JP2022512194A - 挙動による脅威検出のためのシステムおよび方法 - Google Patents

Abstract

いくつかの実施形態では、挙動コンピュータセキュリティシステムは、クライアントおよびネットワークを、悪意のあるソフトウェアおよび侵入などの脅威から保護する。クライアントプロファイルのセットは、クライアントにおいて発生するイベントのトレーニングコーパスにしたがって構築され、各クライアントプロファイルは、保護されたマシンのサブセットを表し、各クライアントプロファイルは、クライアントそれぞれのプロファイルに割り当てられたマシンを使用する通常のまたはベースラインのパターンを示す。クライアントプロファイルは、同様のイベント統計を有するマシンをともにグループ化し得る。トレーニングの後、クライアントにおいて検出されたイベントは、異常な挙動を検出するために、それぞれのクライアントに関連付けられたクライアントプロファイルに対して選択的に分析される。いくつかの実施形態では、個々のイベントは、多次元イベント埋込空間を使用して、他のイベントのコンテキストにおいて分析される。

Description

[0001]本発明は、コンピュータセキュリティシステムおよび方法に関し、特に、悪意のあるソフトウェア、および／または、コンピュータシステムおよび／または通信ネットワークへの侵入を検出するためのシステムおよび方法に関する。

[0002]近年、コンピュータおよびネットワークのセキュリティは、個人にとっても企業にとっても同様にますます重要になってきている。電子通信技術の急速な発展、日々のアクティビティにおけるソフトウェアへの依存度の高まり、モノのインターネットの出現により、企業や個人はプライバシの喪失やデータの盗難に対して脆弱になっている。

[0003]熟練した攻撃者は、様々な技法を使用して、たとえば、悪意あるソフトウェアによって企業のコンピュータにインストールされたバックドアを使用して、企業ネットワークへの侵入を試み得る。その後、攻撃者は機密情報にアクセスしたり、変更したり、破壊したりする可能性がある。他の例示的な攻撃は、とりわけ、物理的セキュリティシステム（たとえば、盗難警報）を無効にするか、機能不能にすること、スパイソフトウェアをインストールすること、商品やサービス（たとえば、電力網）の製造または分配を制御する自動化されたシステムへの干渉を含む。

[0004]コンピュータシステムにおいて実行されるソフトウェアは、不正な侵入および他の悪意のあるアクティビティを自動的に検出および／または防止するために使用され得る。そのようなソフトウェアは、一般に侵入検出システム（ＩＤＳ）として知られ、ネットワークおよび／またはコンピュータのアクティビティを監視して、異常なイベントやポリシ違反を検出し得る。一般的なＩＤＳは、観察されたイベントに関連する情報を記録し、ユーザまたはネットワーク管理者に通知し、レポートを作成する。一部のＩＤＳはさらに、たとえば、侵入の検出に応じてセキュリティ設定を変更する（たとえば、ファイアウォールを再構成する）ことで、侵入者が悪意のあるアクティビティを実行するのを防ぐことができる。

[0005]しかしながら、ソフトウェアサービスが次第に非局在化し、情報ネットワークを流れるデータ量が増加するにつれて、セキュリティソフトウェアが、悪意のあるアクティビティのインジケータとして、この膨大な量の情報をふるいにかけることがますます非現実的になっている。したがって、よりロバストでスケーラブルな侵入検出システムおよび方法の開発に大きな関心が寄せられている。

[0006]１つの態様によれば、コンピュータシステムは、複数のクライアントシステムの、複数のクライアントクラスタへのグループ化を示すクラスタメンバシップインジケータの受信に応じて、複数のクライアントクラスタから、クライアントクラスタを選択するように構成された少なくとも１つのハードウェアプロセッサを備え、選択されたクライアントクラスタは、複数のクライアントシステムを備える。少なくとも１つのハードウェアプロセッサはさらに、クライアントクラスタの選択に応じて、選択されたイベントが、選択されたクライアントクラスタのメンバにおいて発生したか否かにしたがって、イベント集合から、イベントのトレーニングコーパスを選択するように構成される。少なくとも１つのハードウェアプロセッサはさらに、イベントのトレーニングコーパスの選択に応じて、挙動モデルをトレーニングして、イベントのトレーニングコーパスにしたがって、選択されたクライアントクラスタのメンバの集合的な挙動をエンコードするように構成され、挙動モデルは、調節可能なパラメータのセットを有する。少なくとも１つのハードウェアプロセッサはさらに、挙動モデルのトレーニングに応じて、ターゲットクライアントシステムにおいて発生するターゲットイベントが、コンピュータセキュリティ脅威を示すか否かを判定するように構成された異常検出器へ、調節可能なパラメータの値のセットを送信するように構成される。挙動モデルは、イベントシーケンスの、選択されたイベントを入力し、それに応じて、イベントシーケンスの別のイベントが、選択されたイベントタイプである可能性を示す予測インジケータを決定するように構成される。イベントシーケンスは、トレーニングコーパスの複数のイベントを備え、複数のイベントは、複数のイベントの各イベントの発生時間にしたがって順序付けられる。挙動モデルをトレーニングすることは、予測インジケータにしたがって、設定可能なパラメータのセットを調節することを備える。

[0007]別の態様によれば、コンピュータで実施される方法は、コンピュータシステムの少なくとも１つのハードウェアプロセッサを適用して、複数のクライアントシステムの、複数のクライアントクラスタへのグループ化を示すクラスタメンバシップインジケータの受信に応じて、複数のクライアントクラスタから、クライアントクラスタを選択し、選択されたクライアントクラスタは、複数のクライアントシステムを備える。この方法はさらに、クライアントクラスタの選択に応じて、コンピュータシステムの少なくとも１つのハードウェアプロセッサを適用して、選択されたイベントが、選択されたクライアントクラスタのメンバにおいて発生したか否かにしたがって、イベント集合から、イベントのトレーニングコーパスを選択することを備える。この方法はさらに、イベントのトレーニングコーパスの選択に応じて、コンピュータシステムの少なくとも１つのハードウェアプロセッサを適用して、挙動モデルをトレーニングして、イベントのトレーニングコーパスにしたがって、選択されたクライアントクラスタのメンバの集合的な挙動をエンコードすることを備え、挙動モデルは、調節可能なパラメータのセットを有する。この方法はさらに、挙動モデルのトレーニングに応じて、コンピュータシステムの少なくとも１つのハードウェアプロセッサを適用して、ターゲットクライアントシステムにおいて発生するターゲットイベントが、コンピュータセキュリティ脅威を示すか否かを判定するように構成された異常検出器へ、調節可能なパラメータの値のセットを送信することを備える。挙動モデルは、イベントシーケンスの、選択されたイベントを入力し、それに応じて、イベントシーケンスの別のイベントが、選択されたイベントタイプである可能性を示す予測インジケータを決定するように構成される。イベントシーケンスは、トレーニングコーパスの複数のイベントを備え、複数のイベントは、複数のイベントの各イベントの発生時間にしたがって順序付けられる。挙動モデルをトレーニングすることは、予測インジケータにしたがって、設定可能なパラメータのセットを調節することを備える。

[0008]別の態様によれば、コンピュータシステムの少なくとも１つのハードウェアプロセッサによって実行されると、コンピュータシステムに対して、複数のクライアントシステムの、複数のクライアントクラスタへのグループ化を示すクラスタメンバシップインジケータの受信に応じて、複数のクライアントクラスタから、クライアントクラスタを選択させる命令を記憶し、選択されたクライアントクラスタは、複数のクライアントシステムを備える。この命令はさらに、コンピュータシステムに対して、クライアントクラスタの選択に応じて、選択されたイベントが、選択されたクライアントクラスタのメンバにおいて発生したか否かにしたがって、イベント集合から、イベントのトレーニングコーパスを選択させる。この命令はさらに、コンピュータシステムに対して、イベントのトレーニングコーパスの選択に応じて、挙動モデルをトレーニングして、イベントのトレーニングコーパスにしたがって、選択されたクライアントクラスタのメンバの集合的な挙動をエンコードさせ、挙動モデルは、調節可能なパラメータのセットを有する。この命令はさらに、コンピュータシステムに対して、挙動モデルのトレーニングに応じて、ターゲットクライアントシステムにおいて発生するターゲットイベントが、コンピュータセキュリティ脅威を示すか否かを判定するように構成された異常検出器へ、調節可能なパラメータの値のセットを送信させる。挙動モデルは、イベントシーケンスの、選択されたイベントを入力し、それに応じて、イベントシーケンスの別のイベントが、選択されたイベントタイプである可能性を示す予測インジケータを決定するように構成される。イベントシーケンスは、トレーニングコーパスの複数のイベントを備え、複数のイベントは、複数のイベントの各イベントの発生時間にしたがって順序付けられる。挙動モデルをトレーニングすることは、予測インジケータにしたがって、設定可能なパラメータのセットを調節することを備える。

[0009]本発明の前述の態様および利点は、以下の詳細な説明を読み、図面を参照すると、よりよく理解されるであろう。

[0010]本発明のいくつかの実施形態による、セキュリティサーバが侵入検出システムとして機能する、いくつかの例示的な相互接続されたクライアントシステムを示す図である。 [0011]本発明のいくつかの実施形態によるクライアントシステムを保護するために実行される例示的なデータ交換を示す図である。 [0012]本発明のいくつかの実施形態によるクライアントシステムの例示的なハードウェア構成を示す図である。 [0013]本発明のいくつかの実施形態によるセキュリティサーバの例示的なハードウェア構成を示す図である。 [0014]本発明のいくつかの実施形態による保護されたクライアントシステムにおいて実行される例示的なソフトウェア構成要素を示す図である。 [0015]本発明のいくつかの実施形態によるセキュリティサーバの例示的なソフトウェアアーキテクチャを示す図である。 [0016]本発明のいくつかの実施形態によるプロファイリングエンジンの例示的な動作を示す図である。 [0017]本発明のいくつかの実施形態によるプロファイリングエンジンによって実行されるステップの例示的なシーケンスを示す図である。 [0018]本発明のいくつかの実施形態によるイベントエンコーダの例示的なトレーニングを示す図である。 [0019]本発明のいくつかの実施形態によるイベントエンコーダの代替的な例示的なトレーニングを示す図である。 [0020]図８－Ａの構成でイベントデコーダをトレーニングするために実行される例示的なステップのシーケンスを示す図である。 [0021]本発明のいくつかの実施形態による例示的なイベント埋込空間と、例示的なイベントクラスタのセットとを示す図である。 [0022]本発明のいくつかの実施形態による例示的なクライアントプロファイル空間およびクライアントクラスタのセットを示す図である。 [0023]本発明のいくつかの実施形態によるクライアントシステムの例示的なイベントプロファイルを示す図である。 [0024]本発明のいくつかの実施形態による異常検出器の例示的な構成要素および動作を示す図である。 [0025]本発明のいくつかの実施形態によるトレーニング中に異常検出器によって実行される例示的なステップのシーケンスを示す図である。 [0026]本発明のいくつかの実施形態による異常検出器の一部を形成する挙動モデルの例示的な構成要素を示す図である。 [0027]本発明のいくつかの実施形態によるトレーニングされた異常検出器によって実行される例示的なステップのシーケンスを示す図である。 [0028]実際のコンピュータセキュリティ脅威を検出するために本発明のいくつかの実施形態を適用することを備える実験の結果を示す図である。 [0029]いくつかの実施形態を使用して実際のコンピュータセキュリティ脅威を検出した他の実験結果を示す図である。

[0030]以下の説明において、構成間に列挙されたすべての接続は、直接的な有効な接続または中間構成を介した間接的な有効な接続であり得ることが理解される。要素のセットは、１つまたは複数の要素を含む。要素の詳説は、少なくとも１つの要素を指すものと理解される。複数の要素は、少なくとも２つの要素を含む。特に明記されていない限り、「ＯＲ」の使用は、非排他的論理和を指す。特に必要がない限り、説明されるいずれの方法ステップも、必ずしも特定の例示された順序で実行される必要はない。第２の要素から派生した第１の要素（たとえば、データ）は、第２の要素と等しい第１の要素のみならず、第２の要素およびオプションで他のデータを処理することによって生成される第１の要素をも含む。パラメータにしたがって判定または決定することは、パラメータおよびオプションで他のデータにしたがって判定または決定することを含む。特に明記されていない限り、ある量／データのインジケータは、量／データ自体であるか、または量／データ自体とは異なるインジケータであり得る。コンピュータプログラムは、タスクを実行するプロセッサ命令のシーケンスである。本発明のいくつかの実施形態で説明されるコンピュータプログラムは、スタンドアロンのソフトウェアエンティティ、または他のコンピュータプログラムのサブエンティティ（たとえば、サブルーチン、ライブラリ）であり得る。特に明記されていない限り、コンピュータセキュリティは、不正なアクセス、変更、および／または破壊から機器およびデータを保護することを含む。コンピュータ可読媒体は、磁気、光学、および半導体記憶媒体（たとえば、ハードドライブ、光ディスク、フラッシュメモリ、ＤＲＡＭ）などの非一時的媒体のみならず、導電性ケーブルや光ファイバリンクなどの通信リンクも含む。いくつかの実施形態によれば、本発明は、とりわけ、本明細書で説明された方法を実行するようにプログラムされたハードウェア（たとえば、１つまたは複数のプロセッサ）のみならず、本明細書で説明された方法を実行するためのコンピュータ可読媒体エンコード命令を備えるコンピュータシステムを提供する。

[0031]以下の説明は、本発明の実施形態を例として例示するものであり、必ずしも限定するものではない。
[0032]図１は、本発明のいくつかの実施形態による、コンピュータセキュリティ脅威から保護されるクライアントシステム１０ａ－ｈの例示的なセットを示す。クライアントシステム１０ａ－ｈは、一般的に、プロセッサ、メモリ、および通信インターフェースを有する任意の電子デバイスを表す。例示的なクライアントシステム１０ａ－ｈは、パーソナルコンピュータ、ラップトップ、タブレットコンピュータ、モバイル電気通信デバイス（たとえば、スマートフォン）、メディアプレーヤ、テレビ、ゲーム機、家電器具（たとえば、冷蔵庫、インテリジェント暖房および／または照明システム）、およびウェアラブルデバイス（たとえば、スマートウォッチ、フィットネス機器）などを含む。クライアントシステム１０ａ－ｈは、たとえば、文書プロセシング、ゲーム、電子メッセージング、およびソーシャルメディアアプリケーションなどの様々なソフトウェアを実行し得る。一部のクライアントは、たとえばインターネットブラウジングなど、リモートコンテンツサーバ１７と情報を交換し得る。

[0033]例示されるクライアントシステムは、ローカルネットワーク１２ａ－ｂによって接続され、さらに広域ネットワーク（ＷＡＮ）またはインターネットなどの拡張ネットワーク１４に接続される。１つの例では、クライアントシステム１０ａ－ｄは、ホームネットワーク１２ａによって相互接続された家族の電子デバイスを表す。一方、クライアントシステム１０ｅ－ｇは、オフィスビル内の個々のコンピュータおよび／または企業のメインフレームを示し得る。ローカルネットワーク１２－ｂは、企業ネットワーク（たとえば、ローカルエリアネットワーク－ＬＡＮ）の一部を表し得る。

[0034]ルータは、複数のクライアントシステム間の通信、および／または、拡張ネットワーク１４へのそれぞれのクライアントのアクセスを可能にする電子機器を備える。図１の例では、ルータ１５ａ－ｂは、ローカルネットワーク１２ａ－ｂにおけるクライアントを相互接続し、および／または、クライアント１０ａ－ｇがインターネットにアクセスできるようにする。ルータ１５ａ－ｂは、ローカルネットワーク１２ａ－ｂそれぞれと、拡張ネットワーク１４との間のゲートウェイとして機能することができ、さらに、クライアントシステム１０ａ－ｇにネットワークサービスのセットを提供することができる。そのようなサービスは、たとえば、ネットワーク構成パラメータをクライアントシステム１０ａ－ｇに分配すること（たとえば、動的ホスト構成プロトコル－ＤＨＣＰを介してネットワークアドレスを割り当てること）、およびネットワークノードのシーケンスを介して通信をルーティングすることを含む。例示的なクライアントシステム１０ｈなどのいくつかのクライアントシステムは、たとえば電気通信リレーを介して、拡張ネットワーク１４に直接接続し得る。

[0035]図１はさらに、拡張ネットワーク１４に接続されたセキュリティサーバ１６を示す。サーバ１６は、一般的に、互いに物理的に近接していてもいなくてもよい、通信可能に結合されたコンピュータシステムのセットを表す。サーバ１６は、クライアントシステム１０ａ－ｈを、悪意のあるソフトウェアや侵入などのコンピュータセキュリティ脅威から保護する。いくつかの実施形態では、そのような保護は、クライアントシステムにおいて発生する疑わしいアクティビティ、たとえば、それぞれのクライアントシステムを制御する攻撃者のアクションを検出するセキュリティサーバ１６を含む。

[0036]セキュリティサーバ１６とクライアントシステム１０との間の例示的なデータ交換が図２に例示される。クライアントシステム１０は、図１におけるいずれかのクライアント１０ａ－ｈを表し得る。いくつかの実施形態では、サーバ１６は、クライアントシステム１０からイベントインジケータ２０ａを受信するように構成され、インジケータ２０ａは、クライアント１０におけるソフトウェアの実行中の特定のタイプのイベントの発生を示す。そのようなイベントの例は、プロセス／スレッドの起動（たとえば、ユーザがアプリケーションを起動し、親プロセスが子プロセスを作成する）、それぞれのクライアントシステムの入力デバイス（たとえば、カメラ、マイクロホン）へのアクセスの試み、ローカルまたはリモートネットワークリソースへのアクセスの試み（たとえば、特定のＵＲＬへアクセスするハイパテキスト転送プロトコル－ＨＴＴＰ要求、ローカルネットワークを介したドキュメントリポジトリへのアクセスの試み）、特定の統一リソース識別子スキームで作成された要求（たとえば、ｍａｉｌｔｏ：またはｆｔｐ：要求）、特定のプロセッサ命令の実行（たとえば、システムコール）、ライブラリ（たとえば、ダイナミックリンクライブラリ－ＤＬＬ）のロードの試み、新しいディスクファイルを生成する試み、ディスク上の特定の場所からの読取または書込の試み（たとえば、既存のファイルの上書きの試み、固有のフォルダまたはドキュメントを開く試み）、および電子メッセージ（たとえば、電子メール、ショートメッセージサービス－ＳＭＳなど）の送信の試みなどを含む。いくつかの実施形態では、非アクティブ期間、すなわち、それぞれのクライアントシステムがアイドル状態であり、ユーザアクティビティを登録しないか、または内部システムタスクのみを実行する、イベント間の時間ギャップおよび／または時間間隔は、イベントとしても適しており、イベントインジケータを介してセキュリティサーバへ報告され得る。そのような非アクティブ期間はさらに、（たとえば、秒のオーダの）短い時間ギャップと、（たとえば、数分から数時間のオーダの）長い時間ギャップに区別され得る。検出されたイベントは、それ自体が悪意を示している場合とそうでない場合とがあり、一部のイベントは、他のイベントとともに発生した場合、および／または、特定のシーケンスで発生した場合、悪意を示す可能性がある。他のイベントは、１日の特定の時間に、または、たとえば、数秒の間隔における、特定のディスクフォルダからの１０００回の読取のシーケンスのように、通常とは異なる頻度で発生する場合、悪意がある可能性がある。

[0037]各イベントインジケータ２０ａは、とりわけ、それぞれのイベントのタイプを示すインジケータと、それぞれのイベントが発生した時点を示すタイムスタンプとを備え得る。イベントインジケータ２０ａはさらに、それぞれのクライアントシステムの識別子（クライアントＩＤ）、および／または、それぞれのクライアントシステムを現在操作しているユーザ（ユーザＩＤ）のインジケータを含み得る。たとえば、通信されたイベントが、プロセス作成を備える場合、ユーザインジケータは、親プロセスの所有者を示し得る。イベントインジケータ２０ａは、プロセス名、起動されているプロセスのファイルシステムの場所／パス、ネットワークアドレス（たとえば、インターネットプロトコル－ＩＰアドレス）、ＨＴＴＰ要求のユニバーサルリソースロケータ（ＵＲＬ）などの他のパラメータをエンコードし得る。

[0038]いくつかの実施形態では、サーバ１６は、図２におけるイベントインジケータ２０ｂによって示されるように、ルータ１５ａ－ｂから情報を収集し得る。そのようなイベントインジケータは、たとえば、それぞれのルータ／ゲートウェイに接続されているクライアントシステムによって発行されたネットワークアクセス要求などのネットワークイベントを示すインジケータを含み得る。たとえば、イベントインジケータ２０ｂは、発信元ＩＰアドレス、宛先ＩＰアドレス、タイムスタンプ、およびペイロードサイズを含み得る。いくつかの実施形態では、イベントインジケータ２０ｂは、様々なデータ処理プロトコル（たとえば、ネットワークフロー、ネットワークログなど）にしたがって、それぞれのルータによって集約されたクライアントイベントデータを備える。

[0039]セキュリティサーバ１６は、クライアントシステム１０ａ－ｈのサブセットを動作させるベースラインの、通常の、および／または正当な方式を表すユーザ挙動モデルのセットを維持する。そのような挙動モデルは、本明細書ではクライアントプロファイルと見なされる。そのような挙動モデルのパラメータは、図１においてプロファイルデータベース１９として一般的に表され、以下に詳細に示されるように、イベントおよび／またはクライアントクラスタリングアルゴリズムの出力を含み得る。プロファイルがクライアントまたはイベントクラスタによって表される例示的な１つの実施形態では、それぞれのプロファイルのパラメータは、クラスタ重心の座標と、様々な軸に沿ったそれぞれのクラスタの範囲を示す数値のセットとを含み得る。とりわけ、他のプロファイルパラメータは、それぞれのクラスタの離心率、および、クラスタメンバとクラスタの重心との間の平均距離などを含み得る。以下に示すように、教師ありまたは教師なしの学習方法およびアルゴリズムを使用して、クライアントプロファイルが自動的に生成され得る。

[0040]クライアントプロファイルは、単一のユーザの挙動を取り込んでもよいし、複数のユーザの挙動をまとめて取り込んでもよい。いくつかの例を挙げると、スマートフォンは主に、１人のユーザによって使用され得るので、それぞれのスマートフォンに付随されたクライアントプロファイルは、本質的に、その主要なユーザのベースライン挙動を取り込むことができる。対照的に、大学のコンピュータラボに属するコンピュータは、多くの異なる学生によって使用され得、これらのマシンのうちの１つのマシンに付随されるクライアントプロファイルは、すべての各学生のベースライン挙動をまとめて表すことができる。１つのクライアントプロファイルを１つのクライアントシステム／物理マシン（たとえば、スマートフォン、ラップトップ）に付随させることができる。いくつかの実施形態では、１つのクライアントプロファイルが、複数の物理マシンをまとめて表し得る。そのような１つの例では、図１のクライアントシステム１０ａ－ｄは、特定の家族のメンバの通常のまたはベースラインの挙動を取り込む単一のクライアントプロファイルによって集合的に表され得る。別の例では、あるクライアントプロファイルが、企業の経理部門のすべてのコンピュータを表すために使用される一方、別のクライアントプロファイルが、それぞれの企業の研究開発チームによって使用されるすべてのコンピュータを表すために使用される。物理マシンが様々な分散ユーザのために、複数の仮想マシンを実行できる仮想デスクトップインフラストラクチャ（ＶＤＩ）環境などのクラウドコンピューティングの実施形態では、１つのクライアントプロファイルを、それぞれの物理マシンで実行する複数の仮想マシンに付随させることができる。

[0041]いくつかの実施形態では、単一のユーザは、複数の別個のクライアントプロファイルによって表され得る。たとえば、同じ人が、職場では１つのクライアントプロファイル／ベースライン挙動を有する一方、自宅では別個のクライアントプロファイル／ベースライン挙動を有する場合がある。クライアントプロファイルの他の例は、特定の年齢層（たとえば、１０代の若者）、特定の個人的な興味（たとえば、ゲーム）、特定の職業（たとえば、エンジニア、アーティスト、教育者）などのユーザに関連付けられ得る。さらに別の例示的な実施形態では、別個のクライアントプロファイルは、たとえば、別個のコンピュータプログラムを使用すること、インターネットをブラウジングすること、ソーシャルメディアを使用すること、事務作業を行うことなど、別個のコンピュータアクティビティに対応し得る。さらに別の例示的なクライアントプロファイルは、別個のデバイスタイプ（たとえば、スマートフォンとＰＣ）に付随され得る。たとえば、Ｘ社のエンジニアがインターネットをブラウズする典型的な／ベースラインの方式を示すクライアントプロファイルなど、より複雑な基準にしたがって集合プロファイルを考案することができる。そのような別の例示的なプロファイルは、若者がタブレットコンピュータを使用する典型的な方式を示すことができる。

[0042]イベントインジケータ２０ａ－ｂのサブセットを収集して、以下に詳細に示されるように、クライアントプロファイルを導出するためにさらに使用されるイベントコーパスを形成し得る。セキュリティ脅威を検出するために、イベントインジケータの別のサブセットが使用され得る。たとえば、イベントインジケータ２０ａ－ｂの受信に応じて、セキュリティサーバ１６は、それぞれのイベントインジケータによって通信されるイベントが、それぞれのクライアントインジケータにしたがって選択されたクライアントプロファイルと一貫しているか否かを判定し得る。別の言い方をすれば、セキュリティサーバ１６は、それぞれのイベントが、それぞれのクライアントプロファイルにエンコード化された通常／ベースラインの挙動のパターンと一致するか否かを判定し得る。一致しない場合、それぞれのイベントは、疑わしいアクティビティを示すことができ、その場合、いくつかの実施形態は、たとえば、セキュリティアラート２２ａ－ｂをそれぞれのクライアントシステムおよび／またはそれぞれのクライアントシステムの管理者に送信するなど、保護的なアクションを講じ得る。保護的なアクションの別の例では、いくつかの実施形態は、疑わしいクライアントシステムと同じローカルネットワークに属するルータに、それぞれの疑わしいクライアントシステムとの通信をブロックするように指示する。セキュリティサーバ１６によるクライアントプロファイルおよびイベントインジケータの処理について、以下でさらに説明する。

[0043]図３－Ａは、本発明のいくつかの実施形態によるクライアントシステムの例示的なハードウェア構成を示す。クライアントシステム１０は、図１におけるクライアントシステム１０ａ－ｈのいずれかを表し得る。明確化のために、例示されているクライアントシステムは、コンピュータシステムである。モバイル電話、タブレットコンピュータ、およびウェアラブルデバイスなどの他のクライアントシステムは、構成が若干異なる場合がある。プロセッサ３２は、信号および／またはデータのセットを用いて計算および／または論理演算を実行するように構成された物理デバイス（たとえば、半導体基板上に形成されたマイクロプロセッサ、マルチコア集積回路）を備える。そのような信号またはデータは、エンコードされ、プロセッサ命令、たとえばマシンコードの形態でプロセッサ３２に配信され得る。メモリユニット３４は、動作を実行する過程でプロセッサ３２によってアクセスまたは生成されるデータ／信号を記憶する揮発性コンピュータ可読媒体（たとえば、ダイナミックランダムアクセスメモリ－ＤＲＡＭ）を備え得る。

[0044]入力デバイス３６は、とりわけ、コンピュータのキーボード、マウス、およびマイクロホンを含むことができ、ユーザがデータおよび／または命令をクライアントシステム１０に導入することを可能にするそれぞれのハードウェアインターフェースおよび／またはアダプタを含む。出力デバイス８は、とりわけ、モニタおよびスピーカなどの表示デバイスのみならず、グラフィックカードなどのハードウェアインターフェース／アダプタを含むことができ、それぞれのクライアントシステムがデータをユーザに通信できるようにする。いくつかの実施形態では、入力および出力デバイス３６－３８は、ハードウェアの共通部分（たとえば、タッチスクリーン）を共有する。記憶デバイス４２は、ソフトウェア命令および／またはデータの不揮発性記憶、読取、および書込を可能にするコンピュータ可読媒体を含む。例示的な記憶デバイスは、磁気ディスクおよび光ディスクおよびフラッシュメモリデバイスのみならず、ＣＤおよび／またはＤＶＤディスクおよびドライブなどのリムーバブルメディアを含む。ネットワークアダプタ４４は、クライアントシステム１０が電子通信ネットワーク（たとえば、図１におけるネットワーク１２、１４）へ、および／または、他のデバイス／コンピュータシステムへ接続することを可能にする。

[0045]コントローラハブ４０は、一般的に、複数のシステム、周辺機器、および／またはチップセットバス、および／または、プロセッサ３２と、クライアントシステム１０の残りのハードウェア構成要素との間の通信を可能にする他のすべての回路構成を表す。たとえば、コントローラハブ４０は、メモリコントローラ、入力／出力（Ｉ／Ｏ）コントローラ、および割込コントローラを備え得る。ハードウェア製造者に応じて、そのようなコントローラの一部は、単一の集積回路に組み込まれ得るか、および／または、プロセッサと統合され得る。別の例では、コントローラハブ４０は、プロセッサ３２をメモリ３４に接続するノースブリッジ、および／または、プロセッサ３２をデバイス３６、３８、４２、および４４に接続するサウスブリッジを備え得る。

[0046]図３－Ｂは、本発明のいくつかの実施形態によるセキュリティサーバ１６の例示的なハードウェア構成を示す。サーバ１６は、少なくとも１つのハードウェアプロセッサ１３２（たとえば、マイクロプロセッサ、マルチコア集積回路）、物理メモリ１３４（たとえば、ＤＲＡＭ）、サーバ記憶デバイス１４２、およびサーバネットワークアダプタ１４４のセットを備える。サーバプロセッサ１３２は、中央処理装置（ＣＰＵ）、および／または、グラフィック処理装置（ＧＰＵ）のアレイを含み得る。アダプタ１４４は、セキュリティサーバ１６が通信ネットワーク１４に接続できるようにするネットワークカードおよび他の通信インターフェースを含み得る。サーバ記憶デバイス１４２は、イベントインジケータおよび／またはクライアントプロファイルパラメータなどのデータを記憶し得る。いくつかの実施形態では、サーバ１６はさらに、クライアントシステム１０の入力／出力デバイス３６、３８と機能的にそれぞれ類似し得る入力および出力デバイスを備え得る。

[0047]図４は、本発明のいくつかの実施形態によるクライアントシステム１０において実行される例示的なソフトウェア構成要素を示す。そのようなソフトウェアは、クライアントシステム１０のハードウェアと、それぞれのクライアントシステムにおいて実行されるユーザアプリケーション４８などの他のコンピュータプログラムとの間のインターフェースを提供するオペレーティングシステム（ＯＳ）４６を含み得る。例示的なオペレーティングシステムは、Ｗｉｎｄｏｗｓ（登録商標）、ＭａｃＯＳ（登録商標）、ｉＯＳ（登録商標）、およびＡｎｄｒｏｉｄ（登録商標）などを含む。ユーザアプリケーション４８は、一般的に、ワードプロセシング、画像処理、スプレッドシート、カレンダ、オンラインゲーム、ソーシャルメディア、ウェブブラウザ、および電子通信アプリケーションなどの任意のアプリケーションを表す。いくつかの実施形態では、セキュリティアプリケーション５０は、クライアントシステム１０を、悪意のあるソフトウェアや侵入などのコンピュータセキュリティ脅威から保護するように構成される。他の機能の中でも、セキュリティアプリケーション５０は、イベントインジケータをセキュリティサーバ１６に送信し、および／または、セキュリティアラートを受信するように構成される。いくつかの実施形態では、アプリケーション５０はさらに、イベントハーベスタ５２およびネットワークフィルタ５３を備える。ネットワークフィルタ５３のいくつかの機能は、ハードウェアにおいて直接実施され得る。クライアントシステム１０が、ハードウェア仮想化プラットフォームを動作させ、ＯＳ４６とアプリケーション４８が、仮想マシン内で（たとえば、クラウドコンピューティング環境において）実行する場合、イベントハーベスタ５２および／またはネットワークフィルタ５３は、たとえば、イントロスペクションとして当技術分野で知られている技法を使用して、それぞれの仮想マシンを公開するハイパバイザのレベルで、それぞれの仮想マシンの外部で実行することができる。

[0048]イベントハーベスタ５２は、クライアントシステム１０によるソフトウェアの実行中に発生する様々なイベントを検出するように構成される。いくつかの実施形態は、検出された各イベントに、タイムスタンプを付けて、それぞれのイベントの発生時間を記録することができる。監視されるイベントは、マシンおよび／またはオペレーティングシステムに固有であり得る。例示的なイベントは、とりわけ、プロセス起動、プロセス終了、子プロセスの生成、周辺機器（たとえば、ハードディスク、ネットワークアダプタなど）へのアクセス要求、コマンドラインインターフェースへのユーザによるコマンド入力などを含む。そのようなハードウェアおよび／またはソフトウェアイベントは、たとえば、オペレーティングシステムの特定の機能をフックし、システムコールを検出し、ファイルシステムミニフィルタを適用し、メモリアクセス許可を変更して、特定のメモリアドレスからのコードの実行の試みを検出することなどによって、コンピュータセキュリティの技術分野で知られている任意の方法を使用して検出され得る。

[0049]いくつかの実施形態は、ＯＳ４６に組み込まれたシステムロギングツール（たとえば、ＵＮＩＸ（登録商標）におけるＳｙｓｌｏｇ）を使用して、ハードウェアおよび／またはソフトウェアイベントを監視する。そのようなツールは、各イベントのタイムスタンプ、イベントタイプを識別する数値コード、それぞれのイベントを生成したプロセスまたはアプリケーションのタイプのインジケータ、および他のイベントパラメータを含むイベント記述子のリストを生成し得る。セキュリティアプリケーション５０は、そのような情報をそれぞれのシステムログから抽出して、イベントインジケータを作成し得る。例示的なシスログ入力が、以下に与えられる。
＜３０＞Ｆｅｂ ８ ２１：３６：５１ ｄｔｍ ｃｈａｒｏｎ：１２［ＩＫＥ］ｅｓｔａｂｌｉｓｈｉｎｇ ＣＨＩＬＤ＿ＳＡ ｄｔｍｈｑ５｛５｝
＜３０＞Ｆｅｂ ８ ２１：３６：５１ ｄｔｍ ｃｈａｒｏｎ：１２［ＩＫＥ］ｅｓｔａｂｌｉｓｈｉｎｇ ＣＨＩＬＤ＿ＳＡ ｄｔｍｈｑ５｛５｝
＜１８７＞Ｆｅｂ ８ ２１：３７：５６ ｅｘａｍｐｌｅ．ｄｏｍａｉｎ．ｂｉｚ ｄｈｃｐｄ：ＤＨＣＰＤＩＳＣＯＶＥＲ ｆｒｏｍ ０ｃ：１４：７ｂ：１１：１４：６４ ｖｉａ ｅｔｈ１：ｎｅｔｗｏｒｋ ｅｔｈ１：ｎｏ ｆｒｅｅ ｌｅａｓｅｓ
[0050]ネットワークフィルタ５３は、クライアントシステム１０と他の当事者との間のネットワーク１２－１４を介した電子通信中に発生するネットワークイベントのセットを検出する。ネットワークフィルタ５３によって検出される例示的なイベントは、クライアントシステム１０と別のネットワークエンティティとの間の接続の確立の一部を形成するイベント（たとえば、ネットワークアドレスの要求、ネットワークアドレスの送信、ハンドシェイクイベントなど）、暗号化された接続（セキュアソケットレイヤ－ＳＳＬ、仮想プライベートネットワーク－ＶＰＮ）を構成するイベント、データの送信、およびデータの受信などを含む。いくつかの実施形態では、ネットワークフィルタ５３は、傍受されたネットワークトラフィックからメタデータを収集する。そのようなメタデータは、たとえば、発信元ネットワークアドレス（たとえば、インターネットプロトコル－ＩＰアドレス）、宛先アドレス、データパケットのタイムスタンプ、通信プロトコルのタイプのインジケータ、およびデータパケットのサイズを含み得る。他の例示的なメタデータは、それぞれの通信／データパケットを送信するハイパテキスト転送プロトコル（ＨＴＴＰ）ユーザエージェントのタイプのインジケータを含み得る。いくつかの実施形態は、通信メタデータを、（たとえば、シスコシステムズ社のＮｅｔＦｌｏｗ（登録商標）のように）当技術分野でネットワークフローとして知られる特殊なデータ構成に編成する。表１は、本発明のいくつかの実施形態によるフローとして表される通信メタデータの例を示す。

[0051]いくつかの実施形態では、セキュリティアプリケーション５０は、ハードウェアと、ソフトウェアと、および／または、ハーベスタ５２およびネットワークフィルタ５３によって検出されたネットワークイベントとにしたがって、イベントインジケータを定式化する。アプリケーション５０はさらに、セキュリティサーバ１６との通信を管理して、イベントインジケータを送信し、および／または、セキュリティ通知を受信するなどし得る。

[0052]代替実施形態では、上記のようにクライアントにおいてネットワーク通信を処理する代わりに、ネットワークフィルタ５３および／またはルータ１５は、クライアントシステム１０に送受信される電子通信の少なくとも一部をセキュリティサーバ１６に再ルーティングするように構成され得る。たとえば、クライアントシステム１０のネットワーク構成パラメータは、サーバ１６をデフォルトネットワークゲートウェイとして示すように設定され得る。次に、いくつかの実施形態は、セキュリティサーバ１６を適用して、それぞれ再ルーティングされたトラフィックから、イベントインジケータを抽出する。

[0053]図５は、本発明のいくつかの実施形態による、セキュリティサーバ１６において実行される例示的なソフトウェアを示す。例示されたソフトウェアは、プロファイリングエンジン６０と、アラートマネージャ６４にさらに接続された異常検出器６２とを含む。当業者は、例示されたすべての構成要素が同じマシン／プロセッサにおいて実行される必要がないことを理解するであろう。たとえば、プロファイリングエンジン６０は、プロセッサの専用クラスタにおいて実行することができ、異常検出器６２のインスタンスは、他のマシン／プロセッサにおいて実行することができる。

[0054]いくつかの実施形態では、プロファイリングエンジン６０は、クライアントシステムのセット（たとえば、図１におけるクライアント１０ａ－ｈのサブセット）において発生するイベントを分析し、それぞれのクライアントシステムを動作させる、ベースラインの、通常の、および／または、正当な方式を表す複数のクライアントプロファイルを構築するように構成される。クライアントから受信したイベントインジケータ２０ａ－ｂのサブセットを使用して、図１、図５、および図６においてコーパス１８として示されるトレーニングイベントコーパスをアセンブルすることができる。その後、イベントコーパス１８にしたがってプロファイルが決定される。クライアントプロファイルを決定することは、とりわけ、以下でより詳細に示すように、抽象的な多次元イベント空間におけるイベントを表し、データクラスタリング手順を実行することを含み得る。構築されたプロファイルは、その後、プロファイルデータベース１９に、入力として記憶され得る。例示的なプロファイルデータベース入力は、クラスタ重心の座標のセット、クラスタの直径および／または偏心の測定値などのプロファイルパラメータのセットを備え得る。

[0055]図６は、プロファイリングエンジン６０の例示的な構成要素および動作を示す。いくつかの実施形態では、エンジン６０は、イベントエンコーダ７０と、イベントクラスタリングエンジン７２と、イベントエンコーダ７０およびイベントクラスタリングエンジン７２に接続されたクライアントクラスタリングエンジン７４とを備える。プロファイリングエンジンによって実行される例示的なステップのシーケンスが図７に例示される。

[0056]ステップ２０２－２０４－２０６のシーケンスにおいて、プロファイリングエンジン６０は、選択されたクライアントシステムおよび／またはルータから受信したイベントインジケータにしたがって、トレーニングイベントコーパス１８をアセンブルし得る。いくつかの実施形態は、何らかの蓄積条件が満たされるまで、イベントインジケータを蓄積する。蓄積条件は、（１００万イベントのコーパスを収集する）イベントの回数にしたがって、（たとえば、１時間以内などに受信したすべてのイベントを記録する）時間条件にしたがって、（たとえば、企業Ｘ、ＩＰ範囲Ｙ、サブスクリプションアカウントＺなどから受信したすべてのイベントを記録する）クライアントシステムおよび／またはユーザのアイデンティティにしたがって、または当技術分野で知られている他の任意の方法にしたがって決定され得る。個々のイベントは、その発生元に応じてラベル付けされ得、それぞれのイベントが発生した、検出された、またはセキュリティサーバ１６で受信された時点などを特徴付けるタイムスタンプを備え得る。いくつかの実施形態では、イベントコーパス１８は、新たに受信したイベントインジケータを組み込むことにより、定期的におよび／またはオンデマンドでリフレッシュされる。

[0057]いくつかの実施形態では、イベントエンコーダ７０（図６）は、クライアントシステムにおいて発生したイベント（たとえば、クライアントマシンにおけるプロセスの起動）を特徴付けるデータを備えるイベントレコード２６を入力し、これに応じて、当技術分野において通常、埋込空間と見なされる抽象的な多次元空間におけるベクトルとして、それぞれのイベントの表現を備えるイベントベクトル２８ａを出力するように構成される。例示的な埋込空間は、各軸が別個のイベント特徴を表す軸のセットにまたがっている。例示的な特徴は、ネットワークイベントの場合、ソースＩＰアドレス、ソースポート、宛先ＩＰアドレス、宛先ポート、およびトランスポートプロトコルのインジケータなどを含み得る。別の例では、埋込空間の各軸は、（たとえば、主成分／特異値分解の実施形態において）イベント特徴の線形結合に対応する。好ましい実施形態では、イベントは、それぞれのイベントに先行および／または後続する他のイベントのコンテキストで分析される。そのような場合において、エンコーダ７０は、イベントをコンテキストの埋込空間内のベクトルとして表すように構成され、類似のコンテキストで主に発生する２つのイベントは、互いに比較的近くに位置する。いくつかの実施形態は、イベントボキャブラリのサイズＮ、すなわち、それぞれのセキュリティシステムが監視している別個のイベントタイプの回数にしたがって、埋込空間の次元を選択する（イベントボキャブラリのさらなる詳細については、以下を参照）。たとえば、イベント空間の次元は、Ｎの２次ルートまたはＮの対数のオーダであり得る。本発明の典型的な実施形態は、数百から数千の次元を有する埋込コンテキスト空間を使用する。

[0058]イベントエンコーダ７０は、自動化されたデータ処理の技術分野で知られている任意の方法を使用して構築され得る。好ましい実施形態では、エンコーダ７０は、人工知能システム、たとえば、多層人工ニューラルネットワーク（たとえば、リカレントおよび／またはフィードフォワードニューラルネットワーク）を備える。イベントベクトルの所望の表現を達成するために、何らかの性能条件が満たされるまで、エンコーダ７０のパラメータを調整することができる。そのような調整は、本明細書においてトレーニングと呼ばれ、図７におけるステップ２０８によって表される。ニューラルネットワークの実施形態では、イベントエンコーダ７０の例示的な調整可能なパラメータは、シナプス重みのセットなどを含む。いくつかの実施形態では、トレーニングエンコーダ７０は、埋込空間自体を構築することになる。別の言い方をすれば、埋込空間は事前に決定されず、代わりに、イベントコーパス１８の構成と、選択されたトレーニング手順とに依存する。

[0059]例示的なトレーニング手順は、図８－Ａ－Ｂに示され、これは、スキップグラムアルゴリズムや、連続バッグオブワードアルゴリズムなどのｗｏｒｄ２ｖｅｃアルゴリズムのバージョンを備える。そのような実施形態では、イベントは、単独で分析されるのではなく、発生または検出の時間にしたがって順序付けられた複数のイベントからなるイベントシーケンス２５の構成要素として分析される。いくつかの実施形態では、それぞれのシーケンスのすべてのイベントは、同じクライアントシステムにおいて発生するように選択される。イベントシーケンス２５は、中央イベントＥ_０と、中央イベントに先行するイベントのサブセットＥ_－ｋ．．．Ｅ_－１（ｋ≧０）、および／または、中央イベントに後続するイベントのサブセットＥ_１．．．Ｅ_ｐ（ｐ≧０）からなるイベントコンテキストとを備える。典型的な実施形態は、対称的なイベントコンテキスト（ｐ＝ｋ）を使用し、ｐは２から５の範囲である。個々の各イベントＥ_ｉ（－ｋ≦ｉ≦ｐ）は、Ｎ行ｌ列の数値ベクトルとして表すことができ、各行は、別個のイベントタイプ（たとえば、ブラウザの起動、ファイルのダウンロードの開始、ディスクへのデータの書込など）を表し、Ｎは、イベントタイプの「ボキャブラリ」のサイズを表し、ゼロ以外の要素は、それぞれのイベントがそれぞれのイベントタイプであることを示す。そのような表現は、当技術分野でワンホットエンコーディングとして一般的に知られている。イベントボキャブラリの典型的なサイズＮは、数百から数千の別個のイベントタイプの範囲をとるが、固有のアプリケーションでは数百万に達する可能性がある。当業者は、ワンホットエンコーディングが、本明細書では例としてのみ使用されており、決して本発明の範囲を限定しないことを理解するであろう。

[0060]例示的なトレーニング手順では、イベントエンコーダは、イベントデコーダとペアになり、イベントデコーダとともにトレーニングされ、両方とも、フィードフォワードおよび／またはリカレントニューラルネットワークの一部を備え得る。一般的に、エンコーダとデコーダのペアは、トレーニングシーケンスの第１のサブセット（たとえば、中央イベントＥ_０）を入力し、それぞれのシーケンスの第２サブセット（たとえば、何らかのコンテキストイベントＥ_ｉ，ｉ≠０）の「予測」を出力するように構成される。図８－Ａ－Ｂの例では、予測は、ワンホットベクトルとして例示され、代替実施形態は、異なる表現を使用してもよい。たとえば、予測は、Ｎ次元の数値ベクトルとして表すことができ、各数値は、対応するイベントタイプが、第２のサブセットに存在する可能性を示す。

[0061]図８－Ａに例示されるスキップグラムトレーニング手順において、エンコーダとデコーダのペアは、中央イベントＥ_０が与えられた場合に正しいイベントコンテキストを生成するようにトレーニングされる。イベントコーパス１８から引き出されたイベントの各シーケンスに対して、エンコーダ７０ａは、中央イベントＥ_０のワンホットエンコーディングを入力し、埋込コンテキスト空間における中央イベントＥ_０の表現を備えるイベントベクトル２８ｃを生成するように構成される。次に、デコーダ７６ａは、イベントベクトル２８ｃを入力し、各々が、それぞれのイベントシーケンスの「予測された」コンテキストイベントＥ_ｉ（ｉ≠０）を表す複数の推測ベクトルを出力するように構成される。エンコーダとデコーダのペアは、その後、予測誤差を低減するために、すなわち、「予測された」コンテキストと、それぞれのトレーニングシーケンスの実際のコンテキストとの間の不一致を修正するために、エンコーダ７０ａおよび／またはデコーダ７６ａのパラメータを調節することによってトレーニングされ得る。

[0062]連続的なバッグオブワードトレーニングアルゴリズムを使用する代替的なトレーニング手順は、それぞれのイベントコンテキストが与えられたトレーニングシーケンスの正しい中央イベントＥ_０を生成することを目的とする。図８－Ｂに例示されるそのような１つの例では、イベントエンコーダ７０ｂは、シーケンス２５のコンテキストイベントＥ_ｉ（ｉ≠０）を表すワンホットベクトルのセットを入力し、それぞれの各コンテキストイベントに対して決定された埋込イベントベクトル２８ｄ－ｆを出力するように構成される。図８－Ａに例示されるスキップグラムの実施形態とは対照的に、エンコーダ７０ｂは、複数のイベントベクトル２８ｄ－ｆを入力し、シーケンス２５の中央イベントＥ_０の予測または「推測」を生成するように構成されたイベントデコーダ７６ｂとペアをなす。その後、エンコーダとデコーダのペアは、予測誤差、すなわち、「予測された」中央イベントと、それぞれのトレーニングシーケンスの実際の中央イベントとの不一致を低減するために、エンコーダ７０ｂおよび／またはデコーダ７６ｂのパラメータを調節することによってトレーニングされる。

[0063]イベントエンコーダのトレーニングを実施するステップの例示的なシーケンスが、図９に例示される。ステップ２２２は、イベントコーパス１８からイベントレコードのセットを検索し、イベントタイムスタンプにしたがって、およびそれぞれのイベントのソース（すなわち、それぞれのイベントが発生したクライアントシステム）にしたがって、イベントシーケンス２５を識別する。スキップグラムの実施形態では、その後、ステップ２２４がイベントエンコーダ７０ａを実行して、イベントＥ_０（図８－Ａのイベントベクトル２８ｃ）の埋込空間表現を生成する。ステップ２２６において、プロファイリングエンジン６０は、イベントデコーダ７６ａを実行して、シーケンス２５内の中央イベントＥ_０に先行する、および／または、後続するイベントについて、予測または「推測」のセットを生成する。ステップ２２８は、予測された各コンテキストイベントを、シーケンス２５のそれぞれの実際のコンテキストイベントＥ_ｉ（ｉ≠０）と比較し、したがって、数値予測誤差を判定する。コスト関数または目的関数として解釈され得る予測誤差は、人工知能の技術分野で知られている任意の方法にしたがって計算され得る。そのような計算は、距離、たとえば、予測されたイベントと、実際のイベントとの間のレーベンシュタイン距離、ユークリッド距離、または余弦距離を決定することを備え得る。いくつかの実施形態は、交差エントロピ測定にしたがって目的関数を決定する。ステップ２３０において、プロファイリングエンジンは、計算された予測誤差を最小化する方向にエンコーダ７０ａのパラメータを調節し得る。トレーニングのために使用されるいくつかの例示的なアルゴリズムは、勾配降下法を使用した逆伝播法、シミュレーテッドアニーリング、および遺伝的アルゴリズムなどを含む。いくつかの実施形態は、その後、終了条件が満たされるまで、たとえば、イベントコーパス１８にわたる平均予測誤差が、所定のしきい値を下回るまで、ステップ２２２－２３０を繰り返す。別の実施形態では、トレーニングは、所定の時間、または所定の反復回数継続する。当業者は、図９に例示されるステップのシーケンスが、多少の変更を加えて、バッグオブワードの実施形態（図８－Ｂ）にも等しく適合されることを理解するであろう。

[0064]上に示したイベントエンコーダのトレーニングに応じて、いくつかの実施形態はさらに、生成された埋込空間を変換して、その次元を削減する。この動作は、任意のデータ次元削減アルゴリズム、たとえば主成分分析（ＰＣＡ）または特異値分解（ＳＶＤ）を備え得る。

[0065]トレーニングおよびオプションの次元削減（図７におけるステップ２０８）の後、イベントエンコーダ７０は、イベントコンテキストの多次元埋込空間におけるベクトルとして、各イベントを表すことができ、ここでは、同じイベントコンテキスト内で頻繁に発生する２つのイベントは、同じような位置を占める。別の言い方をすれば、そのような２つのイベントは、主に異なるコンテキストで発生する２つのイベント間の距離よりも短い距離だけ、埋込空間内で分離される。

[0066]プロファイリングエンジン６０（図６）の構成要素に戻って示すように、イベントクラスタリングエンジン７４は、トレーニングされたイベントエンコーダ７０によって生成され、トレーニングコーパス１８のメンバを表すイベントベクトルを、埋込空間内の各イベントベクトルの位置にしたがってクラスタに編成するように構成される（図７におけるステップ２０７も参照）。実施形態では、クラスタは、埋込空間内で互いに比較的近い複数のイベント、または別の言い方をすれば、埋込空間内の比較的小さなイベント間距離を特徴とする複数のイベントを備える。代替実施形態では、クラスタは、埋込空間のクラスタ固有領域を占めるイベントから構成される。そのような領域は、相互に排他的であるか、または部分的に重複していてもよい。図１０は、本発明のいくつかの実施形態による、例示的な埋込空間と、イベントクラスタ８０ａ－ｂのセットとを示す。例示される軸は、たとえば、例示されるイベントベクトル（ベクトル２８ｇ－ｈ－ｋ）の第１および第２の主構成要素を備え得る。イベントコンテキストの埋込空間を使用する実施形態では、クラスタは、主に類似のイベントコンテキスト内で発生するイベントを選択的に含み得る。さらに、同じクラスタは、様々なクライアントシステムにおいて発生する、および／または、様々なユーザのアクティビティを表す、イベントを含み得る。

[0067]イベントクラスタを構築するために、プロファイリングエンジン６０は、当技術分野で知られている任意のデータクラスタリングアルゴリズム、たとえばｋ平均アルゴリズムの変形を適用し得る。別の例示的な実施形態は、パーセプトロンのセットをトレーニングして、埋込空間を別個の領域に切り分け、各領域内に位置するイベントベクトルを別個のイベントクラスタに割り当て得る。クラスタおよび／または領域の数は、（たとえば、保護されるクライアントシステム、および／または、監視されるイベントタイプの回数にしたがって）事前に決定され得るか、または、クラスタリングアルゴリズム自体によって動的に決定され得る。イベントクラスタリングの結果は、イベントクラスタパラメータ５４（図６）のセットを備え、これは、各クラスタについて、クラスタの重心の座標およびクラスタの範囲の尺度、たとえば直径および／または偏心度を含み得る。他の例示的なクラスタパラメータ５４は、それぞれのクラスタのメンバのリストや、それぞれのクラスタの代表／アーキタイプと見なされるそれぞれのクラスタの選択されたメンバなどを含み得る。クラスタパラメータは、クライアントクラスタリングエンジン７４に渡され得る。

[0068]クライアントクラスタリングエンジン７４（図６）は、イベントクラスタリングエンジン７２によって計算されたイベントクラスタにしたがって、クライアントプロファイルのセットを決定するように構成される。そのようなクライアントプロファイルが、図１１に例示される。いくつかの実施形態では、各クライアントプロファイルは、保護されたクライアントシステム１０ａ－ｈの選択されたサブセット（クラスタ）を備える。いくつかのクライアントプロファイルは、複数のクライアントクラスタを含み得る。いくつかの実施形態では、クライアントプロファイルは、それぞれのクライアントクラスタの実際のメンバ、またはプロファイル空間内の固有の位置によって特徴付けられる架空のクライアントシステムであり得る、プロファイルアーキタイプを備え得る。たとえば、プロファイルアーキタイプは、クライアントクラスタリングエンジン７４によって決定されるクライアントクラスタの重心を備え得る。

[0069]クライアントプロファイルを計算するために、クライアントクラスタリングエンジン７４のいくつかの実施形態は、それぞれのクライアントシステムにおいて発生するイベントの典型的な分布を示すイベントプロファイルにしたがって、クライアントシステム１０ａ－ｈをクラスタに割り当てる。１つの例示的な実施形態では、クライアントシステムのイベントプロファイルは、数字のベクトルを備え、数字は各々、それぞれのクライアントシステムにおいて発生し、イベントクラスタリングエンジン７２によって以前に決定された別個のイベントクラスタに属する、イベントの回数にしたがって決定される。図１２に例示される例では、イベントプロファイルの各構成要素は、それぞれのクライアントシステムから利用可能なイベントの合計回数の一部として決定される、それぞれのイベントクラスタＱに属するイベントの割合を示すクラスタ信頼度尺度にしたがって決定される。たとえば、イベントクラスタリングエンジン７２が、３つのイベントクラスタＣ_１、Ｃ_２、およびＣ_３を識別した場合、イベントプロファイルベクトル［０．１，０．７５，０．１５］は、それぞれのクライアントシステムにおいて発生するイベントの１０％が、イベントクラスタＣ_１に属する一方、イベントの７５％が、イベントクラスタＣ_２に属し、イベントの１５％が、イベントクラスタＣ_３に属するクライアントシステムを表し得る。

[0070]図１１に例示される例示的な実施形態では、各クライアントシステムは、それぞれのイベントプロファイルにしたがって多次元プロファイル空間において表される。別の言い方をすれば、クライアントシステムの各座標は、それぞれのクライアントのイベントプロファイルの構成要素を表す。図１１は、３つの例示的なクライアントクラスタ／プロファイル８２ａ－ｃを示す。当業者は、機械学習またはデータマイニングの技術分野で知られている任意の方法を使用して、そのようなプロファイルを構築することができ、例示的な方法は、ｋ－ｍｅａｎｓクラスタリングアルゴリズムやニューラルネットワークの変形などを含む。代替実施形態は、クライアントシステムをクラスタに割り当てる他の基準を使用するか、またはそれぞれのクライアントのイベントプロファイルに加えてそのような基準を使用することができる。追加の例示的なクライアントクラスタリング基準は、とりわけ、それぞれのクライアントシステムの所有者および／またはユーザと、それぞれのクライアントシステムのネットワークアドレスと、それぞれのクライアントシステムのデバイスタイプなどを含む。たとえば、同じ家族、同じ企業、または同じネットワークドメインに属するクライアントは、同じクラスタにおいて、ともにグループ化され得る。

[0071]クライアントクラスタリングの後、プロファイリングエンジン６０は、各クラスタ／プロファイルに割り当てられたクライアントシステムのリストと、クラスタアーキタイプ（たとえば、重心）の座標と、クラスタ直径などのクラスタパラメータを、プロファイルデータベース１９に保存し得る。

[0072]図１３は、本発明のいくつかの実施形態による異常検出器６２の例示的な構成要素および動作を示す（図５も参照）。異常検出器６２は、様々なクライアントシステムにおいて発生するイベントを示すイベントインジケータを備えるイベントストリーム２４を受信し、それに応じて、それぞれのイベントが侵入、または悪意のあるソフトウェアの実行などのセキュリティ脅威を示しているか否かを示すセキュリティラベル８８を出力するように構成される。いくつかの実施形態では、異常検出器６２は、保護されたクライアントシステムにおいて発生するイベントを示すイベント通知の受信に応じて、それぞれのイベントにしたがってクライアントプロファイルを選択するように構成されたプロファイルマネージャ８４を備える。プロファイルマネージャ８４はさらに、それぞれのイベントが、それぞれのプロファイルによって表される通常／ベースラインの挙動のパターンに適合するか否かを判定するように構成された挙動モデル８６に接続される。適合しない場合、それぞれのイベントは、異常と見なされ得、したがって、それぞれのクライアントシステムに対する攻撃の可能性を示す。

[0073]以下に示す異常検出を実行する準備として、異常検出器６２のいくつかの実施形態は、プロファイリングエンジン６０の出力を使用して、最初にイベントコーパスでトレーニングされる。異常検出器６２をトレーニングする１つの目的は、プロファイリングエンジン６０によって識別された各クライアントプロファイルの通常／ベースラインのユーザ挙動を判定することである。トレーニングは、終了基準が満たされるまで、挙動モデル８６のパラメータのセットを調節することを備える。異常検出器６２をトレーニングするために使用されるイベントコーパスは、プロファイリングエンジン６０の構成要素をトレーニングするために使用されるトレーニングコーパス１８とは異なり得る。

[0074]図１４は、本発明のいくつかの実施形態によるトレーニング手順中に異常検出器６２によって実行される例示的なステップのシーケンスを示す。異常エンジン６０が、クライアントプロファイルのセットを構築することに応じて、ステップ２４２は、プロファイルデータベース１９からそのようなクライアントプロファイルを１つ選択する。いくつかの実施形態では、そのような各クライアントプロファイルは、クライアントクラスタのセット、たとえば図１１におけるクラスタ８２ａを備える。各クライアントクラスタはさらに、保護されたクライアントシステムの選択されたサブセットを含む。ステップ２４４は、それぞれのプロファイル／クラスタに関連付けられた任意のクライアントシステムにおいて発生するものとして登録されたイベントのトレーニングセットを選択し得る。いくつかの実施形態では、ステップ２４４は、上記に示されたように、クライアントプロファイルを構築するためにすでに使用されたトレーニングコーパス１８から選択された、イベントのトレーニングセットを備え得る。さらなるステップ２４６は、挙動モデル８６をトレーニングするためのトレーニングコーパスとして、イベントのそれぞれのトレーニングセットを使用し得る。

[0075]いくつかの実施形態では、挙動モデル８６は、プロファイリングエンジン６０のいくつかの構成要素と、構成および機能が類似している構成要素を備える。たとえば、モデル８６のいくつかの実施形態は、図１５に例示されるようなエンコーダとデコーダのペアを含み、これは、ニューラルネットワーク技術を使用して構築され得、ｗｏｒｄ２ｖｅｃファミリのアルゴリズムのメンバにしたがってトレーニングされ得る（図８－Ａ－Ｂに関する上記の説明参照）。トレーニング挙動モデル８６は、その後、それぞれのクライアントクラスタ／プロファイルからの各イベントを、イベント埋込空間内のベクトルとして表すことを目的として、エンコーダ７０ｃおよび／またはデコーダ７６ｃのパラメータ（たとえば、シナプス重みのセット）を調節することになり得る。好ましい実施形態では、エンコーダ７０ｃは、イベントシーケンスのコンテキストで各イベントを分析し、他のコンテキストで発生するイベントと比較して、同様のコンテキストで主に発生するイベントが短い距離で分離される埋込空間を生成する。しかしながら、２つのエンコーダのために使用されるトレーニングコーパスは別個であるので、トレーニングエンコーダ７０ｃから生じるイベント埋込空間（すなわち、軸の平均化、イベント間距離のサイズなど）は、トレーニングイベントエンコーダ７０から生じるイベント埋込空間とは実質的に異なる場合がある。

[0076]好ましい実施形態では、ステップ２４６は、バッグオブワードアルゴリズムのバージョンを使用して、エンコーダとデコーダのペアをトレーニングすることを備える（図８－Ｂ参照）。そのような１つの例では、エンコーダとデコーダのペア（図１５）は、現在分析されているイベントシーケンスのイベントコンテキストを表す複数のイベントＥ_－ｋ．．．Ｅ_－１，Ｅ_１．．．Ｅ_ｐを受信し、Ｎ次元の予測スコアベクトル９０を生成するように構成され、各要素は、別個のイベントタイプに関連付けられ、各要素は、それぞれのイベントシーケンスの中央イベントが、それぞれのイベントタイプからなる可能性を表す。たとえば、より高いスコア値は、それぞれのイベントタイプが、より低いスコアを有する他のイベントタイプよりも、それぞれのイベントシーケンスの中央イベントとして発生する可能性がより高いことを示し得る。そのような実施形態では、モデル８６の例示的なトレーニングは、ステップ２４４（図１４）において識別されたイベントのサブセットからイベントシーケンスを選択することと、それぞれのシーケンスのイベントコンテキストをエンコーダ７０ｃに入力することと、それぞれのイベントシーケンスの中央イベントＥ_０のための予測を生成するようにデコーダ７６ｃを実行することと、エンコーダ７０ｃおよび／またはデコーダ７６ｃを形成するニューラルネットワークを介して予測誤差を逆伝播することにより、不正確な予測を罰することとを備え得る。トレーニングが成功したことに応じて、ステップ２４８は、トレーニングされた挙動モデルのパラメータ値を保存し得る。トレーニング手順は、プロファイリングエンジン６０によって識別されたクライアントプロファイルごとに繰り返され得る。

[0077]図１６は、本発明のいくつかの実施形態による、ターゲットクライアントシステム（図１におけるクライアント１０ａ－ｈなど）を、コンピュータセキュリティ脅威から保護するために異常検出器６２によって実行される例示的なステップのシーケンスを例示する。ターゲットクライアントシステムは、上記のように挙動モデルおよび／またはクライアントプロファイルを生成したイベントのトレーニングコーパスを提供するクライアントのサブセットのメンバである場合も、そうでない場合もある。ターゲットクライアントシステムを保護するために、イベントは、ターゲットクライアントシステム、および／または、ルータ１５ａ－ｂ（図１参照）などの他のデバイスで検出され得、イベントインジケータの形態でセキュリティサーバ１６へ通信され得る。そのようなイベントインジケータは、ソース、イベントタイプ、タイミング、サービスアカウント設定などにしたがって前処理され、イベントストリーム２４として編成され得る。イベントは個別に、またはバッチで処理され得る。ターゲットクライアントシステムからのイベントインジケータの受信に応じて、ステップ２５４において、異常検出器６２は、それぞれのイベントインジケータにしたがって、分析するイベントシーケンスをアセンブルし得る。ステップ２５４は、イベントソース（すなわち、それぞれのイベントが発生したクライアントシステム）を識別することと、イベントストリーム２４から複数の他のイベントを選択して、イベントシーケンスを形成することとを含み得る。いくつかの実施形態では、シーケンスのメンバはすべて、同じターゲットクライアントシステムにおいて発生するように選択される。別の例では、シーケンスのすべてのメンバは、たとえば、ネットワークサブドメインや、共通のＩＰアドレスなど、クライアントシステムの所定のサブセットにおいて発生する必要がある。選択されたイベントはまた、発生および／または検出の時間にしたがって、たとえば、着信イベントインジケータで提供されるタイムスタンプを使用して順序付けられ得る。イベントシーケンスはさらに、たとえば中央イベントとイベントコンテキストとを識別するなどの部分にさらに分割され得る（たとえば、図８－Ａ参照）。

[0078]ステップ２５６において、プロファイルマネージャ８４は、それぞれのイベントインジケータにしたがって、たとえば、それぞれのイベントが発生したターゲットクライアントシステムのアイデンティティにしたがって、クライアントプロファイルを選択し得る。それぞれのターゲットクライアントシステムが、クライアントプロファイルの開発、および／または、挙動モデルのトレーニングのためのトレーニングイベントを提供した場合、ステップ２５６は、メンバとしてそれぞれのターゲットクライアントシステムを有するクライアントプロファイル／クラスタを選択することを備え得る。他のプロファイル選択基準を使用することもできる。たとえば、ステップ２５６は、クライアントプロファイル空間（図１１参照）内のターゲットクライアントシステムの位置にしたがって、たとえば、ターゲットクライアントシステムの位置を、クラスタアーキタイプのセットまたは重心と比較することによって、クライアントプロファイルを選択することと、重心がターゲットクライアントシステムに最も近いクラスタ／プロファイルを選択することとを備え得る。そのような１つの例では、クライアントプロファイルは、ターゲットクライアントシステムについて決定されたイベントプロファイルにしたがって（たとえば、特定のイベントカテゴリ／クラスタに適合する、ターゲットクライアントシステムから受信したイベントの回数にしたがって）選択され得る。他のクライアントプロファイル選択基準は、ターゲットクライアントシステムのネットワークアドレスにしたがってクライアントプロファイルを選択すること（たとえば、ターゲットクライアントシステムと同じＩＰアドレスを有するクライアントを含むクライアントプロファイルを選択すること）、ターゲットクライアントシステムの所有者／ユーザにしたがってクライアントプロファイルを選択すること（たとえば、ターゲットクライアントシステムと同じ世帯のメンバを含むプロファイルを選択すること）などを含み得る。

[0079]さらなるステップ２５８において、異常検出器は、選択されたそれぞれのクライアントプロファイルに固有のパラメータ値で、挙動モデル８６をインスタンス化し得る。いくつかの実施形態では、プロファイル固有のインスタンス化の後、モデル８６を実行すること（ステップ２６０）は、それぞれのクライアントプロファイルに関連付けられたイベント埋込空間にそれぞれのイベントシーケンスのイベントを投影することを備える。

[0080]ステップ２６２は、それぞれのイベントシーケンスのイベントが、それぞれのクライアントプロファイルに関連付けられた通常／ベースラインのユーザ挙動を表すか否かを判定し得る。１つの実施形態では、ステップ２６０において、それぞれのシーケンスのイベントコンテキスト（Ｅ_ｉ，ｉ≠０）を挙動モデル８６へ供給することと、それぞれのシーケンスの予測スコアベクトル９０を計算することとを備える。その後、ステップ２６２は、シーケンスの実際の中央イベントＥ_０のイベントタイプに対応するベクトル９０の要素を識別することと、それぞれのスコアを所定のしきい値（たとえば、０．９５）と比較することとを備え得る。いくつかの実施形態では、しきい値よりも低いスコア値は、それぞれのイベントＥ_０がそれぞれのイベントコンテキストで実質的に発生する可能性が高くないことを示し、したがって、潜在的なコンピュータセキュリティ脅威と一貫する異常を示す。いくつかの実施形態では、セキュリティサーバ１６のユーザまたは管理者は、しきい値を調節することにより、方法の感度を調整し得る。そのような１つの例では、異なるしきい値が、クライアントシステムの異なるグループに関連付けられる。

[0081]代替実施形態では、ステップ２６０は、モデル８６を使用して、それぞれのクライアントプロファイルに固有のイベント埋込空間内のシーケンスのイベントＥ_ｉの表現を決定することを備え得る。その後、ステップ２６２は、埋込空間内のそれぞれのイベントの位置にしたがって、イベントＥが、それぞれのクライアントプロファイルの通常の挙動のパターンに適合するか否かを判定することを備え得る。たとえば、イベントが、トレーニングイベントのクラスタ内に配置されている（たとえば、所定のしきい値よりもクラスタ重心に近い）場合、イベントは通常と見なされる。別の例では、イベントは、埋込空間の特定の領域に位置する場合、通常／良性と見なされ得、他の領域に位置する場合は異常と見なされ得る。

[0082]シーケンスのイベント（たとえば、Ｅ_０）が異常であると見なされる場合、つまり、言い換えれば、それぞれのクライアントプロファイルのトレーニングを通じて確立された通常のパターンに適合しない場合、ステップ２６４は、さらなる分析のためにそれぞれのイベントにマークを付すことができる。いくつかの実施形態では、異常は、セキュリティサーバ１６のアラートマネージャ６４によるセキュリティアラートの送信をトリガし得る（図５参照）。セキュリティアラートは、異常なイベントが発生したクライアントシステム、および／または、それぞれのクライアントシステムの管理者に送信され得る。異常なイベントのインシデントも収集され得、さらなる分析のために、コンピュータセキュリティラボに報告され得る。

[0083]上述した例示的なシステムおよび方法により、悪意のあるソフトウェアおよび侵入などのコンピュータセキュリティ脅威の効率的な検出が可能になる。開示されたシステムおよび方法は、コンピュータセキュリティに対する挙動によるアプローチを実施し、通常／ベースラインのユーザ挙動は、イベントのトレーニングコーパスにしたがってシステムによって自動的に推測され、ベースライン挙動パターンからの逸脱は、脅威を示し得る。

[0084]いくつかの実施形態は、複数のクライアントシステム、たとえば、コンピュータ、モバイル電話、ネットワーク器具、および仮想マシンにおいて発生する様々なイベントを検出する。例示的なイベントは、固有のプロセスの起動、特定のファイルまたはネットワークの場所へのアクセスの試み、特定のポートやアドレスへのアクセスなどのネットワークトラフィックイベントなどを含む。当業者は、とりわけ、本明細書において説明されたシステムおよび方法が、ソーシャルメディアにおけるユーザのアクティビティ、ユーザのブラウジング履歴、およびユーザのゲームアクティビティなどに関連するイベントのように、他の種類のイベントに適応できることを理解するであろう。イベント通知は、セキュリティサーバにおいて集約される。そのようなイベントの集合は、クライアントプロファイルのセットを構築するためのトレーニングコーパスとして使用され得、各クライアントプロファイルは、単一のユーザ、単一のマシン、または複数のユーザ／マシンを表し得る。いくつかの実施形態では、各クライアントプロファイルは、クライアントシステムのサブセット、および／または、それぞれのサブセットクライアントシステムにおいて発生したイベントのサブセットを備える。各クライアントプロファイルは、それぞれのクライアントシステムの通常のおよび／または良性なパターンを表し得る。そのようなクライアントプロファイルは、その後、コンピュータセキュリティ脅威を示し得る異常な挙動のインシデントを検出するために使用され得る。

[0085]いくつかの従来のコンピュータセキュリティは、悪意を示す挙動を定量化するルールのセットにしたがって動作する。開発者は通常、そのようなソリューションを、広く様々なクライアントに提供することに関心があるため、挙動ルールは、通常、一般的であり、固有のユーザに合わせて調整されていない。しかしながら、実際には、ユーザは、非常に多様である。同じ会社や家族であっても、メンバによってコンピュータの使用方法は大きく異なり得る。ソフトウェア開発者またはエンジニアにとっては通常と見なされ得るアクションのセットが、経理部門のコンピュータで検出されると、非常に珍しい場合がある。さらに、同じユーザでも、職場と自宅で挙動が大きく異なる場合がある。したがって、一般的な挙動ルールでは、実際のユーザの多様性と特異性を取り込めない場合がある。そのような従来のシステムとは対照的に、本発明のいくつかの実施形態では、各クライアントシステムにおいて発生するイベントは、それぞれのクライアントシステム自体および／または同様のクライアントの通常／ベースラインの挙動を取り込むモデルに対して、選択的にレビューおよび分析される。別の言い方をすれば、挙動の「正常性」の境界は、固有のクライアントマシン、固有のグループ（たとえば、会社の特定の部門、家族のメンバ、特定の年齢層）のユーザなど、かなり具体的に定義され得る。

[0086]ソフトウェアおよびインターネットの使用の普及により、高度に固有の挙動プロファイル、たとえば個々のユーザに付随されたプロファイルを開発する試みは、不合理な計算リソースを必要とする可能性があり、したがって非現実的である可能性がある。さらに、個々のユーザ／マシンからイベントを収集しても、統計的にロバストな挙動モデルを開発するのに十分なデータが提供されない場合がある。このアプローチとは対照的に、本発明のいくつかの実施形態は、複数のユーザ、および／または、マシンを、単一のクライアントプロファイルにグループ化し、したがって、特異性、ロバスト性、および計算コストの間の有用なトレードオフを保証する。それに加えて、ユーザとマシンがプロファイルにグループ化される方式は、それ自体が挙動基準に基づいており、そのようなグループ化が特異性を維持することを保証する。いくつかの実施形態では、各クライアントプロファイルは、実質的に同様のイベントプロファイルを有するユーザ／マシンをグループ化する。別の言い方をすれば、クライアントプロファイルのすべてのメンバは、メンバマシンにおいて発生するイベントの統計に関して、同様のベースライン挙動を示す。

[0087]いくつかの従来のコンピュータセキュリティシステムおよび方法は、主に個々のイベントを分析する。コンピュータシステムの動作中に発生する多くのイベント（たとえば、ファイルを開く、ウェブページにアクセスする）は、単独で考えると悪意を示すものではないかもしれない。しかしながら、特定のアクションのシーケンスなど、他のイベントのコンテキストにおいて発生する場合は、悪意がある可能性がある。より従来式のソリューションとは対照的に、本発明のいくつかの実施形態は、コンテキスト内でイベントを明示的に分析するので、そのようなイベント相関状況により適している。好ましい実施形態は、個々のイベントを、同じイベントコンテキストにおいて、比較的高い頻度で発生するイベントのペアが、同じイベントコンテキストにおいて、より稀にしか発生しない別のイベントのペアよりも、短い距離で隔てられているという別個の特性を有する、多次元埋込空間内のベクトルとして表す。

[0088]挙動モデリングを成功させるには、多数（たとえば、数百または数千）の別個のイベントタイプを検出する必要があり得るが、挙動モデリングにおいてすべてのイベントタイプが等しく重要であるとは限らない。多数のソースから受信したそのような多数のイベントタイプに関する統計データを収集して分析することは、非現実的であり得る。この問題に対処するために、いくつかの実施形態は、イベントを、イベント間の類似性の程度にしたがって、イベントカテゴリまたはクラスタにグループ化し、したがって、よりロバストなおよび／または関連性のある統計を作成する。クライアントプロファイルの構築は、そのような意味のある次元削減によって実質的に容易とされ得る。イベントの類似性は、いくつかの基準にしたがって、たとえば、イベント埋込空間内の２つのイベントを分離する距離にしたがって決定され得る。好ましい実施形態において、２つのイベントは、それらが主に同じ文脈において発生する場合、類似していると見なされ得る（たとえば、例示的なシーケンスＸＡＹおよびＸＢＹにおけるように、イベントＡおよびＢの両方が頻繁に、イベントＸが先行し、および／または、イベントＹが後続する場合、イベントＡおよびＢは、類似していると見なされる）。

[0089]図１７－Ａ－Ｂは、コンピュータセキュリティ脅威の検出に、上記で説明したシステムおよび方法のいくつかを適用する実験を例示する。複数の監視されたクライアントから収集されたイベントのイベントコーパスを使用して、上記のようにプロファイリングエンジンの構成要素をトレーニングした結果、監視されたクライアントは、１１のクライアントクラスタ／プロファイルに分割された。イベントは、１５次元の埋込空間における各イベントの表現にしたがって、イベントカテゴリに分類された。プロファイル固有の挙動モデルは、それぞれのクライアントクラスタ用に開発された。その後、特定のタイプの攻撃が、テストマシンにおいて実行された。テストマシンから収集されたイベントシーケンスは、挙動モデルの各々に固有のパラメータでインスタンス化され、異常検出器に入力された。そのようなイベントシーケンスの一部が、異常として検出された。

[0090]図１７－Ａは、スコア１が異常１００％の確実性を示すスケールで表されたクラスタ固有の異常スコアを示す（たとえば、テストマシンから受信したイベントシーケンスの少なくとも１つのイベントが、トレーニング中に見られていない）。グラフは、異常なイベントシーケンス全体で平均化されたスコア値と、関連付けられた標準偏差とを表す。この図は、同じシーケンスが、クラスタ固有の確実性レベルで、異常と見なされる可能性があることを示している。別の言い方をすれば、同じイベントシーケンスは、特定のクライアントでは他のクライアントよりも「異常が少ない」と見なされる。たとえば、クラスタ１、２、７に関連付けられた挙動モデルは、他のモデルよりも比較的高い効率で攻撃を検出するだけでなく、攻撃に関連付けられたすべてのイベントシーケンスは「同等に異常」と見なされた。対照的に、クラスタ０および９に関連付けられたモデルは、同じ攻撃の一部のイベントシーケンスを、他のシーケンスよりも「異常性が少ない」として示している。

[0091]図１７－Ｂは、３つの別個のタイプの攻撃に対して達成されたプロファイル固有の平均検出率を示している。各タイプの攻撃中にテストマシンから収集されたイベントシーケンスは、１１のプロファイル固有のトレーニング済み挙動モデルの各々を使用して分析された。検出率は、攻撃のモデルやタイプによって異なっており、これはさらに、本明細書で説明したシステムおよび方法のいくつかの特異性をさらに証明している。

[0092]そのような実験結果は、本発明のいくつかの実施形態の別の潜在的な適用を示している。集中型コンピュータセキュリティソリューションは、クライアントプロファイルによって識別されたクライアントの各セット、および／または、各クライアントクラスタのアーキタイプに対する類似性を有する他のクライアントに対する保護戦略を選択的に開発することができる。いくつかの実施形態は、本明細書で説明された方法が、十分な程度のセキュリティを提供するクライアントのクラスタ、および追加のセキュリティ対策を必要とするクライアントの他のクラスタを識別し得る。クライアントの各クラスタに合わせて保護を調整すると、ユーザ体感が向上し、不必要な計算コストが削減される。

当業者には、本発明の範囲から逸脱することなく、上記の実施形態を多くの手法で変更できることが明らかであろう。したがって、本発明の範囲は、以下の特許請求の範囲およびそれらの法的均等物によって決定されるべきである。

Claims (21)

1. 少なくとも１つのハードウェアプロセッサを含むコンピュータシステムであって、前記少なくとも１つのハードウェアプロセッサは、
   複数のクライアントシステムの複数のクライアントクラスタへのグループ化を示すクラスタメンバシップインジケータの受信に応じて、クライアントクラスタを前記複数のクライアントクラスタから選択することであって、選択された前記クライアントクラスタは複数のクライアントシステムを含む、選択することと、
   前記クライアントクラスタの選択に応じて、イベントのトレーニングコーパスを、イベント集合から、選択される前記イベントが選択された前記クライアントクラスタのメンバにおいて発生したか否かにしたがって選択することと、
   イベントの前記トレーニングコーパスの選択に応じて、挙動モデルを、選択された前記クライアントクラスタのメンバの集合的な挙動がエンコードされるように、イベントの前記トレーニングコーパスにしたがってトレーニングすることであって、前記挙動モデルは調節可能なパラメータのセットを有する、トレーニングすることと、
   前記挙動モデルのトレーニングに応じて、前記調節可能なパラメータの値のセットを異常検出器に送信することであって、前記異常検出器は、ターゲットクライアントシステムにおいて発生するターゲットイベントがコンピュータセキュリティ脅威を示すか否かを判定するように構成された、送信することと
   を行うように構成され、
   前記挙動モデルは、イベントシーケンスの選択されたイベントを入力し、それに応じて、前記イベントシーケンスの別のイベントが選択されたイベントタイプである可能性を示す予測インジケータを決定するように構成され、
   前記イベントシーケンスは前記トレーニングコーパスの複数のイベントを含み、前記複数のイベントは、前記複数のイベントの各イベントの発生時間にしたがって順序付けられ、
   前記挙動モデルをトレーニングすることは、設定可能なパラメータの前記セットを前記予測インジケータにしたがって調節することを含む、
   コンピュータシステム。
2. 請求項１に記載のコンピュータシステムであって、前記挙動モデルをトレーニングすることは、
   予測されるイベントを前記予測インジケータにしたがって決定することと、
   前記予測されるイベントを前記イベントシーケンスの前記別のイベントと比較することと、
   設定可能なパラメータの前記セットを前記比較の結果にしたがって調節することと
   を含む、コンピュータシステム。
3. 請求項１に記載のコンピュータシステムであって、
   前記イベントシーケンスは中央イベントおよびイベントコンテキストを含み、前記イベントコンテキストは、前記中央イベントの前に発生するイベントの第１のサブセットと、前記中央イベントより後に発生するイベントの第２のサブセットとを含み、
   選択される前記イベントは前記中央イベントであり、
   前記別のイベントは前記イベントコンテキストのメンバである、
   コンピュータシステム。
4. 請求項１に記載のコンピュータシステムであって、
   前記イベントシーケンスは、中央イベントおよびイベントコンテキストを含み、前記イベントコンテキストは、前記中央イベントの前に発生するイベントの第１のサブセットと、前記中央イベントより後に発生するイベントの第２のサブセットとを含み、
   選択される前記イベントは前記イベントコンテキストのメンバであり、
   前記別のイベントは、前記中央イベントである、
   コンピュータシステム。
5. 請求項１に記載のコンピュータシステムであって、前記挙動モデルは、選択された前記イベントを入力し、それに応じて、イベント埋込空間における選択された前記イベントの位置を示す座標のセットを決定するように構成されたイベントエンコーダを含み、前記座標は、選択された前記イベントが、前記トレーニングコーパスの他のイベントの選択されたコンテキストにおいて発生するか否かにしたがって決定される、コンピュータシステム。
6. 請求項１に記載のコンピュータシステムであって、
   前記イベント集合は、複数のイベントカテゴリに、前記イベント集合のイベントが前記イベント集合の他のイベントの選択されたコンテキストにおいて発生するか否かにしたがって分割され、
   前記複数のクライアントシステムは、クラスタに、各クライアントシステムのイベントプロファイルにしたがってグループ化され、前記イベントプロファイルは、各前記クライアントシステムにおいて発生し、前記複数のイベントカテゴリの選択されたカテゴリに属するイベントの回数にしたがって決定される、
   コンピュータシステム。
7. 請求項６に記載のコンピュータシステムであって、各前記クライアントシステムの前記イベントプロファイルは複数のコンポーネントを含み、各コンポーネントは、前記複数のイベントカテゴリの各イベントカテゴリに属するイベントの比率にしたがって決定され、前記比率は、各前記クライアントシステムにおいて発生する前記イベント集合のイベントの総回数から計算される、コンピュータシステム。
8. 請求項６に記載のコンピュータシステムであって、前記複数のクライアントシステムをクラスタにグループ化するステップは、同様のイベントプロファイルを有するクライアントシステムを同じクライアントクラスタに割り当てることを含む、コンピュータシステム。
9. 請求項１に記載のコンピュータシステムであって、前記トレーニングコーパスは、選択された前記クライアントクラスタのメンバにおいて発生したイベントのみを含むように選択される、コンピュータシステム。
10. 請求項１に記載のコンピュータシステムであって、選択された前記イベントは、前記複数のクライアントシステムのうちのクライアントシステムにおける選択されたプロセスの起動を含む、コンピュータシステム。
11. コンピュータが実施する方法であって、
    コンピュータシステムの少なくとも１つのハードウェアプロセッサを用いて、複数のクライアントシステムの複数のクライアントクラスタへのグループ化を示すクラスタメンバシップインジケータの受信に応じて、クライアントクラスタを前記複数のクライアントクラスタから選択するステップであって、選択された前記クライアントクラスタは複数のクライアントシステムを含む、選択するステップと、
    前記クライアントクラスタの選択に応じて、前記コンピュータシステムの少なくとも１つのハードウェアプロセッサを用いて、イベントのトレーニングコーパスを、イベント集合から、選択される前記イベントが選択された前記クライアントクラスタのメンバにおいて発生したか否かにしたがって選択するステップと、
    イベントの前記トレーニングコーパスの選択に応じて、前記コンピュータシステムの少なくとも１つのハードウェアプロセッサを用いて、挙動モデルを、選択された前記クライアントクラスタのメンバの集合的な挙動がエンコードされるように、イベントの前記トレーニングコーパスにしたがってトレーニングするステップであって、前記挙動モデルは調節可能なパラメータのセットを有する、ステップと、
    前記挙動モデルのトレーニングに応じて、前記コンピュータシステムの少なくとも１つのハードウェアプロセッサを用いて、前記調節可能なパラメータの値のセットを異常検出器に送信するステップであって、前記異常検出器は、ターゲットクライアントシステムにおいて発生するターゲットイベントがコンピュータセキュリティ脅威を示すか否かを判定するように構成された、ステップと
    を含み、
    前記挙動モデルは、イベントシーケンスの選択されたイベントを入力し、それに応じて、前記イベントシーケンスの別のイベントが選択されたイベントタイプである可能性を示す予測インジケータを決定するように構成され、
    前記イベントシーケンスは前記トレーニングコーパスの複数のイベントを含み、前記複数のイベントは、前記複数のイベントの各イベントの発生時間にしたがって順序付けられ、
    前記挙動モデルをトレーニングするステップは、設定可能なパラメータの前記セットを前記予測インジケータにしたがって調節するステップを含む、
    方法。
12. 請求項１１に記載の方法であって、前記挙動モデルをトレーニングするステップは、
    予測されるイベントを前記予測インジケータにしたがって決定するステップと、
    前記予測されるイベントを前記イベントシーケンスの前記別のイベントと比較するステップと、
    設定可能なパラメータの前記セットを前記比較の結果にしたがって調節するステップと
    を含む、方法。
13. 請求項１１に記載の方法であって、
    前記イベントシーケンスは中央イベントおよびイベントコンテキストを含み、前記イベントコンテキストは、前記中央イベントの前に発生するイベントの第１のサブセットと、前記中央イベントより後に発生するイベントの第２のサブセットとを含み、
    選択された前記イベントは前記中央イベントであり、
    前記別のイベントは前記イベントコンテキストのメンバである、
    方法。
14. 請求項１１に記載の方法であって、
    前記イベントシーケンスは中央イベントおよびイベントコンテキストを含み、前記イベントコンテキストは、前記中央イベントの前に発生するイベントの第１のサブセットと、前記中央イベントより後に発生するイベントの第２のサブセットとを含み、
    選択された前記イベントは前記イベントコンテキストのメンバであり、
    前記別のイベントは前記中央イベントである、
    方法。
15. 請求項１１に記載の方法であって、前記挙動モデルは、選択された前記イベントを入力し、それに応じて、イベント埋込空間における選択された前記イベントの位置を示す座標のセットを決定するように構成されたイベントエンコーダを含み、前記座標は、選択された前記イベントが、前記トレーニングコーパスの他のイベントの選択されたコンテキストにおいて発生するか否かにしたがって決定される、方法。
16. 請求項１１に記載の方法であって、前記イベント集合は、複数のイベントカテゴリに、前記イベント集合のイベントが前記イベント集合の他のイベントの選択されたコンテキストにおいて発生するか否かにしたがって分割され、
    前記複数のクライアントシステムは、クラスタに、各クライアントシステムのイベントプロファイルにしたがってグループ化され、前記イベントプロファイルは、各前記クライアントシステムにおいて発生し、前記複数のイベントカテゴリの選択されたカテゴリに属するイベントの回数にしたがって決定される、
    方法。
17. 請求項１６に記載の方法であって、各前記クライアントシステムの前記イベントプロファイルは複数のコンポーネントを含み、各コンポーネントは、前記複数のイベントカテゴリの各イベントカテゴリに属するイベントの比率にしたがって決定され、前記比率は、各前記クライアントシステムにおいて発生する前記イベント集合のイベントの総回数から計算される、方法。
18. 請求項１６に記載の方法であって、前記複数のクライアントシステムをクラスタにグループ化するステップは、同様のイベントプロファイルを有するクライアントシステムを同じクライアントクラスタに割り当てるステップを含む、方法。
19. 請求項１１に記載の方法であって、前記トレーニングコーパスは、選択された前記クライアントクラスタのメンバにおいて発生したイベントのみを含むように選択される、方法。
20. 請求項１１に記載の方法であって、選択された前記イベントは、前記複数のクライアントシステムのうちのクライアントシステムにおける選択されたプロセスの起動を含む、方法。
21. 命令を記憶した非一時的コンピュータ可読媒体であって、前記命令は、コンピュータシステムの少なくとも１つのハードウェアプロセッサによって実行されると、前記コンピュータシステムに、
    複数のクライアントシステムの複数のクライアントクラスタへのグループ化を示すクラスタメンバシップインジケータの受信に応じて、クライアントクラスタを前記複数のクライアントクラスタから選択することであって、選択された前記クライアントクラスタは複数のクライアントシステムを含む、選択することと、
    前記クライアントクラスタの選択に応じて、イベントのトレーニングコーパスを、イベント集合から、選択される前記イベントが選択された前記クライアントクラスタのメンバにおいて発生したか否かにしたがって選択することと、
    イベントの前記トレーニングコーパスの選択に応じて、挙動モデルを、選択された前記クライアントクラスタのメンバの集合的な挙動がエンコードされるように、イベントの前記トレーニングコーパスにしたがってトレーニングすることであって、前記挙動モデルは調節可能なパラメータのセットを有する、トレーニングすることと、
    前記挙動モデルのトレーニングに応じて、前記調節可能なパラメータの値のセットを異常検出器に送信することであって、前記異常検出器は、ターゲットクライアントシステムにおいて発生するターゲットイベントがコンピュータセキュリティ脅威を示すか否かを判定するように構成された、送信することと
    を行わせ、
    前記挙動モデルは、イベントシーケンスの選択されたイベントを入力し、それに応じて、前記イベントシーケンスの別のイベントが選択されたイベントタイプである可能性を示す予測インジケータを決定するように構成され、
    前記イベントシーケンスは、前記トレーニングコーパスの複数のイベントを含み、前記複数のイベントは、前記複数のイベントの各イベントの発生時間にしたがって順序付けられ、
    前記挙動モデルをトレーニングすることは、設定可能なパラメータのセットを前記予測インジケータにしたがって調節することを含む、
    非一時的コンピュータ可読媒体。
    

Images