JP2002521919A

JP2002521919A - 情報セキュリティ解析システム

Info

Publication number: JP2002521919A
Application number: JP2000561736A
Authority: JP
Inventors: マイケルピー．マロニー; ジョンエム．スート; クリストファージェイ．スコット; フランシスエム．ウッダス; リッチラベル; ジョゼフキャロルチック
Original assignee: Raytheon Co
Current assignee: Raytheon Co
Priority date: 1998-07-21
Filing date: 1999-07-20
Publication date: 2002-07-16
Also published as: NZ509607A; ATE314777T1; KR20010079562A; AU757353B2; AU5080599A; WO2000005852A1; TW498220B; MXPA01000775A; BR9912193A; NO20010338D0; CA2338265A1; EP1097554B1; NO20010338L; EP1097554A1; KR100513911B1; DE69929206T2; DE69929206D1

Abstract

(57)【要約】解析システムは、多重相互接続されたコンピュータプラットフォームに備えられたされたソフトウェアプログラムの集合、構成及び統合である。前記ソフトウェアは、コンピュータオペレーティングシステムを除き、センサー、解析、データ変換及び視覚化プログラムの結合である。ハードウェアプラットフォームは、相互接続された種々の異なるタイプのコンピュータを備え、該コンピュータはローカルエリアネットワーク（LAN）を介して前記ソフトウェアプログラム、データファイル及び視覚化プログラムを共有する。このソフトウェアの集合及び統合、且つ単一コンピュータプラットフォームへの移植は、パッシブかつ／又はアクティブモードにおけるLAN／WANモニタリングへのアプローチにつながる。アーキテクチャは、外部センサーからのディジタルデータが、４つの主要なソフトウェアコンセプトグループから導出されたデータ及び表示を解析し、表示し、及び相関付けることを可能にする。これらは、ウイルスコンピュータコード検出、コンピュータソース及び実行コードの解析、データ通信ネットワークの動的監視、データの３次元的視覚化及びアニメーションである。

Description

【発明の詳細な説明】

（発明の技術分野）本発明は、インターネットセキュリティやコンピュータソースの流出や実行可
能なコードの視覚化の問題を緩和するための情報セキュリティ解析システムに関
する。加えて、本発明は、攻撃的及び防御的な情報解析、商業上及び国家のイン
フラストラクチャー（基幹施設）のための情報セキュリティ解析システムに関す
る。

【０００１】（発明の背景）世界中のインターネット利用は、驚くべき速度で成長を続けている。ユーザー
は、政府、公的機関、一般企業、及び個人を含み、それらの全てが、日々の営み
を処理する目的のためにインターネットに接続している。残念ながら、インター
ネット接続をコミュニケーションの安全な手段とするために要望されているセキ
ュリティ手段の発展及び手段は、ネットワークの発展及び相互接続の拡大におけ
るテクノロジーの進歩と歩調を合わせていない。その結果、インターネットユー
ザー及びネットワークの有する情報は、ネットワーク及びデータを搾取し滅亡さ
せる方法を探し続けているハッカーや悪意者によって、障害を生じさせられた。

【０００２】適正に使用されていたファイアウォール（firewall）技術は、共通イントラネ
ットの“正面ドア”を安全にすることを補助することができるが、これらの技術
は、ユーザーが求めるアプリケーション、サービス及びセキュリティと歩調を揃
えているという問題を有している。ネットワークテクノロジーの発見を促進する
多くの製品が開発されてきたが、これらは、受動的に実行し得るものがほとんど
ない。

【０００３】インターネットのセキュリティ及びモニタリングの必要性は、政府と一般企業
の双方において増え続けている。このことは、殆ど毎日、業界紙やインターネッ
トニュースグループにおいて実証されている。そのより具体的な証拠は、政府か
らの提案要求に概説された技術に関連付けられたセキュリティために増える要求
にある。政府及び一般企業は、インターネットアドレス変換、モニタリング、侵
入検知、及びコンピュータセキュリティに、かなり多くの時間と資金を費やして
いる。これは、インターネットコンピュータセキュリティサービス、解析ツール
、及び関連付けられた製品を提供することを提案する豊富な組織を誘発してきた
。

【０００４】（発明の概要）本発明に係るシステムは、受動的に実行し、モニタリングセッション中に観測
されたデータの詳細な解析を行うためのシステム体系を提供する。

【０００５】１つのネットワーク上にトラフィックを付加せずに、本発明システムは、ネッ
トワーク利用法及びネットワークの攻撃されやすいところの仮想画像を作り出す
。集めた複数のツールを視覚的図解にインプットすることを組織化することによ
り、セキュリティ管理者は、ネットワークの弱点を評価し、セキュリティ手段を
実行するための最適なロケーションを割り出して、先を見越した行動をとるよう
になる。その情報が本発明システムによって明らかにされれば、セキュリティ管
理者は、可能性のあるトラフィックのボトルネックを割り出し、不正侵入の存在
する位置を突きとめ、帯域利用を減らし、ユーザーのプロフィールを明らかにし
、不正な行動を正確に指摘する。

【０００６】本発明のソフトウェアシステムは、４つの相互接続モジュール、即ち、受動ネ
ットワーク検知、ネットワークデータレコーディング、ネットワークデータパー
ジング、ネットワークデータ解析ツールを含んでいる。ネットワークデータの視
覚化能力は、受動ネットワーク検知及びネットワークデータ解析モジュールに含
まれている。前記ソフトウェアシステムは、コンピュータのコード解析、及びネ
ットワークトラフィックとネットワーク構造の３次元視覚化及びアニメーション
を可能にする。さらにオプションのプラグインが、ソフトウェアの能力を拡張さ
せることにより、該ソフトウェアシステムをネットワークの進化に係わらず通用
するものとし得る。

【０００７】本発明システムでは、システム管理者が、ネットワークをマップし、規則的又
は不規則な利用パターンを決定し、ウイルスの攻撃場所を見つけ出し、ネットワ
ーク割り当てを処理し、そのネットワークを画像表示する。

【０００８】より技術的には、この解析システムは、複数が相互接続されたコンピュータプ
ラットフォーム上に存在するソフトウェアプログラムの集合であり、構成であり
、統合である。このソフトウェアは、コンピュータオペレーションシステムを除
く、センサープログラム、解析プログラム、データ変換プログラム、及び視覚化
プログラムの結合である。ハードウェアプラットフォームは、幾つかの異なるタ
イプの相互接続されたコンピュータからなり、前記ソフトウェアプログラム、デ
ータファイル、及び視覚化プログラムをローカルエリアネットワーク（LAN）を
介して共有する。このようなソフトウェアの集合及び統合と、単一のコンピュー
タプラットフォームへの移植は、パッシブ及び／又はアクティブモードにおける
ＬＡＮ／ＷＡＮモニタリングへのアプローチにつながる結果となる。例えば、ル
ーター及びファイアウォールソフトウェアは、セキュリティの警戒中にもかかわ
らずコードが機能的に変更されたかを確認するために、ほぼリアルタイムでモニ
ター可能である。ＯＳＩモデルでのデータリンクからプレゼンテーションレイヤ
へのプロトコルに含まれたＬＡＮ／ＷＡＮデータは、２-Ｄ又は３-Ｄ空間での共
通のディスプレイを用いた解析に利用できる。

【０００９】アーキテクチャもまた、解析、画像表示、及び、４つの主要ソフトウェアグル
ープから得られたデータの対比のために、外部センサーからのデジタルデータ入
力を可能とする。これらは、ウイルスコンピュータコードの検出、コンピュータ
ソース及び実行コードの解析、データ通信ネットワークの動的監視、データの３
次元的視覚化及びアニメーションである。

【００１０】この解析システムは、ウイルスコンピュータコードを、グラフィカルな作動モ
ードでテンプレートし、表示する。最近の技術は、ビットストリームまたはリア
ルタイムの監視を、ホストコンピュータでコンピュータウイルスを検出するよう
にしている。本発明の解析システムのアプローチでは、コンピュータウイルスが
、検査を行う前にホストコンピュータ内に存在するかを判断するために、疑わし
いコードについて機能性を調査する。このアプローチは、発生源のストラクチャ
が分かり、また、例えばコンピュータプログラム、ファイルや電子メールアタッ
チメントの中に発生源のストラクチャが存在するかを判断できるように、調査さ
れる。

【００１１】さらに、本発明の解析システムは、グラフィカルに表示され、また、そのコー
ドがひとつまたは複数の機能について変質を受けたかを判断するために、好まし
いタイプのコンピュータソースと多次元空間の検査コードとの間の比較を行う。
この解析システムは、グラフィカルな解析と、コード順列と、２つまたはそれ以
上の同様なソースおよび／または検査可能なコンピュータプログラムに、機能の
変質の程度を判断させることを可能にする。このシステムは、ひとつのコンピュ
ータソースまたは検査することができるプログラムにおける機能性について、文
書化し、グラフ化し、アニメ化することができ、また、動的に調査し判断するこ
とができる。さらに、本発明のシステムは、ソースと検査可能なコードを言語に
よって分類すること、その結果をグラフィカルな機能様式で表示することが可能
である。例えば、ルーターのフィルタテーブルファイルを定期的に監視し、その
ファイルが最近の標準的なセキュリティ予防策にもかかわらず、機能上変化した
か否かを判断することができる。

【００１２】本発明の解析システムは、受動的に、デジタルデータ通信ネットワークの物理
的、仮想的な特性を発見し、また同時に相互作用の形で、異なったデジタル通信
ネットワークを検知する。仮想的な検知は、デジタルデータネットワークがそれ
に関与する人によってどのように使われているか、誰がその時のあるポイントに
いる人に接続しているかを判断する能力に限定される。このプロセスは、選択可
能な時間間隔に関するデジタルデータ通信ネットワークにおける構成変更も判断
する。従来の技術を用いることが、ユーザの特典を要求せず、ネットワークバン
ド幅を消費せず、LAN/WANシステムにおける通信と干渉しない場合には、LAN/WAN
システムにおける受動モードでの本発明の解析システムの物理的な存在は検出不
能である。この解析システムは、サブネットを速やかに写し出し、端末装置のア
クティビティが増加するように、完全なネットワークを構築することができる。
ネットワークにおけるそれぞれのアクティブな端末装置のターゲットは、付加さ
れた情報とともに、マップされ、表示される。表示された情報は、ネットワーク
表示と同様に、物理的な関係と仮想的な関係の両者を示す。この解析システムは
、LANシステムのリモートモニタリング、コラボレイション及びディスカバリを
形成するために、ネットワークプローブに接続することもできる。このシナリオ
において、端末装置は、リモートプローブからの入力に関するマスターユニット
としての役割を果たす。この操作モードでは、受動的な操作モードは、コラボレ
ーションがバンド内および／またはバンド外かどうかに依存するかもしれないし
、そうでないかもしれないということになる。

【００１３】本発明の解析システムは、３ないしそれ以上の次元における３つの主要なソフ
トウエアグループから受け取るあらゆるデータを、動的に表示し、循環させ、ア
ニメ化する。物理的および／または仮想的領域における異なったタイプのデジタ
ルデータを同時に見るという利用方法もある。

【００１４】本発明によれば、それぞれのタイプのデジタルデータに対する接続性と機能性
が表示される。３つの主要なソフトウエアグループそれぞれからのデータは、表
示可能であり、２又はそれ以上に分割され、しかし、ビジュアルプレーンに接続
されたどの軸中心でも回転させることができる。このプロセスは、外部のセンサ
からの入力データを含む、３つの主要なソフトウエアグループからの異なったタ
イプのデータ間の接続性も表示する。視覚化ソフトウエアには、オペレータ又は
解析者がより容易に理解することができるように、ユーザが規定することができ
るシンボルを追加してもよい。このソフトウエアは、「マウスクリック」を介し
たノードと相互作用し、３つの主要なソフトウエアグループによって示されたノ
ードに関係する情報を、動的に検索し、復号し、表示する。３次元ノーダルダイ
アグラムが混雑(clutter)してきた場合には、解析者は、いくつかのノードを、
一つの相互接続共有ノードに絞り込む。この性能は、個々の縮小されたノードの
機能を維持する間、オリジナルダイアグラムが混雑していないことの解析者に対
する表示を提供する。

【００１５】本発明は、次の詳細な説明と添付された図面とを参照することによって、より
完全に理解される。

【００１６】（本発明の詳細な説明）図1に関して、データチャンネル14によりローカルアクセスネットワーク(LAN)
を能動的に又は受動的にモニターするための検知ツール12を含むインフォメーシ
ョンセキュリティ解析システム10が説明されている。機能上、検知ツール12は：
センサーマネージメント、受動ネットワーク検知（ネットワークビューア、ネッ
トワークトポロジー）；パケットアナライザー、知識ベースビューイング、及び
アラーティング及びレポーティングを含む。さらに、検知ツール12はトラフィッ
ク及びユーセッジデータを集め、ネットワークの接続性をマッピングする。検知
ツール12により集められたデータは、メモリーに記憶された知識ベース16の部分
になる。データは、次のような主なカテゴリーによりオーガナイズされる：アド
レス、ホスト、LM-ホスト、ドメイン、LM-ドメイン、サブネット、IP-アドレス
、WWW、MAC-アドレス、ネットウェアホスト、ネットウェアネットワーク、ネッ
トウェアステーション、アラート、ネットウェアサーバータイプ、アプリケーシ
ョン、OS、WWW-ブラウザー、WWW-サーバー、HTTP-サーバー、NNTP-サーバー、プ
ロトコル、ユーザー、POP3-ユーザー、FTP-ユーザー、SMTP-センダー、SMTP-レ
シーバー、POP3-パスワード、FTP-パスワード、ルーターー、及びベンダー。

【００１７】知識ベース16におけるデータは、検知ツール12からシステムのダウンストリー
ムプログラムへ、キャプチャーされたネットワークデータを変換する、構文解析
ツール18に対して利用できるようになる。それから、構文解析ツール18によりア
クセスされたデータは、検知ツール12によりキャプチャーされたデータを解析す
るための解析エンジン20に利用可能であり、いくつかのデータファイルのマージ
ング及びネットワークユーセッジパターンの展開(development)及び比較をサポ
ートする。解析エンジン20は、i2Inc.からのソフトウェアにより実施され、“An
alyst’s Notebook”という商標で市場に出されている。プロペラ（PROPELLER）
と呼ばれる国防総省からの、第2の解析エンジン20も利用できる。また本発明は
、追加の解析エンジンを利用できるようになるので、そのような解析エンジンを
利用することも可能である。解析エンジン20は“リンクチャート”と呼ばれるフ
ォーマットで様々な関連データセットをキャプチャ及びディスプレイするための
、グラフィックツールのダイナミックセットである。“Analyst’s Notebook”
のような解析エンジン20を使用することにより、集められたデータは、ネットワ
ーク特性を特徴づけて記録する、及び/又は可能なネットワーク侵入者を見つけ
るのに活用されることができる。データを収集及びオーガナイズした後、解析エ
ンジン20は機能性や区別を確定するために、多くの異なるデータチャート間のア
ソシエーションを形成するのに使用されることができる。それから、多くのデー
タソース間の関係は、仮定を立証し、複数のデータセット間の相互関係を明らか
にし、及び大きなデータセット内のターゲットデータを識別するために利用でき
る。ネットワークデータは、知識ベースデータをセッションデータ、パケットデ
ータ、及びアラートデータと関連付けるために解析される必要がある。これらの
関係は、特定のプロトコル(HTP、HTTP、NNTP、POP3、SMTP、TELENET、及びIMAP)
に対するトラフィックの内容だけでなく、誰が誰に話していたかを識別するのを
手伝う。ネットワークデータを解析するプロセスにおいて、どんなIP及び/又はM
ACアドレスが、1つ以上のデータセットに対して一般的であるかに関して識別さ
れる。この様にネットワークを特徴付けることには、キャプチャされたデータの
周期的なスナップショットがタイムピリオドにわたり要求される。どんなIP及び
MACアドレスが存在するかのアベレージは、それぞれのアドレスセット間のトラ
フィックを表すリンクチャートを作るのに使用される。この同じプロセスはネッ
トワークの一部かネットワーク全体かのどちらかを特徴付ける。

【００１８】解析エンジン20のオペレーションにより、一般に再利用されたリソースはサン
プリング技術を用いることにより識別され得る。一般のユーセッジを明らかにす
るだろうインタレスト(interest)の時間は識別され、データはその時間の間にキ
ャプチャーされる。例えば、午前11時から午後1時間の電子メールトラフィック
のボリュームを測定するために、トラフィックソース及びデスティネーションに
おける類似性が明らかになるまで数週間、毎日サンプリングが起こる。サンプリ
ングの完了後、解析エンジン20は、サンプリング中に識別されてきたIP及び/又
はMACアドレスの全ての目録を作るチャートを作ることができる。

【００１９】 2-Dディスプレイ22及び3-Dディスプレイ24を含む解析データをディスプレイす
るためにいくつかのオプションが利用できる。それぞれのツール12及び18、解析
エンジン20及ディスプレイ22及び24は、機能上、インフォメーションセキュリテ
ィ解析システム10のオペレーターから指示を受け取るための、オペレーターソフ
トウェアインターフェイスに接続されている。

【００２０】図1のシステムは、デジタルフォーマットで、外部センサーデータ（すなわち
、バイオメトリックインフォメーション、ビリングデータ、SS7、RBX、ペイジン
グインフォメーション）を受け入れる。外部データがネットワーク検知及び解析
ツールと組み合わされる時、全コミュニケーションセキュリティプロセスの明確
な状況が提供される。このように、本発明のシステムは、実際的セキュリティニ
ーズを電子コミュニケーションシステム及びIS/IT/CIOデパートメントと組合せ
、完全な監視パッケージにする。

【００２１】オペレータインストラクションに従って、該システムは、事後の2又は3次元に
おける解析及び視覚化(visualization)のために、蓄積されたデータベースの選
択された部分を記録及び再生する。これは外部センサー及び/又は侵入者発見デ
ータに適用できる。

【００２２】さらに、図１のシステムは、FTP、HTTP及びTELENET、POP3、SMTP、NNTP、及び
IMAPセッションをほぼリアルタイムで及び/又は事後、デコードし得る。本発明
のモジュラーアーキテクチャにより、セッションリコンストラクションを含む、
プロトコルデコードをさらに高め広げるためにプラグインモジュールを加えるこ
とができるようになる。この特性のため、該解析システム10は自動的にイントラ
ネット上を行き来するインフォメーションの状況を識別することができる。それ
からこのインフォメーションは、どのインフォメーションがさらなる保護を必要
とするかを識別するために、ネットワーク保安要員のためのノーダルダイアグラ
ム中に置かれる。また次のような質問に答えるために使用されることもできる：
不法なビジネスがイントラネット内で行われているか；もしある従業員からもう
一人の個人に対して何らかの嫌がらせが行われていたらどうなるか；従業員はワ
ールドワイドウェブのどこで時間を過ごしているか。

【００２３】インフォメーションセキュリティ解析システム10の1つの実施において、ウィ
ンドウズNT（登録商標） 4.0オペレーティングシステムを作動する166 MHz CPU の最小限度で、ペンティアム（登録商標）ベースのPCが使用された。さらに、解析システム10は64メガバイトのリアルRAM、1ギガバイトのハードドライブ及び17 インチモニターを含む。インフォメーションセキュリティ解析システム10の改善されたオペレーションは、128メガバイトのリアルRAM、4ギガバイトのハードドライブ及び21インチのモニター.G13を有するペンティアムII/300又はより良いもので達成された。

【００２４】図2に関して、図1のインフォメーションセキュリティ解析システム10のある応
用のフローチャートが示されている。能動データ検知エンジン（検知ツール12）
が、ネットワークに関するデータを集めるために使用され、いったんデータが発
見されれば、該データは知識ベース16の中に挿入される。具体的に、検知ツール
12は小さなコンピュータソース及び2又は3次元空間における実行可能コードノー
ダルダイアグラムを得るために、データを集める。このデータの収集により、大
きなコンピュータコードノーダルダイアグラムをスケーリング及び表示すること
が可能になり、それによって、デジタルデータ通信ネットワークをサポートする
コンピュータ設備のための大きなボディのコード内での相互接続を調べて観察す
るための柔軟性を解析に与える。また、コンピュータソース及び実行可能なコー
ドを検知ツール12により集めることで、本発明のシステムは、関連するノーダル
ダイアグラムを3-D空間で見る一方で、小さなコンピュータソース及び実行可能
なコードプログラムを合成的にシミュレートすることができる。このことが、プ
ログラム内のどこに有害コードが存在し得るか割り出すことを可能にし、プログ
ラムの実行を終えた後のデータが存在するモリーの場所を確認し、及び、コード
モジュールの具体的なタイプ（つまり、ウイルス、暗号化アルゴリズム）を見つ
けるためのテンプレートとしてグラフィックベクターを使用することになる。さ
らに、検知ツール12は、2次元における実際的及びバーチャルネットワークダイ
アグラムの同時ディスプレイのために、イントラネット上のデータ（つまり、LA
N/WAN）を集める。このことで、該システム解析は、データコミュニケーション
ネットワークの実際的設備ネットコネクションを即座にディスプレイすることが
可能となる。実施例の方法により、サム(sum)及び異なるルーティンを実行する
ことにより、システム解析は、イントラネット“バックドア”の可能な識別を含
むために、ネットワークからいつ新しい端末及び/又はコンフィギュレーション
が加えられ又は取り除かれたかを割り当てることができる。インターネット上の
このデータの収集は、バーチャルイントラネットダイアグラムを可能にし、それ
によって、どのようにネットワークが使用されているか、誰が誰とコミュニケー
トしているか、というリアルタイムの解析、ポテンシャルチョークポイント及び
脆弱性、制限された“トレースルート(trace route)”のリコンストラクション
及び要求されるワールドワイドウェブサービスのタイプの割り出しを可能にする
。

【００２５】さらに、検知エンジンはネットワーク上のストラクチャーインフォメーション
、ネットワーク及びネットワークユーザーのオペレーション方法を集める。典型
的な検知エンジンは、ネットワークデータの詳細なピクチャーを提供するために
、マルチプルセンサーからインフォメーションをコーディネートする。さらに、
検知エンジンは全て“フラットファイル”として知識ベースと共に作られたメタ
データのパケットに加えネットワークのオペレーティングセッション上のデータ
を集める。イーサネット（登録商標）LANトラフィックの収集及び解析に加え、検知エンジンは、ATM、WANプロトコル、及びセルラーコミュニケーションを含む他のタイプのネットワークトラフィック上のデータを収集及び解析するようにも作られ得る。

【００２６】検知エンジン（検知ツール12）はネットワークについて学習したデータの知識
ベースを作り出し、このデータは、検知ツール12の蓄積されたデータディレクト
リ中の、適切に命名されたファイル中に蓄積される。検知エンジンからのフラッ
トテキストファイルのフォーマットは現在、インフォメーションセキュリティ解
析システム10によるさらなる利用のため、プロセスされている。

【００２７】このテキスト知識ベースフラットファイルは、様々なカテゴリーにおけるデー
タを作るために、知識ベースファイルのキーワード検索を利用するデータ構文解
析ツール18によりプロセスされる。例えば、次のような様々なカテゴリーにおい
てデータはオーガナイズされる：ユニークユーザーアイデンティフィケーション
、ホスト、LM-ホスト、ドメイン、LM-ドメイン、サブネット、IP-アドレス、WWW
、MAC-アドレス、ネットウェアホスト、ネットウェアネットワーク、ネットウェ
アステーション及び様々な他の利用できるカテゴリー。

【００２８】知識ベース16を様々なカテゴリーにオーガナイズすることに加え、構文解析ツ
ールはハッシュ出力ファイルも作り出し得る。

【００２９】知識ベース16の構文解析に続いて、解析エンジン20はベクターベースの調製及
びノーダルダイアグラムへの変換のためのデータに対して応答する。通常、解析
エンジン20は、その様なデータチャートが相関又は区別するかどうか割り出すた
めに、多くの異なるチャート間のアソーシエーションを作り出す。多くのデータ
ソース間の関係は仮定を立証し、マルチプルデータセット間の関係を相関させ、
及び大きいデータセット内のターゲットデータを識別するために使用される。こ
の解析に基づいてインフォメーションセキュリティ解析システムは、ネットワー
クのマネージメントのためのリソースの発展を可能にする。

【００３０】解析エンジン20は、知識ベースデータをセッションデータ、パケットデータ、
及びアラートデータに関連付けるためにネットワークデータを解析する。という
のは、これらの関係が特定なプロトコルに対するトラフィックの状況だけでなく
、誰が誰に話しているかを割り出すために使用されるからである。

【００３１】検知ツール12（検知エンジン）により受け取られたネットワークデータを解析
するプロセスにおいて、1つ以上のデータセットにどんなコミュニケーションが
存在するかということに関しても割り出されなければならない。この様にしてデ
ータを特徴付けることは、時間にわたり周期的にキャプチャーされたデータを速
写することを利用している。それから、データセット間のトラフィックを表すリ
ンクチャートを作り出すために、どんな関係が存在するかの平均が出される。

【００３２】図３を参照すると、図２のアプリケーションフロー図中に示されるような図１
の代表的検知ツール１２のアーキテクチャーが示される。１種以上のセンサーが
、特殊なセンサーによりコントロールされ、セットアップ、コレクション、およ
び伝達コントロールを提供する。ローカルなイーサネットセンサーのために、イ
ーサネットドライバーが、ネットワークデータの生パケット(raw packet)を提供
するように、コントロールされる。ローカルなイーサネットセンサーのために、
イーサネットドライバーは、NDIS層上にあって、ネットワークデータの生パケッ
トを提供する。データのパケットは、センサーマネジャー３２により列に並べら
れ、続いて、ツール一式３４中の全てのツールに提供される。内部パケットプロ
セッシングエンジン３６は、データパケットを解読し、生データを、ツール一式
３４中の全てのツールにアクセス可能である情報エレメントに転換する。さらに
、スクリプトエンジン３８は、特に興味ある情報をフィルターし、知識を知識ベ
ース１６に入れる。このデータベースはまた、ツール一式３４中の全てのツール
によりアクセス可能である。

【００３３】特殊なセンサーに加えて、検知ツール１２は、リモートセンサー４２のコント
ロールを含む。リモートマネージャー４０は、リモートセンサー、例えば、ウェ
ブに基づくモニターおよびクエリーツールを、ツール一式３４中の全てのツール
に設けるよう列に並べる。

【００３４】図３に示されるように、検知ツール１２は、内部操作可能なツールの一式に基
づく強固に結合したセンサー／プロセッサーとして編成される。これらのツール
は、流入データおよびプロセスされた知識の視覚化、マッピング、および解析を
もたらす。センサーマネージャーツール８０は、検知ツール１２に移すことなし
に、データを集約(ローカルまたはリモートセンサー)可能にする検知ツール１２
内でセンサーのコンフィギュレーションおよびコントロールを提供する。センサ
ーマネージャーツール８０の様々な側面は、ホストに従いトップレベルでソート
されたセンサーのビュー、カテゴリー内の全てのセンサーデータの集約を提供す
ることを包含し、リモートセンサーから検知ツールに再び選択されたカテゴリー
によってデータを移すことを可能にし、リモートセンサーから検知ツールへのコ
ミュニケーションを可能にし、新しい(リモート)ホストおよび関連センサーをセ
ンサーマネージメントコントロールに加える。

【００３５】ネットワークビューワツール８２は、オート検知、オートレイアウト、および
ネットワークのノードおよびリンクの自動視覚化を提供する。ノードは、コンピ
ュータートラフィックのソースであり、サーバー、ホストおよびクライアントを
含む。リンクは、末端から末端へのトラフィックの代表であり、より高いレベル
のネットワークエレメント(ルーターのような)に移し得る。ネットワークビュー
ワツール８２は、パケット情報を読み、１種以上のロジカルネットワークのフィ
ジカルピクチャーを提供する。ロジカルピクチャーは、ノードおよびリンク情報
を表示し、１種以上のロジカルネットワークのフィジカルピクチャーを提供する
。ロジカルピクチャーは、多重パケットに関して集約されたノードおよびリンク
情報を表示する。ネットワークトラフィック(ノードおよびリンク)が、OSIネッ
トワークモデル(データリンクなど)の多くの例で存在する限り、効果的な視覚化
は、多くの異なる層でソースネットワークを検査することによって起こる。ネッ
トワークビューワの実施態様において、グラフウィンドウ上のツール８２サーク
ルは、ノードを示し、ラインは、コミュニケーションリンクを示す。検知ツール
１２は、より多いノードを自動的に発見するので、それぞれのネットワークに関
するカウントは、ネットワークラベルと共にグラフウィンドウ上に現れる。ノー
ド表示はツリーに基づくので、カウントは、リファレンスノード下の全てのノー
ドの集合体である。知識ベース１６からのノードに関連する情報は、オブジェク
トビューワツール８４のウィンドウ中で表示される。

【００３６】オブジェクトビューワツール８４は、ネットワークビューワツール８２、トポ
ロジーディスプレイツール９０、およびクエリーコンソールツール９４とともに
統合される。オブジェクトビューワツール８４は、オブジェクトに関して作成さ
れ得る全ての移動リレーション(アドレスに基づくものではない)に関する情報の
ディスプレイを作動させる。例えば、IP-アドレスがユーザーと関連し、ユーザ
ーがホストアドレスと関連する場合、これらは、オブジェクトビューワツールデ
ィスプレイの一部となる。しかしながら、ホストアドレスは、さらに他のIP-ア
ドレスと関連する場合、この移行リレーションは、解釈リレーションを生じ得る
混乱故に、表示されない。ノードがオブジェクトであり、リンクがリレーション
である場合、オブジェクトビューワツール８４は、クラスによるソート中で表示
されるオブジェクトのリストを作成する。

【００３７】データパケットおよびデータパケット構造の解析は、パケットビューワツール
８６の活性化によりもたらされる。これは、ネットワークパケット以内の構造ま
たは情報をもたらし、さらに、新しく、一般的でない及び／又は所有のプロトコ
ルを確定し理解するのを助ける。パケットビューワツール８６が活性化されると
き、パケットフィルター(図示せず)は、全ての更新されたパケットが補足される
のを可能にするよう、最初にセットされる。ユーザーが、特定のパケットタイプ
に興味あるとき、パケットビューワツール８６は、パケットフィルターセットア
ップダイアログを介して、ユーザーにパケットの特定のセットアップを選択可能
にする。パケットビューワツール８６は、プロトコールのデバッグおよび開発に
役に立つけれども、このツールの機能性も、新しいパケットタイプのためにブラ
ウジングするのに役立つ。

【００３８】次に、知識ブラウザツール８８に戻ると、このツールは、知識ベース１６のた
めの視覚的インターフェースであり、知識ベース内のクラス中のブラウジングオ
ブジェクトにツリーに基づくアプローチを提供し、さらに、トレーシングアイテ
ムに関するリンケージ情報および、検知ツールによるネットワーク上で受動的に
発見された情報を提供する。知識ブラウザーツール８８は、単純さに関する自動
化およびユーザーアクセス可能性に関する注文生産の両方を要求するタスクのネ
ットワーク情報の取得、組織化、およびカテゴリー化を可能にする。

【００３９】漠然と、知識ブラウザーツール８８によりブラウジングされたクラスは、カテ
ゴリー化された情報を含む知識ベース１６中のアイテムであり、サブクラス、オ
ブジェクト、または両方を含み得る。本発明に関連して考慮されるオブジェクト
は、クラスのメンバーであり、ネットワーク特異的情報を有する知識ベース１６
中のアイテムである。

【００４０】検知ツール１２は、受けられたプロトコール内のプロセシング情報エレメント
が、ネットワーク内のオブジェクトに関するインテリジェンスを集めるように、
スクリプトエンジン３８(別のスレッドとしてランする)を含む。標準的なオブジ
ェクトタイプは、ユーザー、ホスト、ドメイン、アプリケーションおよびアドレ
スを含む、しかしながら、オントロジー仕様書は、新しいオブジェクトが加えら
れるのを可能にする。リレー情報(例えば、ホストおよびユーザー)へのワンウェ
イまたはツーウェイ結合を用いて、アソシエーションは、複数のプロトコール／
オブジェクトタイプを介する情報エレメントを用いて作成される。本質的には、
本発明の機能に従い、ネットワークは多次元スペース中に含まれるリンクされた
グラフになり、そこでは、リレーションシップは、このスペース内のベクター間
のリンクとして貯蔵される。

【００４１】次に、トポロジーディスプレイツール９０を考慮すると、このツールは、検知
ツール１２で同定されるネットワークのエレメントのコンパクトで、自動的に作
成されるビューを提供する。図８は、トポロジーディスプレイツール９０の活性
化による、代表的なウィンドウディスプレイを示す。知識ベース１６内に含まれ
る情報に基づき、トポロジーディスプレイツール９０は、ルーター、SubNets、
およびユーザーノードを示す。更に、知識ベース１６内のクラスのサブセットは
、このビューのトップ上にオーバーレイされ得る。例えば、ホストのネームおよ
び脆弱性が示され得る。

【００４２】セッションレコーダツール９２は、パケットの再アセンブリーを可能にする。
ＴＣＰ／ＩＰセッションのマネージメント、および知識検知である。このツール
は、パケットレベルで容易に扱われ得ない複数のセッションタイプを観察するた
めのメカニズム、例えば、HTTP、POP3、SMTP、SNMP、TELNET、NNTP、およびIMAP
である。パケットを再アセンブリーし、再アセンブリーされたバケットを介して
情報のキーアスペクトを探すことによって、セッションレコーダツール９２は、
ネットワーク上にアプリケーションレベルエンティティーについての観察および
学習のための能力を提供する。

【００４３】オペレーションにおいて、セッションレコーダツール９２は、コネクション指
向型フロー、またはセッションを再アセンブリーする。これらの層−４(例えば
、TCP)および上記のセッションは、再アセンブリーされ、アプリケーション−レ
ベル情報を露出するよう解剖される複数パケットからなる。パケットおよびセル
再構築技術は、ユーザーに、状態情報(例えば、コールプログレスおよびセッシ
ョンモニタリング)、並びにアプリケーション層情報(例えば、電子メールアドレ
ス)を提供する。アラートプロセッシングと組合せて、セッションレコーダツー
ル９２内で、セッションサーチ技術を利用すると、能力(特定のユーザーがe-メ
ールを得るときに見るような)は、フレキシブルに構築され得る。セッションレ
コーダツール９２の１つの実施では、次のセッション：HTTP、POP3、TELNET、FT
P、SMTP、NNTP、およびIMAPが提供される。セッションレコーダツール９２のオ
ペレーションの間、ツールは情報の様々な断片に関するセッションを検出し、プ
ロセスし、スキャンするので、データは知識ベース１６に加えられ得る。

【００４４】クエリーコンソールツール９４は、知識ベース１６にテキストに基づくインタ
ーフェースを提供する。クエリーコンソールツール９４の利用により、ユーザー
は、知識ベース１６が、オブジェクト(例えば、個々のIPアドレス)を含み、１ク
ラスの知識ベース１６(例えば、IP-ADDR)に属するオブジェクトのセットを決定
するかどうか決定し得る。クエリーコンソールツール９４の１つの実施において
、知識ベース１６は、トップレベルのクラス名、所与のクラスに属するオブジェ
クトおよび特殊なクラスのオブジェクトに関して質問される。

【００４５】ツール一式３４に加えて、検知ツール１２は、図３に示されるように、知識ベ
ース構文解析ツールセット９６を含む。解析下にあるネットワークからのデータ
の発見の後、続いて、データは、解析エンジン２０による使用のために好適にフ
ォーマットされる。知識ベース構文解析ツールセット９６は、集約されたデータ
を採るように機能し、それを、解析エンジン２０による使用のための好適なフォ
ーマットに入れる。知識ベース構文解析ツールセット９６中の個々のツールは、
知識ベース１６からの構文解析データに利用可能であり、セーブされたログファ
イルおよび再アセンブリーされたセッションファイルから情報を抽出する。知識
ベース構文解析ツールセット９６は、８つのツール：知識ベース構文解析、電子
メール抽出、セッションジョイニング、ウェブ抽出、グラフィックス抽出、知識
ベースサミング、ファイルマニピュレーション、およびカラムスプリッティング
を含む。

【００４６】ネットワーク検知ツールは、ネットワークに関してアセンブリーされたデータ
の知識ベース１６を作成する。このデータは、フラットテキストファイル中に貯
蔵され、ネットワークの表示のための検知ツール１２による再使用のためにセー
ブされる。しかしながら、テキストのフォーマットは、プロセッシング上のフォ
ローには有用でない。知識ベース構文解析ツールは、データを、カラムファイル
中のディスプレイのためにアウトプットされるよう、データベース、または解析
エンジン２０に輸送されるように、解剖する。さらに、知識ベース構文解析ツー
ルは、様々なカテゴリー中でデータを作成するキーワードサーチとして、利用さ
れる。

【００４７】説明されたように、セッションレコーダツール９２は、複数のセッションタイ
プを観察するためのメカニズムであり、再アセンブリーされるセッションデータ
を含むファイルを作成する。シングルデータ収集の間に作成されたファイルの数
は、例えば、10,000を超え得る。ツールセット９６中の知識ベースツールのため
の電子メール抽出ツールは、POP3およびSMTPファイルをサマリーディスクリプシ
ョンに編成することを提供する。サマリーデスクリプションは、続いて、データ
ベースまたは解析エンジン２０に輸送される。電子メール抽出ツールは、キーワ
ードサーチメカニズム並びに他のタイプのデータ構文解析を含む。

【００４８】言及したように、検知ツール１２は、ネットワークについて集約されたフラッ
トファイルデータの知識ベースを作成する。知識ベースツールセット９６のウェ
ブ抽出ツールは、HTMLフラットファイルからのデータの構文解析およびフォーマ
ットを促進し、それらは、続いて、データベースまたは解析エンジン２０に輸送
される。ウェブ抽出ツールは、タグ(キーワードに類似する)サーチメカニズム並
びに他のタイプのデータプロセッシングアルゴリズムを含む。

【００４９】知識ベースツールセット９６のグラフィックス抽出ツールは、記録されたフォ
ーマットからの再アセンブリーファイルを提供する。セッションレコーダツール
９２のディスプレイは、HTTPセッションのレコーディングをもたらす。これらの
セッションファイルは、セッションおよびセッションに関連するデータを記載す
るヘッダーを含む。JPGまたはGIFイメージがダウンロードされるとき、データは
、セッション中に再アセンブリーされる。しかしながら、このデータは、記録さ
れたフォーマット中でディスプレイ可能でない。グラフィック抽出ツールは、JP
GおよびGIFデータを含む再アセンブリーされたHTTPセッションファイルをコンバ
ートし、ネームおよびイメージを含む新しいログファイルを作成する。

【００５０】検知ツール１２のオペレーションによりフラットテキストファイル中に貯蔵さ
れたデータは、知識ベースツールセット９６の知識ベース要約ツールにより利用
され、パケットおよびセッションログ中に含まれるデータの統計的マトリックス
を作成する。例えば、プロトコールの例は、Yアクセスとして使用されおよび、
ソースIPアドレスは、Xアクセスとして使用され得る。パケットまたはセクショ
ンログの選択が為された後、知識ベース要約ツールは、好適なログファイルをス
クリーンし、利用可能なアクセス基準を表示し、グラフを作成する。代表的なネ
ットワークの解析において、多数のファイルが作成される。知識ベースツールセ
ット９６のファイルマニピュレーションツールは、ソートされなければならない
作成されたファイルのボリュームを減少させるインターフェースを提供する。そ
れは、ファイルを、後続のプロセッシングを増強する目的で、ファイルサイズ、
タイプ、またはコンテンツに基づき、除去または移動可能にする。作成されたフ
ァイルは、グループ中の全てのファイルに関する選択された基準に従い、プロセ
スされる。

【００５１】検知ツール１２の記録されたセッションは、新しいセッションとして、時とし
て切断され及び貯蔵される。これらの切断されたセッションは、好ましくは、ビ
ューイング前に、再アセンブリーされる。知識ベースツールセット９６のセッシ
ョンジョイニングツールは、全ての切断されたセッションを、完了したトランス
アクションに接続する。

【００５２】知識ベースツールキット９６に含まれるものは、また、スプリットデータカラ
ムツールである。このツールは、データの望ましくないカラムをログファイルか
ら除去するのに使用される。

【００５３】図４を参照すると、知識ベース１６中での、情報の構築が示される。知識の同
定および構造は、ネットワーク情報をプロセッシングする前に知識を理解する能
力を改善するように、考慮される。図４は、検知ツール１２により知識ベース中
にアセンブリーされた情報のカテゴリーの編成可能なチャートである。知識ベー
スは、フラットテキストファイルとして貯蔵される目的指向型リレーショナルエ
ンティティであり、データチャネル１４上のパケットから集約された情報である
。

【００５４】図５を参照すると、解析エンジン２０から生のASCIIデータを受ける視覚化プ
リプロセッサを含む３−Ｄディスプレイのブロック図が示される。ソフトウェア
リンク１０８を介して視覚化プリプロセッサにインプットされるのは、また、視
覚化セットアップファイル１０２、リンキング情報ファイル１０４およびフィー
ルドキーファイル１０６である。解析エンジン２０からデータをプロセッシング
した後、視覚化プリプロセッサ１００は、プロセスされたデータを３−Ｄレンダ
リングエンジン１１０に移送する。レンダリングエンジン１１０は、市販のシェ
ルフソフトウェアパッケージであり、インプットデバイス１１４からのユーザー
の指示に従い情報をフォーマットし、表示装置１１２にインプットするために情
報をアレンジする。

【００５５】ヘッド搭載ディスプレイ技術およびプレプロセッサー１０８からのデータを受
けるフリーダムトラッキングシステムの６段階の使用により、ユーザーは、知識
ベース１６中のデータで同定されるネットワーク中の充分なビューイングイマー
ジョンを経験する。この技術は、慣用されているフラットディスプレイとは反対
のネットワークデータディスプレイにより、ユーザーに、互いに交流し合い交渉
する更なる能力を与える。

【００５６】図１を再度参照すると、３−Ｄディスプレイ２４は、３−Ｄスペース中の複雑
なノード図をビューし、アニメートし、および解析する検知ツール１２によって
集められた任意のデータに、３番目のディメンションを加える。生データファイ
ルは、２つの次元を含むのみであるので、これが要求される。解析エンジンから
のデータが３以上の次元をアウトプットした場合、３−Ｄディスプレイは、３番
目のディメンションを加えるために要求されないだろう。第３ベクターの付加は
、インプットデバイス９４からのユーザーインストラクションに従い、インター
コネクトされた平面上に大きな複雑な図の同時的ビューイングを可能にする。図
５のディスプレイは、解析者に、任意の軸上に図を回転させ、そうでなければ２
次元平面上にビューされると不明確となるリレーションをビューさせる。

【００５７】図６を参照すると、図１に示されたような本発明の解析システム１０の代表的
な使用例が図示されている。解析システム１０は、ターミナル４８、５０、及び
５２を含むネットワークの一部としてのターミナル４６で、作動する。ターミナ
ル４６、４８、５０、及び５２を含むネットワークは、ファイアウォール５４に
より相互に接続されている。ファイアウォール５４は、ネットワークアナライザ
５８を有するネットワーク５６にインターフェース接続されている。アナライザ
５８は、ターミナルへの着信トラフィックを解析し、さらに、ネットワークへの
侵入者着信に関連した「メタデータ」をモニタリングする。アナライザ５８は、
着信侵入に関する特定のメタデータを確立するのが典型的である。図６に図示さ
れているように、ネットワーク５６は、ゲートウェイ６０と、例えばターゲット
としてのターミナル４８に対してリモートイントルーダとして機能するターミナ
ル６２とに連結されている。

【００５８】本実施形態において、ターミナルのリモートイントルーダ６０は、電子メール
をファイアウォール５４の先のターゲットターミナル４８へ送信することを企図
していることは、当然だと分かるだろう。本発明のターミナル４６で走る解析シ
ステム１０は、検査ツール１２により、イーサネットレベルの着信電子メールを
モニタリングする。解析システム１０は、ポストオフィスプロトコルバージョン
３（ＰＯＰ３）及びシンプルメールトランスファプロトコル（ＳＭＴＰ）などの
情報ベース１６の一部として着信電子メールトラフィックを記録する。さらに、
解析システム１０は、着信電子メールに関するメタデータを検査し、また、ター
ゲットターミナル４８に着信したＳＭＴＰ／ＰＯＰ３を検査する。特定されたタ
ーゲットターミナル４８向けの着信したＳＭＴＰ／ＰＯＰ３パケットは、解析エ
ンジン２０へ進み解析される。前に説明した通り、解析エンジン２０は、進んで
きたメタデータを検査ツール１２によりインポートし、解析及び画面表示する。

【００５９】図７を参照すると、マルチノードネットワーク環境における本発明の解析シス
テム１０の実施形態が図示されている。図示したように、ネットワークは、ノー
ド６４、６６、及び６８を含む。ノード６８へ相互連結されているのが、図１に
図示した解析システム１０を走るターミナル７０である。さらに、ノード６８に
相互連結されているのが、ネットワークアナライザ７２である。各ノード６４、
６６、及び６８は、ファイアウォール７４に相互連結されている。ファイアウォ
ール７４は、広域ネットワーク（図示せず）に相互連結されたさらに別のファイ
アウォール７６の次に位置する。

【００６０】本実施形態において、ターミナル７０でランする解析システム１０は、イント
ラネットレベルのトラフィックをモニタリングし、種々のノードの各ターミナル
からのパケットデータを記録する。ターミナル６４ａなどの攻撃を受けているタ
ーミナルについては、解析システムがターゲットソースパケット構造を確立して
、本発明の解析エンジン２０により、攻撃を受けているターゲットをシャットダ
ウンするように変更できるだろう。

【００６１】図６及び７は、解析システム１０の２つの実施形態に過ぎないことが理解され
るべきである。情報セキュリティ解析システムのさらに別の実施形態は、攻撃及
び防衛情報検査、同時電子メールのコンテキストノード検査、ＦＴＰ及びＴＥＬ
ＮＥＴセッション、フィルタリングされたノードトラフィックのグラフィック再
生、コンピュータソース及び実行可能なコードの解析、構内ネットワークまたは
広域ネットワークが物理的及び実際的に連結できるかどうかの受動的及び動的な
検出、図６に関して記述したような、構内ネットワークまたは広域ネットワーク
への内外双方からの侵入検査、図７において、ネットワークが攻撃を受けてコン
ピュータウイルスが検出された際の自動的な警告及び補正アクションを含む。

【００６２】本発明では、好ましい実施形態について記述してきたが、本発明の範囲を設定
した特定の形態に限定するものではなく、逆に、添付の特許請求項で限定された
ような本発明の精神及び範囲内とすることができるような、別の実施形態、変形
実施形態、相当する実施形態をカバーするものである。

【図面の簡単な説明】

【図１】図１は、本発明に係る受動的ネットワークデータのディスカバリと視覚化と解
析に関する情報セキュリティ解析システムのブロック図である。

【図２】図２は、図１に示した情報セキュリティ解析システムに関するアプリケーショ
ンフロー図である。

【図３】図３は、図１に示した情報セキュリティ解析システムとともに用いられるディ
スカバリツールの構成を説明するためのブロック図である。

【図４】図４は、図３に示したディスカバリツールの代表的な情報構造を模式的に示す
図である。

【図５】図５は、図１に示した情報セキュリティ解析システムの3-D視覚化モジュール
のブロック図である。

【図６】図６は、侵入検出器として利用された本発明の情報セキュリティ解析システム
のブロック図である。

【図７】図７は、ノードアタックまたは情報ハイジャッキングのテストに用いる攻撃ツ
ールとしての本発明の情報セキュリティ解析システムを示すブロック図である。

【図８】図８は、本発明に係るオブジェクト−オリエンテッドネットワーク視覚化を説
明する代表的な図である。

───────────────────────────────────────────────────── フロントページの続き (81)指定国ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ，ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ，ＭＬ，ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，ＫＥ，ＬＳ，ＭＷ，ＳＤ，ＳＬ，ＳＺ，ＵＧ，ＺＷ)，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ，ＲＵ，ＴＪ，ＴＭ)，ＡＥ，ＡＬ，ＡＭ，ＡＴ，ＡＵ，ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＣＡ，ＣＨ，ＣＮ，ＣＵ，ＣＺ，ＤＥ，ＤＫ，ＥＥ，ＥＳ，ＦＩ，ＧＢ，ＧＤ，ＧＥ，ＧＨ，ＧＭ，ＨＲ，ＨＵ，ＩＤ，ＩＬ，ＩＮ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＲ，ＫＺ，ＬＣ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，ＭＤ，ＭＧ，ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＮＯ，ＮＺ，ＰＬ，ＰＴ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，ＳＫ，ＳＬ，ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＵＡ，ＵＧ，ＵＺ，ＶＮ，ＹＵ，ＺＡ，ＺＷ (72)発明者スコットクリストファージェイ．アメリカ合衆国ペンシルベニアプレザントギャップスティープルチェイスドライブ 265 (72)発明者ウッダスフランシスエム．アメリカ合衆国 21117 メリーランドオウイングズミルシャーウッドファームロード 9733 (72)発明者ラベルリッチアメリカ合衆国 21061 メリーランドグレンバーニーフォックスリッジコート 205 (72)発明者キャロルチックジョゼフアメリカ合衆国 21797−8762 メリーランドウッドバインジオールドステーションコート 890 Ｆターム(参考） 5B089 GB02 HA06 HA10 JA36 JB16 KA17 KB03 KB13 MC02 5K030 GA15 GA18 HA08 HC01 HC14 JA10 KA06 KA07 KA13 LD19 MA04 MC08 【要約の続き】元的視覚化及びアニメーションである。

Claims

【特許請求の範囲】

【請求項１】データ通信ネットワークの物理的及び仮想的特性に関する情
報を収集するステップと、該収集された情報の知識ベースを生成するステップと、前記生成された知識ベースの情報を構文解析して、選択されたカテゴリー内の
データを読み取り可能な形式で生成するステップと、前記選択されたカテゴリー内の前記データを解析して、前記データ通信ネット
ワークを特徴付ける関係を生成するステップと、参加者の前記データ通信ネットワークの使用を決定するために前記解析データ
を視覚化するステップとを含むことを特徴とするデータ通信ネットワークの動的
モニタリング方法。
【請求項２】知識ベースを生成するステップは、モードネットワークダイ
アグラムを生成するステップを含む、請求項１に記載のデータ通信ネットワーク
の動的モニタリング方法。
【請求項３】知識ベースを生成するステップは、内部及び外部の進入の試
みを判定するステップを含む、請求項１に記載のデータ通信ネットワークの動的
モニタリング方法。
【請求項４】知識ベースを生成するステップは、ネットワークの機能的コ
ンフィギュレーションにおけるデータを文書化し且つ編成するステップを含む、
請求項１に記載のデータ通信ネットワークの動的モニタリング方法。
【請求項５】知識ベースを生成するステップは、前記収集された情報のパ
ケット及びサブパケットを生成するステップを含む、請求項１に記載のデータ通
信ネットワークの動的モニタリング方法。
【請求項６】情報を収集するステップは、時間内の所定のポイントにおけ
る参加者の通信ネットワークの使用を決定するために情報を収集するステップを
含む、請求項１に記載のデータ通信ネットワークの動的モニタリング方法。
【請求項７】情報を収集するステップは、選択可能な時間間隔で前記通信
ネットワークにおけるコンフィギュレーションの変化に関する情報を収集するス
テップをさらに含む、請求項６に記載のデータ通信ネットワークの動的モニタリ
ング方法。
【請求項８】前記データを解析するステップは、前記生成されたデータを
ベクトルベースのノードダイアグラムに変換するステップを含む、請求項１に記
載のデータ通信ネットワークの動的モニタリング方法。
【請求項９】前記データを解析するステップは、知識ベースデータを前記
通信ネットワークのセッション及びパケットデータに関連付けるステップを含む
、請求項１に記載のデータ通信ネットワークの動的モニタリング方法。
【請求項１０】データ通信ネットワークにおけるノード及びリンクの物理
的及び仮想的特性に関する情報を受動的に収集するステップと、該受動的に収集された情報の知識ベースを生成するステップと、前記生成された知識ベースの情報を構文解析して、選択されたカテゴリー内の
データを読み取り可能な形式で生成するステップと、前記選択されたカテゴリー内の前記データを解析して、ノード及びリンクの関
係を生成し、それによって前記データ通信ネットワークを特徴付けるステップと
、参加者の前記データ通信ネットワークの使用を決定するために前記解析データ
を視覚化するステップとを含むことを特徴とするデータ通信ネットワークの動的
モニタリング方法。
【請求項１１】解析データを視覚化するステップは、処理のための情報及
びデータを供給する視覚化セットアップデータファイルを格納するステップと、前記通信ネットワークに関連するネットワークリンキングデータファイルを格
納するステップと、前記格納されたそれぞれのファイルの選択に基づいてアクセスするステップと
、前記アクセスされたファイルデータを視覚化プロセッサに移送するステップと
、参加者の前記データ通信ネットワークの使用を決定するために前記アクセスフ
ァイルデータ及び解析データを処理するステップとを含む、請求項１０に記載の
データ通信ネットワークの動的モニタリング方法。
【請求項１２】前記解析データは、前記通信ネットワークに関連する接続
性及び機能性データを備えており、前記接続性及び機能性データの前記視覚化プロセッサへの移送を含む前記解析
データを視覚化するステップと、表示用のネットワークデータ信号を生成するために、前記アクセスファイルデ
ータ、前記接続性データ及び前記機能性データを処理するステップと、３次元レンダリングエンジンにおいて、ネットワーク接続性及び機能性表示信
号を出力するために、前記生成ネットワークデータ信号を処理するステップとを
含む、請求項１０に記載のデータ通信ネットワークの動的モニタリング方法。
【請求項１３】解析データを視覚化するステップは、前記３次元レンダリングエンジンの制御のためのユーザ入力データを生成する
ステップと、前記ユーザ入力データを前記３次元レンダリングエンジンに移送するステップ
と、前記３次元レンダリングエンジンにおいて、前記ユーザ入力データに従ってネ
ットワーク接続性及び機能性表示信号を出力するために、前記ユーザ入力データ
及び前記生成ネットワークデータの信号を処理するステップとをさらに含む、請
求項１２に記載のデータ通信ネットワークの動的モニタリング方法。
【請求項１４】知識ベースを生成するステップは、内部及び外部の進入の
試みを判定するステップを含む、請求項１０に記載のデータ通信ネットワークの
動的モニタリング方法。
【請求項１５】情報を収集するステップは、選択可能な時間間隔で前記通
信ネットワークにおけるコンフィギュレーションの変化に関する情報を収集する
ステップをさらに含む、請求項１０に記載のデータ通信ネットワークの動的モニ
タリング方法。
【請求項１６】解析データを視覚化するステップは、前記解析データにユ
ーザを定義可能なシンボルを付加するステップを含む、請求項１０に記載のデー
タ通信ネットワークの動的モニタリング方法。
【請求項１７】複数のデータ通信ネットワークにおけるそれぞれの物理的
及び仮想的特性に関する情報を収集するステップと、該収集された情報の知識ベースを生成するステップと、前記生成された知識ベースの情報を構文解析して、選択されたカテゴリー内の
データを読み取り可能な形式で生成するステップと、前記選択されたカテゴリー内の前記データを解析して、前記データ通信ネット
ワークを特徴付ける関係を生成するステップと、時間内のいずれかのポイントにおける参加者の前記データ通信ネットワークの
利用及びインターアクションを決定するために前記解析データを視覚化するステ
ップとを含むことを特徴とする複数のデータ通信ネットワークの動的モニタリン
グ方法。
【請求項１８】前記データを解析するステップは、遠隔モニタリング、コ
ラボレーション及びネットワークシステムの検知のステップを含む、請求項１７
に記載の複数のデータ通信ネットワークの動的モニタリング方法。
【請求項１９】前記解析データを視覚化するステップは、インターアクテ
ィブコンフィギュレーションにおける１又は２以上の前記通信ネットワークを同
時に表示するステップを含む、請求項１７に記載の複数のデータ通信ネットワー
クの動的モニタリング方法。
【請求項２０】前記データを解析するステップは、ネットワークの増加に
おいて、ネットワークをターミナルアクティビティとしてリコンフィギュアする
ためにサブネットをマッピングするステップを含む、請求項１７に記載の複数の
データ通信ネットワークの動的モニタリング方法。
【請求項２１】前記解析データを視覚化するステップは、ノード及びリン
クを加えたネットワークにおける各アクティブターミナルと付加された情報を表
示するステップを含む、請求項１７に記載の複数のデータ通信ネットワークの動
的モニタリング方法。