"イベントの評価のための方法であって、計算装置により、一組の時間順に並べられたイベントのシーケンスを含むユーザ固有の基準ベースラインを生成するステップと、現在のセッションにおけるイベントのシーケンスのうちの1つのイベントを受信するステップと、前記イベントの属性を使用し、前記現在のセッションにおける前記イベントのシーケンスにおける前記イベントの時間的位置に基づいて、前記イベントが前記基準ベースラインと少なくとも部分的に一致するか否かを判定するステップと、前記イベントが前記基準ベースラインと少なくとも部分的に一致するか否かの判定に基づいて、ルールの条件を分析するステップとを含む方法。前記基準ベースラインは、前記一組の時間順に並べられたイベントのシーケンス中の各シーケンスに関連する計時データをさらに含み、前記一組の時間順に並べられたイベントのシーケンス中の各シーケンスは、前記ユーザに関連する履歴的イベントの特徴的パターンである、請求項1に記載の方法。前記イベントが前記基準ベースラインと少なくとも部分的に一致するか否かを判定するステップは、前記受信したイベントに関連するユーザ識別子に基づいて、複数の基準ベースラインの中からユーザ固有の基準ベースラインを識別するステップと、前記受信したイベントの前記時間的位置と同じ時間的位置を有する前記基準ベースラインのシーケンス中のイベントを選択するステップと、前記受信したイベントの属性を前記基準ベースライン中の前記イベントの同じ属性と比較するステップとを含み、前記受信したイベントの属性は、イベントタイプである、請求項1に記載の方法。前記イベントが前記基準ベースラインと少なくとも部分的に一致するか否かを判定するステップは、前記受信したイベントの属性が、前記ルールの前記条件において指定された偏差閾値以内であるか否かを判定するステップをさらに含む、請求項3に記載の方法。前記一組の時間順に並べられたイベントのシーケンスのうちの少なくとも1つのシーケンスは、正常なユーザ行動、又は異常なユーザ行動の何れかとしてフラグを立てられる、請求項1に記載の方法。前記ルールの条件を分析するステップは、前記イベントが、正常なユーザ行動としてフラグを立てられた前記少なくとも1つのシーケンスと一致する場合、前記ルール条件は偽であるものと判定するステップと、前記イベントが、異常なユーザ行動としてフラグを立てられた前記少なくとも1つのシーケンスと一致する場合、前記ルール条件は真であるものと判定するステップとを含む、請求項5に記載の方法。前記受信したイベントが前記基準ベースラインと少なくとも部分的に一致するか否かを判定するステップは、前記受信したイベントの発生時刻と、前記現在のセッションにおける前記イベントのシーケンスのうちの前に受信したイベントの発生時刻との間の時間差を追跡するステップと、前記時間差を前記基準ベースラインの計時データと比較するステップとを含む、請求項1に記載の方法。前記一組の時間順に並べられたイベントのシーケンス中の各シーケンスは、計時データに関連し、前記計時データは、未加工ベースライン中のイベントの発生時刻を使用して生成された統計情報を含む、請求項1に記載の方法。イベントの評価のためのシステムであって、プロセッサと、前記プロセッサに結合されたメモリであって、複数のユーザ固有の基準ベースラインを含むデータリストを記憶するように構成されたメモリとを含み、前記プロセッサは、前記複数のユーザ固有の基準ベースラインのうちの第1のユーザ固有の基準ベースラインを生成し、前記第1のユーザ固有の基準ベースラインが、一組の時間順に並べられたイベントのシーケンスを含み、現在のセッションにおけるイベントのシーケンスのうちの1つのイベントを受信し、前記イベントの属性を使用し、前記現在のセッションにおける前記イベントのシーケンスにおける前記イベントの時間的位置に基づいて、前記イベントが前記基準ベースラインと少なくとも部分的に一致するか否かを判定し、前記イベントが前記基準ベースラインと少なくとも部分的に一致するか否かの判定に基づいて、ルールの条件を分析し、相関付けイベントを生成するように構成される、システム。前記基準ベースラインは、前記一組の時間順に並べられたイベントのシーケンス中の各シーケンスに関連する計時データをさらに含み、前記一組の時間順に並べられたイベントのシーケンス中の各シーケンスは、前記ユーザに関連する履歴的イベントの特徴的パターンである、請求項9に記載のシステム。前記プロセッサは、前記受信したイベントに関連するユーザ識別子に基づいて、複数の基準ベースラインの中からユーザ固有の基準ベースラインを識別し、前記受信したイベントの前記時間的位置と同じ時間的位置を有する前記基準ベースラインのシーケンス中のイベントを選択し、前記受信したイベントの属性を前記基準ベースライン中の前記イベントの同じ属性と比較することによって、前記イベントが前記基準ベースラインと少なくとも部分的に一致するか否かを判定するように構成される、請求項9に記載のシステム。前記プロセッサは、前記受信したイベントの属性が、前記ルールの前記条件において指定された偏差閾値以内であるか否かを判定することによって、前記イベントが前記基準ベースラインと少なくとも部分的に一致するか否かを判定するように構成される、請求項11に記載のシステム。前記一組の時間順に並べられたイベントのシーケンスのうちの少なくとも1つのシーケンスは、正常なユーザ行動、又は異常なユーザ行動の何れかとしてフラグを立てられる、請求項9に記載のシステム。データプロセッサを制御し、イベントを評価するための複数の命令を記憶する非一時的なコンピュータ読取可能媒体であって、前記複数の命令は、前記データプロセッサに、前記複数のユーザ固有の基準ベースラインのうちの第1のユーザ固有の基準ベースラインを生成させ、前記第1の基準ベースラインは、一組の時間順に並べられたトランザクションイベントのシーケンスを含み、各イベントが、金融トランザクションの一部であり、現在のセッションにおけるトランザクションイベントのシーケンスのうちの1つのトランザクションイベントを受信させ、前記トランザクションイベントの属性を使用し、前記現在のセッションにおける前記トランザクションイベントのシーケンスにおける前記トランザクションイベントの時間的位置に基づいて、前記トランザクションイベントが前記基準ベースラインと少なくとも部分的に一致するか否かを判定させ、前記トランザクションイベントが前記基準ベースラインと少なくとも部分的に一致するか否かの判定に基づいて、ルールの条件を分析させ、前記トランザクションイベントにセキュリティ関連イベントを相関付けさせるための命令を含む、非一時的なコンピュータ読取可能媒体。前記データプロセッサに、前記トランザクションイベントが前記基準ベースラインと少なくとも部分的に一致するか否かを判定させる命令は、前記データプロセッサに、前記受信したイベントに関連するユーザ識別子に基づいて、複数の基準ベースラインの中からユーザ固有の基準ベースラインを識別させ、前記受信したイベントの前記時間的位置と同じ時間的位置を有する前記基準ベースラインのシーケンス中のイベントを選択させ、前記受信したイベントの属性を前記基準ベースライン中の前記イベントの同じ属性と比較させるための命令を含み、前記受信したイベントの属性は、イベントタイプである、非一時的なコンピュータ読取可能媒体。セキュリティシステムは、潜在的に何千もの発信源からイベントを受信することがある。ルールを使用して、種々のイベントを相互に関連付けることにより、個々の装置によっては識別されないことがあるセキュリティ関連情報が得られる場合がある。相関ルールに定義されるように、相関は一般に、異なる発信源からの異なるイベントが、共通の事件に関連することを示すことができる。具体的には、例えば相関付けは、イベント間の関係を見つけ出すこと、それらの関係の重要度を推論すること、イベント及びメタイベントに優先順位を付けること、及び動作を行うためのフレームワークを提供することを含む。本明細書において、ルール、又は相関ルールとは、集合体、グループ、及びトリガーのような他の構成と結合されることもある一組の単純な、又は複雑な条件を含む手順を意味する。ルールは、様々な形で使用され、例えば到来イベントが特定の条件及びパターンに合致するか否かを評価すること;相関ルール、並びにアクティブリスト、セッションリスト、及び脅威レベル計算といった他の構成を使用して、異なるイベントからの情報を相互に関連付けること;イベントの重要度に関する意味を推論することなどに使用される。換言すれば、ルールは、イベントストリームを評価する際の対比の対象となる種々の条件を表す。評価の結果、イベントストリームから意味を抽出するための情報が得られる。一致すると判定された場合、それに応じて、ルールは、動作を開始する場合がある。条件のほかに、ルールは、閾値すなわち、発生回数、実行総数、持続時間、結合基準、及び/又は集計基準をさらに含む場合がある。例えば、次のようなものである:もしログイン試みの失敗が、1分以内に10回同じ発信源IPアドレスから発生した場合、動作を行う。このルールの場合、条件はログイン試みの失敗であり、発生回数閾値は10であり、持続時間は1分であり、集計基準は同じ発信源IPアドレスからである。ルール条件は、種々のデータモデルを意味する場合がある。例えば、ルール条件は、ネットワーク資産モデルの種々のフィールド又はプロパティを意味する場合がある。ネットワーク資産モデルとは、ネットワーク上の種々のノード及び/又はマシンの表現である。プロパティは、開放ポート、オペレーティングシステム、脆弱性、ビジネス分類などを含む場合がある。ルール条件は、アクティブリスト及びセッションリストのようなデータリストを意味する場合もある。セッションリストは、ネットワーク上のユーザのイベントトラフィックをユーザに関連付ける。具体的には、セッションリストは、ユーザセッション例えば、DHCPセッション情報、VPNセッション情報、ユーザからその役割へのマッピング、及びそれらの属性が有効である対応する時間などに関連する一時的データを保持する構成変更可能なテーブルである。アクティブリストは、種々のイベントの指定フィールドを集約する構成変更可能なテーブルである。アクティブリストによれば、ある時間例えば、数日、数週間などにわたる特定のイベントの追跡が可能となる。集約されたデータは、相関付けに使用可能な場合がある。例えば、データリストは、ある課金サイクルの間に特定のクレジットカードを使用して行われた購入の、ある時点までの合計額を追跡記録する場合がある。例えばクレジット限界に達したことをクレジットカードの所有者に警告するために、ある時点までの合計額は、ルールにより参照される場合がある。侵入検出の事例では、時間順に並べられたユーザ行動イベントのシーケンス、及びそれらのイベントの各々の間の時間差は、種々の異常、及び異常な行動の識別に適している。具体的には、ユーザの行動をユーザの基準行動と比較することは、不正検出のための異常の適時検出に適している。しかしながら、ルールは一般に、静的な性質を有するため、ネットワーク及び/又はシステム上の全てのユーザ間における行動パターンの差異を捕捉するには不十分である。さらに、従来のルールエンジンは、単純な結合条件これは通常、フィールド値の照合に基づいて異なるイベントを関連付ける、及び、特定時間内に発生する必要があるイベントの数を指定する閾値条件を使用して、種々のイベントを相関付けるルールを指定することができる。こうしたメカニズムは、多くの標準的相関使用事例を可能にするくらい十分に強力ではあるが、複雑な不正攻撃の検出は、このような形で簡単に指定可能なものに比べて、より複雑な条件を必要とすることが多い。また、静的ルールの複雑な組を使用して、イベントのシーケンスを捕捉し、指定されたイベントシーケンス中の欠落イベントを検出する場合もある。3以上のイベントを有するシーケンスの場合、全ての起こり得るシーケンス偏差を検出するためには、例えばステートマシンを実施するために他のルールを結合するルールのような、膨大な数のルールを生成することが必要となる場合がある。一実施形態による、ウェブベースの金融トランザクション例えば、アカウントアクセス行動、及び他のタイプのユーザ動作イベントにおける異常を検出するための枠組みについて説明する。時間順に並べられたイベントのシーケンスの識別されたパターンに基づいて、及び/又は、当該シーケンスにおけるイベントの各々の間の時間差に基づいて、ユーザ固有のベースラインが決定される。オンラインセッションのプロパティに基づき、種々のルールを使用して、オンライントランザクションが不正なものである可能性があるか否かが、検出される場合がある。オンラインアカウントとのユーザの対話、又は他のセッション例えば、ウェブセッションに対応するイベントが、ユーザ固有のベースラインと比較される。ユーザのベースライン、又は想定される行動からの大きな偏差は、不正の可能性としてフラグを立てられる場合がある。さらに、不正な/疑わしいイベントは、セキュリティシステムの全く異なる部分に前もって捕捉されることにより、セキュリティ情報と関連付けられ、システムのより完全な一覧を得ることができる。オンライン金融トランザクション不正の場合、検出は、ユーザのオンラインセッションの分析に基づいて行われる。特定のユーザにとって、正常なオンラインセッションは、7つのウェブページすなわち、ログインページ、ホームページ、アカウント残高ページ、資金振替ページなどを特定順序で訪問することを含むかもしれない。この例では、資金振替トランザクションは、約5分以内に完了する。事例によっては、ユーザが、このトランザクションにとって通常のステップを飛ばした場合すなわち、アカウント残高ページへ移動しなかった場合、想定される順番とは違う順序でステップを実行した場合、セッション中にトランザクションの完了前に20秒を単に消費した場合、又は想定されるステップ間における時間間隔がそのユーザにとって正常な行動から大きくずれている場合に、その異常性は、不正アクセスを示す場合がある。一実施形態において、イベントの評価のためのシステム及び方法を提供する。一組の時間順に並べられたイベントのシーケンスを含むユーザ固有の基準ベースラインを生成する。現在のセッションにおけるイベントシーケンスのうちの1つのイベントを受信する。そのイベントの属性、及び、現在のセッションにおけるイベントシーケンス内のそのイベントの時間的位置を使用して、そのイベントが、基準ベースラインと少なくとも部分的に一致するか否かの判定がなされる。ルールの条件が分析され、相関付けイベントが生成される。図1は、一実施形態による、ネットワークセキュリティシステム100を示す幾何ブロック図である。システム100は、エージェント12a~12n、少なくとも1つのマネージャ14、及び少なくとも1つのコンソールこれには、ブラウザベースのバージョンも含まれ得る。を含む。一部の実施形態において、エージェント、マネージャ、及び/又はコンソールは、単一プラットフォームとして結合される場合もあれば、2、3、又はそれ以上のプラットフォームに分散される場合もある例えば、図示した例におけるように。この多段階アーキテクチャの使用によれば、コンピュータネットワーク又はシステムの成長に伴う規模の拡大縮小が可能となる。エージェント12a~12nこれらは、機械読取可能な命令である。は、種々のネットワークセキュリティ装置及び/又はアプリケーションからの効率的なリアルタイム又は略リアルタイムローカルイベントデータ捕捉、及びフィルタリングを提供するソフトウェアプログラムである。セキュリティイベントの一般的発生源は、ファイアウォール、侵入検知システム、及びオペレーティングシステムログのような共通のネットワークセキュリティ装置である。エージェント12a~12nは、イベントログ又はメッセージを生成する任意の発生源からイベントを収集することができ、また、ネットワーク内の種々のコンソリデーションポイントにおいて、及び/又はSNMPシンプルネットワークマネジメントプロトコルトラップを通して、ネイティブ装置において動作することができる。エージェント12a~12nは、手動プロセスと自動プロセスの両方を通して、及び、関連コンフィギュレーションファイルを介して、構成変更可能である。各エージェント12は、正規化コンポーネント、時間相関コンポーネント、集計コンポーネント、バッチコンポーネント、リゾルバコンポーネント、トランスポートコンポーネント、及び/又は、さらに別のコンポーネントを含む、少なくとも1つのソフトウェアモジュールを含む場合がある。これらのコンポーネントは、コンフィギュレーションファイル内の種々の適当なコマンドによって有効化され、及び/又は無効化される場合がある。マネージャ14は、ルールエンジン18及び中央集中型イベントデータベース20を使用して、エージェントから受信したフィルタイベント及び相互関連イベントをさらに統合するサーバベースの種々のコンポーネントから構成される場合がある。マネージャ14の1つの役割は、セキュリティ活動の完全な企業規模の図式を構成するための全てのリアルタイムデータ及び履歴データを捕捉し、記憶することである。マネージャ14は、中央集中型の管理、通知少なくとも1つの通知手段24を通して、及び報告をさらに提供するとともに、知識ベース28及び事件管理ワークフローをさらに提供する。マネージャ14は、如何なるコンピュータハードウェアプラットフォーム上に配備されてもよく、一実施形態は、データベース管理システムを使用して、イベントデータ記憶コンポーネントを実施する。マネージャ14とエージェント12a~12nとの間の通信は、双方向例えば、マネージャ14は、エージェント12a~12nを有するプラットフォームへコマンドを送信することができるであり、暗号化されていてもよい。一部の施設において、マネージャ14は、複数のエージェント12a~12nのための集線装置として機能する場合があり、情報を他のマネージャ例えば、本社に配備されるへ転送することができる場合がある。マネージャ14は、少なくとも1つのイベントマネージャ26をさらに含み、イベントマネージャ26は、エージェント12a~12n及び/又は他のマネージャにより送信されたイベントデータメッセージを受信すること、並びに他のマネージャからイベント概要データを受信することについて責任を負う。イベントマネージャ26は、相関付けイベント及び監査イベントのようなイベントデータメッセージを生成することについても責任を負う。エージェント12a~12nとの間で双方向通信が実施される場合、イベントマネージャ26は、エージェント12a~12nへメッセージを送信するために使用される場合がある。エージェント-マネージャ間通信に暗号化が使用される場合、イベントマネージャ26は、エージェント12a~12nから受信したメッセージを復号すること、及び、エージェント12a~12nへ送信される任意のメッセージを暗号化することについても責任を負う。イベントデータメッセージを受信した後、イベントデータは、ルールエンジン18に渡される。ルールエンジン18は、一致するルールを識別するために、イベントデータと種々の相関ルールとの間の相互相関を求めるように構成される。ルールにより発動される動作には、例えば、通知手段24により指定された宛先例えば、セキュリティ分析者は、コンソール16、emailメッセージ、電話呼び出し、携帯電話、ボイスメールボックス及び/又はページャ番号若しくはアドレスを介して、あるいは、ファクシミリマシン等のような他の通信装置及び/又は宛先へのメッセージによって、通知を受けることがある。へ送信される通知、及び/又は、例えば、エージェント12などによるネットワーク装置への命令が、含まれ得る。コンソール16は、セキュリティ専門家が、イベント監視、ルール作成、事件調査、及び報告のような、日々の管理及びオペレーション業務を実施することを可能にするコンピュータ例えば、ワークステーションベースのアプリケーションである。単一のマネージャ14が、複数のコンソール16をサポートすることができる。一部の実施形態において、ブラウザベースバージョンのコンソール16は、セキュリティイベント、知識ベースの記事、報告、通知、及び事件へのアクセスを可能にするために使用される場合がある。すなわち、マネージャ14は、パーソナルコンピュータ又はハンドヘルドコンピュータ上に設けられた、コンソール16の機能の一部又は全部を提供するウェブブラウザこれが、コンソール16の代わりとなるを介してアクセス可能なウェブサーバコンポーネントを含む場合がある。ブラウザアクセスは、コンソール16から離れたところにいるセキュリティ専門家、及び非常勤ユーザにとって、特に有用である。コンソール16とマネージャ14との間の通信は、双方向であり、暗号化されていてもよい。中央集中化され又は分散された環境は、上記アーキテクチャによりサポートされる場合がある。これが有用である理由は、組織は、システム100の単一のインスタンスを実施し、アクセスコントロールリストを使用してユーザを区分することを望む場合があるからである。あるいは、組織は、複数のグループの各々について個別のシステム100を配備し、その結果をマスターレベルで統合することを選択する場合がある。そのような配備によれば、フォローザサンFollowtheSun構成をさらに実現することができ、フォローザサン構成では、標準営業時間に現在働いているグループに対する監視責任を回避しつつ、地理的に分散されたピアグループが、互いに協働する。システム100はさらに、企業階級を成すように配備されることがあり、その場合、種々の事業部が個別に機能し、中央集中型管理機能へのロールアップをサポートする。ネットワークセキュリティシステム100は、異常検出機能をさらに含む。一実施形態において、マネージャ14は、未加工ベースラインモジュール31A、基準ベースラインモジュール31B、及びローカルメモリ32をさらに含む。未加工ベースラインモジュール31Aは、イベントマネージャ26を介してエージェント12a~12nのうちの少なくとも1つから、データベースマネージャ22を介してイベントデータベース20から、又はイベントマネージャ26から、セキュリティイベントのような一組のイベントを受信するように構成される。未加工ベースラインモジュール31Aは、イベントにおいて与えられるようなユーザID及びセッションIDを使用して、イベントをユーザごと及びセッションごとにそれぞれグループ化するようにさらに構成される。セッションによるグループ化は、例えば、イベントのセッション識別子ID例えば、ウェブセッション識別子に従って実施される場合がある。他の実施形態において、セッションベースのグループ化は、イベントのタイムスタンプを検査し、一組のイベントのタイムスタンプが時間的に近接している場合、その一組のイベントを同じセッションの一部であるものと判定することにより実施される場合がある。換言すれば、イベントは、イベント例えば、トランザクション間の時間的近接度によってグループ化される。未加工ベースラインモジュール31Aは、セッション中に行われたユーザ行動のシーケンス、及びそれらの行動間の時間差を識別し、未加工ベースラインを生成するようにさらに構成される。未加工ベースラインモジュール31は、未加工ベースラインを、データリストモジュール30のアクティブリスト及び/又はセッションリストのようなデータリストに記憶するように構成される。基準ベースラインモジュール31Bは、異常を識別するために受信イベントのシーケンスを分析する際の対比の対象となる基準ベースラインを生成するように構成される。基準ベースラインモジュール31Bは、具体的には、未加工ベースラインを使用して、ユーザごとの履歴レコードを形成する時間順に並べられたイベントのシーケンスの共通及び特徴的パターンを識別するように構成される。さらに、特徴的イベントシーケンスにおけるイベントの各々の間の時間差を判定する。基準ベースラインモジュール31Bは、例えば特定のイベントフローについての全セッションを通しての個々のイベントの発生数を含む、イベントフローに関する統計情報を計算するようにさらに構成される。未加工ベースラインモジュール31A及び基準ベースラインモジュール31Bは、図示のように独立したモジュールであってもよいし、又は、ルールエンジン18のような他のコンポーネントと一体化されてもよい。ルールエンジン18は、イベントマネージャ26を介してエージェント12a~12nのうちの少なくとも1つから、データベースマネージャ22を介してイベントデータベース20から、又は、イベントマネージャ26から、セキュリティイベントのような一組のイベントを受信するように構成される。さらに、ルールエンジン18は、到来イベントのシーケンス及び現在のセッションの時間データ時間差を含むを特定ユーザに関連する基準ベースラインと比較し、現在のセッション情報が基準ベースラインと一致しない場合、ルール実行を開始するように構成される。ネットワークセキュリティシステム100は、データリスト機能をさらに含む。一実施形態において、マネージャ14は、データリストモジュール30、及びローカルメモリ32をさらに含む。データリストモジュール30は、セッションリスト及び/又はアクティブリストを管理するように構成される。さらに、データリストモジュール30は、イベントマネージャ26を介してエージェント12a~12nのうちの少なくとも1つから、若しくはイベントマネージャ26自体から、セキュリティイベントのような一組のイベントを受信し、並びに/又は、未加工ベースラインモジュール31A及び基準ベースラインモジュール31Bのうちの少なくとも一方からユーザ固有のベースラインを受信するように構成される。セッションリスト、及び/又はアクティブリストは、ローカルメモリ32上の種々のテーブルすなわち、マスターテーブル及び/又はローカルテーブルにおいて管理される場合がある。一実施形態において、データリストテーブル中の各レコードは、ユーザ固有の、セッション固有のイベントフローを表す。単一ユーザについて複数のイベントフローが存在する場合がある。例えばユーザが、金融トランザクションの複数のセッションに関与しているときは、そのような場合がある。ローカルメモリ32は、任意の適当な記憶媒体であってよく、マネージャ14自体に配置されても、マネージャ14を含むクラスタに配置されても、又はマネージャ14にとってアクセス可能なネットワーク上に配置されてもよい。ベースライン生成金融トランザクションの最中における不正のような潜在的侵入の検知は、基準ベースラインの生成によって容易になる。基準ベースラインは、ユーザの正常又は異常な行動又は取引の履歴的パターンを表す。そして、基準ベースラインにおけるそれらのパターンは、ユーザの行動の異常性の検出に使用される。図2は、一実施形態による基準ベースラインの生成のための処理フロー図である。図示の処理フロー200は、種々の実行可能命令のシーケンスの実行により実施される場合がある。他の実施形態において、処理フロー200の種々の部分は、ネットワークセキュリティシステムの種々のコンポーネント、例えば特定用途向け集積回路ASIC等のようなハードウェアロジックの構成によって実施される。例えば、処理フロー200の種々のブロックは、ネットワークセキュリティシステムの未加工ベースラインモジュールにおいて、実行可能命令の種々のシーケンスの実行により実施される場合がある。例えば、未加工ベースラインモジュールは、ネットワークセキュリティシステムにおいて、マネージャに配備される場合がある。さらに、処理フロー200の種々のブロックは、ネットワークセキュリティシステムの基準ベースラインモジュールにおいて、実行可能命令の種々のシーケンスの実行により実施される場合がある。例えば、基準ベースラインモジュールは、ネットワークセキュリティシステムにおいて、セキュリティマネージャに配備される場合がある。ネットワークセキュリティシステムは、セキュリティイベント及びアプリケーションイベントのようなイベントを監視し、及び分析する。ウェブベースの金融トランザクションの事例においては、アプリケーションイベントには、例えば、銀行残高を照会したり、ユーザのクレジットカードアカウントから入出金する資金の移動を開始したり、支払先を追加したり、又はアカウント情報を更新したりする等のための、例えばウェブクリックによるオンライン金融システムを利用したユーザによる操作のような、ユーザ活動イベント/金融トランザクションイベントが含まれる場合がある。一実施形態において、特定セッション例えば、ウェブセッション、ログインセッションなどにおける、金融システムにおける特定ユーザによるページごとの各移動は、イベントフローとしてグループ化される。従って、イベントフローとは、ユーザごと及びセッションごとのイベントの集合である。あるイベントのユーザ及び/又はセッション情報は、そのイベントにおける種々のフィールドから決定される場合がある。イベントには、例えば、セキュリティイベント、アプリケーションイベント例えば、金融トランザクションイベント、及び、セキュリティシステムが監視する対象となるシステムに配備された種々のエージェントにより生成される他のタイプのイベントがある。ステップ210において、未加工ベースラインが決定される。本明細書において、未加工ベースラインとは、特定ユーザに関連する一組の履歴的イベントフロー及び時間差情報である。未加工ベースラインは、複数セッションのイベントフローを含む場合がある。それらのイベントフローは、ユーザに関連する履歴レコードを形成する。一実施形態において、イベントフローは、ユーザごと及びセッションごとに、時間順に並べられたイベントのシーケンスに編成される。さらに、各イベントフローについて、シーケンス中のイベントの各々の間における時間差、及び/又は、セッション中で消費された全時間が判定される。あるイベントと次の順番のイベントとの間の時間差は、あるイベントの発生時刻と、次の順番のイベントの発生時刻との間の差をとることによって判定される場合がある。下記の表1は、データリストのイベントテーブルに含まれることがあるような、ユーザ1に関連する部分的未加工ベースラインの一例である。この未加工ベースラインは、時間差情報を含む。イベントフローは、ユーザの正常な行動を表す。他の実施形態において、イベントフローは、異常な行動を表す。例えば、事後分析が実施され、それによって、イベントフローは、正常又は異常のいずれかであるとしてフラグが立てられる。一実施形態において、未加工ベースラインは、トランザクションログ、又はイベントデータベース等から得られる既存の履歴的イベントフローユーザ動作イベントのシーケンスを含むに基づいて、例えばバッチ処理により形成される。その後、未加工ベースラインは、例えばセキュリティシステムにおけるマネージャによって、リアルタイムに、又は新たなイベントの受信に従ってバッチモードで、更新される場合がある。ステップ220では、未加工ベースラインに基づいて、時間順に並べられたイベントの特徴的シーケンスが識別される。一実施形態では、未加工ベースラインに関連するイベントフロー及び計時データを分析することにより、特定ユーザの取引又は行動のパターンを判定する。パターン認識又は識別は、ユーザ固有の未加工ベースラインにおいて種々のイベントフローを結合し、それによって、あるパターンが識別されたときに、特徴的イベントシーケンスが時間順に並べられたイベントのシーケンスとして表されるようにすることを含む。一実施形態において、金融システムにおけるユーザの実際のページごとの移動の履歴にパターンがあるか否かが、分析される。例えば、ユーザは通常、月々のクレジットカード明細書について支払い予定を立てる前に、クレジットカードオンラインサイト上のログインページからセッションを開始し、アカウント残高を照会し、現在の支払い期間についてのトランザクションの概要を照会し、最後に支払予定ページへ移動することが、未加工のベースラインからかすかに判明する場合がある。その場合、このパターンが、時間順に並べられたイベントのシーケンスとして表される。さらに、ユーザ固有の未加工ベースライン中の特定イベントの発生回数を追跡する場合、例えばパターン発見を実施する場合があり、未加工ベースライン及び当該発生回数を使用して、ユーザ活動の裏付けグラフを生成する場合がある。パターン発見は、2008年10月1日に出願された米国特許第7,984,502号に詳しく記載されており、この特許は、参照により、その全体が本明細書に援用される。パターン発見の他の方法が使用される場合もある。ステップ230では、未加工ベースラインに基づいて、イベントシーケンスについて計時データが判定される。一実施形態において、計時データは、最小時間、最大時間、平均時間、及び標準偏差のような、イベントシーケンスに関する種々の統計情報を含む。一実施形態において、同じイベントシーケンス又はそのサブセットを有する特定ユーザについての未加工ベースライン中のイベントフローは全て、1つにグループ化される。先に説明したように、各イベントフローは、フロー中の連続した各イベント間の時間差に関するデータをさらに含む。例えば、表1に示したように、あるイベントフローすなわち、セッションID3において、ログインページからアカウント残高照会ページまでのナビゲーション間の時間差は、5秒である。他のイベントフローすなわち、セッションID4において、それら2つのページ間の時間差は、7秒である。最小時間統計情報は、あるセッションの最中に、イベントフローにおいて、ある特定のイベントから次の順番のイベント又は、その後発生する別のイベントへ移動したときに、履歴上ユーザによって実行された最小時間である場合がある。表1に示したような例を使用する場合、ログインページからアカウント残高照会ページまでの移動を含む3つのイベントフローが存在する。この例では、ログインページからアカウント残高照会ページまでの移動のための最小時間は、5秒である。最大時間統計情報は、あるセッションの最中に、イベントフローにおいて、あるイベントから次の順番のイベント又は、その後発生する別のイベントへ移動したときに、履歴上ユーザによって実行された最大時間である場合がある。表1に示したような例を使用する場合、ログインページからアカウント残高照会ページまでの移動のための最大時間は、7秒である。同様に、平均時間統計情報は、ある特定のイベントから次の順番のイベント又は、その後発生する別のイベントへの全ての履歴上発生したイベントフローの統計的平均である場合がある。表1に示したような例を使用する場合、ログインページからアカウント残高照会ページまでの移動のための平均時間は、6秒である。この例では、同じページごとの移動についての標準偏差統計情報は、1秒である。他の時間ベースの統計情報もさらに判定される場合がある。ステップ240では、特徴的イベントシーケンス、及び関連計時データに基づいて、基準ベースラインが生成される。本明細書において、基準ベースラインとは、取引又は行動のユーザ固有パターンを表すものとして識別された一組の時間順に並べられたイベントの特徴的シーケンスである。基準ベースラインは、各特徴的イベントシーケンスに関連する計時データをさらに含む。基準ベースライン中の種々のパターン及び計時データは、ユーザの行動の異常性の検出に使用される。一実施形態において、基準ベースラインは、固定スケジュールに基づいて生成され、及び/又は更新される。基準ベースラインは定期的に更新され、例えば金融システムのようなシステムの継続中のユーザ使用に対する変化、及びかかるシステムとの対話を反映するために、定期的に更新される。基準ベースラインの更新は、対応する未加工ベースラインに対して実施される更新に基づく場合がある。下記の表2は、表1の部分的未加工ベースラインに基づいて生成されることがあるような、ユーザ1に関連する部分的基準ベースラインの一例である。下記の表2の部分的基準ベースラインは、計時データ例えば、計時統計情報を含む。表2の部分的基準ベースラインでは、少なくとも3つの特徴的基準パターンが識別される。各イベントについて、計時統計情報の少なくとも2つの属性が含まれる。すなわち、シーケンス中の前のイベントからの平均時間差、及びシーケンス中の前のイベントからの時間差の標準偏差である。基準ベースラインには、種々の他の計時統計情報がさらに含まれる場合がある。異常性検出先に説明したように、金融トランザクションの最中における不正のような潜在的侵入の検知は、基準ベースラインの使用によって容易になる。具体的には、基準ベースライン中の種々の特徴的シーケンスは、ユーザの行動の異常性を検出するために使用される。現在のセッションにおけるイベントシーケンスは、種々のルールに従って分析される。ルール評価は、現在のセッションの種々のシーケンスを基準ベースライン中の履歴パターンと比較することを含む場合がある。基準ベースラインからの大きな偏差は、ルール違反となる場合があり、異常性を検出する結果となる場合がある。異常性の検出は、侵入可能性を示すことができる。図3は、一実施形態による、基準ベースラインからの偏差に基づくユーザ活動イベントの分析のための処理フロー図である。図示の処理フロー300は、実行可能命令の種々のシーケンスの実行により実施される場合がある。他の実施形態において、処理フロー300の種々の部分は、ネットワークセキュリティシステムの種々のコンポーネント、例えば特定用途向け集積回路ASIC等のようなハードウェアロジックの構成によって実施される。例えば、処理フロー300の種々のブロックは、ネットワークセキュリティシステムのルールエンジンにおいて、実行可能命令の種々のシーケンスの実行により実施される場合がある。例えば、ルールエンジンは、ネットワークセキュリティシステムにおいて、マネージャに配備される場合がある。先に説明したように、ネットワークセキュリティシステムは、セキュリティイベントのような種々のイベントを監視し、及び分析する。具体的には、イベントは、ルールに対して評価される。ルールには、具体的な種々の条件が指定される場合があり、条件は、時間順に並べられたイベントのシーケンス、及びシーケンス中のそれらのイベント間の時間差を評価することを含む。そのようなルールの一例は、下記のようなものである:ルール1もしトランザクション異常が、ユーザIDによって最大でもそのユーザIDについての1標準偏差までの、時間差の標準偏差で発生した場合、動作を行う。このルールの場合、条件は、トランザクション異常であること、すなわち、そのユーザの現在のセッションについてのイベントシーケンスが、そのユーザについての基準ベースラインと一致しない場合であることである。さらに、ルール一致を見付けるための有効性の閾値範囲は、最大でもそのユーザIDについての1標準偏差までの、時間差の標準偏差であり、集計基準は、ユーザIDによってである。一般に、単一の行動パターンがトランザクションシステムの全ユーザに適用される点で、ルール条件は静的である。本明細書に記載されるように、この例におけるルール条件は、異常が存在するか否かを判定するために、イベントシーケンスを追跡することを含む。現在のセッションのシーケンスを評価する場合、ユーザ固有の基準ベースラインは、比較点として使用される。従って、本明細書に記載されるようなルールは静的ではなく、むしろ、ルール条件は、各ユーザについての行動の特定パターンを使用して現在のセッションのイベントシーケンスが評価されるように、表される。また、多くのルール条件は、ブール的性質を持つ。すなわち、条件は、満たされるか満たされないかのいずれかである。本明細書に記載されるように、ルールは、偏差閾値、又は、ルール条件を満たす有効性範囲を考慮に入れた他のタイプの閾値を指定する場合がある。偏差閾値は、計時データ及び/又は時間的位置データを考慮するだけでなく、複製、欠落及び/又は順序違いのイベントも考慮して表される場合がある。同じルールの一部である複数のブール条件が存在する場合もある。ステップ305では、現在のセッションについてのイベントが受信される。各イベントが受信されると、イベントは、種々のルールに対してリアルタイムに評価される。ルール評価は、反復を利用して、現在のセッションについてのフローのイベントをユーザ固有の基準ベースラインと照合することを含む。換言すれば、比較を実施し、現在のセッションのフロー中の受信イベントが、基準ベースライン中のパターンと一致するか否かが判定される。一実施形態において、ルールエンジンは、この比較を実施する。具体的には、ステップ310において、ユーザ固有の基準ベースライン中の識別されたパターンイベントの特徴的シーケンスとして表されるとの間に、少なくとも部分一致があるか否かが判定される。具体的には、受信イベントに関連するユーザIDが判定される。そのユーザIDに固有の基準ベースラインが識別される。受信イベントは、その基準ベースラインと比較される。具体的には、現在のセッションのイベントフロー中の当該イベントの時間的位置が判定される。例えば、フロー内で他のイベントのうちの最も早い発生時刻を有するイベントは、第1の時間的位置を有する場合があり、2番目に早い発生時刻を有するイベントは、第2の時間的位置を有する場合がある等である。受信イベントは、同じ時間的位置を有する基準ベースライン中のイベントと比較される。また、受信イベントの属性例えば、イベントタイプは、基準ベースライン中のイベントの同じ属性と比較される。受信イベントの発生時刻と、現在のセッション中の前のイベントの発生時刻との間の時間差、又は他の計時情報が追跡される。一実施形態では、時間的位置を比較することに加え、受信イベントに関連する時間差が、基準ベースライン中の計時データと比較される。時間的位置、計時情報、又は他の属性に基づく比較の最中における一致の判定は、静的であってもよいし、及び/又は、偏差閾値に基づくものであってもよい。偏差閾値は、それ以内であれば依然として一致であると判定される許容範囲例えば、有効性の範囲を指定する。許容範囲は、ルール条件として実施される場合がある。例えば、ユーザ固有の基準ベースラインは、イベント1、及びその後に続くイベント2からなるシーケンスを含み、7秒の平均時間差を有する場合がある。基準ベースラインは、それらの具体的イベント間の平均時間差を列挙した属性を含む場合がある。ルール照合の目的上、時間差が基準ベースライン中の平均時間差から2秒の標準偏差以内である限り、現在のセッションのイベントシーケンスは、基準ベースラインに一致するものとみなされる。この例において説明したように、偏差閾値は、計時データに関連して表現される場合もあれば、又は他の属性に関連して表現される場合もあり、その結果、欠落イベント又は想定されるものとは異なる順番で発生するイベントについても、許容範囲が表現される。例えば、基準ベースライン中のあるシーケンスにおける一部のイベントの不発生は、許容される場合がある一方で、他のイベントの不発生は、許容されない場合がある。受信イベントを評価したときに、部分一致が見付からなかった場合、ステップ315において、その受信イベントをシーケンスの一部とするシーケンスと、基準ベースラインとの間に、シーケンスの一致は無いものと判定される。ステップ317において、ルール条件の結果が判定される。基準ベースラインは、正常なユーザ行動、及び/又は異常なユーザ行動を示す種々のシーケンスを含む場合がある。一実施形態において、もし基準ベースラインが、単に正常なユーザ行動を示すシーケンスだけを含む場合、基準ベースラインに一致しない現在のセッションの到来シーケンスはいずれも、疑わしいものであるとみなされ、ステップ317において、ルール条件は、真に戻るそこで条件は、異常な行動を探索する。すなわち、ルールが実行される。もし基準ベースラインが、単に異常なユーザ行動を示すシーケンスだけを含む場合、基準ベースラインに一致しない現在のセッションの到来シーケンスはいずれも、疑わしくないものであるとみなされ、ステップ317において、ルール条件は偽に戻る。他の実施形態において、もし基準ベースラインが、異常及び正常なユーザ行動を示すシーケンスを含む場合、基準ベースラインに一致しない現在のセッションの到来シーケンスは、ルール条件は、真に戻り、ルールが実行される結果となる。なぜなら、ユーザの動作は、履歴に基づいて想定されたものではなく、調査されるべきものであったからである。例えば、もし異常シーケンスに一致した場合、この種のルール実行から生成される警告は、低優先順位レベルに関連付けられる場合がある。他の実施形態において、例えば、ポリシー目標が、偽陽性の可能性を最小限に抑えること、又はその他、一致した異常シーケンスにルール実行を制限することである場合、ルール条件は、偽に戻る。受信イベントを評価したときに、ステップ310において部分一致が見付かった場合、ステップ320において、完全一致があるか否かが判定される。本明細書において、完全一致とは、現在のセッションにおけるイベントのフローが、基準ベースライン中のイベントシーケンス全体に一致するときに発生する。完全一致が無い場合、処理は、ステップ305へ進み、そこで、現在のシーケンス中の別のイベントが受信される。ステップ310及び320における比較は、単一ステップとして実施される場合もあれば、イベントがマネージャによって受信されたときに、リアルタイムにイベントごとに実施される場合もある。照合は、集合体単位で実施される場合もあり、現在のセッションの一組のイベントに対し一度に処理が行われる場合がある。ステップ320において完全一致であると判定された場合、ステップ325において、シーケンスの一致が見付かったものと判定される。先に述べたように、ステップ330において、ルール条件の結果が判定される。基準ベースラインは、正常なユーザ行動、及び/又は異常なユーザ行動を示す種々のシーケンスを含む場合がある。一実施形態において、もし基準ベースラインが、単に正常なユーザ行動を示すシーケンスだけを含む場合、基準ベースラインに一致する現在のセッションの到来シーケンスはいずれも、疑わしくないものであるとみなされ、ルール条件は、偽に戻るそこで条件は、異常な行動を探索する。もし基準ベースラインが、単に異常なユーザ行動を示すシーケンスを含む場合、基準ベースラインに一致しない現在のセッションの到来シーケンスはいずれも、疑わしいものであるとみなされ、ルール条件は、真に戻る。他の実施形態において、基準ベースラインは、異常及び/又は正常なユーザ行動を示す種々のシーケンスを含む。もし現在のセッションの到来フローが基準ベースラインに一致する場合、基準ベースライン中の一致するシーケンスは、異常又は正常としてフラグを立てられ、又はマーキングされる。もし一致が異常シーケンスとの間の一致である場合、ルール条件は真に戻り、もし一致が正常シーケンスとの間の一致である場合、ルール条件は偽に戻る。説明の目的上、特定ユーザに関連する基準ベースラインは、表2に示したように、3つの基準ベースラインフローを含む場合がある。一例として、1イベントAログイン、イベントBアカウント残高照会、イベントC概要、及びイベントD支払計画;2イベントAログイン、イベントBアカウント残高照会、及びイベントE支払先追加;並びに3イベントAログイン、及びイベントF報酬概要である。上で説明したルール1のようなルールは、現在のセッションのイベントに基づいて評価される。ステップ305では、現在のセッションにおいて、例えばイベントAが受信される。イベントAは、基準ベースラインシーケンスと比較される。3つのシーケンスが全て、イベントAから始まっているので、少なくとも部分一致があるものと判定される。一致が無い場合、例えばステップ305においてイベントGが受信された場合、ステップ315において、シーケンスの一致は無いものと判定される。もし基準ベースラインが正常な行動を示す種々のシーケンスを含む場合、シーケンスの一致は無いという判定は、現在のセッションのイベントを疑わしいものとして特徴付ける結果となる。これに応答し、ステップ317において、ルール条件は真に戻る場合がある。比較は、ステップ310からステップ320へと続けられ、そこで、現在のセッションについて既に受信されたイベントのフロー及び計時情報に基づいて、完全一致があるか否かが判定される。まだ完全一致が無い場合、システムは、引き続き、後続の受信イベントとの照合を試みる。具体的には、処理は、ステップ305へ進み、そこで、別のイベントを受信する。このように、照合/比較処理は、反復的な形で行われる。後続の反復において、ステップ310で、現在のイベントフローが少なくとも部分的に一致するか否かが、判定される。上記の例に続いて、もしイベントAの5秒の間に、2回目の反復においてイベントBを受信した場合、ルール1に指定された偏差許容範囲に基づき、現在のセッションのフローこれは今度は、イベントA及びその後ろに続くイベントBを含むは、基準パターンID1及び基準パターンID2と少なくとも部分的に一致するものと判定される。ステップ320では、今のところ完全一致があるか否かが判定される。この時点で、現在のフローは、単にイベントA及びイベントBだけを含む。基準パターンID1と完全一致するためには、現在のセッションのフローは、偏差許容範囲内で、イベントC及びDをさらに含まなければならない。同様に、基準パターンID2と完全一致するためには、当該フローは、偏差許容範囲内で、イベントEをさらに含まなければならない。従って、完全一致は無い。よって、システムは、再び反復し、ステップ305で、次のイベントが受信される。ステップ325で、完全一致であると判定された場合、ステップ330において、ルール条件が判定される。基準ベースラインが正常な行動を示すシーケンスを含む場合、現在セッションイベントは、正常として特徴付けられ、ステップ330において、ルール条件は偽に戻る。一実施形態において、基準ベースラインは、正常な行動及び/又は異常な行動の種々のシーケンスを含む場合がある。換言すれば、ユーザが過去に行ったイベントシーケンス従ってこれは、基準ベースライン中に表されるかもしれない。は、正常なイベントフローである場合もあれば、異常なフローである場合もある。例えば、ユーザが特定シーケンスを最初に実行するとき、ステップ310において現在のフローは一致しない場合があり、ステップ315においてシーケンスの一致は無いと判定される結果となる場合がある。未加工ベースライン及び/又は基準ベースラインを更新するために、新たなシーケンスは、図2における基準ベースライン生成フローへフィードバックされる場合がある。事後分析が実施されるまで、システムは、例えば、現在のシーケンスが正常な行動であるか、それとも異常な行動であるかを知らない。事後分析の際、行動の正当性を確認するために、ユーザは、連絡を受け、質問される場合がある。ユーザは、結果を入力することができ、それによって、新たなシーケンスは、正常又は異常としてフラグを立てられる場合がある。もし正常であれば、新たなシーケンスは、未加工ベースラインに追加され、その結果、将来のイベントシーケンスの照合によって一致が発見されても、ルールは実行されないことになる。もし異常であれば、新たなシーケンスは、ベースラインに追加される場合もあるが、異常としてフラグを立てられ、その結果、このパターンに将来一致した場合、ルールは実行されることになる。従って、図3に示したように、フローの一致が見付からなかった場合、又は、異常及び/又はその他疑わしいものとしてフラグを立てられたフローとの一致が見付かった場合、ルールは、実行される場合がある。図4は、一実施形態による、応答動作を発動するための処理フロー図である。図示した処理フロー400は、実行可能命令の種々のシーケンスの実行により実施される場合がある。他の実施形態において、処理フロー400の種々の部分は、ネットワークセキュリティシステムの種々のコンポーネント、例えば特定用途向け集積回路ASIC等のようなハーウェアロジックの構成により実施される。例えば、処理フロー400の種々のブロックは、ネットワークセキュリティシステムのルールエンジンにおいて、実行可能命令の種々のシーケンスの実行により実施される場合がある。例えば、ルールエンジンは、ネットワークセキュリティシステムにおいて、マネージャに配備される場合がある。ステップ410において、例えば、現在のセッションにおけるイベントがルールに対して評価された後、ルール条件は真に戻ったことが検出される。ステップ415では、これに応答し、動作が発動される場合がある。ルールにより発動される動作には、所定のコマンド若しくはスクリプトを実行すること、データリストを更新すること、警告をログに記録すること、コンソール又は指名された人に警告を送信すること、累積的活動に基づいて警告のためのカスタム重大性レベルを設定すること、情報源を疑わしい情報源のリストに追加すること、目標を脆弱性リストに追加すること、他のルールを発動すること、又はこれらの動作の任意の組み合わせが含まれ得る。さらに、動作には、他のルールを発動することも含まれ得る。例えば、オンラインアカウントとのユーザの対話に対応するトランザクションイベントからの情報は、種々のネットワークセキュリティイベントにさらに相関付けられる場合があり、また、資産モデル、種々のマシンの脆弱性、及びシステムにおいてリアルタイムに動作中の他の攻撃を含むがそれに限定されないネットワークインフラストラクチャの知識にさらに相関付けられる場合がある。なぜなら、攻撃と、検出された異常の同時の存在は、不正の可能性を増大させることがあるからである。このように、相関付けは、複数のデータソースについて実施される場合がある。換言すれば、独立したルールは、例えば目標ホストについて、不正関連ルールの実行を探索するとともに、セキュリティ関連ルールの実行をさらに探索するための種々のルール条件を含む場合がある。条件が満たされると、相関付けが実施され、それによって、トランザクション又は不正に基づくイベント知識が、セキュリティデータと結び付けられる場合がある。一実施形態において、動作は、相関付けイベントを生成することを含む。相関付けイベントは、ルール固有の情報だけでなく、ルールを発動した基礎イベントに関する情報も含む場合がある。一実施形態において、相関付けイベントは、条件照合に使用される場合があり、従って、複数ルールの連結が可能とされる。図5は、一実施形態を実施することが可能なコンピュータシステムを示している。システム500は、上で説明したコンピュータシステムの何れかを実施するために使用される場合がある。コンピュータシステム500は、バス524に電気的に結合された種々のハードウェア要素を含むものとして示されている。ハードウェア要素には、少なくとも1つの中央演算処理装置CPU502、少なくとも1つの入力装置502、及び少なくとも1つの出力装置506が含まれ得る。コンピュータシステム500は、少なくと1つの記憶装置508をさらに含む場合がある。記憶装置508には、例えば、ディスクドライブ、光学記憶装置、並びに、ランダムアクセスメモリRAM及び/又はリードオンリーメモリROMのような半導体記憶装置が含まれ得る。リードオンリーメモリROMは、プログラマブル、及び/又はフラッシュアップデート可能等なものであってもよい。コンピュータシステム500は、コンピュータ読取可能記憶媒体リーダー512、通信システム514例えば、モデム、ネットワークカード無線又は有線、赤外線通信装置など、及びワークメモリ518をさらに含む場合がある。ワークメモリ518は、上記のようなRAM及びROM装置を含む場合がある。実施形態によっては、コンピュータシステム500は、処理アクセラレーションユニット516をさらに含む場合があり、ユニット516は、デジタルシグナルプロセッサDSP、及び/又は、特殊目的のプロセッサ等を含むことがある。コンピュータ読取可能記憶媒体リーダー512は、コンピュータ読取可能記憶媒体510にさらに接続されることができ、全体として一実施形態においては、記憶装置508にも結合される、リモート、ローカル、固定、及び/又はリムーバブルな記憶装置に、コンピュータ読取可能情報例えば、命令及びデータを一時的及び/又はより永久に格納、記憶、送信、及び読み出しするための任意の非一時的な記憶媒体を加えたものを、包括的に表している。コンピュータ読取可能記憶媒体510は、ハードウェア記憶装置例えば、RAM、ROM、EPROM書き換え可能なプログラマブルROM、EEPROM電気的に消去可能なプログラマブルROM、ハードディスク、及びフラッシュメモリのような非一時的なものであってもよい。通信システム514は、ネットワーク、及び/又は、システム500に関連して上で説明した任意の他のコンピュータとの間のデータの交換を許容する場合がある。コンピュータ読取可能記憶媒体510は、ルールエンジン525、未加工ベースラインモジュール526、及び基準ベースラインモジュール527を含む。コンピュータシステム500は、例えばオペレーティングシステム520、及び/又は、アプリケーションプログラムこれは、クライアントアプリケーション、ウェブブラウザ、中間段階アプリケーションなどであってもよい。のような他のコード522を含む、ワークメモリ518の中に現在あるものとして示されている、種々のソフトウェア要素これは、コンピュータ読取可能命令である。をさらに含む場合がありる。当然ながら、コンピュータシステム500の代替実施形態は、上で説明したものからの多数の変形を有する場合がある。例えば、カスタマイズされたハードウェアがさらに使用され、及び/又は、特定の要素は、ハードウェア、ソフトウェアアプレットのようなポータブルソフトウェアを含む若しくはそれら両方によって実施されるかもしれない。さらに、ネットワーク入力/出力装置のような他の計算装置との接続が採用される場合もある。従って、明細書及び図面は、制限の意味ではなく、例示的なものとであると考えるべきである。ただし、種々の修正及び変更がなされる場合があることは、明らかである。本明細書添付の特許請求の範囲、要約書、及び図面を含むに開示した各特徴は、特に明示的言及がない限り、同じ、均等の、又は同様の目的を果たす代替の特徴に置換される場合がある。従って、特に明示的言及がない限り、開示した各特徴は、一般的な一連の均等又は類似の特徴の一例である。"