МНОГОСИГНАЛЬНЫЙ АНАЛИЗ ДЛЯ ИДЕНТИФИКАЦИИ СКОМПРОМЕТИРОВАННОЙ ОБЛАСТИ ПРИМЕНЕНИЯ

1. Способ обнаружения скомпрометированных областей применения в онлайновой службе, содержащий этапы, на которых:
принимают результаты обнаружения режимов работы, происходящих на устройствах в онлайновой службе;
оценивают результаты обнаружения на основе того, насколько аномальными ассоциированные режимы работы являются в онлайновой службе;
организуют оцененные результаты обнаружения согласно областям применения;
используют логику многосигнального обнаружения в отношении заданной области применения для получения оценки достоверности, указывающей, является ли эта заданная область применения скомпрометированной;
определяют, представлять ли предупреждение касаемо того, что упомянутая заданная область применения является скомпрометированной, на основе сравнения оценки достоверности с пороговым значением предупреждения; и
в ответ на определение того, что предупреждение касаемо того, что упомянутая заданная область применения является скомпрометированной, должно быть представлено, формируют и передают данное предупреждение.
2. Способ по п.1, в котором упомянутая заданная область применения ассоциирована с заданным устройством или заданной пользовательской учетной записью в онлайновой службе.
3. Способ по п.1, в котором упомянутое оценивание результатов обнаружения дополнительно содержит этапы, на которых:
вычисляют идентификатор для конкретного результата обнаружения;
извлекают совокупный счетчик для этого конкретного результата обнаружения;
увеличивают совокупные счетчики популяции для данного конкретного результата обнаружения;
вычисляют оценку аномалии для этого конкретного результата обнаружения на основе совокупных счетчиков популяции; и
связывают оценку аномалии с упомянутым конкретным результатом обнаружения для получения оцененного результата обнаружения.
4. Способ по п.3, в котором совокупные счетчики популяции включают в себя:
исходный счетчик популяции, увеличиваемый для каждого наблюдаемого результата обнаружения; и
по меньшей мере один счетчик субпопуляции, увеличиваемый для каждого наблюдаемого результата обнаружения, который включает в себя характеристику, определяющую субпопуляцию результатов обнаружения.
5. Способ по п.1, в котором упомянутая организация оцененных результатов обнаружения согласно областям применения дополнительно содержит этапы, на которых:
принимают определение области применения, идентифицирующее характеристику, по которой необходимо делить результаты обнаружения;
принимают временное окно от текущего времени, из которого наблюдались результаты обнаружения, которые должны быть проанализированы; и
делят результаты обнаружения, которые наблюдались во временном окне, на области применения согласно значениям идентифицированной характеристики, включенной в результаты обнаружения.
6. Способ по п.1, в котором результаты обнаружения из меньшего окна времени, содержащего несколько минут результатов обнаружения, и большего окна времени, содержащего несколько дней результатов, включаются в области применения.
7. Способ по п.1, в котором упомянутое использование логики многосигнального обнаружения в отношении заданной области применения для получения оценки достоверности дополнительно содержит этапы, на которых:
выбирают прогнозную модель;
извлекают характеристики из результатов обнаружения;
оценивают эти характеристики для преобразования в выраженные числовым значением признаки; и
предоставляют эти признаки в прогнозную модель, чтобы сформировать оценку достоверности.
8. Способ по п.7, в котором прогнозная модель формируется и выбирается на основе непрерывного процесса машинного обучения.
9. Система, включающая в себя процессор и запоминающее устройство, хранящее инструкции, которые при их исполнении процессором обеспечивают обнаружение скомпрометированных областей применения в онлайновой службе, содержащая:
модуль оценки аномалии сигнатуры, сконфигурированный:
принимать заданный результат обнаружения для наблюдаемого события, происходящего в онлайновой службе,
определять степень, до которой режим работы, ассоциированный с этим заданным результатом обнаружения, ранее наблюдался как происходящий в онлайновой службе, и
получать оценку аномалии, которая должна быть связана с упомянутым заданным результатом обнаружения, на основе степени, до которой режим работы ранее наблюдался; и
многосигнальный детектор на связи с модулем оценки аномалии сигнатуры, сконфигурированный:
принимать один или более результатов обнаружения, совместно использующих область применения в онлайновой службе с упомянутым заданным результатом обнаружения,
принимать от модуля оценки аномалии сигнатуры упомянутую оценку аномалии, ассоциированную с результатом обнаружения,
извлекать признаки из результатов обнаружения области применения, каковые признаки включают в себя упомянутую оценку аномалии; и
формировать оценку достоверности на основе извлеченных признаков касаемо того, является ли область применения скомпрометированной.
10. Система по п.9, при этом упомянутые один или более результатов обнаружения, совместно использующих область применения в онлайновой службе с заданным результатом обнаружения, наблюдаются в окне времени.
11. Система по п.10, при этом степень, до которой режим работы, ассоциированный с заданным результатом обнаружения, ранее наблюдался как происходящий в онлайновой службе, основывается на происшествиях в течение окна времени.
12. Система по п.9, при этом степень, до которой режим работы, ассоциированный с заданным результатом обнаружения, ранее наблюдался как происходящий в онлайновой службе, основывается на:
исходном счетчике популяции событий, происходящих в онлайновой службе; и
исходном счетчике субпопуляции для числа происшествий режима работы в онлайновой службе.
13. Система по п.9, при этом степень, до которой режим работы, ассоциированный с заданным результатом обнаружения, ранее наблюдался как происходящий в онлайновой службе, основывается на:
разделенном на области применения счетчике популяции для числа объектов, содержащих область применения онлайновой службы; и
разделенном на области применения счетчике субпопуляции для числа объектов в области применения, ассоциированной с режимом работы.
14. Система по п.13, при этом объекты, содержащие область применения, определяются аналитиком как одно из устройств в онлайновой службе и пользовательских учетных записей онлайновой службы.
15. Машиночитаемое запоминающее устройство, включающее в себя исполняемые процессором инструкции для обнаружения скомпрометированных областей применения в онлайновой службе, содержащие:
прием результатов обнаружения режимов работы, происходящих на устройствах в онлайновой службе;
оценивание результатов обнаружения на основе того, насколько аномальными ассоциированные режимы работы являются в онлайновой службе;
организацию оцененных результатов обнаружения согласно областям применения, при этом заданная область применения ассоциирована с заданным устройством или заданной учетной записью в онлайновой службе;
использование логики многосигнального обнаружения в отношении этой заданной области применения для получения оценки достоверности, указывающей, является ли эта заданная область применения скомпрометированной;
определение того, предупреждать ли аналитика о том, что упомянутая заданная область применения является скомпрометированной, на основе сравнения оценки достоверности с пороговым значением предупреждения; и
в ответ на определение того, что аналитик должен быть предупрежден о том, что упомянутая заданная область применения является скомпрометированной, формирование и передачу данного предупреждения.