエージェントベースのシステムは、すべての内部通信および／または外部通信を、監視および保存できる。例えば、システムは、ネットワーク内の２つのエンドポイント間で発生する、アクティビティを監視および保存するように構成することもある。いくつかの実施形態では、システムは、エージェントがインストールされた、エンドポイントのカーネルレベルの監視を通して、これらの通信を可視化した。いくつかの実施形態では、システムは、個々のエンドポイントで実施されるデータアクセスおよびネットワーク管理ポリシーを使用して、複数のエンドポイントにまたがる広範なネットワークを定義する。 
【００５４】
既存のネットワークセキュリティ、管理、およびコントロールシステムが直面する別の問題は、特にネットワークにアクセスする、新しいエンドポイントデバイスおよびネットワーク上に存在しなくなる、既存のエンドポイントデバイスに関して、ネットワークの一時的な性質である。いくつかの実施形態では、本明細書で開示されるシステム、デバイス、および方法は、さまざまなネットワークセグメントおよび／またはサブネットワークを含むネットワーク構成の継続的に更新されるマッピング、視覚化、および／または表現を構築することにより、絶えず拡大および／または撤回するネットワークの難しさを解決する。いくつかの実施形態では、システムは、ソフトウェアベースの分散方式で、複数のエンドポイントデバイスをマッピングするように構成される。つまり、ネットワーク全体の分散ソフトウェアから受信したデータに基づいて、マップまたは視覚化を組み立てることができる。いくつかの実施形態では、この分散ソフトウェアは、ネットワークの各エンドポイントデバイスにインストールされたエージェントを構成する。いくつかの実施形態では、システムは、複数のエンドポイントデバイスにインストールされたエージェントから収集されたデータを集約することにより、ネットワークおよび／または様々なサブネットワークの視覚化またはビューを提供できる。いくつかの実施形態では、ネットワークは多様なサブネットワーク、１つ以上のエンドポイントデバイスを構成する各サブネットワークを構成することができる。いくつかの実施形態では、システムは、エージェントから受信した情報に基づいて、ネットワークおよび／または多様なサブネットワークのビューを組み立てるように構成できる。いくつかの実施形態では、エンドポイントにインストールされたエージェントのデータを使用して構築されたネットワークのマップ、ビュー、または視覚化は、ネットワークおよび／または多様なサブネットワークの全体的および／または個別のビューを提供できる。
【００５５】
上記の現代のネットワークのエラスティック性に関連する問題は、非伝統的なネットワーク接続デバイスの存在である。ここで説明するシステムは、分散エージェントベースのエンドポイントネットワークを通じてこれらのデバイスの可視性を獲得し、コントロールおよびネットワーク管理機能を統合して、これらの非伝統的なデバイスを直接または間接的に監視することにより、この問題に対処する。いくつかの実施形態では、ネットワーク、ネットワークセグメント、および／またはサブネットワークは、さまざまなエンドポイントデバイスで構成でき、いくつかはエージェントがインストールされ、いくつかはエージェントがインストールされていない場合がある。しかし、いくつかの実施形態では、ネットワークの１つ以上のエンドポイントデバイスにエージェントをインストールすることにより、システムは、スキャンまたは検出機能により、ネットワークおよび／またはサブネットワーク上のすべてのエンドポイントデバイスを可視化できる。エージェントがインストールされていないエンドポイントデバイスを可視化することにより、システムはそれらのデバイスからデータを収集でき、これは、非管理デバイス（エージェントがインストールされていないデバイス）の存在、他のエンドポイントデバイスとの間で送受信される非管理デバイスのネットワーク通信、および非管理デバイスへのインバウンド接続またはアウトバウンド接続の有無を含むが、これに限らない。本収集データに基づいて、エンドポイントベースのネットワークシステムは、管理対象外デバイスとネットワーク全体、サブネットワーク、ネットワークセグメント、論理グループ、物理グループ、または個々のエンドポイントとの間の通信および接続の保存または終了に関して必要なアクションを動的に決定できる。いくつかの実施形態では、システムは、非管理デバイスのグループ化を含むように構成できるため、グループ固有のルールを、非管理デバイスおよびネットワーク内の他のエンドポイントデバイスとの通信に、直接適用できる。いくつかの実施形態では、動的な決定とグループ化は、例えば、以下で記載されるオーケストレーションレイヤによって行うことができる。
【００５６】
いくつかの実施形態では、システムは、侵害された脆弱な物のインターネット（ＩｏＴ）デバイスに対抗するように構成できる。悪意のあるソフトウェアの中には、インターネット要求のプロキシまたは仲介として使用するＩｏＴデバイスを使用して、サイバー攻撃やコンピュータネットワークの悪用のために悪意のあるトラフィックをルーティングするものがある。時に「スマート」デバイスと表記されるＩｏＴデバイスは、データを送受信するインターネットに通信するデバイスである。ＩｏＴデバイスのターゲットの例は、ルーター、ワイヤレスラジオリンク、タイムクロック、オーディオ／ビデオストリーミングデバイス、ラズベリーパイＰｉ、ＩＰカメラ、ＤＶＲ、衛星アンテナ機器、スマートガレージのドア開閉装置、ネットワーク接続ストレージデバイスを含む。ＩｏＴプロキシサーバは、全てのインターネット要求を、被害者のデバイスのＩＰアドレスを介して伝達することで、匿名のレイヤを提供するため、悪意のあるサイバーアクターにとって魅力的である。いくつかの実施形態では、ＩｏＴデバイスは、疑わしいまたは外部のＩＰアドレスからのトラフィックをブロックする、多くのビジネスＷｅｂサイトへのアクセスを許可するため、特に魅力的なターゲットになる。 いくつかの実施形態では、悪意のあるソフトウェアは侵入されたデバイスのＩＰアドレスを使用して侵入活動を行うことができ、悪意のあるトラフィックから通常のトラフィックをフィルタリングすることが困難になる。いくつかの実施形態では、悪意のあるソフトウェアは侵入したＩｏＴデバイスをプロキシとして使用して、例えば、スパムメールの送信、匿名性の維持または検出の回避、ネットワークトラフィックの難読化、インターネットブラウジングのマスク、クリック詐欺活動の生成、違法な画像や商品の売買を行うことができ、クレデンシャルスタッフィング攻撃を実施し、ＩｏＴボットネットを金銭的利益のために他のサイバーアクターに販売またはリースする。いくつかの実施形態では、ＩｏＴデバイスには、弱い認証、パッチが適用されていないファームウェア、または他のソフトウェアの脆弱性があるか、デフォルトのユーザ名とパスワードが簡単に破られることがある。 いくつかの実施形態では、ここに開示されているエージェントベースのエンドポイントネットワークは、ＩｏＴデバイスからエンドポイントデバイスへの通信を検出、監視、コントロールすることにより、ＩｏＴデバイスを介して発生する攻撃に対抗できる。
【００５７】
いくつかの実施形態では、エージェントベースのシステムは、エージェントがインストールされていないデバイス、および／またはエージェントがインストールされたエンドポイントデバイスの近くを含む、実質的にすべてのコンピュータ化されたデバイスの可視性を提供する。いくつかの実施形態では、システムは、エンドポイントデバイスの近くにある同じサブネット、可視、またはアクセス可能なネットワーク内のすべてのデバイスを識別して可視化できる。これらのデバイスには、物理デバイス、車両、家電製品などのインターネットまたはネットワーク接続デバイス、およびこれらのものがデータを接続および交換できるようにする電子機器、ソフトウェア、センサー、アクチュエーター、および接続性が埋め込まれたその他のアイテムが含まれる。いくつかの実施形態では、インストールされたエージェントはサブネットワークまたはネットワーク全体を含む、可視ネットワークをスキャンするように構成することもある。いくつかの実施形態では、システムは、ディスカバリプロトコルを使用して存在を確認し、ネットワーク内またはネットワークに近接するすべてのデバイスからデータを取得できる。いくつかの実施形態では、システムは、オペレーティングシステム、デバイスのタイプ、ＩＰアドレス、およびＭＡＣアドレスなどを含む、これらのデバイスからデータを取得できる。いくつかの実施形態では、システムは、非管理デバイスとネットワークエンドポイント間のネットワーク通信を制限することにより、これらの「非管理」（つまりエージェントがインストールされていない）デバイスを、直接、介した攻撃からエンドポイントベースのネットワークを保護する。 
【００５８】
いくつかの実施形態では、システムはまた、複数のエージェントからのデータの収集と集約を調整するのに役立つ、オーケストレーション機能またはオーケストレーション層を備えてもよい。いくつかの実施形態では、このオーケストレーションレイヤは、検出プロトコル、ネットワークスキャン、データ収集と集約、ネットワーク視覚化の構築、およびその他のさまざまなシステム機能を管理して、過剰または不要な機能を減らすことにより、システムの効率を高めることができる。いくつかの実施形態では、オーケストレーション機能は、ネットワーク、ネットワークセグメント、および／またはサブネットワークのマッピング、グループ化、または表現を提供するために、ネットワーク、ネットワークセグメント、および／またはサブネットワークのすべてのエンドポイントおよびエージェントからのデータを収集して、１つ以上のまとまりのあるビュー、視覚化、アセットインベントリ、リストなどを作成できる。いくつかの実施形態では、データは、ネットワーク上の物理的なエンドポイント、データセンタ、クラウドサービス、非伝統的なデバイス（ＩｏＴデバイス、プリンタなど）またはネットワークの他の部分にインストールされたエージェントから収集される。
【００５９】
いくつかの実施形態では、システムは、継続的に更新されるマッピング、視覚化、および/または表現を利用して、ネットワークグルーピング、アクセスルール、ネットワーク管理、およびセキュリティとネットワーク管理機能の他のすべての側面を更新するように構成できる。システムは、ネットワークへの、またはネットワークからのエンドポイントデバイスの追加および／または離脱を通じて、ネットワークの拡大または縮小に動的に反応できる。システムは、グループアクセス権とルールをそれらのデバイスに適用できるように、ＩｏＴデバイスを含む非従来のエンドポイントデバイスへのグループ化を含むこともある。代替的に、いくつかの実施形態では、ネットワーク上の非従来のエンドポイントデバイスはグループ化されず、システムは、エンドポイントデバイスにインストールされたエージェントから集約されたデータに基づいて、１つ以上の非従来のエンドポイントデバイスがすべて、いくつか、または１つもないネットワークの他のデバイスに通信できるかを決定する。いくつかの実施形態では、この決定は、ネットワーク、様々なネットワークセグメント、サブネットワーク、および／または個々のエンドポイントの全体的な動作分析に基づくことができる。粒度および特異性のレベルは、システムがグループ化をコントロールし、したがって、非従来のエンドポイントデバイスを含むネットワークのエンドポイントデバイスのアクセス権とネットワーク通信管理をコントロールできるため、制限されない。特に、ネットワークのグループ化とルールは、ネットワーク全体、特定のサブネットワークまたはネットワークセグメント、エンドポイントのグループ、個々のエンドポイント、非従来のエンドポイント、サードパーティサービス、エンタープライズサービスなど、また上記のいずれか（たとえば、個々のエンドポイントとそれ自身のグループまたはエンドポイントの別個のグループの間）の間のすべての通信に対して適用できるネットワークのエンドポイントおよびネットワーク全体または一部を、グループ化およびコントロールする際に、システムが持つことができる制御の範囲と特異性には、ほとんど制限がない。いくつかの実施形態では、 ネットワーク上のいくつかのデバイスはネットワーク上の他のデバイスと通信する、これらのデバイスの機能を制限することにより、たとえエージェントをインストールしなくてもコントロールや管理ができる。
【００６０】
いくつかの実施形態では、本明細書に記載するシステムは、ネットワークへの物理的な近接性によって制限されない。エージェントは、エンドポイントに直接インストールできるため、エンドポイントの物理的な場所は、エンドポイントは、本明細書に記載されるフレキシブルネットワークシステムのセキュリティ機能の恩恵を受けるかどうかを決定しない。 
【００６１】
いくつかの実施形態では、システムは、たとえば、エンドポイントで使用されているソフトウェア、ネットワーク接続を介して送受信されるデータ、ユーザ認証の時間と形式など、ネットワーク接続とシステム活動データの総合的な融合にアクセスするように構成できる。ゆえに、いくつかの実施形態では、システムのセキュリティ機能は、エンドポイントのアクティビティとネットワーク通信の完全なビューに関連して機能できる。いくつかの実施形態では、システムは、ネットワーク接続が形成されたときだけでなく、エンドポイントのアクティビティとネットワーク通信を継続的に監視するように構成できる。いくつかの実施形態では、エージェントベースのシステムは、その接続を介して送受信されるデータに加えて、ネットワーク接続の整合性を確保するように構成することもある。
【００６２】
いくつかの実施形態では、システムは、ネットワーク接続の整合性が確保されるように、ネットワーク接続を介してデータの送信者と受信者を認証できる。いくつかの実施形態では、システムは、不正な送信者または受信者を識別する場合、ネットワーク接続を介したデータ転送を制限できる。いくつかの実施形態では、システムは、特にインストールされたエージェントを介して、エンドポイントによって送受信される要求と応答を解析し、帯域幅の使用状況を監視し、および／またはコンテキストデータ（アクセス時間）、などを精査することにより、この認証およびその他の整合性チェックを実行できる。いくつかの実施形態では、エージェントベースのシステムが、不正な接続を終了すること場合がある。 
【００６３】
いくつかの実施形態では、本明細書に記載されるシステムは、例えば、仮想プライベートネットワーク（ＶＰＮ）よりも高速で効率的なネットワーク通信を促進する。いくつかの実施形態では、システムはネットワーク接続に待ち時間を導入しない場合がある。いくつかの実施形態では、システムはネットワーク接続のルーティングを実行せず、エージェントはエンドポイントに直接インストールされるため、基盤となるネットワークインフラストラクチャに関係なく、システムは待ち時間なしで実行できる。いくつかの実施形態では、システムは、ネットワークインフラストラクチャの制限または、ネットワークトラフィックのルーティングによるオーバーヘッドに縛られない。
【００６４】
或るエンタープライズネットワークは、集中サーバを使用して、マルウェアなどの異常を特定したり、アクセス制限を決定したりできる。これらの異常に対する識別と応答は、集中化されたサーバとの間の待ち時間に基づいて、遅延するできる。さらに、これらのエンタープライズネットワークは、その境界内で接続されている数十万のエンドポイントや、接続されているクラウドサービスやデータセンタの異常検出を実行するために、必要になることができる。いくつかの実施形態では、本明細書で開示されるエンドポイントモデリングおよびグループ化管理システムは、エンドポイントにインストールされたエージェントが異常を検出し、セキュリティの脅威に対応し、ネットワークポリシーを実施し、ネットワークアクセスを規制するなどにより、これらの欠点に対処する。いくつかの実施形態では、エージェントは、ＡＩ技術を使用してエンドポイントのアクセスポリシーを生成し、エンドポイントおよび/またはアセットへの接続を許可または制限し、接続の認証基準を設定し、エンドポイントの役割を確立することにより、ネットワークアクセスを規制できる。いくつかの実施形態では、エージェントはネットワークアクセスのシャットダウンおよび／または有効化、ネットワーク帯域幅の設定および／または制限、ネットワーク帯域幅使用量に基づくアラートの生成、帯域幅使用量に基づくエンドポイントのロック、特定の接続の帯域幅ポリシーの設定などのネットワークポリシーを実施できる。いくつかの実施形態では、エージェントはエンドポイントモデリングおよびグループ化管理システムによって生成されたモデルを適用することにより、異常を識別し、アクションを自律的に実行できる。 
【００６５】
前述を可能にするために、或る実施形態では、エンドポイントモデリングおよびグループ化管理システムは、ネットワーク内のエンドポイントコンピュータデバイスからデータを収集するように構成できる。
【００６６】
エンタープライズネットワークは、ネットワークトラフィックデータを収集できる。しかし、多くの場合、ネットワークトラフィックデータは暗号化され、エンドポイント内、エンタープライズネットワーク境界内、クラウドサービス内、クラウドデータセンタ内などで発生するアクティビティを可視化できない場合がある。さらに、従来のエンタープライズネットワーク上のエンドポイントは、エンタープライズネットワークの境界の外側にある間、クラウドサービスに直接接続できるため、従来のエンタープライズネットワークはこのタイプのトラフィックを可視化できない場合がある。いくつかの実施形態では、エンドポイントモデリングおよびグループ化管理システムは、エージェントがカーネルレベルでアクティビティを監視できるようにすることで、エンタープライズネットワークテクノロジーのこれらの欠点に対処する。いくつかの実施形態では、エージェントは、暗号化前および／または復号化後のデータパケットを監視できる。いくつかの実施形態では、エージェントは、エンドポイント内に発生するアクティビティを監視できる。いくつかの実施形態では、エンドポイントが従来のエンタープライズネットワーク境界の外側にあるときに、エージェントはアクティビティを監視できる。いくつかの実施形態では、エージェントは、サンドボックスなどの保護層に含まれるデータパケットを監視できる。ゆえに、エンドポイントモデリングおよびグループ化管理システムは、エンドポイントモデリングおよびグループ化管理システムに接続された、エンドポイントのアクティビティの詳細な可視化を提供できる。
【００６７】
いくつかの実施形態では、エンドポイントにインストールされたエージェントは、カーネルレベルでのリアルタイムの情報を収集でき、内部エンドポイントアクティビティ、暗号化されたデータなどの、幅広いデータタイプのシステムの詳細な可視化を提供する。いくつかの実施形態では、エンドポイントモデリングおよびグループ化管理システムは、エージェントによって収集されたデータに人工知能コンポーネントを採用することにより、動作の類似性を特定できる。いくつかの実施形態では、 エンドポイントモデリングおよびグループ化管理システムは、エンドポイントのアクティビティ間で特定された動作の類似性や差異に基づいて、論理グループやクラスタエンドポイントなどのグループを動的にモデル化できまる。 くつかの実施形態では、エンドポイントモデリングおよびグループ化管理システムは行動モデルをエージェントに伝達して、エージェントが異常および／またはセキュリティの脅威を識別できるようにする。
【００６８】
いくつかの実施形態では、本明細書のエンドポイントのグループ化およびモデリングシステムは、様々なデータを利用して、エンドポイントのグループ化を決定およびモデル化できる。いくつかの実施形態では、システムは包括的アプローチを使用するように構成でき、このアプローチでは、システムが全体として、様々なエンドポイントからのデータを調べる。たとえば、システムは同様の特性を持つエンドポイントを分類およびグループ化するために、たとえば、接続されたすべてのＩＰアドレス、利用されたすべてのサービス、各エンドポイントとの間のインバウンドまたはアウトバウンドのすべてのネットワーク通信を調査する。いくつかの実施形態では、この分類およびグループ化メカニズムの結果は、同様のベースラインアクセスおよびネットワーク通信パターンを持つエンドポイントのグループを組み立てることになる。いくつかの実施形態では、エンドポイントのグループ化は、たとえば、職責、場所、またはその他のユーザ分類に基づいて、同様のアクセスニーズを持つユーザと一致する場合と、一致しない場合がある。例えば、エンタープライズネットワーク内のソフトウェア開発者は、ＧｉｔＨｕｂ、Ｖｉｓｕａｌ  Ｓｔｕｄｉｏ、Ｐｙｔｈｏｎなどのユースケース固有のサービスを利用して、このエンドポイントまたはユーザを他のエンドポイントまたは同様の使用パターンを持つユーザ（他のソフトウェア開発者など）とグループ化することをシステムに示す場合があり、 そして、グループは、グループの確立された使用パターンと一致しない、またはシステムの決定したグループのユーザまたはエンドポイントの目的または意図とペアにならないサービスまたはエンドポイントへのアクセスまたは通信を制限する必要がある。いくつかの実施形態では、グループ化モデリングシステムの分析は、エンドポイントがアクセスしているサービス、リソース、またはエンドポイントのＩＤを超えて拡張する。いくつかの実施形態では、システムはまた、たとえば、アクセスが発生したときに、アクセスが発生する頻度、アクセスの各インスタンスの期間、アクセスの各インスタンス中に転送されたデータの量、転送されたデータの種類、帯域幅使用量、ユーザクセスの識別、アクセスの前後、最中にエンドポイントデバイスで実行する現在のプロセスを分析することもある。いくつかの実施形態では、上記のすべて以上を利用して、グループ化を決定し、エンドポイントデバイスおよび/またはグループ化の使用のベースラインを確立し、アクセス権、セキュリティ、およびネットワーク通信プロトコルを生成し設定する。
【００６９】
いくつかの実施形態では、システムは、ネットワークおよびその様々なグループ化とサブネットワークの、複数の一意のビューまたは視覚化を生成して提供するように構成できる。例えば、いくつかの実施形態では、ネットワークは、たとえば論理グループ、エンドポイントの物理的な場所、サブネットワーク、ネットワークセグメント、デバイスタイプ、管理デバイス、非管理デバイス、インバウンド接続とアウトバウンド接続の類似性、インストールされたタイプの類似性、エンドポイントデバイスの使用時間、使用頻度、アプリケーションの使用時間、使用されているＷｉＦｉネットワークの種類、デバイスのアクセスポイント使用温度、デバイスのメモリ使用量、ハードウェアの種類、ハードウェアのＲＰＭ、ＣＰＵサイクル数、ンドポイントデバイス、サードパーティの組織グループ、およびエージェントまたは中央サーバで使用可能なその他のプロパティに基づいて、全体または一部として表示できる。
【００７０】
いくつかの実施形態では、本明細書に記載したシステム、デバイス、および方法は、他の既存のサードパーティサービス、展開手段、エンタープライズモビリティ管理（ＥＭＭ）ツール、認証ソフトウェア、およびエンドポイントベースのネットワークシステムと共に展開されるセキュリティプロトコルと統合するように構成できる。いくつかの実施形態では、本明細書に記載されたシステムによって収集されたデータと情報により、ネットワーク内でシステムと並行して実行するサードパーティソリューションの自動化が可能になる。例えば、システムは、本明細書に記載の、発見およびグループ化プロトコルを介して、既存のグループ化内の非管理されていないデバイスを、スキャンおよび発見することがある。この管理されていないデバイスを可視化すると、システムは既存の展開ツールまたは手段（Active Directoryなど）を使用して、エージェントを管理されていないデバイスに展開できる。本明細書のエンドポイントベースのネットワークシステムと統合され得るツールおよびソリューションは限定されず、ネットワーク環境内で実行される他のプラットフォームを含む。特定の例は、たとえば、Ａｃｔｉｖｅ  Ｄｉｒｅｃｔｏｒｙ、Ｊａｍｆ、Ｔａｎｉｕｍ、ＩＢＭ  Ｂｉｇｆｉｘ、Ｋａｓｐｅｒｓｋｙ、Ｔｒｅｎｄ  Ｍｉｃｒｏ、Ｔｒｉｐｗｉｒｅ、Ｃａｒｂｏｎ  Ｂｌａｃｋ、Ｓｙｍａｎｔｅｃ  Ｅｎｄｐｏｉｎt Ｐｒｏｔｅｃｔｉｏｎ、Ｉｖａｎｔｉ  Ｅｎｄｐｏｉｎｔ、ＳＣＣＭ、ＭｃＡｆｅｅ、ＣｒｏｗｄＳｔｒｉｋｅ、Ｔｒｅｎｄ  Ｍｉｃｒｏ  Ｄｅｅｐ  Ｓｅｃｕｒｉｔｙ、Ａｖａｓｔ、Ｓｈｉｅｌｄ、Ｎｏｒｔｏｎなどを含む。いくつかの実施形態では、システムをこれらのサードパーティプラットフォームに統合し、エージェントが既存のプラットフォームによってエンドポイントに自動的に展開できるようにし、システムによって開発された特定のアクセスまたはネットワーク管理ルールをサードパーティプラットフォームを介して展開できるようにするできる。
【００７１】
従来のエンタープライズネットワークは、ハードウェアに基づいて、ネットワークトポロジおよび／またはネットワーク境界を定義できる。図１Ａは、ハードウェア、ファイアウォールおよび／またはデータアクセス管理システムに基づく従来の企業ネットワーク境界を示すブロック図である。図１Ｂは、外部デバイスおよびクラウドサービスを備えた、ファイアウォールおよび／またはデータアクセス管理システムに基づく、従来のエンタープライズネットワーク境界を示す、ブロック図である。ネットワークに接続する（Ｗｉ−Ｆｉ接続などを介して）エンドポイント（コンピューティングデバイス、データセンタ、および／またはサーバなど）１０４、１０８、１１２、１１４は、エンタープライズネットワークの境界内にあることを決定し、そのコンピュータのネットワークトラフィックは、エンドポイント１０４、１０８、１１２、１１４と、エンタープライズネットワークファイアウォールおよび／またはデータアクセス管理システムを介した、外部コンピューティングデバイス１１５および／またはエンタープライズネットワーク境界の外部にある独自のエンドポイント１１８を持つ外部ネットワーク１２０との間の接続トンネル、たとえばＶＰＮを介して送信できる。境界線は、多くの場合、エンドポイント（コンピューティングデバイス／サーバなど）１０４、１０８、１１２、１１４と外部ネットワーク間のファイアウォールおよび/またはデータアクセス管理システム１０２に基づいて定義される。典型的には、従来のエンタープライズネットワークは、接続トンネルのインバウンドおよびアウトバウンドネットワークトラフィックを検査および／または監視できる（ネットワークトラフィックフローを検査する一般的なネットワークセキュリティ/脅威防止手順である侵入検知および防止システム（ＩＤＳ）を使用するなど）。   従来のエンタープライズネットワークでは、ネットワークトラフィックを監視および検査して、悪意のある入力からターゲットアプリケーションまたはサービスへの脆弱性エクスプロイトを検出および防止できる。攻撃者は、悪意のある入力を入力して、アプリケーションまたはコンピューティングデバイスの割り込みや制御の取得を行うことができる。例えば、攻撃者は、アプリケーションを無効にしたり、侵害されたアプリケーションで利用可能な、すべての権利と許可にアクセスしたりすることができる。
【００７２】
しかし、従来のエンタープライズネットワークで利用可能なデータは、外部コンピューティングデバイスとの間のネットワークトラフィックに制限できる。ゆえに、これらの従来の企業ネットワークは、従来の企業ネットワーク境界内にあるエンドポイント１０４、１０８、１１２、１１４と、企業ネットワーク境界１１５および/または他のネットワーク１１８の外部のコンピューティングデバイスとの間のネットワークトラフィックを監視および/または検査できる。また、従来のエンタープライズネットワークは、従来のエンタープライズネットワーク境界とクラウドコンピューティングシステム（クラウドサービスやクラウドデータベースなど）１２２内にあるエンドポイント１０４、１０８、１１２、１１４間のネットワークトラフィックを監視および／または検査できる。 従来の企業ネットワークは、企業ネットワーク境界１０４、１０８、１１２、１１４内のエンドポイント内部のネットワークトラフィックにも、外部クラウドコンピューティングシステム内のトラフィックにもアクセスできないことがある。これはユーザが、ある目的地から別の目的地に移動できる今日の世界では問題になる。例えば、個人はデスクトップの場所とは異なる世界の場所から、自分の携帯電話やラップトップを使用できる。デスクトップなどのエンドポイントは、ホームネットワークまたは職場ネットワークに長時間接続できるため、エンタープライズネットワークの境界内にとどまることができる。しかし、携帯電話やラップトップなどのリモートコンピューティングデバイスであるエンドポイントの場合、エンドポイントは１日を通して定期的にホームネットワークまたは職場ネットワークに接続および切断できる。ゆえに、エンドポイントは、エンタープライズネットワーク境界の外側になり、クラウドデータセンタおよび／またはクラウドアプリケーションに直接通信できる。通信チャンネルおよび／またはネットワークトラフィックは同じネットワーク制限で制限されず、エンドポイントは従来のエンタープライズネットワークの境界部内にある際に有さない。エンドポイントは、エンタープライズネットワークで有効な同じネットワーク保護によっても、保護されることもない。その結果、エンドポイントとの間の直接通信チャネルは、セキュリティの脅威について、監視および検査されない可能性があり、エンドポイントがエンタープライズネットワーク境界の外側にあることで、これらのメカニズムをバイパスできるため、アクセスプロビジョニングが適用されないことがある。
【００７３】
加えて、１人のユーザが複数のエンドポイントを所有でき、一部はエンタープライズネットワーク境界内に存在するエンドポイント（職場のデスクトップなど）と、エンタープライズネットワーク境界内にないエンドポイント（携帯電話やラップトップなど）を所有できる。さらに、ユーザのエンドポイントは、ユーザがラップトップまたは携帯電話を購入する際に、継続的に変化することもできる。従って、ユーザは、一度に継続的に変更する複数の異なるネットワークに接続できる。従来のエンタープライズネットワークは、境界内の新しいデバイスに保護とアクセス権を持たせることで、これに対処できる。しかし、欠点は、悪意のあるコードがエンタープライズネットワーク境界内に接続すると、悪意のあるコードがエンタープライズネットワーク境界内の大量のデータや操作にアクセスできることである。
【００７４】
従来のエンタープライズネットワークのもう１つ問題は、ネットワークトラフィックでの暗号化の増加である。ネットワークトラフィックは伝達前に暗号化でき、宛先コンピューティングデバイスの受信で暗号化できる。ゆえに、インバウンドおよび／またはアウトバウンドのネットワークトラフィックを監視する従来のエンタープライズネットワークでは、送信および／または受信されるネットワークデータパケットで利用可能なコンテンツやその他の重要な情報を表示できないことがある。
【００７５】
さらに、従来のエンタープライズネットワークに有用なデータは、しばしば、ネットワークトラフィックに制限できる。従って、これらのエンタープライズネットワークは、送信側のコンピューティングデバイスと受信側のコンピューティングデバイス内で発生している操作とプロセスの可視性が制限されているか、まったくない可能性がある。例えば、これらのエンタープライズネットワークは、コンピューティングデバイスの着信および発信ネットワークトラフィックを監視できるが、アプリケーション（ユーザのスペースのブラウザーなど）とＣＰＵ間の通信を監視できないことがある。この限られた可視性を考えると、従来のエンタープライズネットワークには、セキュリティリスクを効果的に評価し、コンピューティングデバイスの動作を理解して評価し、および/またはコンピューティングデバイスの運用レベルでサイバーセキュリティソリューションを提供するために必要な情報はない。
【００７６】
さらに、従来のエンタープライズネットワークは、境界の外部で発生する、アクティビティ（クラウドネットワークで発生するアクティビティなど）に対する可視性が制限されているか、まったくないことがある。本明細書の言及では、従来のエンタープライズネットワークは、企業エンタープライズネットワークとクラウドデータセンタ／サービス間の通信を、効果的に規制することができなかった。多くの企業でクラウドネットワークサービスが広く採用されていることを考えると、ユーザは、クラウドアプリケーションやクラウドデータセンタに直接アクセスできる携帯電話を介してデータ（たとえば、仕事用メール、機密文書）にアクセスできる。エンドポイントからクラウドサービスへのこの直接通信トンネルは、企業ネットワークを介したネットワークトラフィックの送信を伴わない可能性があり、したがって、監視およびアクセス制限のための企業ネットワークファイアウォールおよび／またはデータアクセス管理システムを通過しない。従って、従来のエンタープライズネットワークは、このような通信を監視および／または規制することができないこともある。さらに、データ漏えいやセキュリティ侵害の増加には、多数の機密文書の侵害が含まれる。これは、少なくとも部分的には、エンタープライズネットワークの境界にセキュリティリークが存在するため、セキュリティ違反には、エンタープライズネットワーク内に保存されているファイルを含むだけでなく、エンタープライズネットワーク内のエンドポイントによってアクセス可能な、クラウドデータセンタおよび／またはクラウドサービスに保存されるファイルも含むことができる。ゆえに、セキュリティ違反は、境界を伴う機械およびクラウド内の機械に拡散できる。これは、企業が企業の企業ネットワークにデバイスとサービスを追加し、企業ネットワークの境界を拡大し、エンドポイントをより大きなクラウドデータセンタとクラウドサービスにリンクするにつれて、攻撃者がより多くの情報にアクセスできるようになるにつれて、ますます大きな問題になる。
【００７７】
いくつかのエンタープライズネットワークは、セキュアソケットレイヤ（ＳＳＬ）ターミネーターを配置することで、この可視性の制限の問題を解決した。ＳＳＬ接続は、 暗号化したデータをエンドポイントからウェブサーバに送信する前に、認証する証明書を適用することによって使用できる。ゆえに、ＳＳＬターミネーターは、暗号化されたネットワークトラフィックを傍受し、ネットワークトラフィック内のコンテンツにアクセスするために、証明書を使用して、分離したコンピューティングデバイスで、ネットワークトラフィックを解読できる。しかし、それらのタイプの解決は、プライバシーの問題がしばしば挙げられる。例えば、ユーザは、第三者に有用なネットワークトラフィックの解読に使用される、証明を作りたがらないであろう。
【００７８】
本明細書に記載される様々な実施形態は、従来の企業ネットワークの１つ以上の欠点に対処する。いくつかの実施形態では、エンドポイントモデリングおよびグループ化管理システムは、エンドポイントにインストールされたエージェントを介して、暗号化通信と非暗号化通信の両方で、ネットワークおよびエンドポイントのアクティビティを詳細に可視化できる。  図１Ｃ は、いくつかの実施形態による、エンドポイントモデリングおよびグループ化管理システムおよびエンドポイントに、インストールされたエージェントを使用するネットワーク境界を示す、ブロック図であるいくつかの実施形態では、エンタープライズネットワーク境界は、ネットワーク構築の適応に伴う１つ以上のエンドポイントを構成できる。エンタープライズネットワーク境界は、ネットワーク境界内の１つ以上のエンドポイントにアクセス制限を適用することで構成できる。エンタープライズネットワーク境界は、ネットワーク境界へのインバウンドおよびアウトバウンドトラフィックのセキュリティ評価を構成できる。いくつかの実施形態では、エンドポイントモデリングおよびグループ化マネジメントシステム１４０は、ネットワークトラフィックおよび／またはエージェント１４５Ａ、１４５Ｂ、１４５Ｃ、１４５Ｄ、１４５Ｅ、１４５Ｆ、１４５Ｉ、１４５Ｊ（本明細書では集合的にエージェント１４５として言及する）によって発生するアクティビティデータをアクセスし分析できる。いくつかの実施形態では、エンドポイントモデリングおよびグループ化管理システム１４０は、ネットワークトラフィックおよび／またはアクティビティデータに基づいて、エンドポイントの論理グループなどのグループをモデル化し、クラスタ化することができる。 図１Ｄは、いくつかの実施形態による、インストールされたエージェントを有するエンドポイントのグループ化を示すブロック図である。エンドポイントモデリングおよびグループ化マネジメントシステムは、エンドポイント１０４、１０８、１１２、１１４、１１５、および１１８を包含する論理的なグループ化１２６のような、グループ化を決定できる。いくつかの実施形態では、 エンドポイントモデリングおよびグループ化管理システムは１４０ は、伝達モデル（または人工知能ソフトウェア）をエンドポイントおよび／または理論的なグループのようなグループ内のcエージェント１４５に伝達できる。モデルは、異常を特定するため、エンドポイントのアクティビティの評価のために使用できる。 いくつかの実施形態では、エンドポイントモデリングおよびグループ化管理システム１４０はグループのモデリングに基づいて、実行およびデータ制御パスポリシーを決定できる。いくつかの実施形態では、エンドポイントモデリングおよびグループ化管理システムは、人工知能を使用して、論理グループなどのグループをモデル化およびクラスタ化したり、および／または実行およびデータコントロールパスポリシーを決定したりできる。いくつかの実施形態では、エンドポイントモデリングおよびグループ化管理システム１４０は、クラウドベースシステムになることができる。いくつかの実施形態では、エンドポイントモデリングおよびグループ化管理システム１４０は、エ���タープライズネットワーク境界の内部および／または外部のシステムになることができる。
【００７９】
いくつかの実施形態では、エンドポイントモデリングおよびグループ化管理システムは、クラウドコンピューティングシステムを最適化してエッジコンピューティングを採用し、データのソースに近いネットワークのエッジでデータ処理を実行できる。いくつかの実施形態では、エンドポイントモデリングおよびグループ化管理システムは、様々なエンドポイントコンピュータデバイスにインストールされたエージェントより収集したデータ間の、類似および／または相違を識別できる。いくつかの実施形態では、エージェントを介して収集した比較に基づいて、エンドポイントは理論的グループのようなグループにグループ化されるはまたはカスター化できる。理論的グループのようなグループのモデルは、エンドポイントおよび／またはエージェントに伝達できる。いくつかの実施形態では、モデルは、ベースラインアクティビティの指標を提供できる。エージェントおよび/またはエンドポイントは、モデルを受信し、ベースラインアクティビティを識別し、異常についてエンドポイントアクティビティおよび／またはネットワークトラフィックを自律的に評価できる。異常を使用し、マルウェアやコンピューターウイルスなどのセキュリティ違反を示す可能性のある動作に対し、フラグを立てることができる。したがって、エージェントは潜在的なセキュリティ侵害を特定し、クラウドサーバが異常を特定するためにデータをクラウドサーバに送信可能な従来のエンタープライズネットワークよりも、迅速に対応できる。
【００８０】
いくつかの実施形態では、、エンドポイントモデリングおよびグループ化管理システムは、エンドポイントデバイス間の類似および／または相違を 計算できる。いくつかの実施形態では、類似性は、類似性の測度および/または機能（デバイス間の距離や、送受信される特定のデータパケットタイプなど）を使用して特定できる。いくつかの実施形態では、類似性は、境界および／またはエンドポイントの動作を示すデータポイントを含むことができる。例えば、類似性は、インバウンドおよびアウトバウンドのネットワークトラフィック、エンドポイントのネットワーク接続、エンドポイントが関連付けられているデバイスのタイプ、特定のネットワーク接続のネットワークトラフィックの量などの評価に基づいて特定できる。いくつかの実施形態では、エンドポイントモデリングおよびグループ化管理システムは、行動アクティビティ分析に基づいて、論理グループなどのグループにエンドポイントを継続的に追加および削除ができる。エンドポイントモデリングおよびグループ化管理システムは、論理グループなどのグループのメンバーシップを継続的に変更し、論理グループなどのグループをエラスティックグリッドにすることができる。いくつかの実施形態では、エンドポイントモデリングおよびグループ化管理システムは、グルーピングに基づくエンタープライズネットワーク境界を定義できる。ゆえに、エンドポイントモデリングおよびグループ化管理システムは、エンドポイントを事実上包含できるエラスティックな境界を創造できる。いくつかの実施形態では、エンドポイントモデリングおよびグループ化管理システムは、同様の動作を伴うエンドポイントのグループ化によって、エンタープライズネットワーク境界を定義できる。いくつかの実施形態では、エンドポイントモデリングおよびグループ化管理システムは、インストールされたエージェントに基づいてエンタープライズネットワーク境界を作成し、エージェントがインストールされた各エンドポイントがエンドポイントの現在の場所に関係なくエンタープライズネットワーク境界内にあると判断できる。論理グループなどのグループは、ハードウェア、ネットワーク、エンドポイント、クラウド、物理、または仮想データセンタの境界を超えて、動作的に定義できる。ゆえに、エンドポイントモデリングおよびグループ化管理システムは、ハードウェア接続によって境界を定義できる、従来のエンタープライズネットワークの１つ以上の欠点に対処できる。これらの従来のエンタープライズネットワークは、エンタープライズネットワーク境界の外側にあるエンドポイントに保護、アクセス制限などを提供しない場合があるが、エンドポイントモデリングおよびグループ化管理システムは、インストールされたエージェントに基づいて境界を定義できるため、アクセス制限を提供できる。
【００８１】
いくつかの実施形態では、エンドポイントモデリングおよびグループ化管理システムは、理論グループ化などのグループ化に基づいて、ポリシーをセットできる。いくつかの実施形態では、ポリシーは、エンドポイントのネットワークアクセスを規制できる。例えば、理論グループのような特別なグループでは、エンドポイントモデリングおよびグループ化管理システムは、或るポリシーを理論グループのような或るグループに適用できる。例えば、理論グループなどのグループは、或るデータセンタにアクセスでき、バーチャルプライベートネットワーク（ＶＰＮ）を介した或るエンドポイントのみにアクセスできるか、またはクラウドアプリケーション／サーバにアクセスを可能にできる。例えば、財務理論グループは、エンジニアリング理論グループがアクセスを持たないであろう、或るデータセンタへのアクセスを持つことができる。
【００８２】
図１Ｅは、エンドポイントおよびグループ化システムを示すブロック図であり、グループ化にアクセス制限を適用するように構成される。エージェント１４５は、エンドポイント１１５, １０４, １１２, １０８, １１４、および１１８にインストールでき、理論グループ化１２６などのグループ化を創造する。エンドポイントモデリングおよびグループ化管理システム１４０および／または and/or the agents エージェント１４５は、理論グループの外側のエンドポイント１２１へのアクセスを可能にし、クラウドコンピューティングシステム１２２へのアクセスを可能にして異なるクラウドコンピューティングシステム１２４（クラウドサービスまたはクラウドデータベースなど）へのアクセスを 切断し、および／または１つ以上のエンドポイント１２３を構成するもう１つの外部ネットワーク１２５へのアクセスを切断することによって、グループ１２６へのアクセスの制限を用いる。
【００８３】
いくつかの実施形態では、エンドポイントモデリングおよびグループ化管理システムは、ユーザがしきい値設定を調整し、論理グループの解像度および/または粒度をコントロールするように、構成できる。いくつかの実施形態では、しきい値レベルは、より高いレベルにセットし、理論グループのような各グループのエンドポイントの、より少ない分布を包含できる。
【００８４】
図１Ｆは、いくつかの実施形態による、様々なグループ化を示す、ブロック図である。しきい値を低くセットする場合、言い換えると、より包括的にする場合、グループは理論グループ１２６からエンドポイント１０４,１１２,１０８,１１４ までを包含できる。しきい値をより高くセットする場合、言い換えると、エンドポイントがより多くの行動属性を共有することをより包括的に要求しない場合に、グループ化はより少ない数のエンドポイントを包含でき、例えば、エンドポイント１０４とエンドポイント１０８を伴う第１のグループ化１２８、および／またはエンドポイント１１２とエンドポイント１１４を伴う第２のグループ化１３０である。しきい値をさらに高くセットする場合、言い換えれば、エンドポイントが本質的に同じ動作属性を持つことを要求することが最も制限の厳しい場合、グループ化はより少ない数のエンドポイントを包含でき、例えば、エンドポイント１０４を伴う第１のグループ化１３２、エンドポイント１０８を伴う第２のグループ化１３４、エンドポイント１１２を伴う第３のグループ化１３６、および／またはエンドポイント１１４を伴う第４のグループ化１３８などがある。  
【００８５】
図１Ｇは、いくつかの実施形態に従って、境界内（例、企業ネットワークのファイアウォール内）および境界外のエンドポイントの様々なグループ化を示すブロック図である。エンドポイント１０４および１１２は、従来のエンタープライズ ネットワーク境界１０２内にあることができる。理論グループ化のようなグループ化は、境界内の１つ以上のエンドポイントおよび境界外の１つ以上のエンドポイントを含むことができる。単一境界内のエンドポイント１０４, １１２は、理論グループ化のような分離グループにグループ化することができる。第１の理論グループ化１２８は、境界内エンドポイント１０４および境界外エンドポイント１０８を含むことができる。第２の理論グループ化１３０は、境界内エンドポイント１１２ および境界外エンドポイント１１４を含むことができる。例えば、エンドポイント１０４ はファイアウォール１０２内のデスクトップにあることができ、エンドポイント１０８ はファイアウォール１０２の外側のラップトップにあることができる。デスクトップエンドポイント１０４ およびラップトップエンドポイント１０８ は理論グループ１２８に連体し、Ｅメールクラウドサービスのみにアクセスできるが、会計データベースへのアクセスは切断される。理論グループ化１２８ は、ファイル１０２内にあるデスクトップエンドポイント１０４を構成し、 ファイアウォール１０２の外側にあるラップトップエンドポイント１０８を構成できる。
【００８６】
図１Ｈは、いくつかの実施形態に従って、異なるアクセス制限を伴う様々なグループ化を示すブロック図である。エンドポイントモデリングとグループ化管理システムおよび／またはエージェント１４５は、エンドポイント１０４, １０８, １１２, １１４のアクセスを制限できる。エンドポイント１０４, １０８の第１のグループ１２８は或るクラウドコンピューティングシステム１２２へのアクセスを持つことができるが、他のクラウドコンピューティングシステム１２４へのアクセスを切断することもあり、エンドポイント１１２, １１４の第２のグループ１３０は両方のクラウドコンピューティングシステム１２２および１２４へのアクセスを切断できる。
【００８７】
いくつかの実施形態では、１つ以上のエンドポイントコンピュータデバイスにインストールしたエージェントは、エンドポイントに連携および／またはエンドポイントからのデータを収集するよう構成できる。いくつかの実施形態では、エージェントは、エンドポイントまたはエンドポイントの付近で発生するアクティビティのデータを収集する、ソフトウェアを構成できる。例えば、エージェントは、エンドポイントで実行するプロセスを傍受およびまたは分析し、および／またはエンドポイントとの間のネットワークトラフィックの監視によって、エンドポイントでのデータを収集できる。 いくつかの実施形態では、エージェントは、カーネルレベルでインバウンドおよびアウトバウンドの操作とイベントを監視できる。いくつかの実施形態では、エージェントは、以下にさらに詳細に記載されるであろう、暗号化および／または解読されたデータを監視できる。いくつかの実施形態では、エージェントはエンドポイント内の、ローカルシステムおよび／またはオペレーティングシステムアクティビティを分析できる。エージェントを介したデータの収集は、定期的に（たとえば、マイクロ秒ごと、ミリ秒ごと、秒ごと、分ごと、時間ごと、毎日、毎月、毎年など）、継続的に実行でき、および／またはアクティビティ（たとえば、ネットワークトラフィック、オペレーティングシステムのアクティビティ、アプリケーションなど）に応じて実行できる。エージェントは、エンタープライズネットワーク内のコンピューティングデバイスに、インストールできる。いくつかの実施形態ではいくつかの実施形態では、エージェントは、企業エンタープライズネットワークの境界の外側のコンピューティングデバイスに、インストールできる。いくつかの実施形態では、エージェントは、企業エンタープライズネットワーク境界の中および外に移動できるリモートコンピューティングデバイス（携帯電話またはラップトップなど）にインストールできる。ゆえに、ネットワークは、異常な動作を識別したり、企業の企業ネットワーク境界内外のアクセス制限を提供したりできるエンドポイントのエラスティックグリッドにすることができる。
【００８８】
図１Ｉは、いくつかの実施形態による、異常な行動の識別を示す、ブロック図である。いくつかの実施形態では、エンドポイントモデルおよびグループ化管理システムおよび／またはエージェントは、エンドポイントのベースラインの行動を識別できる。エージェント１４５は、エンドポイント１０４がクラウドコンピューティングシステム１１２からの或るデータ量から得るベースラインの行動を構成することを決定付ける。異常な行動は、予想データのベースラインの量と比較して、多量なデータおよび／または少量のデータになるエージェント１４５Ｂまたは１４５Ｃは、エンドポイント108または114が、三角形で示される特定のタイプの特定のデータパケットを送信または受信する、および/または星として示される別のタイプのその他のデータパケットを送信または受信しないというベースラインの動作を含むと判断できる。エージェント１４５Ｄは、エンドポイント１１２が、半円として示される特定のタイプの内部プロセスを実行する、および／または３つの直線として示される他のタイプの内部プロセスを実行しないベースライン挙動を含むことを決定できる。
【００８９】
いくつかの実施形態では、エンドポイントモデリングおよびグループ化管理システムおよび／またはエージェントは理論グループのようなグループのネットワークトポロジをマッピング、決定付け、および／または識別することができる。エンドポイントモデリングおよびグループ化管理システムおよび／またはエージェントは、ネットワークに接続された１つ以上のエンドポイント/デバイスを表すネットワークマップを導出するためのネットワークトポロジのマッピングを使用できる。いくつかの実施形態では、エンドポイントモデリングおよびグループ化管理システムは、ネットワークマップ上のエンドポイントのモデルを決定付けることができる。モデルは、アクティビティの行動のベースラインおよび／または１つ以上のグループのアクセス制限を確立するために使用できる。いくつかの実施形態では、モデルは、グループのアクセス制限を確立するために使用できる。いくつかの実施形態では、エンドポイントモデルおよびグループ化管理システムは、モデルをエンドポイントおよび／またはエージェントに伝達できる。いくつかの実施形態では、エンドポイントおよび／またはエージェントは、ベースラインに基づく、アクティビティでの異常性を自動的に決定付ける、エンドポイント上のフューチャーアクティビティを評価できる。いくつかの実施形態では、エンドポイントは、エンドポイントモデリングおよびグループ化管理システムより受理した、アクセス制限を実施できる。
【００９０】
いくつかの実施形態では、マッピングは、インストールされたエージェントを持たない、１つ以上のエンドポイントデバイスを構成することができる。いくつかの実施形態では、エンドポイントモデルおよびグループ化管理システムおよび／またはエージェントは、１つ以上のエンドポイントデバイスを発見する、ネットワークのマッピングを決定できる。いくつかの実施形態では、エンドポイントモデルおよびグループ化管理システムおよび／またはエージェントは、モデリングのパーツとしてインストールされたエージェントを持つか、または持たないエンドポイントを識別できる。いくつかの実施形態では、 エージェントは、エージェント付近のエンドポイントおよび／またはデバイスを発見するエージェント間で、ネットワークをマッピングするよう、構成することができる。或る実施形態では、エージェントは、エージェント周辺のマップされたネットワークを分析して、管理対象（エンドポイントに少なくとも１つのエージェントがインストールされているエンドポイント）および/または管理対象外（エンドポイントにエージェントがインストールされていないエンドポイント）デバイスを検出するように構成できる。図１Ｊは、いくつかの実施形態による、非管理エンドポイントへのエージェントの展開を示す、ブロック図である。いくつかの実施形態では、エンドポイントモデリングおよびグループ化管理システム１４０および／またはエージェント１４５は、エージェント１４５Ｋをインストールするための１つ以上のエンドポイントデバイス１１６を決定して、現在エージェントがインストールされていないエンドポイント１１６からデータを収集できる。 エンドポイントモデリングおよびグループ化管理システム１４０、および／またはエージェント１４５は、１つまたは複数のエージェントから収集されたデータおよび/または論理、およびその逆などのグループの作成/更新に応じて、ネットワークトポロジーおよび/またはエージェントの展開を識別できる。いくつかの実施形態では、エンドポイントモデリングおよびグループ化管理システム１４０および／またはエージェント１４５は、収集されたデータに基づいて、エラスティックネットワークの境界内にある管理されていないデバイス１１６を増強することを決定できる。或る実施形態では、エンドポイントモデリングおよびグループ化管理システム１４０は、ネットワークデバイスを介してネットワークデータを収集し、管理されていない周辺機器１１６を増強するように構成することができる。或る実施形態では、ネットワークデバイスはスイッチ、ルーター、ハブ、モデム、ブリッジ、リピーターなどを構成することができる。エンドポイントモデリングおよびグループ化管理システム１４０および／またはエージェント１４５は、管理されていないデバイス１１６にエージェント１４５Ｋをインストールすることにより、エラスティックネットワークの境界内の、エンドポイントからのデータのコレクションを拡張できるいくつかの実施形態では、エンドポイントモデリングおよびグループ化管理システム140は、デバイス１１６にエージェント１４５Ｋがインストールされていない場合に、デバイス１１６にエージェント１４５Ｋがインストールされている/および/またはこれらのデバイス１１６のアクセスをブロックしている以前に管理されていないデバイス１１６から新しく収集されたデータに基づき、ネットワーク境界のモデルを生成および／または更新できる。
【００９１】
いくつかの実施形態では、エンドポイントモデリングおよびグループ化管理システムは、１つ以上のエンドポイントの類似性および／または相違性を、連続的に評価できる。いくつかの実施形態では、エンドポイントモデリングおよびグループ化管理システムは、最近展開されたエージェントから新しく収集されたデータに基づいて、以前にエージェントがインストールされていなかった、エンドポイントにネットワークトポロジを更新できる。エンドポイントモデリングおよびグループ化管理システムは、継続的に、自動的に替えられるエラスティックエッジグリッドを創造できる。
【００９２】
いくつかの実施形態では、エンドポイントモデリングおよびグループ化管理システムは、エージェントより収集したデータを解析および/またはインデックスできる。エンドポイントモデリングおよびグループ化管理システムは、データを検索可能な形式で保存できる。エージェントより受理したデータは、正規化できる。
【００９３】
いくつかの実施形態では、エンドポイントモデリングおよびグループ化管理システムは、１つ以上のエンドポイントで行うよう構成でき、１つ以上のエンドポイントはエンドポイントモデリングおよびグループ化管理システムの或るステップを実行できる。
【００９４】
エンドポイントモデリングおよびグループ化管理システムは、理論グループのようなエンドポイントグループを創造できる。いくつかの実施形態では、グループは、異なるネットワークに位置し、異なるファイアウォールに保護された、１つ以上のエンドポイントを構成できる。エンドポイントは、携帯電話、デスクトップコンピュータ、タブロイド、ラップトップなどのユーザコンピューティングシステムを構成できる。いくつかの実施形態では、エンドポイントは、ユーザコンピューティングシステムのような、他のデバイスに接続するサーバを構成できる。エンドポイントは、クラウドストレージおよび／またはクラウドアプリケーションを構成できる。いくつかの実施形態では、エンドポイントは、深い可視性を伴うエンドポイントモデリングおよびグループ化管理システムを提供できるデータ収集のような、或るステップを実行するために使用できる。例えば、エンドポイントは、ネットワークの送受信トラフィックに依存する代わりに、カーネルレベルでデータを収集できる。エンドポイントは、マルウェアがカーネルに移動する前に、プログラムに自身を注入するなど、セキュリティ上の問題を検出できる。エンドポイントプロセスにより、エンドポイントモデリングおよびグループ化管理システムは、接続試行も評価できる。エンドポイントモデリングおよびグループ化管理システムは、現在のエンドポイントから別のシステムへの接続試行、および／または別のシステムからエンドポイントへの接続試行を禁止できる。
【００９５】
図２は、いくつかの実施形態による人工知能（ＡＩ）を用いたエッジネットワークの線図である。人工知能を使用して、リアルタイムにまたは実質的にリアルタイムにデバイス上で、セキュリティ上の脅威を識別することができる。実施形態によっては、このＡＩコンポーネントは、エージェント由来の収集データから識別された類似性および／または差異に基づき、エンドポイントのグループ、例えば論理グループを識別することができる。ＡＩコンポーネントは、蓄積されたエンドポイントデータ（例えば、ネットワークトラフィック、エンドポイントオペレーティングシステムイベント、カーネルモニタリングなど）上の様々な形態の統計解析を走らせることによって、エンドポイントのグループを識別することができる。実施形態によっては、ＡＩコンポーネントは、グループに用いるモデルを開発することができる。エンドポイントのグループ化および管理のシステムは、上記モデルをエージェントに送信することができる。エージェントは、ＡＩコンポーネントによって生成された上記モデルから、ベースラインの挙動を識別して、そのエンドポイントでのアクティビティおよび／または挙動における異変を識別することができる。例えば、実施形態によっては、エージェントは、そのエンドポイントでの将来的なアクティビティを評価して、そのアクティビティがベースラインの挙動内にあるか否か、および／またはそのアクティビティか潜在的なセキュリティ上の脅威であるか否かを判定することができる。実施形態によっては、エージェントは、上記モデルのベースラインの挙動に基づき、アクティビティを評価することによって、異変を自律的に識別することができる。実施形態によっては、エージェントは、クラウドと通信する必要なく、リアルタイムにまたは実質的にリアルタイムにアクティビティを評価して、セキュリティ上の脅威を識別することができる。このシステムのＡＩコンポーネントは、自律的（または準自律的）に、セキュリティ上の脅威の防止、検出、および／または対処を行うことができる。実施形態によっては、ＡＩコンポーネントは、エンドポイントへのおよびそこからのアクセスを制限もしくは許容するための、および／またはある特定のアセットおよび／もしくはアセット内のある特定のモジュールへのアクセスを防止するための、エージェントに用いるモデルを生成することができる。実施形態によっては、ＡＩコンポーネントは、特定の使用量ポリシーを遵守させることができる、エージェント用のモデルを生成することができ、そのようなポリシーとしては、例えば、ネットワーク帯域幅を設定および／もしくは限定すること、ネットワーク帯域幅使用量に基づきアラートを生成すること、帯域幅使用量に基づきエンドポイントをロックすること、具体的なエンドポイントおよび／もしくはアセットへの指定された接続に用いる帯域幅ポリシーを設定すること、通常の事業勤務時間外などのある特定の時間の間のトラフィックを制御すること、具体的な接続および／もしくはエンドポイントに用いるインターネットセキュリティをデプロイすることなどがある。本エンドポイントのモデル化およびグループ分けの管理システムは、クラウドコンピューティングシステムを最適化することによってエッジコンピューティングを採用して、データ供給源に近いネットワーク端でデータ処理を実施することができる。実施形態によっては、エッジコンピューティングは、データ供給源に近いネットワーク端でデータ処理を実施することによる、クラウドコンピューティングシステムを最適化する方法である。実施形態によっては、このシステムは、多層からなる保護を１つのＡＩ駆動性コア内に融合して、あらゆるベクトルの攻撃から先んじて保護することができる。実施形態によっては、このシステムは、ネットワークエンドポイントのリアルタイムの深い可視性を利用した分散型セキュリティアプローチを可能にすることができる。
【００９６】
図３は、いくつかの実施形態による完全なエッジグリッドにおけるエッジネットワークの線図である。実施形態によっては、このシステムは、エンドポイント間の類似性に基づいてネットワークトポロジをマッピングし、それによってネットワークトポロジをエラスティックなエッジグリッドとするように、構成することができる。実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、エージェント由来のデータの継続的な、動的な、および／または定期的なアセスメントに基づき、エンドポイントを追加および除去することができる。実施形態によっては、このシステムは、ネットワークを完全にエラスティックなエッジグリッドとして各アセットにつき、アセット毎に変形することによって、エンドポイントからクラウドに境界の概念を再定義することができる。実施形態によっては、このシステムおよび／またはエージェントは、暗号化されたトラフィックを含む各データアクセスオペレーション内に、それを復号することなく完全な可視性を獲得する。実施形態によっては、このシステムは、リアルタイム自律型データパスのベースライン生成および実行に基づく、ＡＩ駆動性データアクセス制御を含む。実施形態によっては、このシステムは、ハードウェア、ネットワーク、エンドポイント、クラウド、物理的またはバーチャルなデータセンタの境界を越えて、任意の論理ネットワークを定義することができる。実施形態によっては、このシステムは、各アセットをモニタリング（ＤＬＰ２．０）しつつ、異常なデータ消費から生じるデータアクセス異変を識別することができる。
【００９７】
実施形態によっては、ネットワークトポロジのマッピングを実施することによって、ネットワークに接続されたアンマネージドのデバイス内でシステムが可視性を獲得することが可能になる。
【００９８】
本エンドポイントのモデル化およびグループ分けの管理システムは、人工知能、統計解析、および／または機械学習を介して、この開示に記載されたステップを実施することができる。本エンドポイントのモデル化およびグループ分けの管理システムは、機械学習手法、例えば人工知能、統計解析、および／またはトレーニングによるモデル化を用いて、１つまたは複数のエンドポイントデバイス間の類似性を識別および／または判定することができる。例えば、本エンドポイントのモデル化およびグループ分けの管理システムは、計算統計を用いて、自動的にまたは準自動的にベースライン挙動のプロファイルを作り出して、意味ある異変を見つけるように構成することができる。実施形態によっては、そのようなベースラインは、１つまたは複数のエンドポイントデバイス間の類似性を識別して、論理グループなどのグループに含めるために、用いることができる。異変は、エンドポイントデバイス間の差異を識別して、グループ内のエンドポイントデバイスを除去するために、用いることができる。実施形態によっては、機械学習手法は、収集データから学習し収集データに基づく予測を立てる、計算タスクを採用することができる。例えば、ニューラルネットワークを、既存のトレーニングデータを用いてトレーニングし、ある特定のパターンを探索してある特定のルールまたはパターンを新しいデータセットに適用して、論理グループなどのグループを勧めるおよび／または作り出すことができる。データアクセスの異常は、ベースライン由来の異常な挙動、例えば異常なデータ消費などに基づいて評価することができる。異常は、１つまたは複数のアセットをモニタリングすることによって識別することができる。
【００９９】
実施形態によっては、論理グループなどのグループは、エージェントから収集されたアクティビティのアセスメントに基づき識別することができる。グループは、エンドポイント上でのアクティビティの挙動に基づき決定することができる。グループは、ハードウェア、ネットワーク、エンドポイント、クラウド、物理的またはバーチャルなデータセンタの境界を越えて、挙動によって定義することができる。
【０１００】
実施形態によっては、本システムは、人工知能を用いて、エンドポイントの挙動上のアセスメントを完全なものとする。実施形態によっては、人工知能は、以前にエージェントから収集された実際のデータの既存のデータセット上で使用することができ、その場合、エンドポイントは、論理グループなどのグループを標示する１つまたは複数の具体的な特徴に関連することが知られている。実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、エージェントから収集された新しいデータに基づき、これらの特徴を識別してグループを作り出すように、ＡＩコンポーネントをトレーニングすることができる。データセットは、１つまたは複数の特徴および／またはアクティビティに関連する生成データを含むことができる。実施形態によっては、システムＡＩは、コアもしくは中央サーバで、および／またはエージェントで実行し、その全てが１つの完全に自律的な省スペース型のエージェントと単純なデプロイメントプロセスとを伴うマルウェア、エクスプロイト、ファイルレス攻撃、スクリプトベース攻撃に対し、およびライブ攻撃者さえに対し、保護をもたらす。実施形態によっては、エンドポイントソフトウェアは、マルチベクトル型の保護のための単一の全体論的なエージェントを含む。実施形態によっては、本システムは、エンドポイントプロセスの実行前、実行、および／または実行後の間、完全なカバレッジまたは保護を与える。実施形態によっては、本システムは、セキュリティ上の脅威またはブリーチの自動的なレメディエーションを与える。実施形態によっては、本システムは、システムが１つまたは複数のエンドポイントを感染前の状況に復元することを可能にする、ロールバック・フィーチャを与えることがある。実施形態によっては、本システムは、任意のプラットフォーム、例えばＭａｃＯＳ、Ｗｉｎｄｏｗｓ、ＶＤＩ、およびＬｉｎｕｘで機能するように構成される。実施形態によっては、本システムは、暗号化されたトラフィックを含めて、深い可視性をエンドポイント内に与える。
【０１０１】
実施形態によっては、グループは、マルウェア、エクスプロイト、ファイルレス攻撃、スクリプトベース攻撃、ライブ攻撃などから保護するのに必要な保護のタイプを決定するために用いることができる。実施形態によっては、単一のエージェントを、マルチベクトル型の保護などの複数タイプの保護に用いることができる。保護のタイプは、グループに基づき変わることがあり、例えば防止、検出、対処措置などに及ぶ。実施形態によっては、エージェントは、影響を受けたファイルおよび／またはエンドポイントを自動的に修正する。例えば、本エンドポイントのモデル化およびグループ分けの管理システムは、少なくとも一部のソフトウェアやオペレーティングシステムなどを、以前のバージョンに、および／または別のエンドポイントにインストールされたソフトウェアバージョンに、ロールバックするように構成することができる。実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、ネットワークからエンドポイントの接続を断ち、問題を解決した後にエンドポイントをネットワークに再接続するように、構成することができる。
エンドポイントのモデル化およびグループ分けの管理システム
【０１０２】
図４は、いくつかの実施形態による本エンドポイントのモデル化およびグループ分けの管理システムを説明する模式図である。実施形態によっては、メインサーバシステム４０２は、エンドポイントのモデル化およびグループ分けの管理システム４０４、エージェント管理システム４１１、人工知能システム４１３、レメディエーションシステム４１９、エンドポイントのモデル化およびグループ分けのデータベース４１２、人工知能データベース４１４、グループ分けデータベース４１６、エージェントデータベース４１７、および／またはエンドポイントデータベース４１８から構成することができる。このメインサーバシステムは、ネットワーク４２０に接続される。ネットワークは、インストールされたエージェント４３０および／または１つもしくは複数のエージェント４２４がなくてもメインサーバをエンドポイントに接続するように、構成することができる。
【０１０３】
実施形態によっては、エンドポイントのモデル化およびグループ分けの管理システム４０４は、グループの識別やエージェントのデプロイなどをするように構成することができる。
【０１０４】
実施形態によっては、メインサーバシステム４０２のプロセスを、エンドポイントに位置するエージェントにオフロードすることができる。例えば、実施形態によっては、１つまたは複数のエージェントは、特定のエンドポイントが特定のデータパスにアクセスできるか否かを判定することができ、それによって、メインサーバシステム４０２からの許可を要求するというニーズとボトルネックとを排除される。実施形態によっては、エージェントは、メインサーバシステムに加えて、計算、結果、およびエージェントへの入力を記憶するように構成することができる。実施形態によっては、ある特定の処理をエージェントにオフロードすることによって、ネットワークトラフィックをメインサーバシステムに低減する、および／またはトポロジーの実行をスピードアップすることができる。
【０１０５】
実施形態によっては、人工知能データベース４１４は、様々な人工知能アルゴリズムおよび／またはシステムのコレクションである。実施形態によっては、グループ分けデータベース４１６は、論理グループなど、様々なグループのコレクションである。実施形態によっては、エンドポイントのモデル化およびグループ分けの管理システム４０４は、エンドポイントのグループを識別するために、人工知能システム４１３を用いることができる。
【０１０６】
実施形態によっては、エージェント管理システム４１１は、エージェント４２４によって生成および／または収集されたデータを収集および解析するように、構成することができる。
【０１０７】
実施形態によっては、エージェントデータベース４１７は、エンドポイント上にインストールされたエージェントによって受信されたデータのコレクションを提供することができる。実施形態によっては、エージェントデータベース４１７は、エージェントに関する情報、例えばエージェントソフトウェアのバージョン番号などを含むことができる。実施形態によっては、エンドポイントデータベース４１８は、エンドポイントに関連するデータのコレクションを提供することができる。例えば、エンドポイントデータベース４１８は、デバイスのタイプやＩＰアドレスなどに関する情報を含むことができる。
【０１０８】
実施形態によっては、エンドポイントのモデル化およびグループ分けの管理システム４０４は、メインサーバシステムにアクセスおよび／または通信するための、ならびにシステムの機能的な態様を利用するための、アドミニストレータユーザインターフェースをユーザに提供することができる。実施形態によっては、エンドポイントのモデル化およびグループ分けの管理システム４０４は、機能、統計、および／または他のデータをユーザに表示して、ユーザがコマンドを入力することを可能にするための、ユーザインターフェース４２５を含むことができる。実施形態によっては、エンドポイントのモデル化およびグループ分けの管理システム４０４は、ユーザプロファイルと共に記憶可能なユーザデータ４２６を含むことができる。
【０１０９】
実施形態によっては、エンドポイントのモデル化およびグループ分けの管理システム４０４は、インストールされたエージェント４３０がなくてもエンドポイントと通信することができる。エンドポイントのモデル化およびグループ分けの管理システム４０４は、エージェントが何もなくても、エンドポイントにエージェントをデプロイおよび／またはインストールすることができる。
コンピュータ システム
【０１１０】
実施形態によっては、本明細書に記載されるシステム、プロセス、および方法は、コンピューティングシステム、例えば図５に説明されるものなどを用いて実装される。実施例のコンピュータシステム５０２は、１つまたは複数のネットワーク５１８を介して、１つまたは複数のコンピューティングシステム５２０および／または１つまたは複数のデータソース５２２との通信状態にある。図５は、コンピューティングシステム５０２の実施形態を説明しているが、その一方で、コンピュータシステム５０２のコンポーネントおよびシステムにおいて提供される機能性は、さらに数少ないコンポーネントおよびシステムへと組み合わせるか、または追加のコンポーネントおよびシステムに分けることができる。
コンピューティングシステムコンポーネント
【０１１１】
コンピュータシステム５０２は、本明細書に記載される機能、方法、活動、および／またはプロセスを実施する、エンドポイントのモデル化およびグループ分けの管理システム５１４を含むことができる。コンピュータシステム５０２は、下記にさらに議論される中央処理ユニット５０６によってコンピュータシステム５０２上で実行される、エンドポイントのモデル化およびグループ分けの管理システム５１４を含むことができる。
【０１１２】
一般に、「システム」という言葉は、本明細書に使用される際には、ハードウェアもしくはファームウェアに具現化される論理か、またはエントリポイントとイグジットポイントとを有するソフトウェア命令のコレクションを指す。システムは、プログラム言語、例えばＪＡＶＡ、Ｃ、またはＣ＋＋などで記述される。ソフトウェアシステムは、動的リンクライブラリにインストールされた実行可能なプログラム内に適合もしくは連結することができるか、またはインタプリタ型言語、例えばＢＡＳＩＣ、ＰＥＲＬ、ＬＡＵ、ＰＨＰ、もしくはＰｙｔｈｏｎなど、および任意のそのような言語に記述することができる。ソフトウェアシステムは、他のシステムもしくはそれら自体から呼び出すことができる、および／または検出されたイベントもしくは割込みに応答して起動させることができる。ハードウェアに実装されたシステムは、接続された論理ユニット、例えばゲートやフリップフラップなどを含む、および／またはプログラム可能なユニット、例えばプログラム可能なゲートアレイまたはプロセッサを含むことができる。
【０１１３】
概して、本明細書に記載されるシステムとは、それらの物理的な編成または記憶に関わらず、他のシステムと組み合わせるかまたはサブシステムに分けることができる、論理システムを指す。このシステムは、１つまたは複数のコンピューティングシステムによって実行され、任意の適したコンピュータ読み取り可能な媒体の上または内部に記憶されるか、または特別に設計されたハードウェアもしくはファームウェア内に全部または一部を実装されることがある。上に記載された任意の方法、計算、プロセス、または解析は、コンピュータの使用により容易なものとすることができるものの、全ての計算、解析、および／または最適化が、コンピュータシステムの使用を必要とする訳ではない。さらに、実施形態によっては、本明細書に記載されるプロセスブロックを、変更、再編、組合せ、および／または省略することができる。
【０１１４】
コンピュータシステム５０２は、１つまたは複数の処理ユニット（ＣＰＵ）５０６を含み、それらはマイクロプロセッサを含むことができる。コンピュータシステム５０２はさらに、物理的メモリ５１０、例えば情報の一時的な記憶のためのランダムアクセスメモリ（ＲＡＭ）、情報の永続的な記憶にためのリードオンリメモリ（ＲＯＭ）など、および大容量記憶デバイス５０４、例えばバッキングストア、ハードドライブ、回転磁気ディスク、ソリッドステートディスク（ＳＳＤ）、フラッシュメモリ、相変化メモリ（ＰＣＭ）、３Ｄ  ＸＰｏｉｎｔメモリ、ディスケット、または光学媒体記憶デバイスなどを含む。あるいは、大容量記憶デバイスを、サーバの配列として実装することができる。典型的には、コンピュータシステム５０２のコンポーネントが、標準ベースのバスシステムを用いてコンピュータに接続される。このバスシステムは、様々なプロトコル、例えばペリフェラル・コンポーネント・インターコネクト（ＰＣＩ）、マイクロチャネル、ＳＣＳＩ、インダストリアル・スタンダード・アーキテクチャ（ＩＳＡ）、および拡張型ＩＳＡ（ＥＩＳＡ）アーキテクチャなどを用いて実装することができる。
【０１１５】
コンピュータシステム５０２は、１つまたは複数の入力／出力（Ｉ／Ｏ）デバイスと、インターフェース５１２、例えばキーボード、マウス、タッチパッド、およびプリンタなどを含む。Ｉ／Ｏデバイスおよびインターフェース５１２は、ユーザに対しデータの可視的な表現を可能にする１つまたは複数のディスプレイデバイス、例えばモニタを含むことができる。さらに具体的には、ディスプレイデバイスは、例えば、アプリケーションソフトウェアデータとしてＧＵＩの表現、およびマルチメディア表現をもたらす。Ｉ／Ｏデバイスおよびインターフェース５１２はまた、様々な外部デバイスとの通信インターフェースを与える。コンピュータシステム５０２は、１つまたは複数のマルチメディアデバイス５０８、例えばスピーカー、ビデオカード、グラフィックアクセラレータ、およびマイクロフォンなどを含むことができる。
コンピューティングシステムデバイス／オペレーティングシステム
【０１１６】
図５は、本エンドポイントのモデル化およびグループ分けの管理システムの１つまたは複数の実施形態を実装するためのソフトウェアを走らせるように構成された、コンピュータハードウェアシステムの実施形態を図示するブロック図である。
【０１１７】
コンピュータシステム５０２は、種々のコンピューティングデバイス、例えばサーバ、Ｗｉｎｄｏｗｓサーバ、構造化クエリ言語サーバ、Ｕｎｉｘサーバ、パーソナルコンピュータ、ラップトップコンピュータなどの上で走ることができる。他の実施形態では、コンピュータシステム５０２は、クラスタコンピュータシステム上で、メインフレームコンピュータシステム上で、および／または大容量データベースの制御および／または通信、大量トランザクション処理の実施、および大規模データベースからのレポートの生成に適した他のコンピューティングシステムの上で、走ることができる。コンピューティングシステム５０２は、概して、オペレーティングシステムソフトウェア、例えばｚ／ＯＳ、Ｗｉｎｄｏｗｓ、Ｌｉｎｕｘ、ＵＮＩＸ、ＢＳＤ、ＰＨＰ、ＳｕｎＯＳ、Ｓｏｌａｒｉｓ、ＭａｃＯＳ、ＩＣｌｏｕｄサービス、または独自のオペレーティングシステムを含めた他の互換的なオペレーティングシステムなどによって、制御および調整される。オペレーティングシステムは、実行のためのコンピュータプロセスを制御およびスケジューリングし、メモリの管理を実施し、ファイルシステム、ネットワーキング、およびＩ／Ｏサービスを提供し、数ある中でもグラフィカルユーザインターフェース（ＧＵＩ）などのユーザインターフェースを供給する。
ネットワーク
【０１１８】
図５に図示されたコンピュータシステム５０２は、ネットワーク５１８、例えばＬＡＮ、ＷＡＮ、またはインターネットに、（有線、無線、またはそれらの組合せの）通信リンク５１６を介して連結される。ネットワーク５１８は、様々なコンピューティングデバイスおよび／または他の電子デバイスと通信する。ネットワーク５１８は、１つまたは複数のコンピューティングシステム５２０および１つまたは複数のデータソース５２２と通信している。コンピュータシステム５０２は、ｗｅｂ対応のユーザクセスポイントを介してコンピューティングシステム５２０および／またはデータソース５２２にアクセスするかまたはアクセスされることの可能な、エンドポイントのモデル化およびグループ分けの管理システム５１４を含むことができる。接続は、物理的な接続、バーチャル接続、および他の接続タイプとすることができる。ｗｅｂ対応のユーザクセスポイントは、テキスト、グラフィックス、オーディオ、ビデオ、およびデータを提示しネットワーク５１８を介してデータとの相互作用を可能にする他のメディアを用いる、ブラウザシステムを含むことができる。
【０１１９】
出力システムは、全域アドレス指定可能なディスプレイの組合せとして実装することができ、ディスプレイとしては例えば、陰極線管（ＣＲＴ）、液晶ディスプレイ（ＬＣＤ）、プラズマディスプレイ、または他のディスプレイのタイプおよび／または組合せがある。出力システムは、入力デバイスおよび／またはインターフェース５１２と通信するために実装することができるが、それらはまた、様式化された画面要素、例えばメニュー、ウィンドウ、ダイアログボックス、ツールバー、およびコントロール（例えばラジオボタン、チェックボックス、スライディングスケールなど）などの使用を介してユーザがデータにアクセスすることを可能にする、適切なインターフェースを有するソフトウェアを含む。さらに、出力システムは、入出力デバイスのセットに通信して、ユーザからのシグナルを受信することができる。
他のシステム
【０１２０】
コンピューティングシステム５０２は、１つまたは複数の内部のおよび／または外部のデータソース（例えばデータソース５２２）を含むことができる。実施形態によっては、１つまたは複数の上記のデータレポジトリおよびデータソースは、リレーショナルデータベース、例えばＤＢ２、Ｓｙｂａｓｅ、Ｏｒａｃｌｅ、ＣｏｄｅＢａｓｅ、およびＭｉｃｒｏｓｏｆｔ（登録商標）ＳＱＬサーバなど、ならびに他のタイプのデータベース、例えばフラットファイルデータベース、実体関連データベース、およびオブジェクト指向データベースなど、および／またはレコードベースのデータベースを用いて実装することができる。
【０１２１】
コンピュータシステム５０２は、１つまたは複数のデータソースｓ５２２にもアクセスすることができる。データソース５２２は、データベースまたはデータレポジトリに記憶させることができる。コンピュータシステム５０２は、ネットワーク５１８を介して１つまたは複数のデータソース５２２にアクセスすることができ、Ｉ／Ｏデバイスおよびインターフェース５１２を介してデータベースまたはデータレポジトリに直接的にアクセスすることができる。１つまたは複数のデータソース５２２を記憶するデータレポジトリは、コンピュータシステム５０２内に存在することができる。
深い可視性
【０１２２】
実施形態によっては、１つまたは複数のエージェントは、１つまたは複数のエンドポイント上にインストールされて、リアルタイムおよび／または実質的にリアルタイムにデータを収集することができる。エージェントは、ネットワークアクティビティ、オペレーションおよびプロセスのカーネルベースのモニタリング、ならびに暗号化データおよび非暗号化データを収集し、それによってエンドポイント内への深い可視性をシステムに与えるように、インストールすることができる。実施形態によっては、そのような深い可視性により、本エンドポイントのモデル化およびグループ分けの管理システムが、実質的に全てを、全てでなければトラフィックデータを、モニタリングおよび／または評価して、このデータセットに機能性［例えば完全セキュリティ侵害インジケーター（ｉｎｄｉｃａｔｏｒ  ｏｆ  ｃｏｍｐｒｏｍｉｓｅ）（ＩＯＣ）など、全てまたは実質的に全てのエンドポイントおよびネットワークアクティビティを解析する、セキュリティ上の脅威およびリスクアセスメントのためのさらに豊富なデータセットを提供する、エンドポイント上で封じ込め活動を実施する能力を付与する、さらに充分なデータセットに基づきベースライン挙動を確立するなど］を付与することが可能となる。
【０１２３】
実施形態によっては、エージェントは、ネットワークトラフィックを復号する必要なくトラフィックを収集することができる。そのため、暗号化されたネットワークトラフィックを識別するために、認証を必要とされないことがある。さらに、エージェントは、外部の通信チャネルへの送信のために暗号化される前のデータを収集することができる、および／または外部の通信チャネルからの送信より復号された後のデータを収集することができる。そのため、本エンドポイントのモデル化およびグループ分けの管理システムは、暗号化されたネットワークトラフィックをファイアウォールでモニタリングすることに限定されるという在来のエンタープライズネットワークの欠点に対処することができる。
【０１２４】
図６は、いくつかの実施形態による、エンドポイントからデータを収集する１つまたは複数のエージェントを説明するブロック図である。実施形態によっては、エージェント６０４を、エンドポイント上にインストールすることができる。例えば、エージェント６０４を、カーネル６１０上のアクティビティをモニタリングするドライバを用いてインストールすることができる。そのため、本エンドポイントのモデル化およびグループ分けの管理システムは、ネットワークトラフィックだけでなく、データパケットがインバウンド送信用に復号された後のおよび／またはデータパケットがアウトバウンド送信用に暗号化される前のネットワークトラフィックにもアクセスすることができる。本エンドポイントのモデル化およびグループ分けの管理システムはまた、カーネルレベルにある全てのアクティビティ、例えばエンドポイントの内部のアクティビティにアクセスするおよび／またはモニタリングすることができ、それによりさらに、インバウンドまたはアウトバウンドのネットワークトラフィックに限定することがある在来のエンタープライズネットワークの別の欠点にさらに対処することができる。
【０１２５】
実施形態によっては、ユーザ空間６０２は、エンドポイント上で実行している１つまたは複数のプログラム６０６、例えばブラウザアプリケーションを含むことができる。１つまたは複数のデータパケット６０８は、ユーザ空間６０２からにカーネル６１０に送信および／または受信可能である。実施形態によっては、カーネルは、処理のためにＣＰＵ６１２に送信されるデータパケットを変換することができる。実施形態によっては、データパケット６０８を、直接的にユーザ空間６０２からカーネル６１０に、ＣＰＵ６１２用の変換のために送ることができる。実施形態によっては、ＣＰＵ６１２用の変換のためにカーネル６１０に送信することができるＡＰＩコール６１１を介して、データパケット６０９を送信および／または要求することができる。
【０１２６】
実施形態によっては、１つまたは複数のプログラム６０６は、データパケット６１８を送信および／または受信するためのそれ自体（および／または第三者）の保護レイヤ６１４、例えばサンドボックスを使用して、データパケット６１８をパッケージングしてカーネル６１０に直接的に送ることができる。データパケット６１８がユーザ空間６０２およびカーネル６１０に、またはそこから送信される際に、追加の保護レイヤは、データパケット６１８内へのセキュリティ上の脅威の悪質な注入を防止することができる。本エンドポイントのモデル化およびグループ分けの管理システムは、エージェントコンポーネント６１６を保護レイヤ６１４上に配置することによって可視性を得ることができ、それは例えば、保護レイヤ６１４内に配置されたプラグインを介して行われ、保護レイヤ６１４にはデータパケット６１８も配置されている。カーネル６１０からの受信時にプログラム６０６が保護レイヤ６１４を除去すると、および／またはカーネル６１０への送信時に保護レイヤ６１４を追加する前に、エージェントコンポーネント６１６は、データトラフィックを識別および収集することができる。
【０１２７】
実施形態によっては、ユーザ空間６０２上の１つまたは複数のプログラム６０６は、外部ネットワーク６２４と通信するように構成することができる。１つまたは複数のデータパケットは、データアクセスする管理システム６２０を通過することができる。実施形態によっては、データアクセスする管理システム６２０および／または他のデバイスは、外部ネットワーク６２４に送られる１つまたは複数のデータパケット６２２を暗号化することができる、および／または外部ネットワーク６２４から受信された１つまたは複数の暗号化されデータパケット６２２を復号することができる。実施形態によっては、データパケットを外部ネットワーク６２４に送るために、プログラム６０６は、ライブラリ６２６からのデータ［例えば、ポート制御プロトコル（ＰＣＰ）を送受信する能力を有効にするためのデータ］を要求することができる。実施形態によっては、このライブラリ６２６へのトラフィックは、ネットワーク境界線の外側の外部コンピューティングデバイスに送信される前に、カーネル６１０およびＣＰＵ６１２を通される。そのため、データが外部コンピューティングデバイスに送信される前に、ライブラリ６２６を通過するこのデータを収集するように、エージェント６０４を構成することができる。実施形態によっては、ライブラリ６２６上および／またはライブラリ６２６からデータを収集するドライバ上に、エージェント６０４をインストールすることができる。
【０１２８】
エージェント６０５は、ユーザ空間６０２のプログラム６０６上にインストール可能である、および／またはユーザ空間６０２上のプログラム６０６からデータを収集するドライバとすることができる。実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、エージェント６０５をユーザ空間６０２上にインストールする、および／またはエージェント６０４をカーネルレイヤ６１０上にインストールすることができ、それによって、異常なアクティビティがユーザ空間６０６とカーネルレイヤ６１０との間に発生した際に（例えば、ユーザ空間６０６とカーネルレイヤ６１０との間を移動するデータパケットに、悪質なコードが注入された際に）異常な挙動を検出することができる。したがって、データパケット６０８がＣＰＵ６１２によって処理されるおよび／またはユーザ空間６０２上のプログラム６０６に影響を及ぼす前に、ウイルスまたはマルウェアが注入された際に、本エンドポイントのモデル化およびグループ分けの管理システムは、異常および／またはセキュリティ上の脅威を検出することができる。
【０１２９】
実施形態によっては、１つまたは複数のエージェントが、１つまたは複数のエンドポイント上にインストールされ、カーネルレベルでデータをモニタリングおよび収集できることから、本エンドポイントのモデル化およびグループ分けの管理システムは、ある特定のエンタープライズネットワークでは利用できないことがある広範囲のデータタイプへのアクセスを得ることができる。図７は、ある特定の実施形態による、エージェントが収集可能ないくつかのタイプのデータを説明する、グラフィカルユーザインターフェースである。非限定的な例として、１つまたは複数のエージェントによって収集されるデータのタイプは、以下を含むことができる：ファイル名、フルパス、作製時刻、修正時刻、ＳＨＡ１、ＳＨＡ２５６、ＭＤ５を含む、ディスクファイル全体のモニタリング；プロセス名、プロセスＩＤ、作製時刻を含む、ライブでのプロセスのモニタリング；ファイル名、フルパス、作製時刻、修正時刻、ＳＨＡ１、ＳＨＡ２５６、ＭＤ５を含む、実行可能ファイルの発生；ネットワークアクティビティ、ファイル作製／修正、タイムスタンプを含む、プロセスイベント；ならびにＩＰ／ＴＣＰｖ４接続（試行を含む）、ＤＮＳクエリ、（ＨＴＴＰ接続およびＨＴＴＰＳ接続のための）ＵＲＬ、（ＨＴＴＰ接続およびＨＴＴＰＳ接続のための）ヘッダ、およびタイムスタンプを含む、ライブネットワークモニタリング。
【０１３０】
実施形態によっては、１つまたは複数のエージェントは、ＰＣＰ［例えばユニフォームリソースロケータ（ＵＲＬ）］で利用できるデータを収集するように構成することができる。実施形態によっては、エージェントおよび／または本エンドポイントのモデル化およびグループ分けの管理システムは、収集データを構文解析および／または評価することができる。例えば、本エンドポイントのモデル化およびグループ分けの管理システムは、ＵＲＬを構文解析して、ＵＲＬのホスト名および／またはｈｔｔｐｓメタヘッダを識別することができる。実施形態によっては、１つまたは複数のエージェントは、エンドポイントアクティビティから、クッキー情報、ゲストパラメータ、ホストパラメータ、および／またはｈｔｔｐパラメータを収集することができる。実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、１つまたは複数のエンドポイントの閲覧履歴をモニタリングし、閲覧履歴に基づき１つまたは複数のエンドポイントの挙動パターンを決定することができる。
【０１３１】
実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、ある特定のタイプの収集データにおけるマッチングを識別して、グループを決定することができる。実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、収集されたデータのタイプに従って、ポリシーおよび／または実行データを作り出すことができる。実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、エラスティックネットワーク内の様々なエンドポイントでインストールされたエージェント［例えば、特定のセキュリティ侵害インジケーター（ＩＯＣ）について解析する］により生成される収集データ上における検索を可能にすることができる。実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、ファイルおよび／またはヘッダデータを解析するおよび／またはマッチングさせることができる。さらに、実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、具体的な日時に具体的なウェブサイトを訪れているエンドポイントをマッチングさせるように、ならびにある特定の地理的領域でアクティビティを有するエンドポイントを識別するように、その他構成することができる。
エラスティックなグリッドおよび自律的な異変の識別
【０１３２】
実施形態によっては、エンドポイントのモデル化およびグループ分けの管理システムは、１つまたは複数のグループ分けに基づき、エンタープライズネットワークの境界線を画定することができる。そのため、エンドポイントのモデル化およびグループ分けの管理システムは、エンドポイントをバーチャルに取り囲むエラスティックな境界線を作り出すことができる。実施形態によっては、エンドポイントのモデル化およびグループ分けの管理システムは、類似の挙動によりエンドポイントをグループ分けすることによって、エンタープライズネットワークの境界線を画定することができる。例えば、エンドポイントのモデル化およびグループ分けの管理システムのＡＩコンポーネントは、エンドポイントの挙動における類似性を識別することができる。実施形態によっては、エンドポイントのモデル化およびグループ分けの管理システムは、エンタープライズネットワークの境界線の一部として、エージェントと共にインストールされた各エンドポイントを、識別することができる。
【０１３３】
図８は、エンドポイントのモデル化およびグループ分けの管理システムによる送信のいくつかの実施形態による、エージェントから収集されたデータの解析に基づく、１つまたは複数のエージェントへの挙動モデルの送信を説明するフロー図である。
【０１３４】
ブロック８０２では、本エンドポイントのモデル化およびグループ分けの管理システムは、エージェントをデプロイできるエンドポイントを識別することができる。例えば、エンタープライズネットワーク境界線内のコンピュータ、エンタープライズネットワーク境界線の外側のコンピュータ、境界線内のデータセンタ、境界線の外側のデータセンタ、および／またはクラウドデータセンタに、１つまたは複数のエージェントをデプロイする必要があることを、システムは判定することができる。実施形態によっては、ブロック８０４では、本エンドポイントのモデル化およびグループ分けの管理システムは、１つまたは複数の識別、検出、および／または判定されたエンドポイントに、エージェントをデプロイすることができる。
【０１３５】
ブロック８０６では、エージェントを受信した各エンドポイントは、受信されたエージェントをインストールするように構成することができる。実施形態によっては、エンドポイントのそれぞれまたはいくつかは、コンピューティングデバイスおよび／またはメモリをエンタープライズネットワーク上、クラウドシステム上、リモートコンピューティングデバイス上などに配置して含むことができる。例えば、エンドポイント１は、エンタープライズネットワーク境界線内のコンピュータ上のエンドポイントとすることができる。エンドポイント２は、エンタープライズネットワーク境界線の外側のコンピュータ上のエンドポイントとすることができる。エンドポイント３は、境界線内のデータセンタ上のエンドポイントとすることができる。エンドポイント４は、境界線の外側のデータセンタ上のエンドポイントとすることができ、エンドポイント５およびエンドポイント６は、クラウドデータセンタ１および２上のエンドポイントとすることができる。実施形態によっては、図８のエンドポイントのうちの１つは、クラウドサービス、例えばＳａｌｅｓｆｏｒｃｅ、Ｏｆｆｉｃｅ３６５、Ｄｒｏｐｂｏｘ、Ｂｏｘ、ＧｉｔＨｕｂなどにすることができ、その場合、このシステムは、エージェントをクラウドサービスエンドポイントでデプロイするのではなく、むしろクラウドサービスエンドポイントへのおよび／またはそこからのネットワークアクセスを調節する。
【０１３６】
ブロック８０８では、エージェントは、エンドポイントデータを収集し送信することができる。例えば、エージェントは、エンドポイントの内部アクティビティ、暗号化データおよび非暗号化データ、インバウンド／アウトバウンドネットワークトラフィックデータ、ネットワーク使用量、アプリケーション使用量、プロセッサ使用量、期間使用量、エンドポイントの地理的場所、企業の部門などを識別するデータを、カーネルレベルで収集することができる。
【０１３７】
ブロック８１０では、本エンドポイントのモデル化およびグループ分けの管理システムは、インストールされたエージェントがなくても１つまたは複数の追加のエンドポイントを識別し、それらのエンドポイントにエージェントをデプロイすることができる。実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、別のエンドポイントと同じコンピューティングプラットフォーム上にエージェントがなくても、エンドポイントを識別することができる。例えば、エンドポイントは、同じクラウドデータセンタ、境界線内のデータセンタ、境界線外のデータセンタ、境界線内のコンピュータ、および／または境界線外のコンピュータの一部分であるインストールされたエージェントがなくても、別のエンドポイントを識別するために使用できるインストールされたエージェントを有することができる。
【０１３８】
ブロック８０６では、エンドポイントは、追加のエンドポイントでエージェントをインストールすることができ、ブロック８０８では、エージェントは、エンドポイントからエンドポイントデータを収集して、本エンドポイントのモデル化およびグループ分けの管理システムにデータを送信することができる。したがって、エンドポイントがエージェントを介してネットワークに追加される際に、本エンドポイントのモデル化およびグループ分けの管理システムは、エンドポイント上にインストールされたエージェントにより収集されたデータを受信することによって、そのエンドポイントの処理および／またはアクティビティへの可視性を獲得することができる。そのため、１つまたは複数のエンドポイント上にインストールされたエージェントにより収集されたデータに少なくとも部分的に基づき、ネットワークエンタープライズの境界線を画定することができる。このことは、中央サーバ上、バーチャルルータ上、クラウドサーバ上などにソフトウェア定義型のまたは既定の境界線を与えるように構成されている特定のエンタープライズネットワークのレジームの欠点を、改善することができる。このことはまた、全てのトラフィックを中央サーバへ発信してそのアセスメントに対し中央サーバを応答させる必要がある（例えば、各データパケットについてアクセスの調節を送信する）ことにより生じる、複数のエンタープライズネットワークのレジームの非効率性を、さらに改善することができる。さらに、複数のエンタープライズネットワークのレジームが、ネットワークを介して移動する暗号化されたネットワークパケットに関し限定的な可視性を有することができるのに対し、本明細書のある特定の実施形態は、上記のように、１つまたは複数のエンドポイントでのアクティビティまたは処理への可視性を与える。
【０１３９】
ブロック８１２では、本エンドポイントのモデル化およびグループ分けの管理システムは、エージェントによって収集されたデータを評価し、１つまたは複数のエンドポイントにわたる受信されたエンドポイントデータにおける類似性を特定または判定する。例えば、本システムは、ネットワーク使用量、アプリケーション使用量、プロセッサ使用量、期間使用量、エンドポイントの地理的場所、企業の部門などに基づいて、１つまたは複数のエンドポイントが類似であることを判定することができる。さらに、ブロック８１２では、本エンドポイントのモデル化およびグループ分けの管理システムは、インストールされたエージェントを有するエンドポイント内のアクティビティ、例えばネットワーク使用量、アプリケーション使用量、プロセッサ使用量、期間使用量、エンドポイントの地理的場所、企業の部門などの可視性を有することができる。例えば、本エンドポイントのモデル化およびグループ分けの管理システムは、インストールされたエージェントを中に有する実質的に全てのエンドポイントの可視性を有することができる。
【０１４０】
ブロック８１４では、本エンドポイントのモデル化およびグループ分けの管理システムは、識別された類似性および／または差異に基づき、論理グループなどのグループを決定することができる。例えば、識別または判定された類似性および／または差異は、ネットワーク使用量、アプリケーション使用量、プロセッサ使用量、期間使用量、エンドポイントの地理的場所、企業の部門などの類似性および／または差異に基づくものとすることができる。各グループは、１つまたは複数のエンドポイント、１つまたは複数のコンピュータシステム、１つまたは複数のデータセンタ、１つまたは複数のクラウドサービス、１つまたは複数のクラウドデータセンタなどを含むことができる。
【０１４１】
ブロック８１６では、本エンドポイントのモデル化およびグループ分けの管理システムは、各グループ分けについてモデルを生成することができる。例えば、モデルは、グループ内のエンドポイントについてベースライン挙動を標示するベースラインモデルとすることができる。実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、ある特定のタイプの収集データにおけるマッチングを識別して、グループを決定することができる。実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、ファイルおよび／またはヘッダデータをマッチングすることができる。例えば、本エンドポイントのモデル化およびグループ分けの管理システムは、具体的な日時に具体的なウェブサイトを訪れているエンドポイントをマッチングし、ある特定の共通の地理的領域でアクティビティを識別することができる。
【０１４２】
実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、１つまたは複数の特徴に基づき、グループについてモデルを決定することができる。例えば、本エンドポイントのモデル化およびグループ分けの管理システムは、カーネルでのトラフィック、閲覧履歴、全てのアクセスデータ、通信プロトコル（暗号化されたトラフィックを含む）におけるインバウンドおよびアウトバウンド接続、オペレーティングシステム上でのオペレーション、デバイスのタイプ、ユーザ空間および／またはコンピューティングデバイスの他のシステムの上で実行されるプロセス、ネットワークトラフィック、ユーザからの入力、データ記憶アクティビティ、リアルタイム処理、バッチ処理、マルチタスク処理、双方向処理、マルチプログラム処理、トランザクション処理、マルチアクセスオペレーション、時分割オペレーション、アクティブディレクトリ、アクセス制御リスト、パケット情報、プロトコル情報、ポート番号情報、パケット状態情報、アプリケーション情報、ＶＰＮ情報、データ使用量、帯域幅使用量、プロキシ使用量、ＣＰＵでの処理のためのカーネルによって翻訳される他のタイプの情報、サブセットおよび／または全ての特徴など従って、モデルを作り出すことができる。
【０１４３】
実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、ネットワークアクセス調節を構築するためのモデルを生成することができる。ブロック８１８では、本エンドポイントのモデル化およびグループ分けの管理システムは、１つまたは複数のグループのエンドポイントにたいしネットワークアクセス権を決定することができる。本エンドポイントのモデル化およびグループ分けの管理システムは、具体的なグループ内で、エンドポイントのネットワークアクセス制限を調節することができる。例えば、本エンドポイントのモデル化およびグループ分けの管理システムは、具体的なクラウドデータセンタ、クラウドサービス、エンタープライズネットワークの一部、データベースサーバ、ネットワークアプリケーション、または他のデバイスもしくはサービスへのネットワークアクセスを制限および／または許容することができる。本エンドポイントのモデル化およびグループ分けの管理システムは、グループを動的に識別する、および／またはグループに対しアクセス制限を自動的に設定することができる。サーバ、データセンタ、およびクラウドサービスに接続された数百、数千、および／または数百万のエンドポイントを有するネットワークについてＩＴスタッフがアクセス調節を識別することを必要とされる、在来のエンタープライズネットワークの代わりに、本エンドポイントのモデル化およびグループ分けの管理システムは、論理ネットワークを自動的に識別して、アクセス制限を生成することができる。本エンドポイントのモデル化およびグループ分けの管理システムは、エンドポイント間の類似性、例えば、ネットワーク使用量、アプリケーション使用量、プロセッサ使用量、期間使用量、エンドポイントの地理的場所、企業の部門などの類似性に基づき、アクセス調節を識別することができる。
【０１４４】
ブロック８２０では、エンドポイントは、本エンドポイントのモデル化およびグループ分けの管理システムによって生成されたモデルを、例えばブロック８２２および８２４で受信し、各グループについてのモデルに基づきベースライン挙動を識別する。例えば、論理グループ１に割り当てることができるものもあれば、論理グループ２に割り当てることができるものもある。
【０１４５】
実施形態によっては、グループ内のある特定のエンドポイントは、典型的には、具体的な時間（例えば日、週、月、年）に、ある特定のネットワークリソースにアクセスし、ある特定の量の帯域幅を使用するなどする。実施形態によっては、本システムは、ベースライン挙動をモデル化するためにこの情報を使用するように構成することができる。ベースライン挙動データに基づいて、本システムは、ネットワークパスがエラスティックネットワーク内のエンドポイントからアクセスされている際に、ネットワークデータ使用量および／または異様な時間の突然の増加を識別するように、構成することができる。例えば、本システムは、クラウドサービスからデータをアップロードおよび／またはダウンロードするために、エンドポイントが異常なネットワークデータ帯域幅を利用している際に識別するように、構成することができ、その場合、そのような使用量は、通常のベースライン使用を超える大きなスパイクを呈し、そのような異常なネットワーク使用量のパターンが識別されると、本システムは、ユーザに対し、懸念事項としてエンドポイントをフラッグで知らせる、および／または異常な行動をとるエンドポイントについてネットワーク使用量を自動的におよび／または直ちに制限するように構成することができる。本エンドポイントのモデル化およびグループ分けの管理システムは、そのような解析を実施して、データ漏洩を識別することができる。そのようなアプローチは、在来のデータ漏洩防止製品の欠点を克服するが、これらの欠点は、ネットワーク上の固定ストリングの識別にフォーカスすることができる、および／またはデバイス制御（例えばデバイスがファイルにアクセスまたはコピーすることを防止する）にフォーカスすることができるものである。固定ストリングおよび／またはデバイス制御へフォーカスすることは、携帯型デバイスへの接続性を有するエラスティックエンタープライズネットワーク、およびファイアウォールの外側に位置するクラウドサービスには、有効に適用することができない。
【０１４６】
実施形態によっては、論理グループなどのグループのそれぞれのベースライン挙動を用いて、異常な挙動を識別することができる。例えば、異常な挙動を識別することは、ある特定の時間での挙動、データパケットのタイプ、データの量、用いた暗号化手法、インバウンド／アウトバウンドネットワークトラフィック、ある特定の外部デバイスへのおよびそこからの接続試行などを含む。ブロック８２６では、エージェントは、エンドポイントデータを収集することができ、ブロック８２８でが、エージェントは、モデルにおいて識別されたベースラインから、異常な挙動を識別することができる。そのため、本エンドポイントのモデル化およびグループ分けの管理システムによって送られたモデルは、エンドポイントが自律的に作動し、それ自体の異常な挙動を識別することを可能にすることができる。実施形態によっては、エージェントは、本エンドポイントのモデル化およびグループ分けの管理システムおよび／または他の中央サーバ、クラウドサーバ、ネットワークサーバなどへデータを送る必要なく、異常な挙動を識別することができる。異常な挙動の識別は、エージェントを通じて、エンドポイント上で起こすことができることから、中央サーバに通知を送り応答を待つ必要なく、セキュリティ攻撃がさらに別の行動を取る前に応答をより速やかなものとすることができる。さらに、アセスメントおよび／または実行がエージェントで実施されると本エンドポイントのモデル化およびグループ分けの管理システム（および／または中央サーバ）とを行き来する必要な通信は削減される。このことは、１００万箇所を超えるエンドポイントを各エンドポイントに対するアクセス制御と共にクラウドシステムに接続できる現在のエンタープライズネットワークにおいて、重要となりつつある。そのため、本開示のエンドポイントのモデル化およびグループ分けの管理システムは、拡張可能とすることができるのに対して、異常な挙動の識別を実施する中央のサーバは、拡張可能でないことがある。別の利点は、プロセスがカーネルレベルで送られるおよび／または受信される際に、実行ポリシーをリアルタイムで発生することができることである。エンドポイントから外部デバイスまでの接続試行、および／または外部デバイスからエンドポイントまでの接続試行は、接続が確立される前に検出することができる。そのため、エージェントは、セキュリティブリーチが発生する前に、これらの接続をリアルタイムで制限することができる。
【０１４７】
異常な挙動が識別されると、エージェントは、ある特定の行動、例えば科学捜査的解析の開始、軽減および／またはレメディエーション手法、封じ込め機構、ローリングバック機能、ファイルおよびマシンの隔離、外部脅威取得の呑み込み、ネットワークパスアクセスの制限および／または終結などを、自律的にとることができる。
【０１４８】
ブロック８３０では、本エンドポイントのモデル化およびグループ分けの管理システムは、識別された異常な挙動を受信し、さらに別のセキュリティリスクアセスメントを実施することができる。ブロック８１６では、本エンドポイントのモデル化およびグループ分けの管理システムは、識別された異常な挙動に基づきモデルをアップデートして、アップデートされたモデルを論理グループなどのグループのエンドポイントに送信することができる。
【０１４９】
実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、論理グループなどの具体的なグループを有するように思われるエンドポイントを識別することができるが、エンドポイントについて例外を作り出すことができる。実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、作り出されたグループへのカスタマイゼーション、例えばアクセス制限の変更などを行うことができる。カスタマイゼーションは、グループ全体におよび／または個々のエンドポイントに適用することができる。実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、類似のグループ内の他のエンドポイントがアクセス不能である場合がある特定のクラウドデータセンタにスーパーユーザがアクセスすることを可能にする、例外を作り出すことができる。
【０１５０】
実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、エラスティックネットワーク内の様々なエンドポイントでインストールされたエージェントによって生成された、収集された情報を検索すること［例えば、特定のセキュリティ侵害インジケーター（ＩＯＣ）について解析すること］を可能にすることができる。実施形態によっては、収集されたエンドポイントデータを構文解析し、データベース内でインデックスを付けておくことができる。実施形態によっては、エンドポイントデータを検索する旨の要求を受信することに応じて、本エンドポイントのモデル化およびグループ分けの管理システムは、インデックスの付いたデータベースの検索を実施して、検索照会の際のキーワード、閾値レベル、および／またはセキュリティ侵害インジケーターとのマッチングを送信することができる。実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、エラスティックネットワーク内の全てのエンドポイントへの、および／またはエラスティックネットワーク内で発生するネットワークアクティビティへの、セキュリティ侵害インジケーター（ＩＯＣ）検索を可能にする。様々なエンドポイントによってインストールされたエージェントによって生成された、収集された情報は、エラスティックネットワーク内のエンドポイント上で作動するマルウェアまたは他の有害なソフトウェアを標示できるネットワークアクティビティを識別するための、脅威ハンティングおよびデータマイニングに用いる豊富なデータベースを提供することができる。一実施形態では，本システムは、マルウェア攻撃を示唆するネットワーク挙動を識別するためのフィルタおよび／または他の機構を含み、実施形態によっては、本システムは、エラスティックネットワークの残りの部分を保護するために、影響を受けた具体的なエンドポイントに対し封じ込め行動を取ることおよび／またはネットワークアクセスを制限することによって、そのようなマルウェア攻撃に応じるように構成することができる。
【０１５１】
エンドポイントのモデル化およびグループ分けの管理システムは、グループを識別するための粒度の閾値を調整することができる。粒度の閾値が高く設定されている場合は、グループ内のエンドポイントが多すぎることがある。実施形態によっては、グループ内のエンドポイントが多すぎることにより、ネットワークアクセスパス権限を割り当てるのが困難となることがある。実施形態によっては、閾値の粒度は、論理グループ分けおよび／またはモデル化に用いるために調整することができる。実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、アップデートされた閾値に基づき論理グループなどのグループを決定し、アップデートされたモデルデータをエージェントにデプロイすることができる。実施形態によっては、エンドポイントは、アップデートされたモデルデータに基づき、論理グループなどの関連のグループについて、ベースライン挙動を識別することができる。例えば、論理グループなどのグループについて粒度の閾値を変えることに応じて、グループ１に留まることのできるエンドポイントがあるが、グループ３に再びグループ分けできるエンドポイントがあり、グループ２に留まることのできるエンドポイントがある。本エンドポイントのモデル化およびグループ分けの管理システムは、新しい論理グループ分けについてモデルをアップデートすることができ、このモデルは、新しい論理グループ分けのそれぞれについて新しいベースライン挙動を決定することができる。これらのモデルは、エージェントにデプロイすることができ、それにより、エージェントは、新しい論理グループ分けに関連するアップデートされたベースライン挙動について、異常な挙動を識別することができる。実施形態によっては、エージェントは、エンドポイントへのおよびエンドポイントからのインバウンドデータおよびアウトバウンドデータを調節するために、アクセスポリシーを設定することができる。これらのアクセスポリシーは、論理グループなどの新しいグループのそれぞれについてアップデートされたモデルに基づき、決定することができる。
【０１５２】
実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、グループの侵害を評価することができる。実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムによってエンドポイントおよび／またはそのエンドポイントを一部とするグループに割り当てられた権限に基づき制限されているネットワークパスへ、エンドポイントがアクセスしようと試みた際に、侵害が成立することがある。本エンドポイントのモデル化およびグループ分けの管理システムは、侵害を評価して、グループ分けについての粒度の閾値を動的におよび／または自動的に変える、換言すれば、そのエンドポイントを一部とするグループを変えることができる。実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、侵害を評価して、エンドポイントおよび／またはそのエンドポイントを一部とするグループに割り当てられたネットワークアクセスパス権限を、動的におよび／または自動的に変えることができる。実施形態によっては、侵害を、不正なアクセス制限の識別とすることができる。ユーザは、本エンドポイントのモデル化およびグループ分けの管理システムに、不正なアクセス制限を標示することができる。実施形態によっては、侵害の数および／またはパーセンテージに基づき、本エンドポイントのモデル化およびグループ分けの管理システムは、粒度の閾値を増加および／または減少させることができる。実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、複数のグループに基づき、粒度の閾値を調整することができる。
【０１５３】
実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、既知のウイルスを探索するように構成されたアンチウイルスシステムを含み、エンドポイントに対しネットワークアクセス制御を制限するように構成されたシステムに組み合わせることができる。
【０１５４】
図９は、いくつかの実施形態によるグループビューのグラフィカルユーザインターフェースである。実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、グラフィカルユーザインターフェース内に論理グループなどのグループのダッシュボードを提供することができる。実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、リモートユーザのコンピュータスクリーン上にダッシュボードのディスプレイを与えるためのデータを生成するように構成することができる。実施形態によっては、グラフィカルユーザインターフェースは、グループおよびグループの特徴を表示することができる。実施形態によっては、グループを、米国の西海岸に従業員が存在することを標示する「西海岸」と名付けることができる。グラフィカルユーザインターフェースは、グループに関連するエンドポイントの数、例えば２，０８３エンドポイントなどを標示することができる。グループ、例えば論理グループなどは、グループ内にサブグループを含むことができ、例えば１グループが７３サブグループを有するなどとすることができる。実施形態によっては、グラフィカルユーザインターフェースは、グループに対する侵害の数を表示するように、例えば「西海岸」のグループについて４３％のエンドポイントが侵害を報告するなどのように、構成することができる。グラフィカルユーザインターフェースは、他のエンドポイント、例えばローカルおよび／またはリモートアプリケーション、プロトコル、クラウドサービス、データセンタなどへのアクセス調節を表示することができる。例えば，実施形態によっては、「西海岸」グループを、ローカルアプリケーション、ＵＳＢプロトコル、およびいくつかのデータセンタに接続することができるとともに、クラウドアプリケーションへのアクセスを制限することができる。実施形態によっては、グラフィカルユーザインターフェースは、西海岸の様々なサブグループおよび／または論理グループなどのグループのエンドポイントを表示することができる。実施形態によっては、グラフィカルユーザインターフェースは、具体的なエンドポイントについて侵害のリストを表示することができる。実施形態によっては、グラフィカルユーザインターフェースは、或る期間にわたる侵害の数および／またはパーセンテージを表示することができる。実施形態によっては、グラフィカルユーザインターフェースは、エンドポイントおよび／またはエンドポイントのグループにおよびそこからダウンロードおよび／またはアップロードされたデータの量を表示することができる。実施形態によっては、グラフィカルユーザインターフェースは、エンドポイントおよび／またはエンドポイントのグループにおよびそこからダウンロードおよび／またはアップロードされたデータの量を表示して、そのようなデータを履歴データと比較することができる。実施形態によっては、本システムは、ダウンロードおよび／またはアップロードされたデータの量を履歴データに比較して閾値レベルを超えた場合に、エンドポイントおよび／またはエンドポイントのグループに対し、フラッグおよび／またはアラートを生成するように、および／またはネットワークアクセスを終了または低減するように構成することができる。
【０１５５】
実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、利用可能なグループ、データセンタ、および／またはサービスのグラフィカルユーザインターフェースを提供することができる。一実施形態では、本エンドポイントのモデル化およびグループ分けの管理システムは、エラスティックネットワークにおけるエンドポイントのマッピングを示すグラフィカルディスプレイを提供することができるが、一方で、本エンドポイントのモデル化およびグループ分けの管理システムは、エンドポイントに対する自動の、準自動の、手動の、および／または組合せのアクセス制限の決定に用いるために構成することができる。図１０および図１１は、ダッシュボードのいくつかの実施形態によるグラフィカルユーザインターフェースの図説であり、ダッシュボードは、グループ、ならびにサーバ、記憶デバイス、データセンタ、クラウドベースサービス、およびストレージ、ならびにエラスティックネットワーク内のエンドポイントがアクセスすることがある他のネットワークサービスを列挙する。図１０および図１１の実施形態では、本エンドポイントのモデル化およびグループ分けの管理システムは、論理グループなどのグループ、および／またはサブグループのリストを表示することができる。本エンドポイントのモデル化およびグループ分けの管理システムは、利用可能なクラウドデータセンタ、クラウドサービス、ローカルおよび／またはリモートサーバ、ローカルおよび／またはリモートアプリケーション、ローカルおよび／またはリモートデータベース、プロトコルなどを表示することができる。
【０１５６】
実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、クラウドデータセンタ、クラウドサービスおよび／またはアプリケーション、ローカルサーバまたはサーバ、ローカルアプリケーションまたはアプリケーション、プロトコル、ネットワークアクセスする権限などへの具体的なグループのアクセスを表示することができる。図１２および図１３は、いくつかの実施形態によるグラフィカルユーザインターフェースである。図１２の実施形態では、グラフィカルユーザインターフェースは、１つのサーバおよび２つのクラウドベースサービスとのアクセスを有するグループを表示する。図１２の実施形態では、ある特定の数のエンドポイントとサブグループとを有するサブグループが選択され、２つのクラウドサービスと１つのローカルデータセンタとのアクセス、および／または１つのクラウドサービス、１つのローカルサーバ、および２つのローカルデータセンタ上のアクセス制限を有することが示されている。図１３の実施形態では、グラフィカルユーザインターフェースは、１つのサーバ、２つのクラウドベースサービス、および１つのローカルデータベースファイルストレージへのアクセス制御を有する、論理グループなどのグループを表示する。実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、グラフィカルユーザインターフェース上で、アクセス制限を自動的に決定するおよび／または表示することができる。実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、グラフィカルユーザインターフェース上でアクセス制限の手動による決定および／または修正を可能にすることができる。
【０１５７】
実施形態によっては、本エンドポイントのモデル化およびグループ分けの管理システムは、関連の特徴を有するグループのリストを表示することができる。図１４は、関連の特徴を有する論理グループなどのグループの一覧表の、いくつかの実施形態によるグラフィカルユーザインターフェースである。実施形態によっては、グラフィカルユーザインターフェースは、各グループについてエンドポイントおよび／またはサブグループの数を表示することができる。実施形態によっては、グラフィカルユーザインターフェースは、各グループについて、プロトコル、データセンタ、クラウドアプリケーションおよびクラウドリソース、ローカルアプリケーションおよび／またはデータなどへのアクセス許可および／または制限の数を表示することができる。実施形態によっては、グラフィカルユーザインターフェースは、各グループについて侵害の数を表示することができる。
ＵＲＬおよびクッキー
【０１５８】
実施形態によっては、本明細書に記載されるシステム、方法、およびデバイスの１つまたは複数のフィーチャは、例えばデータまたはユーザの情報を記憶および／または送信するために、ＵＲＬおよび／またはクッキーを利用することができる。ユニフォームリソースロケータ（ＵＲＬ）は、データベース上および／またはサーバ上に記憶されているウェブアドレスおよび／またはウェブリソースへの参照を含むことができる。ＵＲＬは、コンピュータ上および／またはコンピュータネットワーク上にリソースの場所を指定することができる。ＵＲＬは、ネットワークリソースを検索して取り出すための機構を含むことができる。ネットワークリソースの供給源は、ＵＲＬを受信し、ウェブリソースの場所を識別し、ウェブリソースを要求元に送信して返すことができる。ＵＲＬは、ＩＰアドレスに変換することができ、ドメイン名システム（ＤＮＳ）は、ＵＲＬとその対応のＩＰアドレスとを検索することができる。ＵＲＬは、ウェブページ、ファイル転送、ｅメール、データベースアクセス、および他のアプリケーションへの参照とすることができる。ＵＲＬは、パス、ドメイン名、ファイル拡張子、ホスト名、クエリ、断片、スキーム、プロトコル識別子、ポート番号、、ユーザ名、パスワード、フラッグ、オブジェクト、リソース名などを識別する文字の配列を含むことができる。本明細書に開示されるシステムは、ＵＲＬ上でアクションを生成する、受信する、送信する、適用する、構文解析する、順番に並べる、表現する、および／または実施することができる。
【０１５９】
ＨＴＴＰクッキーともよばれるクッキー、ウェブクッキー、インターネットクッキー、およびブラウザクッキーは、ウェブサイトから送られたおよび／またはユーザのコンピュータ上に記憶されたデータを含むことができる。このデータは、ユーザのウェブブラウザによって記憶することができるとともに、ユーザが閲覧している。クッキーは、ウェブサイトが以前の閲覧情報を記憶から取り出すために有用な情報、例えばオンラインストアのショッピングカート、ボタンのクリック、ログイン情報、および／または過去に訪れたウェブページまたはネットワークリソースのレコードなどを含むことができる。クッキーは、ユーザが入力する情報、例えば名前、アドレス、パスワード、クレジットカード情報などを含むこともできる。クッキーは、コンピュータ機能を実施することもできる。例えば、認証クッキーをアプリケーション（例えばウェブブラウザ）により用いて、ユーザが（例えばウェブサイトに）既にログインしているか否かを識別することができる。クッキーデータは、消費者にセキュリティを付与するように暗号化することができる。トラッキングクッキーは、個々の履歴閲覧履歴を集約するために用いることができる。本明細書に開示されるシステムは、個々のデータにアクセスするためにクッキーを生成し使用することができる。システムはまた、認証プロトコルとしてのＨＴＴＰ認証、セッションまたは同一性の情報を追跡するためのＩＰアドレス、ＵＲＬなどを記憶するためのＪＳＯＮウェブトークンを生成し使用することができる。
代替的な実施形態
【０１６０】
この発明は、ある特定の実施形態および実施例のコンテキストで開示されているとはいえ、本発明が具体的に開示された実施形態を超えて本発明の他の代替的な実施形態および／または使用ならびにその明白な改変および等価物に拡張されることが、当業者によって認識されよう。さらに、本発明の実施形態のいくつかのバリエーションが詳細に示され記載されている一方で、この発明の範囲内にある他の改変が、この開示に基づき当業者に容易に明らかになろう。本実施形態の特定の特徴および態様の様々な組合せまたはサブコンビネーションがなさレイヤはり本発明の範囲内にあるものとできることが想定される。開示された発明の実施形態の様々な様式を形成するために、開示された実施形態の様々な特徴および態様は、互いに組み合わせるかまたは置き換えることができることを理解するべきである。本明細書に開示されるいかなる方法も、記載された順番で実施される必要はない。そのため、本明細書に開示された本発明の範囲は、上記に記載された具体的な実施形態によって限定されるべきではないことが意図される。
【０１６１】
条件語、例えば中でも、「ｃａｎ」、「ｃｏｕｌｄ」、「ｍｉｇｈｔ」、または「ｍａｙ」は、別段に具体的に記述されない限り、または使用される際のコンテキスト内で別段に解されない限り、ある特定の特徴、要素、および／またはブロックを含む実施形態があれば含まない実施形態もあることを伝えるものであることが、一般に意図される。そのため、そのような条件語は、特徴、要素、および／またはブロックが、１つまたは複数の実施形態に多少とも必要とされること；ならびに１つまたは複数の実施形態が、何らかの具体的な実施形態でこれらの特徴、要素、および／またはブロックが含まれるかもしくは実施されるものとなるか否かを、ユーザ入力またはプロンプト表示の有無に関わらず決定するための論理を必ず含むことを、含意することを一般に意図されるものではない。本明細書に使用される見出しは、読み手の利便性のために過ぎず、本発明または特許請求の範囲の範疇を限定することを意味するものではない。
【０１６２】
さらに、本明細書に記載される方法およびデバイスが、様々な改変および変形を許容可能とすることがある一方で、その特定の例が図面に示されており、詳細を本明細書に記載されている。しかし、本発明は、開示された具体的な形態または方法に制限されるものではなく、それとは逆に、本発明は、記載された様々な実施態様および添付の特許請求の範囲の趣旨および範囲の内にある全ての改変、等価物、および変形を包含するものであることが認識されるべきである。さらに、実施態様または実施形態に関連した本明細書中の任意の具体的な特長、態様、方法、性質、特徴、質、属性、要素などの開示は、本明細書に定められた他の全ての実施態様または実施形態に使用することができる。本明細書に開示された任意の方法は、記載された順番で実施される必要はない。本明細書に開示された方法は、実践者により採られるある特定の動作を含むことがあるが、本方法はまた、それらの動作に関する任意の第三者の命令を明白にまたは言外に含むことができる。本明細書に開示される範囲はまた、いずれかまたは全ての重複、部分範囲、またはそれらの組合せをも包含する。「最大」、「少なくとも」、「を超える」、「未満」、「の間」などの言葉は、記載された数を含む。「約」または「およそ」などの用語が先に付された数は、記載された数を含むのであって、状況に基づき解釈されるべきではない（例えば、その状況下で合理的にできるだけ正確に、例えば±５％、±１０％、±１５％など）。例えば、「約３．５秒」は、「３．５秒」を含む。「実質的に」などの用語が先に付された節は、記載された設を含むのであって、状況に基づき解釈されるべきではない（例えば、その状況下で合理的にできるだけ多く）。例えば、「実質的に一定」は、「一定」を含む。別段に記述のない限り、全ての測定は、温度および圧力を含めて標準的な条件にある。
【図１Ａ】
2020530922.tif 000003
【図１Ｂ】
2020530922.tif 000004
【図１Ｃ】
2020530922.tif 000005
【図１Ｄ】
2020530922.tif 000006
【図１Ｅ】
2020530922.tif 000007
【図１Ｆ】
2020530922.tif 000008
【図１Ｇ】
2020530922.tif 000009
【図１Ｈ】
2020530922.tif 000010
【図１Ｉ】
2020530922.tif 000011
【図１Ｊ】
2020530922.tif 000012
【図２】
2020530922.tif 000013
【図３】
2020530922.tif 000014
【図４】
2020530922.tif 000015
【図５】
2020530922.tif 000016
【図６】
2020530922.tif 000017
【図７】
2020530922.tif 000018
【図８】
2020530922.tif 000019
【図９】
2020530922.tif 000020
【図１０】
2020530922.tif 000021
【図１１】
2020530922.tif 000022
【図１２】
2020530922.tif 000023
【図１３】
2020530922.tif 000024
【図１４】
2020530922.tif 000025
【国際調査報告】
2020530922.tif 000026
2020530922.tif 000027