JP2016514313A5 - - Google Patents

Claims (42)

1. コンピュータ実装方法であって、
   攻撃の、自動化された、もしくは手動の通知を受信することと、
   前記攻撃を、相手方に前記攻撃により影響を受けるコンピューティングデバイスとして見せかけるように構成されている、被監視コンピューティングプロセスまたはデバイスに遷移させることと、
   前記相手方が、前記被監視コンピューティングプロセスまたはデバイスから欺きの情報を取得することを可能にすることと
   を含む方法。
2. 前記攻撃は、スピアフィッシュ電子メール、クリッカブルリンク、ウェブサイト、ドライブバイエクスプロイト、ＱＲコード（登録商標）、ニアフィールド通信（ＮＦＣ）トリガされるリンク、ドキュメント、実行可能ファイル、取り外し可能ドライブ、もしくは、アーカイブのうちの１つであることを特徴とする請求項１に記載の方法。
3. 前記自動化された、もしくは手動の通知を受信することは、前記攻撃を、前記攻撃が提出された情報共有システムまたはポータルから索出することを含み、前記攻撃を遷移させることは、前記攻撃を前記被監視コンピューティングプロセスまたはデバイス上にインストールすることを含むことを特徴とする請求項１に記載の方法。
4. 前記情報共有システムまたはポータルは、前記受信すること、前記遷移させること、及び前記可能にすることを行なうエンティティとは異なるエンティティから、前記攻撃を受信し、索出することを特徴とする請求項１に記載の方法。
5. 前記通知は、前記攻撃を転送する人から、もしくは、前記影響を受けるコンピューティングデバイスを監視するセキュリティエージェントまたはサービスから受信することを特徴とする請求項１に記載の方法。
6. 前記影響を受けるコンピューティングデバイス上の前記攻撃の処理をブロックすることをさらに含むことを特徴とする請求項１に記載の方法。
7. 前記被監視コンピューティングプロセスまたはデバイス上の前記攻撃を処理することをさらに含むことを特徴とする請求項１に記載の方法。
8. 前記被監視コンピューティングプロセスまたはデバイスは、物理マシンまたは仮想マシンであることを特徴とする請求項１に記載の方法。
9. 前記物理マシンまたは仮想マシンは、前記影響を受けるコンピューティングデバイスのイメージによって構成されることを特徴とする請求項８に記載の方法。
10. 前記マシンは、前記影響を受けるコンピューティングデバイスに関連付けられるユーザ名、マシン名、オペレーティングシステムバージョン、デスクトップスクリーン、フォルダ名、プリロードされるファイル、または、コンピュータファームウェアバージョンの少なくとも１つまたは複数を含むイメージによって構成されることを特徴とする請求項８に記載の方法。
11. 前記被監視コンピューティングプロセスまたはデバイスは、前記影響を受けるコンピューティングデバイス上の隔離されたサンドボックスであることを特徴とする請求項１に記載の方法。
12. 前記被監視コンピューティングプロセスまたはデバイスは、前記影響を受けるコンピューティングデバイスに関連付けられるエンティティのネットワーク上に配置されるか、または、セキュリティサービスにより遠隔で実装されることを特徴とする請求項１に記載の方法。
13. 前記被監視コンピューティングプロセスまたはデバイスは、前記セキュリティサービスにより遠隔で実装され、前記エンティティに関連付けられるネットワークアドレスまたはドメインが割り当てられることを特徴とする請求項１２に記載の方法。
14. 前記被監視コンピューティングプロセスまたはデバイスは、ユーザ活動を模倣することを特徴とする請求項１に記載の方法。
15. 前記相手方により発行されるコマンド及びイベントを監視すること、または、前記被監視コンピューティングプロセスまたはデバイスのネットワーク活動、ファイル活動、プロセス活動、実行活動、レジストリ活動、オペレーティングシステム活動、ファームウェア更新、ロードされるドライバ、もしくは、カーネル拡張を監視することをさらに含むことを特徴とする請求項１に記載の方法。
16. 前記発行されるコマンド及びイベントは、キーストローク、マウス活動、または、コマンドラインインターフェース活動を含むことを特徴とする請求項１５に記載の方法。
17. 前記影響を受けるコンピューティングデバイスのセキュリティエージェントの構成を更新すること、または、前記監視することから導出された情報に少なくとも部分的に基づき、人間が利用可能な情報を提供することをさらに含むことを特徴とする請求項１５に記載の方法。
18. 前記影響を受けるコンピューティングデバイスに関連付けられるエンティティが、前記被監視コンピューティングプロセスまたはデバイス上で含むための欺きの情報を提供することを可能にすることをさらに含むことを特徴とする請求項１に記載の方法。
19. 前記被監視コンピューティングプロセスまたはデバイス上の前記攻撃を監視すること、及び、欺きの情報をある期間にわたって繰り返し前記相手方に提供することをさらに含むことを特徴とする請求項１に記載の方法。
20. 複数の被監視コンピューティングプロセスまたはデバイス上の攻撃を監視することから取得される情報を相関させることをさらに含むことを特徴とする請求項１に記載の方法。
21. 前記被監視コンピューティングプロセスまたはデバイスは、異なるエンティティによって動作させられることを特徴とする請求項２０に記載の方法。
22. 前記攻撃に関連付けられる通信を傍受および復号することをさらに含むことを特徴とする請求項１に記載の方法。
23. 前記相手方から、前記相手方のツール、策略、技法、または、手順の少なくとも１つについての情報を受信することをさらに含むことを特徴とする請求項１に記載の方法。
24. １または複数のコンピューティングデバイスをプログラムして動作を遂行するように構成されたコンピュータ実行可能命令を記憶した１または複数の有形コンピュータ可読媒体であって、前記動作は、
    ドキュメントを、前記ドキュメントをオープンするデバイスの識別する情報を前記１または複数のコンピューティングデバイスに報告するように構成することと、
    前記ドキュメントに関連付けられ、前記識別する情報を含む報告を受信することと、
    前記識別する情報に基づいて、権限のないエンティティが前記ドキュメントの所有の状態にあるかどうか決定することと、
    前記ドキュメントに関連付けられるエンティティに、前記権限のないエンティティによる所有について警告することと
    を含む１または複数の有形コンピュータ可読媒体。
25. 前記構成することは、実行可能命令またはリンクを前記ドキュメントに埋めこむことを含むことを特徴とする請求項２４に記載の１または複数の有形コンピュータ可読媒体。
26. 前記ドキュメントに埋め込まれた前記リンクは、要求を被監視ネットワークアドレスに引き起こすように構成されていることを特徴とする請求項２５に記載の１または複数の有形コンピュータ可読媒体。
27. 前記ドキュメントに埋め込まれた前記実行可能命令は、前記１または複数のコンピューティングデバイスへの接続をオープンするように構成されていることを特徴とする請求項２５に記載の１または複数の有形コンピュータ可読媒体。
28. 前記ドキュメントに埋め込まれた前記実行可能命令は、前記識別する情報が前記ドキュメントに埋め込まれた識別する情報と異なるかどうかに少なくとも部分的に基づいて、前記報告を遂行することを特徴とする請求項２５に記載の１または複数の有形コンピュータ可読媒体。
29. 前記識別する情報は、ネットワークアドレス、地理的位置、汎用一意識別子（ＵＵＩＤ）、ドメイン情報、または、導出される／アップストリームネットワークデータの少なくとも１つを含むことを特徴とする請求項２４に記載の１または複数の有形コンピュータ可読媒体。
30. 要求するプロセスから、ドメインネーム解決要求を受信することと、
    前記ドメインネーム解決要求に含まれるドメインネームが、悪質な活動を指し示すものであると決定することと、
    前記ドメインネーム解決要求に被監視コンピューティングプロセスまたはデバイスのネットワークアドレスによって応答し、前記要求するプロセスが、相手方サーバの代わりに、前記被監視コンピューティングプロセスまたはデバイスと通信することを引き起こすことと
    を含むコンピュータ実装方法。
31. 前記受信することは、前記ドメインネーム解決要求を、前記要求するプロセスを実装するデバイスまたはエンティティに関連付けられるドメインネームサーバからリダイレクトすることを含むことを特徴とする請求項３０に記載の方法。
32. 前記決定することは、前記ドメインネームが、知られている悪質または不審なドメインのリストに含まれるかどうかを決定することを含むことを特徴とする請求項３０に記載の方法。
33. 前記決定することは、前記ドメインネームが、見慣れない、特定の地理的位置に関連付けられる、または、特定のエンティティに関連付けられると決定することを含むことを特徴とする請求項３０に記載の方法。
34. 前記被監視コンピューティングプロセスまたはデバイスは、前記要求するプロセスに対して、相手方コマンドおよび制御システム、または、相手方秘密裏抽出システムに見せかけ、前記要求するプロセスは、攻撃の一部であるか、または、前記相手方コマンドおよび制御システムへの前記要求するプロセスの通信を傍受することを特徴とする請求項３０に記載の方法。
35. 前記被監視コンピューティングプロセスまたはデバイスは、前記要求するプロセスからの前記通信を復号することを特徴とする請求項３０に記載の方法。
36. 前記被監視コンピューティングプロセスまたはデバイスは、前記要求するプロセスが前記通信を符号化するための特定のプロトコルを利用していると決定し、復号するための適切な通信プロトコルを選択するか、または、前記特定のプロトコルの習得を試みることを特徴とする請求項３０に記載の方法。
37. セキュリティエージェントまたはユーザの少なくとも１つに、前記要求するプロセスに関連付けられる攻撃により影響を受けるエンティティについて警告することをさらに含むことを特徴とする請求項３０に記載の方法。
38. 前記要求するプロセスに関連付けられる攻撃を、被監視コンピューティングプロセスまたはデバイスに遷移させることであって、前記被監視コンピューティングプロセスまたはデバイスは、前記攻撃により影響を受けるコンピューティングデバイスに見せかけることをさらに含むことを特徴とする請求項３０に記載の方法。
39. １または複数のプロセッサと、
    悪質な活動に関連付けられる休止ドメインネームのリポジトリと、
    前記１または複数のプロセッサにより動作させられ、前記リポジトリに含まれるドメインネームのネーム解決または登録に対する変化を監視するように構成された監視モジュールと、
    前記１または複数のプロセッサにより動作させられ、前記検出された変化に基づいて、セキュリティデバイスまたはエージェント構成を更新すること、もしくは、セキュリティサービスユーザに警告することの少なくとも１つを遂行するように構成された応答モジュールと
    を備えたシステム。
40. 前記変化を監視することは、前記休止ドメインネームを継続的または周期的に解決して、それらのネーム解決が変化したかどうかを決定することを含むことを特徴とする請求項３９に記載のシステム。
41. ローカルネットワークアドレスへ解決するドメインネーム、ルーティング不可能なネットワークアドレスへ解決するドメインネーム、または、解決することに失敗したドメインネームを識別し、前記ドメインネームが悪質な活動に関連付けられるか確認し、前記確認に少なくとも部分的に基づいて、前記ドメインネームを前記リポジトリに追加する検出モジュールをさらに備えたことを特徴とする請求項３９に記載のシステム。
42. 被監視コンピューティングプロセスまたはデバイスを前記休止ドメインネームの１つに関連付け、前記休止ドメインネームがアクティブになることへの応答で、今アクティブなドメインネームを特定するドメインネーム解決要求に、前記被監視コンピューティングプロセスまたはデバイスのネットワークアドレスによって応答する欺きモジュールをさらに備えたことを特徴とする請求項３９に記載のシステム。