(57)【要約】  行動ベースライニングの方法には、各アセットが属性を含むアセットに関する情報を保存すること、各関係が属性を含む関係に関する情報を保存すること、アセット属性データベースから、属性値に基づいてアセットを選択すること、関係データベースから、属性値に基づいて、第一の関係を含む一つまたは複数の関係を選択すること、上記選択されたアセットおよび上記選択された関係を含むベースラインを生成すること、第一のイベントストリームは一組のイベントを含み、各イベントは属性を含む、上記第一のイベントストリームを上記ベースラインに接続すること、および上記ベースラインから、上記第一のイベントストリームを用いて判定され、上記第一のイベントストリームの第一のイベント内の属性値の不良に基づいて、上記第一の関係の属性値に一致するドリフトを検出すること、が含まれる。
2020511098.tif 000002
【特許請求の範囲】
【請求項１】
アセット属性データベースに、アセットに関する情報を保存することであって、各アセットが少なくとも一つの属性を含み、
関係データベースに、関係に関する情報を保存することであって、各関係が、少なくとも一つの属性を含み、
前記アセット属性データベースから少なくとも一つの属性値に基づいてアセットを選択すること、
前記関係データベースから、少なくとも一つの属性値に基づいて一つまたは複数の関係を選択することであって、前記選択された関係が第一の関係を含み、
ベースラインを生成することであって、前記ベースラインが前記選択されたアセットおよび前期選択された関係を含み、
第一のイベントストリームを前記ベースラインに接続することであって、前記第一のイベントストリームが一組のイベントを含み、且つ各イベントが属性を含み、および
ドリフトを前記ベースラインから検出することであって、前記ドリフトが、前記第一のイベントストリームを用いて判定され、前記第一のイベントストリームの第一のイベント内の少なくとも一つの属性値の不良に基づいて、前記第一の関係の少なくとも一つの属性値に一致すること、を含む方法。
【請求項２】
少なくとも一つのデータベースに、前記第一のイベントストリームを含む複数のイベントストリームからの情報を記録することをさらに含む、請求項１に記載の方法。
【請求項３】
前記ベースラインを生成することが、属性値に基づいてアセットを選択すること、および属性値に基づいて関係を選択することを含む、請求項１に記載の方法。
【請求項４】
警報方針を定義すること、および前記ドリフトの検出に応じて、前記警報方針に基づいて警報を発することをさらに含む、請求項１に記載の方法。
【請求項５】
選択された関係内の属性に対応する評価に基づいて、前記第一のイベントストリームの各イベントを評価することをさらに含む、請求項１に記載の方法。
【請求項６】
前記第一の関係は、第一の属性および前記第一の属性に対応する第一の評価を含み、前記ドリフトを検出することは、前記第一の評価を用いて、前記イベントストリーム内の第一のイベントからの前記第一の属性に対するイベントデータを評価すること、および前記評価されたイベントデータが前記第一の評価を失敗すると判定することをさらに含む、請求項５に記載の方法。
【請求項７】
前記第一のイベントは、前記選択された関係を使用して評価されるデータを含み、前記データは、ソースポート、宛先ポート、ソースアセット、宛先アセット、ソースグループ、または宛先グループのうちの少なくとも一つである、請求項６に記載の方法。
【請求項８】
前記選択された関係はそれぞれ、イベントの種類を有する少なくとも一つのイベントストリームを参照し、各イベントストリームの前記イベントの種類は、フロー、認証、またはポートスキャンである、請求項１に記載の方法。
【請求項９】
前記第一の関係のイベントの種類が
認証であり、前記第一の関係が、一組の正規ユーザに対応するユーザの属性を含む、請求項８に記載の方法。
【請求項１０】
前記ドリフトを検出することは、一組の正規ユーザにはないユーザによるログオンを含むイベントの評価に少なくとも部分的に基づく、請求項９に記載の方法。
【請求項１１】
それぞれの選択された関係は、ポートスキャンのイベントの種類を有するイベントストリームを参照し、それぞれの選択された関係は、前記選択された関係をインスタンス化したときに決定される属性値を有する検出されたポートの属性を含む、請求項８に記載の方法。
【請求項１２】
前記第一の関係は、アセットの第一のグループに対応する値を有する属性を含み、第一のアセットは、前記第一のグループと一致する属性値を有するアセットの選択に基づいて前記選択されたアセットに含まれる、請求項１に記載の方法。
【請求項１３】
各選択された関係の各属性は、アセットの属性、イベントの属性、アセットの属性またはイベントの属性の評価からの少なくとも一つの値を使用して値を取得する属性、または値をアセットの属性およびイベントの属性それぞれの評価からの少なくとも一つの値を使用して取得する属性である、請求項１に記載の方法。
【請求項１４】
前記選択された関係を、論理演算子を用いて、アセットのグループを識別する属性値を指定することに基づいて選択し、前記値と等しいグループの属性を含む各関係を選択する、請求項１に記載の方法。
【請求項１５】
各イベントは、前記イベントが起きた時間に基づく値を有する時間の属性を含み、選択された関係の少なくとも一つの属性に対応する前記イベントの評価は、前記時間を一つまたは複数の時間的範囲と比較することを含む、請求項１に記載の方法。
【請求項１６】
前記選択されたアセットの各アセットは、アセットポートの属性を含み、前記第一のイベントストリームは、一組の脆弱性検査ツールからもたらされ、前記第一のイベントストリームの各イベントは、検出されたポートに対するポート数を識別するポートスキャンからのデータを含む、請求項１１に記載の方法。
【請求項１７】
前記それぞれの選択された関係をインスタンス化するとき、前記選択された関係それぞれの検出されたポートの属性に対する属性値は、前記選択されたアセットのアセットポートの属性に対する値に基づき、前記ドリフトを検出することは、前記選択されたアセットの第一のアセットに対する前記第一のイベント内の検出されたポートの不良に基づいて、前記ベースライン内の前記第一の関係内の前記第一のアセットに対する検出されたポートに一致する、請求項１１に記載の方法。
【請求項１８】
前記第一の関係は、取得された属性を含み、前記取得された属性は、それぞれがイベントの種類のフローを有する第一の複数のイベントからのデータを用いて判定された値を有し、前記第一の複数のイベントからのデータは、前記第一の関係の属性に対応する数学的評価において使用されて、前記取得された属性の値を計算する、請求項１に記載の方法。
【請求項１９】
前記第一の関係は、第一のイベントの種類のイベントストリームを参照し、前記第一の関係は、第一の属性および第二の属性をさらに含み、前記第一の関係は、前記第一の属性を評価して前記第一の値を提供し、前記第二の属性を評価して前記第二の値を提供し、前記第一の値および第二の値は、前記第一のイベントストリーム内の前記第一のイベントの種類のイベントのデータから数学的に取得される、請求項８に記載の方法。
【請求項２０】
前記選択された関係は、前記第一のイベントの種類と異なる第二のイベントの種類の第二のイベントストリームを参照する第二の関係をさらに含み、前記第二の関係は、第三の属性および第四の属性をさらに含み、前記第二の関係は、前記第三の属性を評価して第三の値を提供し、前記第四の属性を評価して第四の値を提供し、前記第三の値および第四の値はそれぞれ、前記第二のイベントストリーム内の前記第二のイベントの種類のイベントのデータから数学的に取得され、前記第二の関係の評価は、前記第二のイベントストリーム内のイベントのデータが前記評価に準拠するかの判定を含み、前記第一の関係および前記第二の関係は、前記第一の関係および前記第二の関係の両方の属性に対する評価に基づいて前記ドリフトを検出するために使用される、請求項１９に記載の方法。
【請求項２１】
実行されるとき、計算装置に、
少なくとも一つのプロセッサによって、各アセットが少なくとも一つの属性を含むアセットに関する情報を保存させ、
少なくとも一つのメモリ内に、各関係が少なくとも一つの属性を含む関係に関する情報を保存させ、
少なくとも一つの属性値に基づいてアセットを選択させ、
少なくとも一つの属性値に基づいて、第一の関係を含む一つまたは複数の関係を選択させ、
前記選択されたアセットおよび前記選択された関係を含むベースラインを生成させ、
一組のイベントを含み、各イベントが属性を含む、第一のイベントストリームを前記ベースラインに接続させ、
前記第一のイベントストリームを用いて判定され、前記第一のイベントストリームの第一のイベント内の少なくとも一つの属性値の不良に基づいて、前記第一の関係の評価に合格するドリフトを前記ベースラインから検出させる、命令を保存する非一過性コンピュータ可読媒体。
【請求項２２】
システムであって、
少なくとも一つのデータベースと、
少なくとも一つのプロセッサと、
少なくとも一つのプロセッサと通信する少なくとも一つのメモリであって、前記少なくとも一つのプロセッサによって実行されるとき、前記システムに、
前記少なくとも一つのデータベースに、各アセットが少なくとも一つの属性を含むアセットに関する情報を保存させ、
前記少なくとも一つのデータベースに、各関係が少なくとも一つの属性を含む関係に関する情報を保存させ、
前記少なくとも一つのデータベースから、少なくとも一つの属性値に基づくアセットを選択させ、
前記少なくとも一つのデータベースから、少なくとも一つの属性値に基づいて、第一の関係を含む一つまたは複数の関係を選択させ、
前記選択されたアセットおよび選択された関係を含むベースラインを生成させ、
一組のイベントを含み、各イベントが属性を含む第一のイベントストリームを前記ベースラインに接続させ、
前記第一のイベントストリームを用いて判定され、前記第一のイベントストリームの第一のイベント内の少なくとも一つの属性値の不良に基づいて、前記第一の関係の少なくとも一つの属性値に一致するドリフトを前記ベースラインから検出させる、命令を保存する少なくとも一つのメモリと、を含むシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
関連出願
本出願は、「ＢＥＨＡＶＩＯＲＡＬ  ＢＡＳＥＬＩＮＩＮＧ  ＯＦ  ＮＥＴＷＯＲＫ  ＳＹＳＴＥＭＳ」と題する２０１７年２月２７日出願の米国特許出願第１５／４４３，８５７号の優先権を主張するものであり、その開示全体は、参照により本明細書に組み込まれる。
【０００２】
本出願は、「ＳＹＳＴＥＭＳ  ＡＮＤ  ＭＥＴＨＯＤＳ  ＦＯＲ  ＤＹＮＡＭＩＣ  ＮＥＴＷＯＲＫ  ＳＥＣＵＲＩＴＹ  ＣＯＮＴＲＯＬ  ＡＮＤ  ＣＯＮＦＩＧＵＲＡＴＩＯＮ」と題する２０１５年９月１７日公開の米国特許出願公開第２０１５／０２６４０１２号明細書の関連出願であり、その開示全体は、参照により本明細書に組み込まれる。
【０００３】
本出願はまた、「ＳＹＳＴＥＭＳ  ＡＮＤ  ＭＥＴＨＯＤＳ  ＦＯＲ  ＮＥＴＷＯＲＫ  ＡＮＡＬＹＳＩＳ  ＡＮＤ  ＲＥＰＯＲＴＩＮＧ」と題する２０１６年３月１０日公開の米国特許出願公開第２０１６／００７２８３１号明細書の関連出願であり、その開示全体は、参照により本明細書に組み込まれる。
【０００４】
本出願はまた、「ＳＹＳＴＥＭＳ  ＡＮＤ  ＭＥＴＨＯＤＳ  ＦＯＲ  ＣＲＥＡＴＩＮＧ  ＡＮＤ  ＭＯＤＩＦＹＩＮＧ  ＡＣＣＥＳＳ  ＣＯＮＴＲＯＬ  ＬＩＳＴＳ」と題する２０１６年３月１０日公開の米国特許出願公開第２０１６／００７２８１５号明細書の関連出願であり、その開示全体は、参照により本明細書に組み込まれる。
【背景技術】
【０００５】
本明細書に開示される少なくとも一部の実施形態は、一般にネットワークセキュリティ制御に関し、より詳細には、ネットワークシステムの行動ベースライニングに関するが、それに限定されない。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】米国特許出願公開第２０１６／００７２８３１号明細書
【特許文献２】米国特許出願公開第２０１４／０３５９７４９号明細書
【特許文献３】米国特許出願公開第２０１６／００７２８１５号明細書
【特許文献４】国際公開第２０１６／０３６４８５号
【発明の概要】
【発明が解決しようとする課題】
【０００７】
情報セキュリティ設計者およびセキュリティ管理者、ならびにコンピュータおよびネットワークの管理者および運営担当者のほか、ガバナンス、リスクおよびコンプライアンス担当者は皆、企業のコンピューティング環境内のネットワークベースのコンピュータシステムの監視および制御に対する様々な課題に直面している。
【課題を解決するための手段】
【０００８】
ネットワークシステムの行動ベースライニングのためのシステムおよび方法を本明細書にて説明する。一部の実施形態を、本節に要約する。
【０００９】
一実施形態では、少なくとも一つの計算装置によって実施される方法には、アセット属性データベースに、各アセットが少なくとも一つの属性を含むアセットに関する情報を記憶すること、関係データベースに、各関係が少なくとも一つの属性を含む関係に関する情報を記憶すること、アセット属性データベースから、少なくとも一つの属性値に基づいてアセットを選択すること、関係データベースから、少なくとも一つの属性値に基づいて、第一の関係を含む一つまたは複数の関係を選択すること、上記選択されたアセットおよび上記選択された関係を含むベースラインを生成すること、第一のイベントストリームは一組のイベントを含み、各イベントは属性を含む、上記第一のイベントストリームを上記ベースラインに接続すること、および上記ベースラインから、上記第一のイベントストリームを用いて判定され、上記第一のイベントストリームの第一のイベント内の少なくとも一つの属性値の不良に基づいて、上記第一の関係内に保持される評価に合格するか、または失敗するドリフトを検出することが含まれる。
【００１０】
とりわけ、本開示の様々な実施形態は、ネットワーク上の様々なアセットによってホストされ使用されるサービスに関する情報を提示し、様々な行為に対するベースラインを作り、これらのベースラインからの逸脱に対して警告することをユーザに可能にし得る。具体的には、本開示の様々な実施形態を用いて、逸脱が起きたとき、ネットワークデータ接続の一つまたは複数の動作属性を選択し、オペレータに実行可能な情報を提供することができる。これにより、様々なセキュリティ技術制御の動作を有するネットワーク活動における逸脱の文脈化を可能にし、ネットワーク内の敵対的または誤りであり得るこれらの活動のより具体的な状況を提示する。
【００１１】
一実施形態では、コンピュータ実施される方法は、コンピュータシステムによって、ネットワーク上の複数の異なる種類のソースからデータを収集することと、上記収集したデータに基づいて、一つまたは複数の計算アセット、一つまたは複数の動作イベント、これらのアセットおよびイベントと関連するデータ属性をコンピュータシステムによって識別することと、上記コンピュータシステムによって、上記計算アセット、上記動作イベント、上記アセットおよび動作イベントの属性の標示を含むグラフ表示を提示することと、を含み、上記グラフ表示は、コンピュータシステムと通信するユーザインタフェースのディスプレイを介して表示され、コンピュータシステムによって、上記ユーザインタフェースを介して、一つまたは複数の計算アセット、一つまたは複数の動作イベント、一つまたは複数のアセット属性、一つまたは複数の動作イベント属性、および一つまたは複数の評価基準の選択を含む上記ユーザからの入力を受信して、上記ユーザからの上記入力に応じて、複数の動作イベントストリームのリアルタイムまたはバッチの分析をして、これらの分析の結果として、ベースラインに対する計算システムの行為におけるこれらの質的量的変動を表す動作イベントストリーム内の逸脱をユーザインタフェースまたは任意の適切なメッセージ送信メカニズムを介して、ユーザに提示する。さらに、時間と共に、これらのベースラインおよび分析は、動作イベントストリームの観察を通して自動的に作成することができる。
【００１２】
本開示は、データ処理システム（例えば、少なくとも一つのプロセッサおよび少なくとも一つのプロセッサにこれらの方法を実施させる命令を記憶するメモリを備えるシステム）、および少なくとも一つの計算装置によって実行されると、システムにこれらの方法を実施させる命令を保持するコンピュータ可読媒体を含む、これらの方法を実施する方法および装置を含む。
【００１３】
他の特徴は、添付の図面および以下の詳細の説明より明らかになろう。
【００１４】
本実施形態は、同様の参照符号が同様の構成要素を示している添付図面の図において例証として説明されており、これに限定されない。
【図面の簡単な説明】
【００１５】
【図１】一実施形態による、計算システムによって使用される例示的なアセットと、アセットの属性が論理ゾーンまたはＴｒｕｓｔＺｏｎｅ内のメンバシップにどのように関係するかと、本開示の様々な実施形態において、これらがシステムの動作内で視覚目的および分析目的に対してどのように機能上同等であり得るかと、を示す。
【図２】一実施形態による、上記システムによって使用される例示的な関係と、関係が、一つ、または複数のアセットにどのように関係し得るか、または関係し得ないかと、アセットおよび関係の両方がどのように属性を持つかと、を示す。さらに、上記システムは、任意の数の関係を維持することができる。
【図３Ａ】一実施形態による、関係が、リアルタイムでまたは保存されたデータの照会を介してシステムによって収集または取得された属性または属性値の対に基づいてアセットとどのように関係するかと、関係がアセットまたはアセットの論理グループのどちらかと関係し得るＴｒｕｓｔＺｏｎｅのメンバシップの属性に基づいてどのように推移的であるかと、さらに、関係が、Ａｓｓｅｔ２をＡｓｓｅｔ３に関連させる第二の関係と共にＡｓｓｅｔ１をＡｓｓｅｔ２と関連させる一つの関係の評価が、Ａｓｓｅｔ１をＡｓｓｅｔ３に関連させる第三の関係の評価において本開示の動作を介して結果として生じ得ることにおいて、どのように本質的に推移的であり得るかと、を示す。
【図３Ｂ】一実施形態による、関係が、リアルタイムでまたは保存されたデータの照会を介してシステムによって収集または取得された属性または属性値の対に基づいてアセットとどのように関係するかと、関係がアセットまたはアセットの論理グループのどちらかと関係し得るＴｒｕｓｔＺｏｎｅのメンバシップの属性に基づいてどのように推移的であるかと、さらに、関係が、Ａｓｓｅｔ２をＡｓｓｅｔ３に関連させる第二の関係と共にＡｓｓｅｔ１をＡｓｓｅｔ２と関連させる一つの関係の評価が、Ａｓｓｅｔ１をＡｓｓｅｔ３に関連させる第三の関係の評価において本開示の動作を介して結果として生じ得ることにおいて、どのように本質的に推移的であり得るかと、を示す。
【図４】一実施形態による、関係が、イベント属性に基づいて、詳細にこの図の正常化されたＩＰＦｉｘネットワークフローイベントに存在するとどのように評価されるか、または検証されるかと、任意のイベント属性を関係の評価のためにどのように使用することができるかと、さらにアセットおよび関係のアセットベースまたは論理グループベースのいずれかの異なる視覚化を本開示によってどのように示すかと、を示す。
【図５Ａ】一実施形態による、複数の動作イベント、この場合、正常化されたＩＰＦｉｘネットワークフローイベントを示し、アセットおよび関係をこの単純なイベントのセットに基づいてどのように構築かつ視覚化することができるかを示す。図５Ａ〜図５Ｂの一番下に図示する関係はまた、関係が、この場合、Ａｔｔｒｉｂｕｔｅ３は継続するフローイベントの三番目（すなわち、上記イベントの総数がイベントストリーム図５Ａ〜図５ＢのＴ１、Ｔ２、Ｔ３内のイベントの数である）を示すデータのストリームから得られるデータ、をどのように有し得るかを示す。
【図５Ｂ】一実施形態による、複数の動作イベント、この場合、正常化されたＩＰＦｉｘネットワークフローイベントを示し、アセットおよび関係をこの単純なイベントのセットに基づいてどのように構築かつ視覚化することができるかを示す。図５Ａ〜図５Ｂの一番下に図示する関係はまた、関係が、この場合、Ａｔｔｒｉｂｕｔｅ３は継続するフローイベントの三番目（すなわち、上記イベントの総数がイベントストリーム図５Ａ〜図５ＢのＴ１、Ｔ２、Ｔ３内のイベントの数である）を示すデータのストリームから得られるデータ、をどのように有し得るかを示す。
【図６Ａ】一実施形態による、複数の動作イベント、この場合、正常化されたＩＰＦｉｘネットワークフローイベントを示し、関係が、動作イベント（この場合、合計および平均化）からのデータ要素のストリームの数学的評価に基づいて、どのようにデータを取得することができているかを示す。
【図６Ｂ】一実施形態による、複数の動作イベント、この場合、正常化されたＩＰＦｉｘネットワークフローイベントを示し、関係が、動作イベント（この場合、合計および平均化）からのデータ要素のストリームの数学的評価に基づいて、どのようにデータを取得することができているかを示す。
【図７】一実施形態による、論理演算子を有するアセット、評価されるイベントを示す単純なイベントストリーム、および論理演算子を用いてイベントストリームに関係する一組の既存の関係からの関係の選択を選択することを含む、ベースラインを定義する動作の流れを示す。
【図８Ａ】一実施形態による、逸脱するイベント（ベースラインから逸脱するもの）を含む一つのイベントの組を有する、一つのアセットの組および一つの関係から成るベースラインを示し、そのイベントが評価に基づいてどのように逸脱するかを示す。さらに、ベースラインおよび逸脱の状態の二つの可能な視覚化をシステム（例えば、ユーザの計算装置のディスプレイ上に提示して）によって示すことができる。
【図８Ｂ】一実施形態による、逸脱するイベント（ベースラインから逸脱するもの）を含む一つのイベントの組を有する、一つのアセットの組および一つの関係から成るベースラインを示し、そのイベントが評価に基づいてどのように逸脱するかを示す。さらに、ベースラインおよび逸脱の状態の二つの可能な視覚化をシステム（例えば、ユーザの計算装置のディスプレイ上に提示して）によって示すことができる。
【図９Ａ】一実施形態による、論理演算に基づく一つのアセットの組および該アセットの選択プロセス、ならびに代替の種類のアセットの選択式を示す。図示の上記アセットの領域に基づいて、ＴｒｕｓｔＺｏｎｅのメンバシップに基づく上記アセット、アセットビューおよび同等の論理グループビューのうちの二つの視覚化も示される。
【図９Ｂ】一実施形態による、論理演算に基づく一つのアセットの組および該アセットの選択プロセス、ならびに代替の種類のアセットの選択式を示す。図示の上記アセットの領域に基づいて、ＴｒｕｓｔＺｏｎｅのメンバシップに基づく上記アセット、アセットビューおよび同等の論理グループビューのうちの二つの視覚化も示される。
【図１０Ａ】一実施形態による、一次的に順序付けられたイベントストリーム、該イベントストリームに関係する一組の既存の関係、および論理演算に基づいた該関係の選択プロセスを示す。
【図１０Ｂ】一実施形態による、一次的に順序付けられたイベントストリーム、該イベントストリームに関係する一組の既存の関係、および論理演算に基づいた該関係の選択プロセスを示す。
【図１１Ａ】一実施形態による、図９Ａ〜図１０Ｂに構築されたベースラインおよび逸脱するイベントを含むイベントストリームを示す。この場合のイベントは、関係内の複数の評価に不合格で、複数の寸法において逸脱すると言える。逸脱を有するベースラインの状態の視覚化またはドリフトも示す。
【図１１Ｂ】一実施形態による、図９Ａ〜図１０Ｂに構築されたベースラインおよび逸脱するイベントを含むイベントストリームを示す。この場合のイベントは、関係内の複数の評価に不合格で、複数の寸法において逸脱すると言える。逸脱を有するベースラインの状態の視覚化またはドリフトも示す。
【図１１Ｃ】一実施形態による、図９Ａ〜図１０Ｂに構築されたベースラインおよび逸脱するイベントを含むイベントストリームを示す。この場合のイベントは、関係内の複数の評価に不合格で、複数の寸法において逸脱すると言える。逸脱を有するベースラインの状態の視覚化またはドリフトも示す。
【図１２】一実施形態による、一つのアセットの組および論理演算に基づく該アセットの選択プロセスを示す。
【図１３】一実施形態による、単一のイベントおよびイベントストリームに関係する一組の関係から成るイベントストリームを示す。運営担当者がベースライン内で評価される二つの関係を選択する論理演算子に基づいて、上記関係の選択プロセスを示す。この図はまた、関係が、ＤＳＴ  Ｇｒｏｕｐの組などの複合データ構造である属性をどのように含むことができるかを実証する。
【図１４Ａ】一実施形態による、図１２〜図１３で構築されたベースライン、該ベースラインから逸脱する２つのイベントを示すイベントストリーム、ならびに該ベースラインおよび逸脱すなわちドリフトの状態の視覚化を示す。
【図１４Ｂ】一実施形態による、図１２〜図１３で構築されたベースライン、該ベースラインから逸脱する２つのイベントを示すイベントストリーム、ならびに該ベースラインおよび逸脱すなわちドリフトの状態の視覚化を示す。
【図１５】一実施形態による、一つのアセットの組および論理演算に基づく該アセットの選択プロセスを示す。
【図１６】一実施形態による、この場合認証イベントにおけるイベントストリーム、該イベントストリームに関係する一組の関係、および論理演算に基づいた該関係の選択プロセスを示す。
【図１７】一実施形態による、図１５〜図１６で構築されたベースライン、該ベースラインから逸脱する単一のイベントを示すイベントストリーム、ならびに該ベースラインおよび逸脱すなわちドリフトの状態の視覚化を示す。これは、単一のアセットに関するイベントをシステムによってどのように評価することができるかを示す。
【図１８】一実施形態による、一つのアセットの組および論理演算に基づく該アセットの選択プロセスを示す。このアセットの組は、「アセットポート」と呼ばれるデータ要素の一覧からなる属性を有するアセットを含む。
【図１９】一実施形態による、この場合「スキャンイベント」におけるイベントストリーム、該イベントストリームに関係する一組の関係、および「検出されたポート」と呼ばれる属性を有する関係に基づいた該関係の選択プロセスを示す。さらに、これは、関係が「検出されたポート」の一覧が「アセットのポート」の一覧に等しいかどうかをチェックするようなアセットの属性に関係するイベントの属性をどのように評価することができるかを示す。
【図２０】一実施形態による、図１８〜図１９で構築されたベースライン、該ベースラインから逸脱する単一のイベントを示すイベントストリーム、ならびに該ベースラインおよび逸脱すなわちドリフトの状態の視覚化を示す。
【図２１】本開示の様々な実施形態と共に使用され得る例示的なイベント、正常化、アセット、関係、およびベースライン構造を示す。
【図２２】例示的なイベントヘッダおよびデータを本開示の様々な実施形態と共に使用することができるイベント内にどのように表すことができるかという図示を示す。
【図２３】本開示の様々な実施形態と共に使用することができる例示的なイベント、例示的なデータの属性分類法、およびイベントデータの属性のための例示的な一組の評価方法を示す。
【図２４】本開示の様々な実施形態による、例示的な方法の２つの流れ図を示す。
【図２５】本開示の様々な実施形態と共に使用され得る例示的なコンピューティング環境を示す。
【図２６】本開示の様々な実施形態による、例示的なセキュリティ制御および管理構成要素を示す。
【図２７】本開示の様々な実施形態による、例示的なシステムのブロック図を示す。
【図２８】一実施形態による、例示的な一時的なベースラインの評価を示す。図示の「フリーランニング」評価期間は、時間Ｔ１とＴ２の間の期間から成る。また、一日から成る時間Ｄ１の七つの区分から成るタイムボックス化された評価期間を図２８に示す。時間から成る時間Ｄ１、Ｄ２および分から成るＤ３のサブ区分の二つのレベルを示す。
【図２９】一実施形態による、オーバーレイサブ区分と呼ばれるタイムボックス化された評価期間を示す。
【発明を実施するための形態】
【００１６】
ネットワークの監視および制御のための従来のシステムは、通常、正常な動作または正常からの逸脱を示唆する情報を生成するのに制限があるか、またはその能力がない。こうしたシステムの構成要素および環境が度々かつ急速に変わり得る分散コンピューティング、仮想化コンピューティングシステム、または「クラウドコンピューティング」システムでは、こうした課題は特に難しい可能性がある。
【００１７】
さらに、ネットワークの監視および制御のための従来のシステムは、通常、単一のソースからのデータのみ、または一種類のデータのみ（ネットワークフローデータなど）を使用するので、重要な文脈支持データの潜在的ソースを除外しネットワーク化されたシステム同士の間の情報の流れの一次元の、ネットワークプロトコル中心のビューをもたらす。
【００１８】
その上、従来のシステムは、ユーザ（ネットワークの管理者、オペレータ、およびセキュリティ構築者など）にネットワーク上の別のアセットによってホストされたサービスに対する特定のアセットのアクセスを許可するかまたは却下するかなどの基礎決定に対する包括的で実行可能な情報を提供しないことが多い。本開示の様々な実施形態は、さらに以下に説明するこうした課題への対処を支援する。
【００１９】
システム、方法およびコンピュータプログラム製品が本明細書に提供される。本明細書の発明を実施するための形態では、「様々な実施形態」、「一実施形態」、「ある実施形態」、「例示的な実施形態」などへの参照は、説明された実施形態は、特定の特徴、構造、または特色を含み得るが、すべての実施形態が、特定の特徴、構造、または特色を必ずしも含まなくてよいことを示している。さらに、こうした句は、必ずしも同じ実施形態を参照していない。さらに、特定の特徴、構造、または特色をある実施形態と共に説明するとき、明示的に説明されていてもいなくても、他の実施形態に関連してこうした特徴、構造、または特色を生じることは、同業者にとって既知であることが考えられる。該説明を読んだ後、代替の実施形態において本開示をどのように実施するか、同業者（複数可）には明らかになろう。
【００２０】
様々な実施形態で、本明細書に記載の方法は、本明細書に記載の様々な特定の機械を用いて実施される。本明細書に記載の方法は、同業者にはすぐに理解されるように、以下の特定の機械、および以下に展開されたものを用いて、任意の適切な組み合わせで実施することができる。さらに、本開示から明白なように、本明細書に記載の方法は、特定の物品の様々な変形をもたらし得る。
【００２１】
簡潔さのため、従来のデータネットワーク、アプリケーション開発、および他のシステムの機能的態様（ならびにシステムの個々の動作構成部品の構成要素）は、本明細書に詳細に説明しなくてもよい。さらに、本明細書に含まれる様々な図に示す関連線は、例えば、ＩＰＦＩＸデータフィード、データチャンネル、直接ネットワーク検査（侵入検出システムにおけるなど）、ログフィード、ログ検査、および／または、アプリケーションプログラミングインタフェース（ＡＰＩ）を使用するなどのプログラムによる相互作用などのイベントストリームを含む、様々な構成要素間の例示的な機能関係および／または物理的な結合を表すことを意図する。多くの代替のまたは追加の機能的関係あるいは物理的結合は、実用システムにおいて提示され得ることに留意されたい。
【００２２】
本開示は、以下の一覧で定義される以下の用語について言及してもよい。本一覧の定義は例示目的のみである。用語の異なる定義に基づいた変更、修正、変形、ならびに異なる用語は、本開示の範囲内に含まれることを意図する。
【００２３】
アセット―データをデータセンターで処理する仮想化コンピューティングシステムに基づいた個別のハードウェア、仮想化コンピュータまたは仮想マシン。アセットは、会員方針に明示される自動化方法でまたはユーザの行為を介して手動でＴｒｕｓｔＺｏｎｅのメンバーになることができる。
【００２４】
アセットの属性−任意のオペレーティングシステムの構成設定、上記アセットに配備されたデータ処理アプリケーション、アプリケーション構成設定、ハードウェアベースのまたはネットワークインタフェースを含む仮想化システム構成要素、メモリ、ディスク、ネットワーク構成要素相互接続、固有識別子、名前、または任意の個別データ構成要素もしくはアセットに関連するラベル、アセットの構成、または物理的もしくは仮想化データセンターシステム内の該アセットの位置を含むがそれに限定されない、アセットの名づけられた特性。一例として、アセットのＴｒｕｓｔＺｏｎｅのメンバシップは、該アセットの属性である。
【００２５】
属性値の対−属性識別子または値を有する名前の例。その値は、属性が表わすデータの記憶に適切な任意のデータの種類であり得る。
【００２６】
イベントストリーム−コンピューティング、ネットワークまたはセキュリティシステム内の任意の要素から起こる生または正常化されたいずれかの連続したデータ構造。イベントストリームは、一般に特定の時間であるが、必ずしもそうではない、ある構成要素の状態を表すコンピューティング環境内のコンピュータ、ネットワーク、またはセキュリティ要素の動作に関連する連続したデータを含む。
【００２７】
ベースライン−一つまたは複数のアセットと時間的または瞬間的のいずれかに一つまたは複数のイベントの組に対して評価される一つまたは複数の関係との組み合わせ。
【００２８】
ドリフト−コンピューティングまたはネットワークシステムの状態、集約イベント領域に関して表され、そこで、一イベントまたは一連のイベントが、本明細書に記載される関係によって表されるように評価に合格するか、または失敗する。
【００２９】
セキュリティ技術制御−ファイアウォール化、侵入検出および防止、脆弱性スキャニング、脆弱性管理及び脆弱性緩和、アンチマルウェア、ホストベースの侵入検出および防止、ファイル保全監視、認証−認可−監査、動作中暗号化、保存中暗号化、暗号化キーおよびトークン管理、ユーザ資格管理、ネットワークアクセス制御、パスワード長仕様、システムの動作を命令する構成設定または様々なセキュリティレベルのいずれかの文脈中の構成要素を含むがそれに限定されない、デバイス、技術、ソフトウェアプログラム、またはセキュリティ機能を実施するか、またはセキュリティ状態もしくは構成要素の状態を変更する構成要素の構成もしくは属性。
【００３０】
方針−方針は、システムまたはシステムの構成部品／構成要素の動作または行為を案内するために使用される一規則、規則の組、および／またはデータの組である。具体的には、制御行為および制御機能を命令するセキュリティ技術制御と関連するデータ本体。
論理ゾーン−一組の方針と関連する共通の属性を有しても有さなくてもよいアセットの任意のグループ化。論理ゾーンは、本明細書でグループまたは論理グループとも呼ばれる。
【００３１】
ハイパーバイザ−仮想機械を作り、運転させる一つのコンピュータソフトウェア、ファームウェアまたはハードウェア。
【００３２】
仮想スイッチ−ハイパーバイザ上で仮想機械のネットワーク相互接続を提供する一つのソフトウェア。
【００３３】
ファイアウォール−トラフィック構成要素（パケット）を分析し、一組の規則に基づいてトラフィックを通すか、または遮断するよう決定することによって、それを通過するネットワークトラフィックを制御するソフトウェアまたはハードウェアベースのセキュリティ技術制御。
【００３４】
侵入防止システム（ＩＰＳ）−署名または行動モデルに基づいて、望ましくないネットワークトラフィックを検出および中断する目的でネットワーク接続を検査するソフトウェアまたはハードウェアベースのセキュリティ技術制御。
【００３５】
脆弱性検査ツール−ネットワークにアセットを接続する、またはプロセスとしてアセットを稼働する、かつ既知の脆弱性署名、脆弱性指標、アセットの観測された行動、アセット上で稼働するプログラム、および／またはアセットの動作属性に基づいて、アセットを評価するプロセスを介してネットワーク上のアセットの脆弱性状態を評価するソフトウェアまたはハードウェアベースのセキュリティ技術制御。
【００３６】
コンプライアンスフレームワーク−確定した規制、仕様、または法令に従って規定する目的で公開された一組の構造化したガイドライン、プロセスおよび手順。
【００３７】
グループ−上述の「論理ゾーン」を参照。「Ｃａｔｂｉｒｄ」  ＴｒｕｓｔＺｏｎｅは、グループまたは論理グループおよび一組の方針の非制限的な例である。
【００３８】
ＴｒｕｓｔＺｏｎｅ−制御構成方針、メンバシップ方針を含む方針の集まり、およびコンピューティング環境内の変化に応じて動的制御再構成を実施する方法の集まりから成る論理ゾーン化構成物。ＴｒｕｓｔＺｏｎｅは、グループの非制限的な例である。
【００３９】
ＧＲＣ−ガバナンスリスクコンプライアンス、それぞれ、企業統治、統合リスク管理（ＥＲＭ）および適用法令および規制の企業順守に対処する組織内の三つの関連する機能の一般的なグループ化。
【００４０】
関係−関係にも含まれる評価によって、時間的または瞬間的のいずれかで、属性が含む、既知の、適切に不自然なデータ類型論（例えば、クリスマンの類型論）に従った、セット理論、数学的変換、確率的グラフィックモデル、およびデータの種類に対する任意の適切な評価を含むがそれに限定されない、様々な方法によりシステムによって評価されるアセットの属性および／またはイベントの属性から得られる一組の属性。
【００４１】
ここで、図２５を参照すると、本開示の実施形態と共に動作し得る例示的なコンピューティング環境１００が示されている。環境１００の構成要素は、ハードウェア構成要素とソフトウェア構成要素の任意の所望の組み合わせを用いて実装することができ、例えば、図２７に示すホストコンピューティングシステム８１０（以下でより詳細に論じる）により、ホストされ得る。代替で、または追加で、図２７のシステム８００（またはその任意の部分）を、環境１００内に含んでもよい。
【００４２】
図２５に示す例では、環境１００は、四つの異なる種類の構成要素、すなわち、演算要素（ＣＥ）、ネットワーク要素（ＮＥ）、管理要素（ＭＥ）、およびセキュリティ要素（ＳＥ）を含む。本開示の実施形態は、任意の数のこうした構成要素、ならびにその他の構成要素と相互作用することができる。それぞれ個々の構成要素は、プロセッサ、メモリ、スイッチ、ルータ、ロードバランサ、オペレーティングシステム、ソフトウェアアプリケーション、および／または構成要素（ファイル、プロセス、方針、プログラム）などの、任意の所望の物理的または仮想化ハードウェアコンピューティングリソースを含むコンピュータまたは仮想機械を表し得る。図２５に示す任意の構成要素またはその派生物を、任意の所望の物理的および仮想構成部品の組み合わせを用いて実装することができる。仮想化構成要素は、ＶＭｗａｒｅ  ＥＳＸｉ，Ｍｉｃｒｏｓｏｆｔ  Ｈｙｐｅｒ−Ｖ、および／またはカーネル仮想マシン（ＫＶＭ）などの任意の所望のハイパーバイザソフトウェアを用いて、物理的ハードウェアに結び付けられてもよい。
【００４３】
演算要素は、データ処理専用および様々な特権レベルの利用人口にアプリケーションの形態でコンピュータサービスを提供することを専用とするアプリケーションプラットフォームとしてのその機能により特徴付けられている。演算要素の一例として、アプリケーションを稼働する物理的または仮想化マイクロソフトウィンドウズサーバあるいはＬｉｎｕｘサーバを挙げることができる。
【００４４】
ネットワーク要素は、ネットワーク技術およびプロトコルを有するコンピューティング環境内の様々な要素の相互接続性（部分的または全体に）を提供し、コンピューティング環境要素間でデータを移送するために提供するその機能によって特徴付けられる。ネットワーク要素の例として、ルータ、スイッチ、仮想化スイッチ、ネットワーク、ＶＬＡＮ、および／または仮想拡張可能ＬＡＮ（ＶＸＬＡＮＳ）を含むネットワーク化構成要素を規定するソフトウェアを含むことができる。
【００４５】
管理要素は、コンピューティング環境の管理および動作専用のアプリケーションのホスト、データの処理、および特権的管理ユーザの利用人口に管理および動作アプリケーションの形態で、管理および動作サービスを提供するその機能によって特徴付けられる。管理要素は、演算要素、ネットワーク要素またはその他の管理要素を含む他の要素を管理することができる。管理要素の一例として、コンピューティング環境でハイパーバイザを管理するＶＭｗａｒｅ  ｖＳｐｈｅｒｅサーバソフトウェアを稼働するマイクロソフトウィンドウズサーバを含むことができる。
【００４６】
セキュリティ要素は、ネットワーク、ホスト、仮想機械、アセット、プログラム、またはプロセスレベルのいずれかで、様々な技術的セキュリティ制御を実施するその機能によって特徴付けられる。セキュリティ要素は、任意の所望の数のネットワーク要素、管理要素、演算要素、プログラム、プロセス、ならびに物理的および／または仮想化フォーマットに実装された方法を含む階層的配置構造を有し得る。セキュリティ要素の例として、ファイアウォール専用機およびその管理要素またはソフトウェア、抗ウィルスソフトウェア、その管理および更新機構、脆弱性検査ツール、ならびに／あるいはアクセスまたはユーザの資格のため利用される集中型公開鍵基盤を含むことができる。
【００４７】
図２６は、本開示の実施形態による、セキュリティ制御管理システム（ＳＣＭＳ）２００の構成部品、プログラムによる入力および出力を示す。この実施形態は、様々なハードウェアおよびソフトウェア構成要素、ソフトウェアアルゴリズム、データ構造、ならびにＳＣＭＳ２００の様々な機能を実施するデータベースを含み得る。代替のＳＣＭＳは、より多い、より少ない、または異なる構成要素および機能を有してもよい。
【００４８】
図２６に示す例示的な実施形態では、ＳＣＭＳ２００は、一つまたは複数の標準および／もしくは専用インタフェースあるいはアプリケーションプログラミングインタフェース（ＡＰＩ）経由で実装されたプログラムによるメッセージ発信メカニズムを介するコンピューティング環境と相互作用する。上記インタフェースは、セキュアソケットレイヤ（ＳＳＬ）暗号化、ならびに任意の他の所望の暗号化技術を使用して、メッセージ、イベント、指令および命令のプライバシーおよび完全性を保証することができる。本開示の実施形態により使用される暗号化技術は、送信および受信要素のための相互認証を含むことができる。プログラムによるメッセージ発信メカニズムは、ＡＰＩ、コマンドラインインタフェースインテグレーション、データベースクエリ、表示データのプログラムによる収集（すなわち、スクリーンスクレイピング）、プロセス間通信方法、ファイルシステムアクセスなどを介するなど、本開示の例示的な実施形態によって、任意の適切な方法で実施することができる。
【００４９】
プログラムによるメッセージ発信メカニズムを介して、ＳＣＭＳ２００はコンピューティング環境についての情報を見つけ出す。こうした情報は、個々の構成要素、構成要素の組み合わせ、またはすべての構成要素に関係する情報を含み得る。見つけ出された情報は、システムによって守られる構成要素を特定し、かつ／またはセキュリティ技術制御を構成する構成要素の属性をヒューリスティックに決定するなど、任意の所望の目的のため、ＳＣＭＳ２００によって使用することができる。見つけ出された情報はまた、政府規制または産業規制、セキュリティ状態、セキュリティ制御機能、セキュリティ制御効果、セキュリティ制御適用範囲、および／またはセキュリティ制御動作の順守を評価するため使用することができる。
【００５０】
プログラムによるメッセージ発信メカニズムは、一つまたは複数の構成要素とＳＣＭＳ２００との間の交換（そこでは一つまたは複数の構成要素によって支持される）、メッセージに関する構成要素、ログ、遠隔測定法、構成設定、ＳＣＭＳ２００を含むか、または含まないプログラムまたはプロセスによって生成されたデータ、構成要素の属性、構成要素の現在の状態および構成を反映するデータ、ならびに構成要素自体に関係するかまたはコンピューティング環境内の構成要素もしくはその他の構成要素から入手可能なものとしてのどちらかの、セキュリティ技術制御、方針またはベンチマークに関連する任意の他のデータ、を含むことができ、そのすべてはイベントの例である。
【００５１】
プログラムによるメッセージ発信メカニズムはまた、構成設定、方針、構成ファイル、プログラムおよびプロセスを含む構成要素の開始および停止に関して構成要素を再構成するための命令および／または構成インタフェース、および／または構成要素の動作状態を変更目的のための命令を構成要素に直接発行すること、もしくは、同じ機構を介して実施される再構成を開始することを含むことができ、そのすべては、指令の例である。
【００５２】
図２６に示す例示的な実施形態では、様々な構成要素が、ハードウェアおよび／またはソフトウェア構成要素の任意の所望の組み合わせを含んで、様々な機能を実行することができる。例えば、イベント処理および管理構成要素は、こうしたイベントをアーカイブのためおよびさらに他の構成要素によって処理するため正常化または変形することができる。正常化および変形には、イベントを情報資産と関連付けるためのアセット関連識別子の追加、アーカイブ目的のスペース低減のためイベントからのデータの除去、他の要素に起因するイベントから発生したシステムからのイベントまたはアルゴリズムの出力を介する発信要素に関連するシステムによって決定された属性の追加によるアセット属性の置換または追加を含み得る。イベント処理は、方針、アセットの識別、セキュリティ技術制御の構成、および上記ベンチマークまたはベースラインと一致し、上記ベンチマークまたはベースラインに準拠するレベルに影響を与えるベンチマークまたはベースラインに対する要素および要素の状態に関係するデータの作成、保守および実行に関係するデータおよび情報の流れを、イベントから抽出することを含み得る。
【００５３】
論理ゾーン作成および構成は、ＴｒｕｓｔＺｏｎｅ作成および構成に関するタスクを実施する。この構成要素は、情報資産の論理ゾーン（ＴｒｕｓｔＺｏｎｅｓ）へのマッピングに対処し、情報資産へのセキュリティ技術制御方針の関連付けを行う。
【００５４】
方針およびベンチマーク論理およびヒューリスティック構成要素は、論理ゾーンの文脈に関連する、その中のセキュリティ技術制御の方針および構成ならびに要素イベントストリームの文脈内の論理ゾーンの文脈内の情報資産の分析を実施する。この構成要素は、未だ定位置にある制御を検証するためイベントに含まれるデータを測定し、これらの制御の検証をＰＣＩ  ＤＳＳ  ２．０、ＨＩＰＡＡ、  ＣＯＢＩＴ  ４．１、ＤＩＡＣＡＰ、および／またはＦＩＳＭＡなどの様々なコンプライアンスフレームワーク、ならびに方針、技術制御、アセット属性、イベント、および／または図２５に示すものなどの様々な種類の要素の属性によって検証されるＳＣＭＳとの要求される相互作用の様々な組み合わせの仕様を通してオペレータの自由裁量で考案されたものなどの任意のフレームワークへマッピングする。この論理は、セキュリティ技術制御構成およびアセット属性内の変化を評価し、セキュリティ技術制御の方針およびアプリケーションならびにベンチマーク準拠を維持するため、これらアセットの属性の変化に基づいて、セキュリティ技術制御方針の再構成を実施する。この論理は、様々な方針設定を評価し、アセットの属性変化およびアセットのＴｒｕｓｔＺｏｎｅメンバシップ変更に応じて適切な行動を採る。
【００５５】
制御管理および指令構成要素は、指令の構築を行い、コンピューティング環境要素への指令の送達を開始して、イベントの発生、構成および処理データのどちらかの方向への移行、セキュリティ技術制御の開始および停止、更新された方針を有するセキュリティ技術制御の再構成、任意の種類の要素の再構成、プログラムまたはプロセスの開始および停止、構成または構成に影響する属性の変化、ならびに制御が、イベントまたは指令を介して与えられた構成データによって認定された任意の情報資産に加えられることの検証を含む、要素からの適切な行動（複数可）に影響を及ぼす。
【００５６】
イベントデータベースは、セキュリティ制御ソフトウェア自身を含む任意のおよびすべての要素からのイベントの記憶、検索、および管理のために使用されるデータベースである。このデータベースは、様々な論理ブロックおよび他の構成要素で実施されるヒューリスティックのため、アセットの属性データ、セキュリティ制御構成データ、方針データおよびイベントデータに対するイベントを保存し、その後照会するため使用される。
【００５７】
アセット／属性データベースは、アセットおよびアセットの属性データの記憶、検索、および管理のため使用される。このデータベースは、様々な論理ブロックおよび他の構成要素で実施されるヒューリスティックのためアセットおよびアセットの属性データを保存し、その後照会するため使用される。
【００５８】
ＴｒｕｓｔＺｏｎｅデータベースは、論理ゾーン（ＴｒｕｓｔＺｏｎｅｓ）の記憶、検索、および管理のため使用されるデータベース構成要素である。この構成要素は、様々な論理ブロックおよび他の構成要素で実施されるヒューリスティックの目的のためのＴｒｕｓｔＺｏｎｅｓ、ＴｒｕｓｔＺｏｎｅ内の情報資産、ＴｒｕｓｔＺｏｎｅと関連付けられるセキュリティ技術制御方針を保存し、その後、照会、更新、修正するため使用される。
【００５９】
方針データベースは、セキュリティ技術制御、アセット、本開示の実施形態（またはその一部）を実施するソフトウェア、および環境に対する方針の記憶、検索、照会、および管理のため使用されるデータベース構成要素である。
【００６０】
図２１は、本開示に実施形態による、機能および特徴を支持するＳＣＭＳの追加の構成要素を示す。この実施形態は、様々なハードウェアおよびソフトウェア構成要素、ソフトウェアアルゴリズム、データ構造、ならびにＳＣＭＳ２００の様々な機能を実施するデータベースを含み得る。代替のＳＣＭＳは、より多い、より少ない、または異なる構成要素および機能を有してもよい。
【００６１】
図２１に示す追加の構成要素の例示的な実施形態では、ＳＣＭＳは、一つまたは複数の標準および／または専用インタフェースあるいはアプリケーションプログラミングインタフェース（ＡＰＩ）経由で実装されたプログラムによるメッセージ発信メカニズムを介するコンピューティング環境と相互作用する。上記インタフェースは、セキュアソケットレイヤ（ＳＳＬ）暗号化、ならびに任意の他の所望の暗号化技術を使用して、メッセージ、イベント、指令および命令のプライバシーおよび完全性を保証することができる。本開示の実施形態により使用される暗号化技術は、送信および受信要素のための相互認証を含むことができる。ＡＰＩ、コマンドラインインタフェースインテグレーション、データベースクエリ、表示データのプログラムによる収集（すなわち、スクリーンスクレイピング）、プロセス間通信方法、ファイルシステムアクセスなどを介するなど、本開示の例示的な実施形態によって、プログラムによるメッセージ発信メカニズムを任意の適切な方法で実施することができる。
【００６２】
具体的には、図２１は、関係を評価するため十分にイベントストリームを提示するのに必要なように、図示されたものに制限されない、複数の操作メッセージを、どのように収集し、その後正常化し、互いに関係付け、無駄を取り除き、変形し、全体的に正常化するか示す。関係は、保存され、関係データベースから取得される。アセットおよび関係は、オペレータによって組み合わされ、ベースラインを形成し、ベースラインは、その後、観察され、検索され、かつ／または、直接または参照のどちらかにより、ベースラインデータベースに保存される。例えば、上記ベースラインデータベースは、関係およびアセット属性データベースを参照するデータ構造であってもよく、または代替で、このデータ構造は、別のデータベースに保存されてもよい。
【００６３】
一実施形態では、ＴｒｕｓｔＺｏｎｅのメンバシップ方針は、ＳＣＭＳによって収集される任意の要素に起因するアセットの属性およびイベントに基づいて、アセットをどのように一つまたは複数のＴｒｕｓｔＺｏｎｅに自動的に配置するかを命令することができる。アセットの属性が変わったことを示すイベントをセキュリティ制御ソフトウェアが受信すると、アセットを一つのＴｒｕｓｔＺｏｎｅから別に移動するか、またはアセットを別のＴｒｕｓｔＺｏｎｅに加えることによって、ＴｒｕｓｔＺｏｎｅのメンバシップの変更に影響を及ぼすように、すべてのＴｒｕｓｔＺｏｎｅのメンバシップ方針の文脈内で、各アセットを、評価することができる。
【００６４】
本明細書に示す方法の構成要素の任意の組み合わせおよび／またはサブセットは、任意の適切な順序で任意の適切なシステム、デバイスおよび／またはプロセスと共に実行することができる。本明細書に記載し示す方法は、図２７に示すホストシステム８１０を含む、一つまたは複数のコンピュータシステム上で動作するセキュリティ制御ソフトウェアを介するなど任意の適切な方法で、実施することができる。上記セキュリティ制御ソフトウェアは、有形コンピュータ可読媒体（ホストコンピュータシステム８１０のメモリ８１４など）に保存されるコンピュータ可読命令を含むことができ、一つまたは複数のプロセッサ（ホストコンピュータシステム８１０のプロセッサ８１２など）によって実行されて、様々な実施形態の方法を実施することができる。
【００６５】
一実施形態では、ある方法には、一つまたは複数の論理ゾーンに関連付けられた一つまたは複数のアセットを識別すること、一つまたは複数の構成要素との接続を確立すること、一つまたは複数のセキュリティ方針を一つまたは複数の論理ゾーンと関連付けること、一つまたは複数のアセットに対する一つまたは複数の属性の変更を検出すること、セキュリティの脆弱性およびそれに対する修正を検出すること、一つまたは複数のアセットのゾーンのメンバシップを変更すること、一つまたは複数のファイアウォールの構成設定を変更すること、一つまたは複数のコンプライアンス方針を一つまたは複数の論理ゾーンと関連付けること、上記ファイアウォールの構成設定に対する変更を分析すること、一つまたは複数のコンプライアンスレベルを決定すること、および一つまたは複数のコンプライアンスレベルを表示することが含まれる。この方法のステップは、（すべてまたは一部を、任意の所望の順序で）図２７に示す例示的なホストコンピューティングシステム８１０などのコンピュータシステム上で動作するソフトウェアによって実施することができる。
【００６６】
上記で論じたように、本開示の実施形態を使用して、ネットワークアセットおよびこうしたアセット同士の間のネットワーク接続に関する様々な種類の情報を（例えば、クライアント装置またはユーザの装置など、計算装置のディスプレイ上に）示すことができる。こうした情報は、上述の流れ情報図を介するなど、様々な方法でユーザに提供できる。様々な実施形態はまた、本明細書の様々な実施形態に対して説明されるネットワークシステム行動ベースライニングを実施するように適合することができる。
【００６７】
具体的には、本開示の実施形態を用いて、逸脱が起きたとき、ネットワークデータ接続の一つまたは複数の動作属性を選択し、オペレータに（例えば、上述のように、ディスプレイを介して）実行可能な情報を提供することができる。これにより、様々なセキュリティ技術制御の動作を有するネットワーク活動における逸脱の文脈化を可能にし、ネットワーク内の敵対的または誤りであり得るこれらの活動のより具体的な状況を提示する。
【００６８】
本開示の一実施形態によるコンピュータ実施される方法は、コンピュータシステムによって、ネットワーク上の複数の異なる種類のソースからデータを収集することと、上記収集したデータに基づいて、一つまたは複数の計算アセット、一つまたは複数の動作イベント、これらのアセットおよびイベントに関連付けられたデータ属性をコンピュータシステムによって識別することと、上記コンピュータシステムによって、上記計算アセット、上記動作イベント、上記アセットおよび動作イベントの属性の表示を含むグラフ表示を提示することと、を含み、上記グラフ表示は、コンピュータシステムと通信するユーザインタフェースのディスプレイを介して表示され、コンピュータシステムによって、上記ユーザインタフェースを介して、一つまたは複数の計算アセット、一つまたは複数の動作イベント、一つまたは複数のアセット属性、一つまたは複数の動作イベント属性、および一つまたは複数の評価基準の選択を含む上記ユーザからの入力を受信して、上記ユーザからの上記入力に応じて、複数の動作イベントストリームのリアルタイムまたはバッチの分析をして、これらの分析の結果として、ベースラインに対する計算システムの行為におけるこれらの質的量的変動を表す動作イベントストリーム内の逸脱をユーザインタフェースまたは任意の適切なメッセージ送信メカニズムを介して、ユーザに提示する。さらに、時間と共に本開示の実施形態は、これらのベースラインを生成することができ、動作イベントストリームの観察を通して分析を行う。
【００６９】
図２４は、本開示の様々な実施形態による、二つの例示的なプロセスを示す。ベースラインを生成する（２４００）方法は、アセットおよびイベントデータの収集およびそれを適切な属性に配置すること（２４１０）、データに関する様々な正常化、相関、取り除き、および変形を実施すること（２４１５）、分析のための時間的境界および規定を設定すること（２４２０）、アセットの選択（２４２５）、イベントストリームの選択（２４３０）、関係の生成（２４３５）、関係の選択（２４４０）、ベースラインの生成（２４４５）、ベースラインに従ったイベントストリームの評価（２４５０）、ベースラインおよびそこからの逸脱の視覚化（２４５５）、および識別された逸脱に対する警報の生成（２４６０）を含む。方法２４００のステップは、（すべてまたは一部を、任意の所望の順序で）図２７に示す例示的なホストコンピューティングシステム８１０などのコンピュータシステム上で動作するソフトウェアによって実施することができる（以下でさらに論じる）。
【００７０】
一実施形態では、アセットおよびイベントデータを、参照によりその全体が本明細書に組み込まれる、「Ｓｙｓｔｅｍｓ  ａｎｄ  Ｍｅｔｈｏｄｓ  ｆｏｒ  Ｎｅｔｗｏｒｋ  Ａｎａｌｙｓｉｓ  ａｎｄ  Ｒｅｐｏｒｔｉｎｇ」と題する、２０１６年３月１０日公開の国際公開第２０１６／０３６４８５号に記載されるなどのイベント収集方法に従って、複数の異なるソースから収集できる（２４１０）。
【００７１】
一実施形態では、イベントデータの正常化は、参照によりその全体が本明細書に組み込まれる、「ＳＹＳＴＥＭＳ  ＡＮＤ  ＭＥＴＨＯＤＳ  ＦＯＲ  ＮＥＴＷＯＲＫ  ＡＮＡＬＹＳＩＳ  ＡＮＤ  ＲＥＰＯＲＴＩＮＧ」と題する、２０１６年３月１０日公開の米国特許出願公開第２０１６／００７２８３１号明細書に記載の方法に従って実施される。
【００７２】
一実施形態では、ベースラインは、タイムボックス化された分析、またはフリーランニング分析を含み得る時間的境界に基づいて、評価される。例えば、図２８を参照すると、フリーランニング評価の期間を、任意の開始時間およびその後停止時間を選択することによって、ボタンを選択することによって、または、例えば、「次の時間で評価する」などあらかじめ定義された任意の期間もしくは時間整合された境界を入力することによって、評価期間をマーキングするなどの、ユーザ入力を介して決定することができる。オペレータは、一時間、一日、一週間または一ケ月など固定された期間の間ベースラインを評価することを選択することができる。
【００７３】
評価期間はまた、七日、三十日などの任意の数のあらかじめ定義された期間から成るタイムボックス化であり得る。期間またはタイムラインは、サブタイムラインにサブ区分されて、タイムライン内の変動に備えることができる。この方法では、最も短い期間を有する各サブ区分は、一組の原単位の期間の評価から成る全体の期間の総評価を有する評価の原単位である。この方法では、ベースラインからの逸脱を、各区分およびサブ区分で続くプロセスで、より高い期間の区分内の同様の順序を示す位置で、原単位内で起こる活動からの逸脱に基づいて得ることができる。
【００７４】
例えば、図２８を参照すると、一日である、時間Ｄ１の七つの区分は、一週間を表すことができる。一週間のそれぞれの日は、さらに時間にサブ区分することができ、各時間は、分にサブ区分される。ネットワークトラフィックおよびコンピュータの使用は、ビジネスウィークなどの評価期間内に起きるサイクルに基づいて変動し得るので、この方法を用いて、月曜の朝八時から夜九時までの間のトラフィック間もしくは就業時間中の日々のトラフィック間の逸脱、および／または会社員の労働時間と非労働時間の間の逸脱、または時間空間の任意の仕切りで起こる逸脱（例えば、日曜日１時１分から別の日曜日の同じ分を比較したときの分の逸脱）を捕捉するベースラインを比較するのに使用することができる。
【００７５】
時間的期間はまた、特に区分を識別するオーバーレイという名前を有してもよい。例えば、図２９を参照して、一週間のタイムラインを考える。七日目（土曜日）の２１時〜２４時の間の三時間の窓は、保守の窓を表すことができ、一週間のこの時間帯だけにいくつかのイベントが起こると予想することができる。一週間の残りの時間の間のこうしたイベントの識別を逸脱とみなす。
【００７６】
一実施形態では、本開示の文脈で、期間、区分、サブ区分、および名付けられたオーバーレイがカレンダおよび時計の標準区分に基づいてユーザに提示され、ユーザは、任意の開始および停止時間に基づいて、名付けられたオーバーレイを指定してもよい。時間パラメータの設定（２４２０）は、ユーザに様々な時間の構成方法を提示して、周期、周期的な繰り返し、サブタイムライン、サブタイムライン識別子、およびシステムのフリーランニング動作を識別する。
【００７７】
一実施形態では、アセットの選択（２４２５）を、その全体が参照により本明細書に組み入れられる、「Ｓｙｓｔｅｍｓ  ａｎｄ  Ｍｅｔｈｏｄｓ  ｆｏｒ  Ｄｙｎａｍｉｃ  Ｎｅｔｗｏｒｋ  Ｓｅｃｕｒｉｔｙ  Ｃｏｎｔｒｏｌ  ａｎｄ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ」と題する、２０１４年１２月４日公開の米国特許出願公開第２０１４／０３５９７４９号明細書に記載するように実施することができ、アセットおよびＴｒｕｓｔＺｏｎｅ属性に関するクエリの組み合わせに基づく任意の種類の条件付き論理と共に実施することができる。
【００７８】
様々なイベントストリームは、システムの関係による評価のため選択され得る（２４３０）。例えば、本開示の一実施形態では、オペレータは、ＮｅｔＦｌｏｗと呼ばれる特定のイベントの種類からイベントの属性を評価する、関係を生成すること（２４３５）を選択してもよい。その場合、これらの関係は、Ｅｖｅｎｔ  Ｔｙｐｅ＝「Ｎｅｔｆｌｏｗ」であるすべてのイベントに対するシステムによって関連付けられる。属性が選択されると、適切なイベントストリームが、オペレータに加えるために提示される。
【００７９】
方法２４００はさらに、関係の生成（２４３０）を含む。一実施形態では、本開示の文脈内の関係は、時間的または瞬間的のいずれか、かつ単独または組み合わせのいずれかで、属性が含む、セット理論、統計分析、確率的グラフィックモデル、ベクトル分析、および既知の適切に不自然なデータ類型論（例えば、クリスマンの類型論）による任意の適切なデータの種類の評価を含むが、それに限定されない、様々な数学的方法およびその他の方法によりシステムによって評価される、アセットの属性から得られた一組の属性および／またはイベントの属性を表す。
【００８０】
一実施形態では、関係は、一つまたは複数の属性の分析を含んでもよく、一つまたは複数のベクトルとしてまとめて見なされる、複数の属性の分析を同時に含んでもよい。関係は、識別された属性および対応する評価またはイベントの属性上で実施される処理を表すエバリュエータ（例えば、図２３は、いくつかの属性に対する評価の様々な例を示す）から成る。したがって、一例として、第一の関係は、属性およびエバリュエータから成ることができ、第二の関係は、同じ属性であるが異なるエバリュエータを識別することができる。
【００８１】
例えば、本開示の一実施形態では、図２３は、その関連する属性を備える（「イベントデータ」と表示されたボックス内に識別される）一イベントの種類ＮｅｔＦｌｏｗのグラフ表示を示す。また、種類ＮｅｔＦｌｏｗの処理イベントである関係内で実施され得る各属性に対するいくつかの異なる評価を示す表が、図２３に含まれる。図２３は、単純なデータ属性の分類スキームに基づいた単純な評価を含む。
【００８２】
一実施形態では、本開示の文脈で、複数の単純な属性に基づく複合的組み合わせの属性は、第一の稼働内でまたは同様のデータの以前の分析に基づいて適切な監視付き分析または監視なし分析のどちらかを有する、またはその中のベクトル解析、ベイジアンネットワーク、マルコフネットワーク、動的ベイジアンネットワーク、Ｋ平均法、Ｋ近傍法、または任意の適切な機械学習アルゴリズムを介して、ベクトルに組み合わされるか、集団として分析されるか、または順次分析され得る。
【００８３】
ここで以下に提示される一連の例は、方法２４００が、本開示の様々な実施形態内でどのように実施されるかを示す。
【００８４】
図７（一組のアセットおよび一組の関係からベースラインを定義することに関する）を参照すると、オペレータ（例えば、図２７のホストシステム８１０のユーザ）に、例えば、参照によりその全体が本明細書に組み込まれる、「Ｓｙｓｔｅｍｓ  ａｎｄ  Ｍｅｔｈｏｄｓ  ｆｏｒ  Ｄｙｎａｍｉｃ  Ｎｅｔｗｏｒｋ  Ｓｅｃｕｒｉｔｙ  Ｃｏｎｔｒｏｌ  ａｎｄ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ」と題する、２０１４年１２月４日公開の米国特許出願公開第２０１４／０３５９７４９号明細書により詳細に論じられる、方法を介してシステムによって取得され、定義された一組のアセットが提示されている。論理演算子およびアセットの属性（例えば、ホストシステム８１０のディスプレイ上のユーザインタフェースを介して入力された）を使用して、オペレータは、「Ｎａｍｅ＝Ｚ１Ａｓｓｅｔ１  ＯＲ  Ｎａｍｅ＝Ｚ４Ａｓｓｅｔ６」に基づいて、この例の中で、一組のアセットを選択し、定義する。この論理式は、２つのアセットしか識別しない。
【００８５】
そして、オペレータは、イベントＥの表の組によって提示された、イベントストリームを選択する。この表は、関係に対応する適切なイベントストリームを表し、一連のこうしたイベントがベースラインのインスタンス化で評価されることを示すよう意図する。そして、オペレータに、すでに作られている一組の既存の関係が提示される。これらはまた、類似の方法でユーザが作ることができる。同様の論理的選択プロセスを用いて、オペレータは、上記関係に含まれる２つの文字列「Ｚ１Ａｓｓｅｔ１」ＡＮＤ「Ｚ４Ａｓｓｅｔ６」を有する上記関係に基づいて、関係を選択する。これは、任意の適切な属性マッチング機構または値マッチング機構によって実施可能である。この論理的選択を用いて、Ｒｅｌａｔｉｏｎｓｈｉｐ３と名付けられた上記関係を選択する。ユーザはベースラインを保存し、それにより、ベースラインは、選択されたアセット、イベントストリーム，および関係を含むか、それを参照する（例えば、「保存」ボタンをユーザが使用して、このデータの保存を始めるが、このボタンを図示しないことに留意されたい）。
【００８６】
一実施形態では、方法２４６０にしたがって、ユーザに、警報メッセージおよび適切な警報絞りパラメータを発するかどうか定義することができる警報方針を提示する（例えば、ホストシステムおよび／またはクライアント装置に表示して）。一例は、上述の情報を含み、オペレータが電子メール通知のため電子メールを使いたい場合、警報のための電子メール受信者の一覧を含む警報方針である。アセット選択プロセスでは、複数のアセットをベースラインに含むことができ、以下で論じるように、複数の関係も選択することができることに留意されたい。
【００８７】
図８Ａ〜図８Ｂを参照すると（ドリフトに対するベースラインを評価することに関係する）ベースライン要素が図示され、選択されたアセット、関係およびイベントストリームを含む。ベースラインのインスタンス化後、それを保存し、したがって、評価のためそれをシステムに提出すると、システムは、イベントストリームの評価を始める。これは、オンザフライのインスタンス化の一例である。これは、オペレータが「今」、時間Ｔ０でベースラインを保存し、イベントストリームは、時間Ｔ１でまたは時間Ｔ１の後で起こるイベントの流れを表し、ここで、Ｔ１＞Ｔ０であることを意味する。さらに、イベントストリームは、連続した、一連のこうした集められたイベントを表し、各イベントは、Ｔ０より大きい時間で起こる。
【００８８】
図では、ベースラインの評価を例証するため、時間Ｔ１〜Ｔ４で起こる四つのイベントだけを示す。上記イベントは、方法２４５０と一致して一つずつ評価され、各イベントは、関係のＲｅｌａｔｉｏｎｓｈｉｐ３のエバリュエータに基づいて評価される。時間Ｔ４のイベントを評価するとき、Ｄｅｓｔ  ＡｓｓｅｔおよびＤｅｓｔ  Ｐｏｒｔの属性は、評価と一致するが、ソースアセットは一致しない。ここで、記号「＝」または等号は、「組の中のｉｓ」のように評価され、本開示の実施形態はまた、以下に説明するように、イベント属性を関係の中に定義された一覧に基づいて評価することができる（例えば、図１３のＲｅｌａｔｉｏｎｓｈｉｐ３を参照）。
【００８９】
図８Ａ〜図８Ｂの下部で、ベースラインの二つの異なる視覚化を提示する。一番目は、視覚化が複数のイベントを提示できることを説明する。二番目は、本開示の視覚要素が、トポロジー図の線または点の形態で統合されたまたは纏められたデータをどのように表すことができるかを示す。これらの図の両方はとも、方法２４５５を示す。こうしたトポロジー図で使用され得るトポロジーユーザインタフェースの例は、参照によりその全体が本明細書に組み込まれる「Ｓｙｓｔｅｍｓ  ａｎｄ  Ｍｅｔｈｏｄｓ  ｆｏｒ  Ｎｅｔｗｏｒｋ  Ａｎａｌｙｓｉｓ  ａｎｄ  Ｒｅｐｏｒｔｉｎｇ」と題する、２０１６年３月１０日公開の国際公開第２０１６／０３６４８５号に記載されている。
【００９０】
さらに、選択された方針毎に、システムはまた、ベースラインおよび逸脱するイベントを含むか、参照する警報メッセージを発することができる。
【００９１】
図９Ａ〜図９Ｂを参照すると、代替の例では、オペレータが、システムによって取得し定義する一組のアセットが提示される。こうしたアセット選択に使用され得るアセットの収集の例は、参照によりその全体が本明細書に組み込まれる、「Ｓｙｓｔｅｍｓ  ａｎｄ  Ｍｅｔｈｏｄｓ  ｆｏｒ  Ｄｙｎａｍｉｃ  Ｎｅｔｗｏｒｋ  Ｓｅｃｕｒｉｔｙ  Ｃｏｎｔｒｏｌ  ａｎｄ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ」と題する、２０１４年１２月４日公開の米国特許出願公開第２０１４／０３５９７４９号明細書に記載されている。論理演算子およびアセットの属性を使用して、オペレータは、一組のアセットを選択または定義する（例えば、ディスプレイ上に提示されたユーザインタフェースを用いて）。この例におけるこの選択は「Ｇｒｏｕｐ＝ＴｒｕｓｔＺｏｎｅ１  ＯＲ  Ｇｒｏｕｐ＝ＴｒｕｓｔＺｏｎｅ４」に基づく。この論理式は、図示のように四つのアセットを識別するであろう。代替で、本開示の実施形態は、異なるアセットに基づく追加の照会機構または適切なデータの種類および評価に基づくイベントの属性を提供する。
【００９２】
例えば、図９Ａ〜図９Ｂでは、代替の式、「ＩＰ＝１９２．１６８．１．０．２４  ＯＲ  ＩＰ＝１０．１０．１０．０／２４」および「Ｎａｍｅ  ｉｎ  Ｓｅｔ  Ａ  ｗｈｅｒｅ  ＮＡＭＥ  ｉｎ［Ｚ１  Ａｓｓｅｔｌ、Ｚ１  Ａｓｓｅｔ２、Ｚ４Ａｓｓｅｔ６、Ｚ４Ａｓｓｅｔ７］」が、提示される。上述の後者は、機能としてグループ評価に等しい。なぜなら、セット内のこれらのアセットは、以下のＴｒｕｓｔＺｏｎｅ、すなわち、ＴｒｕｓｔＺｏｎｅ１〜ＴｒｕｓｔＺｏｎｅ４のすべてのメンバを表すからである。すべての選択の結果は、アセットＺ１Ａｓｓｅｔ１、Ｚ１Ａｓｓｅｔ２、Ｚ４Ａｓｓｅｔ６、およびＺ４Ａｓｓｅｔ７の組である。ＴｒｕｓｔＺｏｎｅなどのグループ構成概念を使用すると、本開示の実施形態は、図９Ａ〜図９Ｂの下部に示すように、ＴｒｕｓｔＺｏｎｅのメンバシップに基づいてこうした選択を視覚化できる。
【００９３】
図１０Ａ〜図１０Ｂは、表「イベントＥの組」によってあらわされるイベントストリームを示し、それは、種類ＮｅｔＦｌｏｗの代替のイベントの流れを表す。この場合、より多くのイベントからのデータの属性を評価用に含む。オペレータに、このイベントストリーム用にすでに作成されていた（例えば、ユーザの現在の選択プロセスの前にシステムが作成した）四つの関係が提示され、オペレータは、論理演算「Ｓｒｃ  ＴＺ＝ＴｒｕｓｔＺｏｎｅ４  ＡＮＤ  Ｄｅｓｔ  ＴＺ＝ＴｒｕｓｔＺｏｎｅ１」に基づいて関係を選択し、その結果、Ｒｅｌａｔｉｏｎｓｈｉｐ４の選択がもたらされる。
【００９４】
図１１Ａ〜１１Ｃは、四つのアセット（Ｚ１Ａｓｓｅｔ１、Ｚ１Ａｓｓｅｔ２、Ｚ４Ａｓｓｅｔ６、Ｚ４Ａｓｓｅｔ７）および一つの関係（Ｒｅｌａｔｉｏｎｓｈｉｐ４）から成る結果としてのベースラインを示す。以前の例と同様に、ユーザは、ベースラインをインスタンス化し、システムは、イベントストリームを評価し始める。イベントストリームを図１１Ａ〜図１１Ｃの表に示す。時間Ｔ７のイベントまでのすべてのイベントは、Ｒｅｌａｔｉｏｎｓｈｉｐ４に対して前向きに評価する。
【００９５】
時間Ｔ８でイベントは、Ｓｒｃ  ＴＺ、Ｄｅｓｔ  ＴＺ、およびＤｅｓｔ  Ｐｏｒｔに対する評価を失敗と評価される。このイベントは、ベースラインから三次元で逸脱しているとされる。本開示によって提示された可能な視覚化は、トポロジー線（例えば、それは赤色であってもよい）  およびノード境界色を有する逸脱を示して図９Ａ〜図９Ｂの下部に提示される。
【００９６】
図１２を参照すると、代替の例では、オペレータに、システムが取得し前もって定義された一組のアセットが提示される。こうしたアセットの選択に使用され得るアセットの収集の例は、参照によりその全体が本明細書に組み込まれる、「Ｓｙｓｔｅｍｓ  ａｎｄ  Ｍｅｔｈｏｄｓ  ｆｏｒ  Ｄｙｎａｍｉｃ  Ｎｅｔｗｏｒｋ  Ｓｅｃｕｒｉｔｙ  Ｃｏｎｔｒｏｌ  ａｎｄ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ」と題する、２０１４年１２月４日公開の米国特許出願公開第２０１４／０３５９７４９号明細書に記載される。論理演算子およびアセットの属性を使用して、オペレータは、一組のアセットを選択または定義する。この例では、「Ｇｒｏｕｐ＝ＴｒｕｓｔＺｏｎｅ３  ＯＲ  Ｇｒｏｕｐ＝ＴｒｕｓｔＺｏｎｅ２  ＯＲ  Ｇｒｏｕｐ＝ＴｒｕｓｔＺｏｎｅ１」に基づく。この例のアセットの領域に基づいて、この論理式は、選択されたアセットとみなされる、図示の四つのアセットを識別する。
【００９７】
図１３は、種類ＮｅｔＦｌｏｗの単一のイベントの形態のイベントストリームを示し、イベントストリームの代表例であるが、制限を意味しない。この例では、イベントストリームは、三つの定義された関係を有する。今回、オペレータは、論理式「Ｄｅｓｔ  Ｐｏｒｔ＝３３８９  ＯＲ  Ｓｒｃ  Ｇｒｏｕｐ＝ＴｒｕｓｔＺｏｎｅ３」に基づいて、関係を選択する。この論理式は、三つの関係のうちの二つのＲｅｌａｔｉｏｎｓｈｉｐ２およびＲｅｌａｔｉｏｎｓｈｉｐ３を識別する。オペレータは、ベースラインに含めるため両方の関係を選択し、上述の通り、ベースラインをインスタンス化する。
【００９８】
図１４Ａ〜図１４Ｂは、四つのアセットおよび二つの関係を含むベースラインを示す。イベントストリームは、前述の通り評価される。ストリーム中の各イベントは、Ｒｅｌａｔｉｏｎｓｈｉｐ２およびＲｅｌａｔｉｏｎｓｈｉｐ３の両方に対して評価される。時間Ｔ１３およびＴ１４でのイベントは、ベースラインから逸脱する。なぜなら、Ｄｅｓｔ  Ｐｏｒｔ＝２２で、Ｒｅｌａｔｉｏｎｓｈｉｐ２で定義されたように、「セットで」３３８９でないからである。ベースラインおよび逸脱の視覚化は、図１４Ａ〜図１４Ｂの下部に示される。視覚化では、それらが表す接続が、関係の評価から逸脱しないか、またはそれに失敗する場合、二つのグループの間の接続を示す線は、一つの色である（例えば、黒）。グループの間の接続が関係の評価から逸脱するか、またはそれに失敗する場合、接続を示す線は、異なる色になるであろう（例えば、赤）。
【００９９】
図１５を参照すると、代替の例では、オペレータに、システムが取得し定義する一組のアセットを提示する。用いられ得る例は、参照によりその全体が本明細書に組み入れられる、「Ｓｙｓｔｅｍｓ  ａｎｄ  Ｍｅｔｈｏｄｓ  ｆｏｒ  Ｄｙｎａｍｉｃ  Ｎｅｔｗｏｒｋ  Ｓｅｃｕｒｉｔｙ  Ｃｏｎｔｒｏｌ  ａｎｄ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ」と題する、２０１４年１２月４日公開の米国特許出願公開第２０１４／０３５９７４９号明細書に記載されている。論理演算子およびアセットの属性を使用して、オペレータは、一組のアセットを選択または定義する。この例では、「Ｇｒｏｕｐ＝ＴｒｕｓｔＺｏｎｅ１」に基づく。この例のアセットの領域に基づいて、この論理式は、図示の二つのアセットを識別する。
【０１００】
図１６では、オペレータは、アクティブディレクトリサーバからの認証イベントから成るイベントストリームを選択する。三つの既存の関係は、このイベントストリームのためのシステム内に存在する。関係は、接続モデルの以前の分析に基づいて、デフォルトで提供され得るか（例えば、先験的に、本開示でインスタンス化された）、または、属性と評価を選択するプロセスを介して、オペレータにより前に生成される。関係は、例えば、図２３に示すもののように属性および評価から成る。論理演算を用いて、オペレータは、「Ｎａｍｅ＝Ｒｅｌａｔｉｏｎｓｈｉｐ３」に基づいて関係を選択し、したがって、明示的にＲｅｌａｔｉｏｎｓｈｉｐ３を選択する。Ｒｅｌａｔｉｏｎｓｈｉｐ３は、以下の属性および評価、すなわち、「Ｅｖｅｎｔ  Ｔｙｐｅ＝Ａｕｔｈ」、「Ｇｒｏｕｐ＝ＴｒｕｓｔＺｏｎｅｌ」、および「Ｕｓｅｒ＝［ａｌｉｃｅ、ｂｏｂ、Ｃｈａｒｌｅｓ］」を含む。以前の例と同様に、この関係は、セットデータを含む。
【０１０１】
各評価は、以下のように詳述される。すなわち、「Ｅｖｅｎｔ  Ｔｙｐｅ＝Ａｕｔｈ」は、種類「Ａｕｔｈ」の各イベントにとって、前記イベントストリーム  は、種類Ａｕｔｈのすべてのイベントであることを意味する。「Ｇｒｏｕｐ＝ＴｒｕｓＺｏｎｅ１」は、種類Ａｕｔｈの各イベントがＴｒｕｓｔＺｏｎｅ１のアセットに属するか、または「Ｇｒｏｕｐ＝ＴｒｕｓｔＺｏｎｅ１」を有する任意のアセットに属することを意味する。認証イベントで示されたユーザが、［ａｌｉｃｅ、ｂｏｂ、Ｃｈａｒｌｅｓ］の組にいる場合、該イベントは、ベースライン内にある。上述したように、オペレータは、ベースラインをインスタンス化する。ベースラインをインスタンス化することは、評価をイベントストリームに接続し、評価プロセスをインスタンス化の時に始める（例えば、すべてのその後のイベントの評価を始める）か、またはベースライン用の時間的設定に基づく以前保存したイベントのセットに関して始める。
【０１０２】
図１７は、選択されたアセットおよび関係を有するベースラインを示す。図１７に示すイベントストリームでは、時間Ｔ１５のイベントは、このイベントのユーザの属性が、「ｄａｎ」なので、ベースラインから逸脱する。「Ｕｓｅｒ＝ｄａｎ」の属性値の対は、エバリュエータ「Ｕｓｅｒ＝［ａｌｉｃｅ、ｂｏｂ、ｃｈａｒｌｅｓ］」で失敗する。この例は、本開示の実施形態が、異なる種類のイベントストリーム、この場合、単一のアセットに属する単項イベントをどのように評価できるかを示すが、以前の例では、イベントは二進法で、種類ＮｅｔＦｌｏｗのイベントとして二つのアセットに属する。この場合、二つの関係するアセットは、アクティブディレクトリサーバ「ＡＤＳｒｖ１」であり、ベースライン内で定義されたそれぞれの個々のアセットであったと言ってもよい。これは、任意である（すなわち、必ずしも必要ではない）が、本開示の可能な実施形態によって除外されない。
【０１０３】
図１７の下部に、本開示の実施形態によって作られた一つの可能な視覚化を示す。この種類のイベントストリームは、トポロジー図内のノードに関係し、したがって、逸脱を描写する色むらが、アセットの図の縁に提供される（例えば、色付き境界が、オペレータに示された長方形または他の形状の周囲に使用される）。
【０１０４】
代替の視覚化は、ＮｅｔＦｌｏｗの評価など二進法のイベントに関係するものでも、任意／すべてのグラフ表示内のＴｒｕｓｔＺｏｎｅなどのグループ構造に単純な濃淡または図解を加えることを含み得る。これは、特定のベースラインを視覚化のために選択するか否かにかかわらず、視覚化におけるベースラインからのすべてのドリフトの持続性を示す。
【０１０５】
図１８を参照すると、代替の例では、オペレータに、システムが取得し定義する一組のアセットを提示する。使用され得る例は、参照によりその全体が本明細書に組み込まれる、「Ｓｙｓｔｅｍｓ  ａｎｄ  Ｍｅｔｈｏｄｓ  ｆｏｒ  Ｄｙｎａｍｉｃ  ＮｅｔｗｏｒｋＳｅｃｕｒｉｔｙ  Ｃｏｎｔｒｏｌ  ａｎｄ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ」と題する、２０１４年１２月４日公開の米国特許出願公開第２０１４／０３５９７４９号明細書に記載される。
【０１０６】
論理演算子およびアセットの属性を使用して、オペレータは、一組のアセットを選択または定義する。この例では、「Ｇｒｏｕｐ＝ＴｒｕｓｔＺｏｎｅ１」に基づく。この例のアセットの領域に基づいて、この論理式は、図示の二つのアセットを識別する。この例では、アセットに対する異なる属性を示す。ＮａｍｅおよびＧｒｏｕｐの属性と共に、「Ａｓｓｅｔ  Ｐｏｒｔｓ」と呼ばれる新しい属性の種類が示される。これらの属性は、脆弱性検査ツールとの相互作用を通して割り当てられる。図示の通り、すべてのアセットが、これらの属性を割り当てられておらず、アセットが検査されていないことを示す。
【０１０７】
図１９は、一組の脆弱性検査ツール「Ａｐｐｌｉａｎｃｅ１」および「Ａｐｐｉｉａｎｃｅ２」からのイベントストリームを示す。上記イベントは、ポート番号によってリスニングサービスを識別する単純なポートスキャンの結果を示す。以前と同様に、オペレータに一組の既存の関係が提示され、属性「Ｄｅｔｅｃｔｅｄ  Ｐｏｒｔｓ」を有するすべての関係を選択したいことを示す（すなわち、属性の任意の値に対してこの属性を有するすべての関係を選択する）、論理演算「Ｄｅｔｅｃｔｅｄ  Ｐｏｒｔｓ」に基づいて一つを選択する。ここで、関係Ｒｅｌａｔｉｏｎｓｈｉｐ３を選択する。
【０１０８】
この関係には、エバリュエータ「Ｄｅｔｅｃｔｅｄ  Ｐｏｒｔｓ［］＝Ａｓｓｅｔ  Ｐｏｒｔｓ［］」がある。このエバリュエータは、ベースラインの各アセットに対するＡｓｓｅｔ  Ｐｏｒｔｓの属性の値に基づいてすべてのアセットに対するインスタンス化の際に投入される。本開示の代替の実施形態は、オペレータを促して、Ａｓｓｅｔ  Ｐｏｒｔの割り当てが選択されたアセットに存在することを示し、ベースラインをインスタンス化する前に再調査および修正のためオペレータに既存のＡｓｓｅｔ  Ｐｏｒｔ値の視覚化または一覧を提示することができる。この属性が一アセットに対して設定されていない場合には、エバリュエータは、この属性をゼロを含む任意の適切な値に設定する選択を有し、または代替で、該アセットの属性が、例えば、参照によりその出願の開示全体が本明細書に組み込まれる、「ＳＹＳＴＥＭＳ  ＡＮＤ  ＭＥＴＨＯＤＳ  ＦＯＲ  ＣＲＥＡＴＩＮＧ  ＡＮＤ  ＭＯＤＩＦＹＩＮＧ  ＡＣＣＥＳＳ  ＣＯＮＴＲＯＬ  ＬＩＳＴＳ」と題する、２０１６年３月１０日公開の米国特許出願公開第２０１６／００７２８１５号明細書に記載などの、その他の方法を介して設定されるように、他の方法を介して検査を立ち上げるであろう。上述したように、オペレータは、ベースラインをインスタンス化する。
【０１０９】
図２０は、二つのアセットおよび関係から成るベースラインを示す。時間Ｔ２６で、検査装置「Ａｐｐｌｉａｎｃｅ２」は、三つのオープンポート［４４３、３３８９、３７３３７］をアセットＺ１Ａｓｓｅｔ１上に検出するので、イベントストリーム内の時間Ｔ２６のイベントは、ベースラインから逸脱している。ベースラインは、動的にインスタンス化の際に定義された通り、Ｚ１Ａｓｓｅｔ１に対し［４４３，３３８９］と定義された「Ｄｅｔｅｃｔ  Ｐｏｒｔｓ」属性を有する。
【０１１０】
図２０の下部に、本開示の実施形態によって作られた一つの例示的な視覚化を示す。この種類のイベントストリームは、トポロジー図内のノードに関係し、したがって、逸脱を示す色むらがアセットの図の縁にある。代替の視覚化は、ＮｅｔＦｌｏｗの評価など二進法のイベントに関係するものでも、任意／すべてのグラフ表示内のＴｒｕｓｔＺｏｎｅなどのグループ構造に単純な濃淡または図解を加えることを含み得る。これは、特定のベースラインを視覚化のために選択するか否かにかかわらず、視覚化におけるベースラインからのすべてのドリフトの持続性を示す。
【０１１１】
上記の図への様々な参照を含む様々な実施形態が、制限ではなく、例証のため、以下で論じられる。一実施形態では、一方法は、それぞれが、少なくとも一つの属性（例えば、Ａｓｓｅｔ１に対する図７のＮａｍｅ）を含む、アセットに関する情報をアセット属性データベース内に保存すること、それぞれが、少なくとも一つの属性（例えば、図７のＲｅｌａｔｉｏｎｓｈｉｐ１のＰｒｏｔｏｃｏｌ、または図７のＲｅｌａｔｉｏｎｓｈｉｐ２のＰｏｒｔ）を含む関係に関する情報を関係データベース内に保存すること、少なくとも一つの属性値に基づいたアセット（例えば、論理ＯＲ演算子に基づいて、図７のＺ１Ａｓｓｅｔ１またはＺ４Ａｓｓｅｔ６のＮａｍｅの属性に対する値を有するアセットを選択すること）をアセット属性データベースから選択すること、少なくとも一つの属性値に基づいて、選択された関係が第一の関係を含む（例えば、図７の論理演算子ＡＮＤに基づいてＺ１Ａｓｓｅｔ１および  Ｚ４Ａｓｓｅｔ６両方の属性値を有するか関係を選択すること）、一つまたは複数の関係を関係データベースから選択すること、選択されたアセットおよび選択された関係（例えば、Ａｓｓｅｔ１およびＡｓｓｅｔ４、ならびに図７のＲｅｌａｔｉｏｎｓｈｉｐｓ３）を含むベースラインを生成すること、一組のイベントを含み、各イベントが属性（例えば、図８Ａ〜図８Ｂのイベントストリームの属性Ｓｏｕｒｃｅ  Ａｓｓｅｔ、または図１７の時間Ｔ１５で「ｄａｎ」の値を有する属性Ｕｓｅｒ）を含む第一のイベントストリーム（例えば、図８Ａ〜図８Ｂの時間Ｔ１から時間Ｔ４の間の一連のイベント）をベースラインに接続すること、およびベースラインから、上記第一のイベントストリームを用いて判定され、上記第一のイベントストリームの第一のイベント内の少なくとも一つの属性値の失敗に基づいて、上記第一の関係の少なくとも一つの属性値と一致するドリフトを検出すること（本実施形態では、評価は一致し、一致は関係の評価で失敗する）（例えば、図７の時間Ｔ４で、イベントストリーム内のＳｏｕｒｃｅ  Ａｓｓｅｔに対するＺ４Ａｓｓｅｔ７の値が、ＳｏｕｒｃｅＡｓｓｅｔエバリュエータに特定された値と一致しないので、Ｒｅｌａｔｉｏｎｓｈｉｐ３のエバリュエータ「Ｓｏｕｒｃｅ  Ａｓｓｅｔ＝Ｚ４Ａｓｓｅｔ６」の評価は、失敗する）、を含む。評価を実施するために使用されるエバリュエータの別の例は、図１７のＲｅｌａｔｉｏｎｓｈｉｐ３のエバリュエータＵｓｅｒ＝［ａｌｉｃｅ、ｂｏｂ、Ｃｈａｒｌｅｓ］である。
【０１１２】
一実施形態では、第一のイベントストリームを接続することは、各イベントに含まれるデータ構造を評価を実施するソフトウェアに提示するプログラミングによって実施され得る。
【０１１３】
一実施形態では、ドリフトをベースラインから検出することは、数学的理論、集合論、または機械学習方法を含むが、それに限定されない、任意の適切な技術によってイベント内でデータを評価するプログラミングによって実施され得る。
【０１１４】
一実施形態では、上記方法は、上記第一のイベントストリームを含む複数のイベントストリームからの情報を少なくとも一つのデータベースに記録することをさらに含む。
【０１１５】
一実施形態では、ベースラインを生成することは、属性値に基づいてアセットを選択することおよび属性値に基づいて関係を選択することを含む。
【０１１６】
一実施形態では、上記方法は、警報方針を定義すること、およびドリフトの検出に応じて、警報方針に基づいて警報を発することをさらに含む。
【０１１７】
一実施形態では、上記方法は、選択された関係内の属性に対応する評価に基づいて、上記第一のイベントストリームの各イベントを評価することをさらに含む。
【０１１８】
一実施形態では、上記第一の関係は、上記第一の属性に対応する第一の属性および第一の評価を含み、上記ドリフトを検出することは、上記イベントストリーム内の第一のイベントからの上記第一の属性に対するイベントデータを評価すること、および上記評価されたイベントデータが上記評価を失敗すると判定することをさらに含む。
【０１１９】
一実施形態では、上記第一のイベントは、上記選択された関係を使用して評価されるデータを含み、そこで、該データは、ソースポート、宛先ポート、ソースアセット、宛先アセット、ソースグループ、または宛先グループのうちの少なくとも一つである。
【０１２０】
一実施形態では、上記選択された関係はそれぞれ、イベントの種類を有する少なくとも一つのイベントストリームを参照し、そこで、各イベントストリームの該イベントの種類は、フロー（例えば、図７のＲｅｌａｔｉｏｎｓｈｉｐ３のＥｖｅｎｔ  Ｔｙｐｅ＝Ｆｌｏｗ）、認証、またはポートスキャンである。
【０１２１】
一実施形態では、上記第一の関係のイベントの種類は、認証であり、上記第一の関係は、一組の正規ユーザに対応するユーザの属性を含む。
【０１２２】
一実施形態では、ドリフトを検出することは、一組の正規ユーザにはないユーザによるログオンを含むイベントの評価に少なくとも部分的に基づく。
【０１２３】
一実施形態では、それぞれの選択された関係は、ポートスキャンのイベントの種類を有するイベントストリームを参照し、それぞれの選択された関係は、上記選択された関係をインスタンス化したときに決定される属性値を有する検出されたポートの属性を含む。
【０１２４】
一実施形態では、上記第一の関係は、アセットの第一のグループに対応する値を有する属性を含み、第一のアセットは、上記第一のグループと一致する属性値を有するアセットの選択に基づく選択されたアセットに含まれる。
【０１２５】
一実施形態では、各選択された関係の各属性は、アセットの属性、イベントの属性、アセットの属性またはイベントの属性の評価からの少なくとも一つの値を使用して値を取得する属性（例えば、ＩＰＦｉｘ記録当たり計算された移動平均バイト数を表す図６Ａ〜図６ＢのＡｔｔｒｉｂｕｔｅ５）、または値をアセットの属性およびイベントの属性それぞれの評価からの少なくとも一つの値を使用して取得する属性である（例えば、アセットに関連付けられたＩＰＦｉｘ記録の平均バイト数は、時間と共に属性値として保存され得、平均値、並数、または平均など数学的手段によって観察された接続の移動バイト数と比較され得る）。
【０１２６】
一実施形態では、上記選択された関係を、論理演算子を用いて、アセットのグループを識別する属性値を指定することに基づいて選択し、そこでは、上記値と等しいグループの属性を含む各関係を、図１０Ａ〜図１０Ｂに示すように選択する。
【０１２７】
一実施形態では、各イベントは、イベントが起きた時間に基づく値（例えば、図７の時間Ｔ１に対応する値）を有する時間の属性を含み、そこでは、選択された関係の少なくとも一つの属性に対応するイベントの評価は、上記時間を一つまたは複数の時間的範囲と比較することを含む。
【０１２８】
一実施形態では、上記選択されたアセットの各アセットは、アセットポートの属性（例えば、図２０のＡｓｓｅｔ１のＡｓｓｅｔ  Ｐｏｒｔｓ）を含み、上記第一のイベントストリームは、一組の脆弱性検査ツール（例えば、図２０のＡｐｐｌｉａｎｃｅ１およびＡｐｐｌｉａｎｃｅ２）からもたらされ、上記第一のイベントストリームの各イベントは、検出されたポート（例えば、時間Ｔ２４〜Ｔ２６の上記イベントストリームのＤｅｔｅｃｔｅｄ  Ｐｏｒｔｓ）に対するポート数を識別するポートスキャンからのデータを含む。
【０１２９】
一実施形態では、上記それぞれの選択された関係をインスタンス化するとき、上記選択された関係それぞれの検出されたポートの属性に対する属性値は、上記選択されたアセットのアセットポートの属性に対する値に基づき、そこでは、ドリフトを検出することは、図２０に示すように、上記選択されたアセットの第一のアセットに対する第一のイベント内の検出されたポートの失敗に基づいて、ベースライン内の上記第一の関係内の上記第一のアセットに対する検出されたポートに一致する。
【０１３０】
一実施形態では、第一の関係は、取得された属性を含み、上記取得された属性は、それぞれがイベントの種類のフローを有する第一の複数のイベントからのデータを用いて判定された値を有し（例えば、イベントの種類ＩＰＦｉｘによって表された接続時のデータバイトの数を表す、図６Ａ〜図６Ｂの表のＢｙｔｅ  Ｃｏｕｎｔ）、第一の複数のイベントからのデータは、第一の関係の属性に対応する数学的評価において使用されて、取得された属性の値（例えば、フロー当たりの平均データバイトを示す、図６Ａ〜図６ＢのＲｅｌａｔｉｏｎｓｈｉｐ１のＡｔｔｒｉｂｕｔｅ６）を計算する。
【０１３１】
一実施形態では、第一の関係は、第一のイベントの種類のイベントストリームを参照し、第一の関係は、第一の属性および第二の属性をさらに含む。そこで、第一の関係は、第一の属性を評価して、第一の値を提供し、第二の属性を評価して、第二の値を提供し、第一の値および第二の値は、第一のイベントストリーム内の第一のイベントの種類のイベントのデータから数学的に取得される。
【０１３２】
一実施形態では、選択された関係は、第一のイベントの種類と異なる第二のイベントの種類の第二のイベントストリームを参照する第二の関係をさらに含み、第二の関係は、第三の属性および第四の属性をさらに含む。そこでは、第二の関係は、第三の属性を評価して、第三の値を提供し、第四の属性を評価して第四の値を提供し、第三の値および第四の値はそれぞれ、第二のイベントストリーム内の第二のイベントの種類のイベントのデータから数学的に取得され、第二の関係の評価は、第二のイベントストリーム内のイベントのデータが評価に準拠するかの判定を含み、第一の関係および第二の関係は、第一の関係および第二の関係の両方の属性に対する評価に基づいてドリフトを検出するために使用される。
【０１３３】
図２７は、様々な実施形態と共に使用可能なシステムのブロック図を示す。図２７は、コンピュータシステムの様々な構成要素を示すが、任意の特定のアーキテクチャまたは構成要素を相互接続する方法を表すことを意図してしない。より少ないまたはより多い構成要素を有する他のシステムも使用可能である。
【０１３４】
図２７では、システム８００は、プロセッサ８１２、メモリ８１４、およびユーザインタフェース８１６を備えるホストコンピュータシステム８１０を含む。ホストコンピュータシステム８１０は、任意の数の異なるプロセッサ、メモリ構成部品、およびユーザインタフェース構成部品を含み得るが、本開示の実施形態に関連する任意の他の所望のシステムおよびデバイスと相互作用し得る。
【０１３５】
図２４に示す方法を（すべてまたは部分的に）含むホストシステム８１０の機能はシステム８１０のメモリ８１４内に保存されたコンピュータ可読命令を実行するプロセッサ８１２を介して実施され得る。メモリ８１４は、ソフトウェアアプリケーションおよび組み込みオペレーティングコードを含む任意のコンピュータ可読命令およびデータを保存することができる。
【０１３６】
本開示の実施形態と共に動作するホストシステム８１０または他のシステムおよびデバイスの機能はまた、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）および／またはコンプレックスプログラマブルロジックデバイス（ＣＰＬＤ）など、機械可読命令を保存する様々なハードウェア構成要素を介して実施され得る。いくつかの実施形態の態様によるシステムは、ソフトウェアおよび／またはハードウェア構成要素の任意の所望の組み合わせと共に動作することができる。プロセッサ８１２は、メモリ８１４内に保存された命令を取得かつ実行して、システム８１０の動作を制御する。集積回路マイクロプロセッサ、マイクロコントローラ、および／またはデジタル信号プロセッサ（ＤＳＰ）などの任意の種類のプロセッサを、本開示の実施形態と共に使用することができる。本開示の実施形態と共に動作するメモリ８１４は、ハードドライブ、ランダムアクセスメモリ（ＲＡＭ）、読み出し専用メモリ（ＲＯＭ）、フラッシュメモリ、あるいは任意の他の種類の揮発性および／または不揮発性メモリなどの異なるメモリ記憶デバイスの任意の組み合わせを含み得る。データは、任意の所望の方法で、メモリ８１４内に保存できる。
【０１３７】
ホストシステム８１０は、コマンド、データ、およびユーザからの他の適切な入力を受信するための任意の数の入力装置（図示せず）、ならびにデータ、通知、および他の適切な情報をユーザに提供するための任意の数の出力装置（図示せず）を含み得るユーザインタフェース８１６を含む。典型的なＩ／Ｏデバイスには、マウス、キーボード、モデム、ネットワークインタフェース、プリンタ、スキャナ、ビデオカメラおよび他の装置が含まれ得る。
【０１３８】
ホストシステム８１０は、一つまたは複数のクライアント装置８２０ならびに他のシステムおよびデバイスと、ネットワーク８３０経由を含む任意の所望の方法で、通信可能である。クライアント装置８２０は、本開示のシステムおよび方法と共に動作する任意の計算装置を含み得る。クライアント装置８２０は、ラップトップコンピュータ、デスクトップコンピュータ、移動加入者通信装置、移動電話、携帯情報端末（ＰＤＡ）、タブレットコンピュータ、電子ブックもしくはブックリーダー、デジタルカメラ、ビデオカメラ、据え置き型ゲーム装置、および／または任意の他の適切な計算装置であり得るか、またはそれを含み得る。
【０１３９】
ネットワーク８３０は、任意の電子通信システムまたは方法を含み得る。本開示の実施形態と共に動作する構成要素間の通信は、例えば、電話ネットワーク、エクストラネット、イントラネット、インターネット、ポイントオブインタラクションデバイス（ｐｏｉｎｔ  ｏｆ  ｉｎｔｅｒａｃｔｉｏｎ  ｄｅｖｉｃｅ）（販売時点管理装置、携帯情報端末（例えば、ｉＰｈｏｎｅ（登録商標）、Ｐａｌｍ  Ｐｉｌｏｔ（登録商標）、Ｂｌａｃｋｂｅｒｒｙ（登録商標）、携帯電話、キオスクなど）、オンライン通信、衛星通信、オフライン通信、無線通信、トランスポンダ通信、ローカルエリアネットワーク（ＬＡＮ）、広域ネットワーク（ＷＡＮ）、仮想プライベートネットワーク（ＶＰＮ）、ネットワーク化もしくはリンク化装置、キーボード、マウスおよび／または任意の適切な通信もしくはデータ入力モダリティなどの任意の適切な通信方法を用いて実施することができる。本開示のシステムおよびデバイスは、ＴＣＰ／ＩＰ通信プロトコルならびにＩＰＸ、アップルトーク、ＩＰ−６、ＮｅｔＢＩＯＳ、ＯＳＩ、任意のトンネリングプロトコル（例えば、ＩＰｓｅｃ、ＳＳＨ）、または任意の数の既存もしくは将来のプロトコルを使用することができる。
【０１４０】
様々な機能をウェブブラウザおよび／またはウェブブラウザを利用してインタフェース接続するアプリケーションを介して実施することができる。こうしたブラウザアプリケーションは、様々な機能を実施する演算器またはシステム内にインストールされたインターネットブラウジングソフトウェアを含み得る。これらの演算器またはシステムは、コンピュータまたはコンピュータのセットの形態を取ることができ、ラップトップ、ノートブック、タブレット、ハンドヘルドコンピュータ、携帯情報端末、セットトップボックス、ワークステーション、コンピュータサービス、メーンフレームコンピュータ、ミニコンピュータ、ＰＣサーバ、パーペイシブコンピュータ、コンピュータのネットワークセット、パーソナルコンピュータおよびタブレットコンピュータ、ｉＰａｄ（登録商標）、ｉＭＡＣ、およびＭａｃＢｏｏｋ、キオスク、端末、ポイントオブセール（ＰＯＳ）装置および／または端末、テレビ、あるいはネットワーク上でデータを受信可能な任意の他の装置などを含む任意の種類の計算装置またはシステムを使用できる。様々な実施形態は、マイクロソフトインターネットエクスプローラ、Ｍｏｚｉｌｌａ  Ｆｉｒｅｆｏｘ、Ｇｏｏｇｌｅ  Ｃｈｒｏｍｅ、Ａｐｐｌｅ  Ｓａｆａｒｉ、またはインターネットのブラウジング用に入手可能な任意の他の無数のソフトウェアパッケージを使用できる。
【０１４１】
様々な実施形態は、任意の適切なオペレーティングシステム（例えば、ウィンドウズ（登録商標）ＮＴ、９５／９８／２０００／ＣＥ／Ｍｏｂｉｌｅ、ＯＳ２、ＵＮＩＸ（登録商標）、Ｌｉｎｕｘ（登録商標）、Ｓｏｌａｒｉｓ、ＭａｃＯＳ、ＰａｌｍＯＳなど）、ならびにコンピュータと典型的に関連する様々な従来のサポートソフトウェアおよびドライバと共に動作することができる。様々な実施形態は、任意の適切なパーソナルコンピュータ、ネットワークコンピュータ、ワークステーション、携帯情報端末、携帯電話、スマートフォン、ミニコンピュータ、またはメインフレームなどを含むことができる。実施形態は、セキュアソケットレイヤ（ＳＳＬ）、トランスポート層セキュリティ（ＴＬＳ）、およびセキュアシェル（ＳＳＨ）などのセキュリティプロトコルを実装できる。実施形態は、ｈｔｔｐ、ｈｔｔｐｓ、ｆｔｐ、およびｓｆｔｐを含む任意の所望のアプリケーション層プロトコルを実装できる。
【０１４２】
様々な構成要素、モジュール、および／またはエンジンをマイクロアプリケーションまたはマイクロアプリとして実装できる。マイクロアプリは、通常、例えば、Ｐａｌｍモバイルオペレーティングシステム、ウィンドウズモバイルオペレーティングシステム、Ａｎｄｒｏｉｄオペレーティングシステム、Ａｐｐｌｅ  ｉＯＳ、およびＢｌａｃｋｂｅｒｒｙオペレーティングシステムなどを含むモバイルオペレーティングシステムの環境で、配備される。マイクロアプリは、様々なオペレーティングシステムの動作およびハードウェアリソースを管理する一組のあらかじめ設定された規則を介してより大きいオペレーティングシステムおよび関連するハードウェアのリソースを活用するように構成され得る。例えば、マイクロアプリが、モバイルデバイスまたはモバイルオペレーティングシステム以外のデバイスまたはネットワークと通信したい場合、マイクロアプリは、モバイルオペレーティングシステムのあらかじめ決定された規則の下でオペレーティングシステムの通信プロトコルおよび関連するデバイスのハードウェアを活用することができる。さらに、マイクロアプリが、ユーザからの入力を望む場合、マイクロアプリは、様々なハードウェア構成要素を監視するオペレーティングシステムからの応答を要求するように構成することができ、そしてハードウェアからマイクロアプリへ検出された入力を通信する。
【０１４３】
本明細書で使用される、用語「ネットワーク」には、任意のクラウド、クラウドコンピューティングシステムまたは電子通信システムもしくはハードウェア構成要素および／またはソフトウェア構成要素を組み入れる方法が含まれる。関係者間の通信は、例えば、電話ネットワーク、エクストラネット、イントラネット、インターネット、ポイントオブインタラクションデバイス（販売時点管理装置、携帯情報端末（例えば、ｉＰｈｏｎｅ（登録商標）、Ｐａｌｍ  Ｐｉｌｏｔ（登録商標）、Ｂｌａｃｋｂｅｒｒｙ（登録商標）、携帯電話、キオスクなど）、オンライン通信、衛星通信、オフライン通信、無線通信、トランスポンダ通信、ローカルエリアネットワーク（ＬＡＮ）、広域ネットワーク（ＷＡＮ）、仮想プライベートネットワーク（ＶＰＮ）、ネットワーク化もしくはリンク化装置、キーボード、マウスおよび／または任意の適切な通信もしくはデータ入力モダリティなどの、任意の適切な通信チャネルを介して、達成することができる。システムは、ＴＣＰ／ＩＰ通信プロトコルならびにＩＰＸ、アップルトーク、ＩＰ−６、ＮｅｔＢＩＯＳ、ＯＳＩ、任意のトンネリングプロトコル（例えば、ＩＰｓｅｃ、ＳＳＨ）、または任意の数の既存のもしくは将来のプロトコルを使用することができる。インターネットとの接続に使用されるプロトコル、規格、およびアプリケーションソフトウェアに関する特定の情報は、一般に同業者には既知であり、したがって、本明細書で詳述する必要はない。
【０１４４】
様々なシステムの構成要素は、例えば、通常、標準的モデム通信、ケーブルモデム、衛星ネットワーク、ＩＳＤＮ、デジタル加入者回線（ＤＳＬ）、または様々な無線通信方法と共に使用されるように、ローカルループ上のインターネットサービスプロバイダ（ＩＳＰ）への接続を含むデータリンクを介して、独立して、別々にまたはまとめて、適切にネットワークに結合され得る。ネットワークは、双方向テレビ（ＩＴＶ）ネットワークなどの、他の種類のネットワークとして、実装されうることに留意されたい。
【０１４５】
システムは、部分的または完全にクラウドコンピューティングを用いて実装することができる。「クラウド」または「クラウドコンピューティング」は、最小限の経営努力またはサービスプロバイダの相互作用ですばやく供給および放出可能である構成可能なコンピューティングリソース（例えば、ネットワーク、サーバ、記憶装置、アプリケーション、およびサービス）の共用プールへの便利な、オンデマンドのネットワークアクセスを可能にする模範を含む。クラウドコンピューティングは、場所から独立したコンピューティングを含むことができるので、共有サーバは、リソース、ソフトウェア、およびデータをコンピュータおよび他の装置にオンデマンドで供給する。
【０１４６】
様々な実施形態は、ウェブサービス、ユーティリティコンピューティング、パーベイシブコンピューティングおよび個別化コンピューティング、セキュリティソリューションおよびアイデンティティソリューション、自律コンピューティング、クラウドコンピューティング、コモディティコンピューティング、モビリティソリューションおよび無線ソリューション、オープンソース、バイオメトリクス、グリッドコンピューティングおよび／またはメッシュコンピューティングと共に使用することができる。
【０１４７】
本明細書で論じられる任意のデータベースは、リレーショナル、階層的、グラフィック、あるいはオブジェクト指向構造および／または任意の他のデータベース構成を含み得る。さらに、データベースは、例えば、データテーブルまたはルックアップテーブルとして、任意の適切な方法で、組織され得る。各記録は、単一ファイル、一連のファイル、リンク化した一連のデータフィールドまたは任意の他のデータ構造であり得る。特定のデータ結合は、同業者には既知の実践されるものなどの任意の所望のデータ結合技術を介して達成され得る。例えば、結合は、手動または自動のどちらかで達成され得る。
【０１４８】
任意のデータベース、システム、デバイス、サーバまたは他のシステムの構成要素は、単一の場所または複数の場所でのそれらの任意の組み合わせから成ることができ、各データベースまたはシステムは、ファイアウォール、アクセスコード、暗号化、復号、圧縮、および／または解凍などの様々な適切なセキュリティ機能のいずれかを含む。
【０１４９】
暗号化は、例えば、Ｔｗｏｆｉｓｈ、ＲＳＡ、Ｅｌ  Ｇａｍａｌ、Ｓｃｈｏｒｒ  ｓｉｇｎａｔｕｒｅ、ＤＳＡ、ＰＧＰ、ＰＫＩ、ならびに対称および非対称の暗号法など、現在同業者に入手可能な技術または入手可能になり得る技術のいずれかにより実施され得る。
【０１５０】
実施形態は、標準ダイアルアップ、ケーブル、ＤＳＬまたは同業者に既知の任意の他のインターネットプロトコルを用いて、インターネットまたはイントラネットに接続できる。他のネットワークのユーザからの不正アクセスを防ぐため、トランザクションは、ファイアウォールを通過することができる。
【０１５１】
本明細書で論じるコンピュータは、適切なウェブサイトまたはユーザがアクセス可能なその他のインターネットベースのグラフィックユーザインタフェースを提供できる。例えば、Ｍｉｃｒｏｓｏｆｔ  Ｉｎｔｅｒｎｅｔ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｓｅｒｖｅｒ（ＩＩＳ）、Ｍｉｃｒｏｓｏｆｔ  Ｔｒａｎｓａｃｔｉｏｎ  Ｓｅｒｖｅｒ（ＭＴＳ）、およびＭｉｃｒｏｓｏｆｔ  ＳＱＬ  Ｓｅｒｖｅｒは、Ｍｉｃｒｏｓｏｆｔオペレーティングシステム、Ｍｉｃｒｏｓｏｆｔ  ＮＴウェブサーバソフトウェア、Ｍｉｃｒｏｓｏｆｔ  ＳＱＬ  Ｓｅｒｖｅｒデータベースシステム、およびＭｉｃｒｏｓｏｆｔ  Ｃｏｍｍｅｒｃｅ  Ｓｅｒｖｅｒと共に使用することができる。さらに、ＡｃｃｅｓｓまたはＭｉｃｒｏｓｏｆｔ  ＳＱＬ  Ｓｅｒｖｅｒ、Ｏｒａｃｌｅ、Ｓｙｂａｓｅ、Ｉｎｆｏｒｍｉｘ  ＭｙＳＱＬ、Ｉｎｔｅｒｂａｓｅなどの構成要素を使用して、Ａｃｔｉｖｅ  Ｄａｔａ  Ｏｂｊｅｃｔ（ＡＤＯ）準拠のデータベース管理システムを提供できる。別の例では、ＡｐａｃｈｅウェブサーバをＬｉｎｕｘオペレーティングシステム、ＭｙＳＱＬデータベース、ならびにＰｅｒｌ、ＰＨＰ、および／またはＰｙｔｈｏｎプログラミング言語と共に使用することができる。
【０１５２】
本明細書で論じる通信、入力、記憶、データベースまたはディスプレイのいずれかを、ウェブページを有するウェブサイトを介して容易にできる。本明細書で使用される、用語「ウェブページ」は、ユーザと対話するために使用され得るドキュメントおよびアプリケーションの種類を制限することを意図しない。例えば、通常のウェブサイトは、標準ＨＴＭＬドキュメントに加えて、様々なフォーム、Ｊａｖａアプレット、ＪａｖａＳｃｒｉｐｔ、ａｃｔｉｖｅ  ｓｅｒｖｅｒ  ｐａｇｅｓ  （ＡＳＰ）、ゲートウェイインタフェース規格準拠スクリプト（ＣＧＩ）、拡張マークアップ言語（ＸＭＬ）、ダイナミックＨＴＭＬ、カスケーディングスタイルシート（ＣＳＳ）、ＡＪＡＸ（Ａｓｙｎｃｈｒｏｎｏｕｓ  Ｊａｖａｓｃｒｉｐｔ  Ａｎｄ  ＸＭＬ）、ヘルパーアプリケーション、およびプラグインなどを含み得る。サーバは、ＵＲＬおよびＩＰアドレスを含むウェブサーバからの要求を受け取るウェブサービスを含み得る。ウェブサーバは、適切なウェブページを取得し、ウェブページへのデータまたはアプリケーションをＩＰアドレスに送信する。ウェブサービスは、インターネットなどの通信手段上で他のアプリケーションと対話することができるアプリケーションである。
【０１５３】
様々な実施形態は、ブラウザベースの書類内でデータを表示する任意の所望の数の方法を用いることができる。例えば、データは、標準テキストとして、または固定されたリスト、スクロール可能なリスト、ドロップダウンリスト、編集可能なテキストフィールド、固定されたテキストフィールド、およびポップアップウィンドウなどの中に表わすことができる。同様に、実施形態は、例えば、キーボードを使用するフリーテキストの入力、メニュー項目、チェックボックス項目、およびオプションボックス項目の選択などのウェブページ内のデータを修正する任意の所望の数の方法を使用することができる。
【０１５４】
本明細書に示す例示的なシステムおよび方法を、機能ブロック構成要素、スクリーンショット、任意選択および様々な処理ステップに関して説明することができる。こうした機能ブロックは、特定の機能を実施するように構成された任意の数のハードウェア構成要素および／またはソフトウェア構成要素によって実現され得ることを理解されたい。例えば、システムは、一つまたは複数のマイクロプロセッサまたは他の制御デバイス制御の下で様々な機能を実行できる、例えば、メモリ要素、処理要素、論理要素、およびルックアップテーブルなど、様々な集積回路部品を使用できる。同様に、システムのソフトウェア要素は、Ｃ、Ｃ＋＋、Ｃ＃、Ｊａｖａ（登録商標）、ＪａｖａＳｃｒｉｐｔ（登録商標）、ＶＢＳｃｒｉｐｔ、Ｍａｃｒｏｍｅｄｉａ  Ｃｏｌｄ  Ｆｕｓｉｏｎ、ＣＯＢＯＬ、Ｍｉｃｒｏｓｏｆｔ  Ａｃｔｉｖｅ  Ｓｅｒｖｅｒ  Ｐａｇｅｓ、ａｓｓｅｍｂｌｙ、ＰＥＲＬ、ＰＨＰ、ａｗｋ、Ｐｙｔｈｏｎ、Ｖｉｓｕａｌ  Ｂａｓｉｃ、ＳＱＬ  Ｓｔｏｒｅｄ  Ｐｒｏｃｅｄｕｒｅｓ、ＰＬ／ＳＱＬ、任意のＵＮＩＸシェルスクリプト、および様々なアルゴリズムがデータ構造、オブジェクト、プロセス、ルーチン、またはその他のプログラミング要素の任意の組み合わせで実装された拡張マークアップ言語（ＸＭＬ）などの任意のプログラミング言語またはスクリプト言語で実装され得る。さらに、システムは、データ伝送、信号通信、データ処理、およびネットワーク制御などに任意の数の従来の技術を使用できることを留意されたい。そしてさらに、システムを使用して、ＪａｖａＳｃｒｉｐｔまたはＶＢＳｃｒｉｐｔなどのクライアント側のスクリプト言語でセキュリティ問題を検出または防止することができる。
【０１５５】
同業者なら理解するように、システムは、既存のシステム、アドオン製品、アップグレードされたソフトウェアを実行する処理装置、スタンドアロンシステム、分散システム、方法、データ処理システム、データ処理用デバイス、および／またはコンピュータプログラム製品のカスタマイゼーションとして実現され得る。したがって、システムまたはモジュールの任意の部分は、コードを実行する処理装置、インターネットベースの実施形態、完全なハードウェア実施形態、またはインターネット、ソフトウェアおよびハードウェアの態様を組み合わせる実施形態の形態を取ることができる。さらに、システムは、記憶媒体内で実現されるコンピュータ可読プログラムコード手段を有するコンピュータ可読記憶媒体上のコンピュータプログラム製品の形態を取ることができる。任意の適切なコンピュータ可読記憶媒体は、ハードディスク、ＣＤ−ＲＯＭ、光記憶装置、および／または磁気記憶装置などを含んで、使用され得る。
【０１５６】
システムおよび方法は、様々な実施形態による、方法、装置（例えば、システム）、およびコンピュータプログラム製品のスクリーンショット、ブロック図および流れ図を参照して、本明細書にて説明される。ブロック図および流れ図の各機能ブロックおよびブロック図および流れ図内の機能ブロックの組み合わせはそれぞれ、コンピュータプログラム命令によって実施され得ることが理解されよう。
【０１５７】
これらのコンピュータプログラム命令は、汎用コンピュータ、専用コンピュータ、またはその他のプログラム可能なデータ処理装置にロードされて、コンピュータまたはその他のプログラム可能なデータ処理装置上で実行する命令が、流れ図の一つまたは複数のブロック内に明示された機能を実施する手段を作るように、機械を生成することができる。これらのコンピュータプログラム命令はまた、コンピュータ可読メモリ内に保存することができ、コンピュータまたはその他のプログラム可能なデータ処理装置に指示して、コンピュータ可読メモリに保存された命令が、流れ図の一つまたは複数のブロック内に明示された機能を実施する命令手段を含む製品を作るように、特定の方法で機能することができる。コンピュータプログラム命令はまた、コンピュータまたはその他のプログラム可能なデータ処理装置にロードされて、コンピュータまたはその他のプログラム可能な装置上で実行する命令が、フローチャートの一つまたは複数のブロック内に明示された機能を実施するステップを提供するように、コンピュータまたはその他のプログラム可能な装置上で実施される一連の動作ステップにコンピュータ実施されるプロセスを作らせることができる。
【０１５８】
したがって、ブロック図および流れ図の機能ブロックは、明示された機能を実施する手段の組み合わせ、明示された機能を実施するステップの組み合わせ、および明示された機能を実施するプログラム命令手段を支持する。ブロック図および流れ図の各機能ブロックおよびブロック図および流れ図内の機能ブロックの組み合わせは、明示された機能またはステップを実施する専用ハードウェアベースのコンピュータシステムまたは専用ハードウェアおよびコンピュータ命令の適切な組み合わせのいずれかによって実施され得ることもまた理解されよう。さらに、プロセスフローの図示およびその説明は、ユーザのウィンドウ、ウェブページ、ウェブサイト、ウェブフォーム、プロンプトなどに言及してもよい。専門家なら本明細書に記載の図示のステップは、ウィンドウ、ウェブページ、ウェブフォーム、ポップアップウィンドウ、およびプロンプトなどの使用を含む任意の数の構成を含み得ることを理解するであろう。図示され説明される複数のステップは、単一のウェブページおよび／またはウィンドウに結合され得るが、単純化のため拡張されていることをさらに理解されたい。他の場合には、単一プロセスのステップとして図示され説明されるステップは、複数のウェブページおよび／またはウィンドウに分離され得るが、単純化のため組み合わせられている。
【０１５９】
用語「非一過性」は、伝播する一過性信号自体だけを請求項の範囲から除去し、一過性信号自体だけを伝播していないすべての標準のコンピュータ可読記憶媒体に対する権利を放棄しないと理解されたい。言い換えると、用語「非一過性コンピュータ可読媒体」の意味は、米国特許法第１０１条に基づいて特許を受けることができる主題の範囲外であるとＩｎ  Ｒｅ  Ｎｕｉｊｔｅｎで分かった、一過性コンピュータ可読媒体のこれらの種類のみを除外すると解釈されるべきである。
【０１６０】
利益、その他の利点、および問題に対する解決策は、特定の実施形態に関して本明細書に記載されている。しかし、利益、利点、問題に対する解決策、および任意の利益、利点またはより明白に起こるもしくはより明白になる解決策を生じ得る任意の要素は、本開示の重大な、必須の、または本質的な特徴または要素と解釈されるべきではない。
【０１６１】
本開示は方法を含むが、磁気または光学メモリあるいは磁気または光ディスクなどの有形コンピュータ可読担体上のコンピュータプログラム命令として実現され得ることを意図する。同業者には既知の上述の例示的な実施形態の構成要素に対するすべての構造的、化学的、および機能的等価物は、参照により本明細書に明示的に組み込まれ、本特許請求の範囲に包含されることが意図される。さらに、装置または方法は、本開示により解決しようとしたあらゆる問題を対象とする必要はなく、それは本特許請求の範囲に包含されるものである。さらに、本開示の構成要素、構成部品、または方法ステップのいずれも、構成要素、構成部品、または方法ステップが本特許請求の範囲に明示的に列挙されているかどうかに関わらず、公衆に献呈されたと意図しない。構成要素が、語句「の手段」を用いて明示的に列挙されていない場合、本明細書のいずれの請求項の要素も、米国特許法第１１２条６段落の条項に基づいて解釈される。本明細書で使用される、用語「含む（ｃｏｍｐｒｉｓｅ）」、「含んでいる（ｃｏｍｐｒｉｓｉｎｇ）」または任意の他のその変形は、構成要素の一覧を含むプロセス、方法、品目、または装置がこれらの構成要素を含まないだけでなく、明確にリスト化されてない、またはこうしたプロセス、方法、品目、または装置に固有でない他の構成要素も含むことができるように非排他的包含を含むことを意図する。
【０１６２】
変化および変更が、本開示の範囲から逸脱しない限り、開示された実施形態になされてもよい。これらおよび他の変化または変更は、以下の特許請求の範囲に明示される通り、本開示の範囲内に含まれることが意図される。
【図１】
2020511098.tif 000003
【図２】
2020511098.tif 000004
【図３Ａ】
2020511098.tif 000005
【図３Ｂ】
2020511098.tif 000006
【図４】
2020511098.tif 000007
【図５Ａ】
2020511098.tif 000008
【図５Ｂ】
2020511098.tif 000009
【図６Ａ】
2020511098.tif 000010
【図６Ｂ】
2020511098.tif 000011
【図７】
2020511098.tif 000012
【図８Ａ】
2020511098.tif 000013
【図８Ｂ】
2020511098.tif 000014
【図９Ａ】
2020511098.tif 000015
【図９Ｂ】
2020511098.tif 000016
【図１０Ａ】
2020511098.tif 000017
【図１０Ｂ】
2020511098.tif 000018
【図１１Ａ】
2020511098.tif 000019
【図１１Ｂ】
2020511098.tif 000020
【図１１Ｃ】
2020511098.tif 000021
【図１２】
2020511098.tif 000022
【図１３】
2020511098.tif 000023
【図１４Ａ】
2020511098.tif 000024
【図１４Ｂ】
2020511098.tif 000025
【図１５】
2020511098.tif 000026
【図１６】
2020511098.tif 000027
【図１７】
2020511098.tif 000028
【図１８】
2020511098.tif 000029
【図１９】
2020511098.tif 000030
【図２０】
2020511098.tif 000031
【図２１】
2020511098.tif 000032
【図２２】
2020511098.tif 000033
【図２３】
2020511098.tif 000034
【図２４】
2020511098.tif 000035
【図２５】
2020511098.tif 000036
【図２６】
2020511098.tif 000037
【図２７】
2020511098.tif 000038
【図２８】
2020511098.tif 000039
【図２９】
2020511098.tif 000040
【国際調査報告】
2020511098.tif 000041
2020511098.tif 000042