JP2018061240A - 時系列グラフ分析による悪意ある脅威の検出 - Google Patents

Abstract

【課題】時系列グラフ分析による悪意ある脅威検出を提供する。
【解決手段】データ分析デバイスが、複数のログ・データ・エントリを備えるデータ・ファイルを受信する。ログ・データ・エントリは、コンピューティング・ネットワークにおけるコンピュータ・ネットワーク・イベントに関連するパラメータを含む。データ分析デバイスは、ログ・データに含まれた少なくとも１つのパラメータに基づいて、コンピューティング・ネットワークのグラフィカル・モデルを発生させる。データ分析デバイスはさらに、グラフィカル・モデルにより表現されるコンピュータ・ネットワークのノードに関連するパラメータを特定し、パラメータに対して時系列分析を実行し、コンピューティング・ネットワークに関連する異常なイベントまたはコンピューティング・ネットワークに関連する悪意あるイベントのうちの少なくとも１つを、パラメータに対する時系列分析に基づいて判断する。
【選択図】図１

Description

本明細書は、１つ以上の時系列グラフの分析によって悪意ある脅威を検出することに関する。

コンピュータ・ネットワークは、インターネットによりアクセス可能な多様なデジタル・コンテンツを含む共有リソースに個人またはユーザがアクセスすることを可能にする複数のコンピューティング資産を含む。コンピュータ・ネットワークは、パーソナル・エリア・ネットワーク、ローカル／バーチャル・エリア・ネットワーク、ワイド・エリア・ネットワーク、またはその他任意の種類の、コンピューティング・デバイスの集合に関連するネットワーク・アーキテクチャ内の１つ以上のノードを構成するよう互いに接続されたコンピュータのセットであることもある。

インターネットに対するアクセスおよび特定のネットワーク外のその他ウェブ・リソースに対するアクセスは、サイバー・セキュリティの多様な課題を提示する。したがって、コンピュータ・ネットワークと一体となったコンピューティング資産には、ネットワークと一体となった１つ以上の資産に悪意あるユーザが権限なしにアクセスすることによるデータ漏洩または攻撃が生じやすい場合がある。

本明細書に記載された主題は、ログ・データをグラフとして構造化することと、中心性および重要度測度に基づきノードをエンリッチ化するために構造化ログ・データにグラフ解析を適用することとに関する。記載される主題は、時系列分析およびその他関係する解析測度を適用して、コンピュータ・ネットワーク内の特定のノードについて示される重要度の、予期せぬ突然の変動または変化を検出することを含む。コンピュータ・ネットワーク内のデータ・フロー特性を評価すると、特定のノードに関連するデータ・トラフィックは、典型的には、突然ではなく徐々に変化するであろう。これは、コンピュータ・ネットワークが一般に、各ノードの相対的重要度の点で安定していることが理由である。よって、基準トラフィック・フロー・パターンの突然または急激な変動が示されることは通常は稀であり、ネットワーク内で悪意あるアクティビティが生じている可能性の指標としての役割を果たし得る。

ノードのアクティビティにおける突然の変動は、調査に値するコンピューティング資産またはノードに関連する挙動の変化を示し、ネットワーク／セキュリティ・オペレーション・センター（ＮＯＣ／ＳＯＣ：ｎｅｔｗｏｒｋ／ｓｅｃｕｒｉｔｙ ｏｐｅｒａｔｉｏｎｓ ｃｅｎｔｅｒ）内で作業をするオペレータの関心を引く。組織のコンピュータ・ネットワークに権限なしにアクセスしている悪意ある行為者により侵害された資産は、典型的に、ノードのデータ・フロー特性の急激な変化に部分的に基づくノード重要度の急な上昇を示す。データ・フロー特性（例えば重要度測度）のこの変化は、横展開しまたはネットワークからデータを盗み出すための、悪意あるユーザによる偵察アクティビティおよび／または試行に関連し得る。故に、本明細書に記載される教示は、改善された重要度および／または中心性測度を用いてコンピュータ・ネットワーク内の各ノードまたは資産をエンリッチ化するためのシステムおよび方法を含む。記載される主題は、特定のノードに関連する重要度および中心性測度の突然の変動を確実に検出する可能性を高めるために各ノードに適用可能な頑強なデータ分析法をさらに含む。したがって、本願明細書に記載された教示を応用することで、サイバー脅威のより効果的且つ適時の検出が達成される。

本明細書に記載される主題の革新的な側面は、コンピュータに実装された方法に具現化できる。本方法は、データ分析デバイスによって、コンピューティング・ネットワークにおけるコンピュータ・ネットワーク・イベントに関連するパラメータを含む複数のログ・データ・エントリを備えたデータ・ファイルを受信するステップと、ログ・データ・エントリに含まれた少なくとも１つのパラメータに基づきデータ分析デバイスによってコンピューティング・ネットワークのグラフィカル・モデルを発生させるステップとを含む。本方法は、グラフィカル・モデルに関連するパラメータをデータ分析デバイスによって識別するステップであって、パラメータはコンピューティング・ネットワークのノードにも関連する、識別するステップと、データ分析デバイスによってパラメータに対して時系列分析を実行するステップと、パラメータに対する時系列分析に基づき、コンピューティング・ネットワークに関連する異常なイベントまたはコンピューティング・ネットワークに関連する悪意あるイベントのうちの少なくとも１つを判断するステップとをさらに含む。

これらの実装および他の実装はそれぞれ、任意選択で、以下の特徴のうちの１つ以上を含むことができる。例えば一部の実装では、コンピューティング・ネットワークのグラフィカル・モデルを発生させるステップは、グラフ解析（ＧＡ）メトリックの第１セットを発生させるために、データ分析デバイスのプロセッサによって、１つ以上のＧＡ測度を使用してログ・データ・エントリを分析することを含む。一側面では、ＧＡ測度は、ＰａｇｅＲａｎｋ測度、媒介中心性測度、三角形数え上げ測度、または、少なくとも１つのパラメータの繰り返し起こる特性を分析するべく構成された１つ以上のグラフ解析測度のうちの少なくとも１つを含む。別の側面では、本方法は、データ分析デバイスによって、周期的なログ・データ更新の更新毎にグラフィカル・モデルに関連するログ・データ・エントリの経過時間窓を受信してログ・データ・エントリの経過時間窓をデータ分析デバイスのデータ・ストレージ・ユニットに記憶することにより、ポイント・イン・タイム・パーティショニングを含む周期的なログ・データ更新を実行するステップをさらに含む。さらに別の側面では、本方法は、ＧＡメトリックの後続セットを発生させるために、プロセッサによって、グラフィカル・モデルに関連するログ・データ・エントリの経過時間窓を分析するステップをさらに含み、ＧＡメトリックの第１セットおよびＧＡメトリックの後続セットはそれぞれ、時系列分析を実行される少なくとも１つのパラメータを備える。さらに別の側面では、本方法は、データのグラフィカル・モデルを隣接行列および圧縮疎行列のうちの少なくとも１つとしてデータ・ストレージ・ユニットに記憶するステップをさらに含む。

一部の実装では、パラメータに対して時系列分析を実行するステップは、コンピューティング・ネットワークのノードの属性における所定閾値を超える変化を検出するために、データ分析デバイスによってノードを分析することを含み、その変化は、第１期間と、第１期間よりも時間的に遅い第２期間との間に生じる。他の実装では、本方法は、データ分析デバイスによって、コンピュータ・ネットワーク・イベントに関連するパラメータを抽出して、データ分析デバイスのデータ・ストレージ・ユニットにロードされる少なくとも１つのパラメータを準備するステップをさらに含み、抽出および準備は、データ分析デバイスのプロセッサがデータ・ストレージ・ユニットに記憶されている命令を実行するのに応答して生じ、命令は、抽出、変換、ロード（ＥＴＬ）データ処理関数を備える。

一部の実装では、ログ・データ・エントリに含まれコンピュータ・ネットワーク・イベントに関連するパラメータは、ネットワーク・イベント・タイプ、送信元識別子、または宛先識別子のうちの少なくとも１つを備え、ノードは、コンピューティング資産またはコンピューティング資産のユーザのうちの１つを備える。他の実装では、時系列分析を実行するステップは、グラフィックス処理ユニット（ＧＰＵ：ｇｒａｐｈｉｃｓ ｐｒｏｃｅｓｓｉｎｇ ｕｎｉｔ）、中央処理ユニット（ＣＰＵ：ｃｅｎｔｒａｌ ｐｒｏｃｅｓｓｉｎｇ ｕｎｉｔ）、特定用途向け集積回路、またはプログラマブル論理デバイスのうちの１つを使用して時系列分析の少なくとも一部を実行すること含む。

本明細書に記載される主題の別の革新的な側面は、１つ以上の処理デバイスと、動作を実行するために１つ以上の処理デバイスにより実行可能な命令を記憶する１つ以上の機械可読ストレージ・デバイスとを備える電子システムに具現化できる。この動作は、コンピューティング・ネットワークにおけるコンピュータ・ネットワーク・イベントに関連するパラメータを含む複数のログ・データ・エントリを備えたデータ・ファイルを受信することと、ログ・データ・エントリに含まれた少なくとも１つのパラメータに基づきコンピューティング・ネットワークのグラフィカル・モデルを発生させることとを含む。この動作は、グラフィカル・モデルに関連するパラメータを識別することであって、パラメータはコンピューティング・ネットワークのノードにも関連する、識別することと、時系列分析をパラメータに対して実行することと、パラメータに対する時系列分析に基づき、コンピューティング・ネットワークに関連する異常なイベントまたはコンピューティング・ネットワークに関連する悪意あるイベントのうちの少なくとも１つを判断することとをさらに含む。

これらの実装および他の実装はそれぞれ、任意選択で、以下の特徴のうちの１つ以上を含むことができる。例えば一部の実装では、コンピューティング・ネットワークのグラフィカル・モデルを発生させることは、グラフ解析（ＧＡ）メトリックの第１セットを発生させるために、電子システムのグラフィックス・プロセッサによって、１つ以上のＧＡ測度を使用してログ・データ・エントリを分析することを含む。一側面では、ＧＡ測度は、ＰａｇｅＲａｎｋ測度、媒介中心性測度、三角形数え上げ測度、または、少なくとも１つのパラメータの繰り返し起こる特性を分析するべく構成された１つ以上のグラフ解析測度のうちの少なくとも１つを含む。別の側面では、電子システムにより実行される動作は、周期的なログ・データ更新の更新毎にグラフィカル・モデルに関連するログ・データ・エントリの経過時間窓を受信してログ・データ・エントリの経過時間窓を電子システムのストレージ・デバイスに記憶することにより、ポイント・イン・タイム・パーティショニングを含む周期的なログ・データ更新を実行することをさらに含む。さらに別の側面では、電子システムにより実行される動作は、ＧＡメトリックの後続セットを発生させるために、グラフィカル・モデルに関連するログ・データ・エントリの経過時間窓をグラフィックス・プロセッサによって分析することをさらに含み、ＧＡメトリックの第１セットおよびＧＡメトリックの後続セットはそれぞれ、時系列分析を実行される少なくとも１つのパラメータを備える。

一部の実装では、電子システムによって実行される動作は、コンピュータ・ネットワーク・イベントに関連するパラメータを抽出して、電子システムのストレージ・デバイスにロードされる少なくとも１つのパラメータを準備することをさらに含み、抽出および準備は、データ分析デバイスのプロセッサがデータ・ストレージ・ユニットに記憶されている命令を実行するのに応答して生じ、命令は、抽出、変換、ロード（ＥＴＬ）データ処理関数を備える。他の実装では、パラメータに対して時系列分析を実行することは、ノードの属性における所定閾値を超える変化を検出するために、コンピューティング・ネットワークのノードを電子システムのグラフィックス・プロセッサによって分析することを含み、その変化は、第１期間と、第１期間よりも時間的に遅い第２期間との間に生じる。他の実装では、時系列分析法は、時系列回帰法、自己回帰法、管理図に基づく方法、またはマルコフ・ジャンプ法のうちの少なくとも１つを含む。

本明細書に記載される主題のさらに別の革新的な側面は、コンピュータ・プログラムでコードされデータ分析デバイスに配置された非一時的コンピュータ・ストレージ・ユニットに具現化することができる。このプログラムは、１つ以上の処理ユニットによって実行されると１つ以上の処理ユニットに動作を実行させる命令を備え、この動作は、コンピューティング・ネットワークにおけるコンピュータ・ネットワーク・イベントに関連するパラメータを含む複数のログ・データ・エントリを備えたデータ・ファイルを受信することと、ログ・データ・エントリに含まれた少なくとも１つのパラメータに基づきコンピューティング・ネットワークのグラフィカル・モデルを発生させることとを含む。この動作は、グラフィカル・モデルに関連するパラメータを識別することであって、パラメータはコンピューティング・ネットワークのノードにも関連する、識別することと、時系列分析をパラメータに対して実行することと、パラメータに対する時系列分析に基づき、コンピューティング・ネットワークに関連する異常なイベントまたはコンピューティング・ネットワークに関連する悪意あるイベントのうちの少なくとも１つを判断することとをさらに含む。

これらの実装および他の実装はそれぞれ、任意選択で、以下の特徴のうちの１つ以上を含むことができる。例えば一部の実装では、コンピューティング・ネットワークのグラフィカル・モデルを発生させることは、グラフ解析（ＧＡ）メトリックの第１セットを発生させるために、データ分析デバイスの処理ユニットによって、１つ以上のＧＡ測度を使用してログ・データ・エントリを分析することを含む。

この側面および他の側面の他の実装は、対応するシステム、装置、および本方法のアクションを実行するよう構成されコンピュータ・ストレージ・デバイスにコードされたコンピュータ・プログラムを含む。１つ以上のコンピュータのシステムは、ソフトウェア、ファームウェア、ハードウェア、またはシステムにインストールされたそれらの組み合わせによって、動作時にシステムにアクションを実行させるように構成できる。１つ以上のコンピュータ・プログラムは、命令を有することによって、データ処理装置により実行されると装置にアクションを実行させるように構成できる。

本願明細書に記載された教示を応用することで、サイバー脅威のより効果的且つ適時の検出が達成される。

例示のデータ分析デバイスを含む例示のコンピューティング・ネットワークのブロック図を示す。 図１のデータ分析デバイスに関連する１つ以上のグラフおよび時系列分析機能の例を表すブロック図を示す。 図１の例示のコンピューティング・ネットワークに関連した悪意ある脅威検出のための例示のプロセスのフローチャートを示す。

本明細書に記載される主題の１つ以上の実装の詳細が、添付の図面および以下の説明に記載される。本主題の他の潜在的な特徴、側面、および利点は、本記載、図面、および特許請求の範囲から明らかとなる。

別々の図面内の同じ参照番号および名称は、同様の構成要素を示す。

本明細書は、多様なネットワーク保護ツールからの複数のログ・ファイルの取得と、データ分析デバイスによるログ・データのコンバートとを含むシステムおよび方法について記載する。データ分析デバイスは、コンピュータ・ネットワークに対する悪意ある脅威の検出を可能にするために、取得されたデータにグラフおよび時系列に基づく解析的測度を適用する１つ以上のモジュールを含む。グラフ分析および時系列分析測度を適用することで、取得されたログ・データを、１つ以上のノードおよびエッジを有するグラフィカル・ネットワークとして視覚化することができる。

例示の実装では、グラフ分析測定は、１）ログ・ファイルにより示されるネットワーク・イベント・データの周期的な時間間隔での収集および記憶、２）収集および記憶に応答したネットワーク・イベント・データに対するグラフ解析測度の適用、ならびに３）収集および記憶が生じる各時間間隔に対する所定レートでのグラフ解析計算の更新を含む。ネットワーク・イベント・データに関連する一定のパラメータがパースまたは抽出されるとき、時系列分析の前に、分析デバイスによるデータのエンリッチ化が生じる。特定のノードのネットワーク・アクティビティにおける突然または急激な変動を明らかにするべくパラメータ値をベースラインまたは閾値に対し比較および対照するために、時系列分析測度が、抽出されたパラメータに適用される。ネットワーク・アクティビティにおける突然の予期せぬ任意の変動に基づき、悪意ある脅威の検出が可能になる。一部の実装では、異常または特異なコンピュータ・ネットワーク・イベントの検出は、悪意ある脅威につながる徴候を明らかにすることができる。

図１は、例示のデータ分析デバイスを含む例示のコンピューティング・ネットワーク１００のブロック図を示す。ネットワーク１００は、コンピューティング資産１０４ａ／ｂ／ｃ、ネットワーク保護ツール１０６、セキュリティ情報イベント管理デバイス１１０（ＳＩＥＭ（ｓｅｃｕｒｉｔｙ ｉｎｆｏｒｍａｔｉｏｎ ｅｖｅｎｔ ｍａｎａｇｅｍｅｎｔ）１１０）、およびデータ分析デバイス１１２（以下「デバイス１１２」）を含む。ユーザ１０２は、コンピューティング資産１０４ａ／ｂ／ｃとやり取りする。単一のユーザ１０２が示されているが、ネットワーク１００は複数のユーザ１０２を含むことができる。一部の実装では、コンピューティング資産１０４ａ／ｂ／ｃは、ユーザ１０２が、ネットワーク１００内外のデータ通信トラフィックを生成する様々なコンピュータ関係アクティビティに関与できるようにする。アクティビティとしては、例えば、イントラネット・サイトにアクセスすること、電子メール通信文の草稿を書いて送信すること、文書を印刷すること、インターネット１０８にアクセスすること、ファイル・サーバおよびクラウド・ベースのアプリケーションなどの共有されたローカルおよび外部リソースにアクセスすることを挙げることができる。

コンピューティング資産１０４ａ／ｂ／ｃとしては、標準的なラップトップおよびデスクトップ・コンピュータ、プリント・サーバおよびプリンタ／コピー機デバイス、電子メール・サーバ、アプリケーション・サーバ、ルータ、スイッチ、イントラネットおよび関係するファイル・サーバ、またはコンピュータ・ネットワークに関連するその他任意のコンピューティング・デバイスもしくは資産を挙げることができる。例えば、コンピューティング資産１０４ａをラップトップ／デスクトップ・コンピュータとすることができ、資産１０４ｂを電子メール・サーバとすることができ、資産１０４ｃをルータとすることができる。図１には３つのコンピューティング資産１０４ａ／ｂ／ｃが示されているが、一部の実装では、ネットワーク１００は、ユーザ１０２が上述のコンピュータ関係のアクティビティに関与できるように協働する、より多数またはより少数の資産１０４を含んでもよい。

図のように、コンピューティング資産１０４ａ／ｂ／ｃは、ネットワーク保護ツール１０６とデータ通信している。保護ツール１０６は、ネットワーク１００に様々なネットワーク・セキュリティ機能を提供する。例示のネットワーク・セキュリティ機能は、データ・パケットまたはその他データ・トラフィックがネットワーク１００に入らないように、および／またはネットワーク１００から出ないようにブロックまたはフィルタリングすることを含む。さらに、例示のネットワーク保護ツール１０６としては、ファイアウォール、プロキシ・サーバ、侵入検知システム、侵入防止システム、パケット・スニフィング・デバイス、脆弱性スキャニング・デバイス、またはコンピュータ・ネットワークと関連するその他任意のネットワーク・セキュリティ・デバイスが挙げられる。

さらに詳しく後述するとおり、一部の実装では、集合的にネットワーク保護ツール１０６を構成する１つ以上のツール／デバイスはそれぞれ、ネットワーク１００内で生じるセキュリティおよび非セキュリティ関係のイベントまたはアクティビティに関連する一定のパラメータまたは属性を含むログ・データ／ファイルを周期的に生成するよう設計または構成できる。図のように、ネットワーク保護ツール１０６の個々のデバイスにより生成される各ログ・ファイルは、データ通信パス１２２ｂを通してデバイス１１２に提供できる。

図のように、ネットワーク保護ツール１０６の１つ以上のツール／デバイスは、それぞれＳＩＥＭ１１０またはデバイス１１２のうちの１つとデータ通信している。コンピュータおよび／またはネットワーク動作に関して、ＳＩＥＭ１１０は、コンピューティング資産１０４ａ／ｂ／ｃ、ネットワーク保護ツール１０６、および明示的に記載はされないがコンピュータ・ネットワーク（すなわちネットワーク１００）内に存在することが周知である１つ以上の他のコンピューティング・デバイスに関する、多様なシステム・イベント・データおよびシステム情報データの収集および記憶を提供する。

ＳＩＥＭ１１０は、ネットワーク１００内で生じるコンピューティング・アクティビティ（例えばドメイン名システム（ＤＮＳ：Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）トラフィック）に関連するイベントまたは情報に関するログ・データを生成、追跡、または監視する。ネットワーク保護ツール１０６のデバイスとよく似て、ＳＩＥＭ１１０も、ネットワーク１００内のイベントまたはアクティビティに関連する一定のパラメータまたは属性を含むログ・データ／ファイルを周期的に生成するよう設計または構成できる。一部の実装では、ＳＩＥＭ１１０は、保護ツール１０６の各デバイスからログ・ファイルを受信し、各ログ・ファイルを、データ通信パス１２２ａを通してデバイス１１２に提供する。他の実装では、ＳＩＥＭ１１０は、保護ツール１０６の各デバイスからログ・ファイルを受信し、各ログ・ファイルをより大きなログ・ファイルに集約し、且つ／またはログ・ファイルに関連する共通の属性に基づいて各ログ・ファイルを相関させる。図１に示されているとおり、ＳＩＥＭ１１０からのログ・データは、データ通信パス１２２ａを通してデバイス１１２に提供される。

図１に示されているとおり、デバイス１１２は、ＳＩＥＭ１１０またはネットワーク保護ツール１０６のうちの１つに接続または結合可能である。一部の実装では、デバイス１１２は、データ通信パス１２２ａを通してＳＩＥＭ１１０に接続または結合される。同じく、一部の実装では、デバイス１１２は、データ通信パス１２２ｂを通して、またはＳＩＥＭ１１０およびデータ通信パス１２２ａを通して間接的に、ネットワーク保護ツール１０６に接続または結合可能である。さらに別の実装では、デバイス１１２は、データ通信パス１２２ａを通してＳＩＥＭ１１０と、さらにはデータ通信パス１２２ｂを通してかまたはＳＩＥＭ１１０およびデータ通信パス１２２ａを通して間接的にかのいずれかでネットワーク保護ツール１０６と、の両方に同時に結合可能である。

デバイス１１２は、処理ユニット１１４およびモジュール１２０を含む。一部の実施形態では、処理ユニット１１４は、１つ以上のプロセッサ（例えばマイクロプロセッサまたは中央処理ユニット（ＣＰＵ））、グラフィックス処理ユニット（ＧＰＵ）、特定用途向け集積回路（ＡＳＩＣ：ａｐｐｌｉｃａｔｉｏｎ ｓｐｅｃｉｆｉｃ ｉｎｔｅｇｒａｔｅｄ ｃｉｒｃｕｉｔ）、または異なるプロセッサの組み合わせを含むことができる。他の実施形態では、デバイス１１２は、本明細書に記載される判定および計算のうちの１つ以上を実行するための追加の処理オプションを提供する、他のコンピューティング・リソース／デバイス（例えばクラウド・ベースのサーバ）を含むことができる。

処理ユニット１１４は、１つ以上のメモリ・ユニットまたはメモリ・バンクを含むことができる。一部の実装では、処理ユニット１１４は、本明細書に記載された１つ以上の機能をモジュール１２０およびデバイス１１２に実行させるために、メモリに記憶されたプログラム済み命令を実行する。処理ユニット１１４のメモリは、１つ以上の非一時的機械可読ストレージ媒体を含むことができる。非一時的機械可読ストレージ媒体は、ソリッド・ステート・メモリ、磁気ディスク、および光ディスク、ポータブル・コンピュータ・ディスケット、ランダム・アクセス・メモリ（ＲＡＭ：ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ）、読み取り専用メモリ（ＲＯＭ：ｒｅａｄ−ｏｎｌｙ ｍｅｍｏｒｙ）、消去可能プログラム可能読み取り専用メモリ（例えばＥＰＲＯＭ（ｅｒａｓａｂｌｅ ｐｒｏｇｒａｍｍａｂｌｅ ｒｅａｄｏｎｌｙ ｍｅｍｏｒｙ）、ＥＥＰＲＯＭ、またはフラッシュメモリ）、あるいは情報を記憶できるその他任意の有形の媒体を含むことができる。

上述のとおり、ネットワーク保護ツール１０６およびＳＩＥＭ１１０はそれぞれ、ネットワーク１００内で生じるセキュリティおよび非セキュリティ関係のイベントまたはアクティビティ（例えばデータ通信、パケット情報、および／またはデータ・フロー／トラフィック・パターン）に関連する一定のパラメータまたは属性を含むログ・データ／ファイルを周期的に生成する。よって、ログ・データ・ストア１１８は、ネットワーク保護ツール１０６およびＳＩＥＭ１１０により生成されたログ・ファイルを含む。

モジュール１２０は、１つ以上のグラフ解析測度および１つ以上の時系列分析測度をデータ・ストア１１８の中のログ・データに適用する一定の命令論理またはプログラム・コードを含むことができる。図２を参照してさらに詳しく後述するとおり、デバイス１１２のモジュール１２０は、ログ・データをグラフィカル・フォーマットに構造化し、構造化されたログ・データに１つ以上のグラフ解析測度を適用して、中心性および重要度測度に基づきノードをエンリッチ化するよう構成可能である。モジュール１２０はさらに、時系列分析に基づく解析測度をグラフィカル・データに適用して、ネットワーク１００内の特定のノードについて示される重要度の予期せぬ突然の変動または変化を検出するよう構成可能である。モジュール１２０は、図１においてはデバイス１１２の一部として示されているが、別の実施形態では、処理ユニット１１４と独立してグラフィカル分析および／または時系列分析測定を実行するスタンドアロンのデータ分析デバイスとすることができる。

図２は、図１のデバイス１１２に関連する１つ以上のグラフ分析および時系列分析機能を表すブロック図を示す。ログ・データ・ストア１１８は、１つ以上のログ・データ・タイプを含むことができ、モジュール１２０は、１つ以上のサブモジュールを含むことができる。図のように、ログ・データ・ストア１１８は、ユーザ・ログ２０２、ベンダ・ログ２０４、およびシステム・ログ２０６などの１つ以上のログ・データ・タイプを含む。さらにモジュール１２０は、抽出、変換、およびロード（ＥＴＬ：ｅｘｔｒａｃｔｉｏｎ， ｔｒａｎｓｆｏｒｍａｔｉｏｎ，ａｎｄ ｌｏａｄｉｎｇ）２０８サブモジュール、データ・ストア・サブモジュール２１０、グラフィックス処理ユニット２１２、およびｈａｄｏｏｐ分散ファイル・システム（ＨＤＦＳ：ｈａｄｏｏｐ ｄｉｓｔｒｉｂｕｔｅｄ ｆｉｌｅ ｓｙｓｔｅｍ）２１４を含む。

ユーザ・ログ２０２は、ネットワーク１００内で生じるユーザ特有のアクティビティまたはイベントに対応することができる。例示のユーザ・イベントとしては、ユーザ１０２によるネットワーク１００および／またはコンピューティング資産１０４ａ／ｂ／ｃに対する認証、ユーザ１０２によるネットワーク１００および／またはコンピューティング資産１０４ａ／ｂ／ｃへのログイン試行、ユーザ１０２によるファイル・アクセス、ユーザ１０２による電子メール通信文の送受信、またはコンピュータ・ネットワークにおいて典型的に生じるその他任意の関係するユーザ・アクティビティが挙げられる。ベンダ・ログ２０４およびシステム・ログ２０６は、ＳＩＥＭ１１０により、さらに／またはネットワーク保護ツール１０６の１つ以上のデバイスにより生成されるデバイス特有のログ・データ（例えば事前構成済みのベンダ設定に基づく）とすることができる。

ＥＴＬ２０８は、１つ以上のタイプのログ・データをデータ・ストア１１８から受信し、受信したログ・データに対して抽出関数、変換関数、およびロード関数のうちの１つを実行する。一部の実装では、ＥＴＬ２０８の抽出関数は、ログ・データ・ストア１１８の中の複数のログ・エントリを分析して、ログ・エントリの望ましいサブセットを抽出する。次に、ＥＴＬ２０８の変換関数が、ルックアップ・テーブルまたは他の関係する変換方法を使用してルールを適用し、抽出されたログ・エントリのサブセットを望ましい状態にコンバートまたは変換する。最後に、ＥＴＬ２０８のロード関数が使用されて、結果として生じたデータが、ＨＤＦＳ２１４またはデータ・ストア２１０などのターゲット・データベースに書き込まれる。

後述のとおり、ネットワーク１００の１つ以上のデバイスにより生成されたログ・データは、グラフ・ネットワークまたはモデルとして視覚化でき、各ノードは、例えばコンピューティング資産１０４ａ／ｂ／ｃまたはユーザ１０２を表現し、各エッジは、例えば特定のノードのネットワーク・アクティビティに関連するパラメータを含む具体的なログ・エントリを表現する。一部の実装では、パラメータは例えば、データを送信するコンピューティング資産１０４（またはネットワーク１００外の資産）の送信元インターネット・プロトコル（ＩＰ：ｉｎｔｅｒｎｅｔ ｐｒｏｔｏｃｏｌ）アドレスおよびデータを受信するコンピューティング資産１０４（またはネットワーク１００外の資産）の宛先ＩＰアドレスを含む。グラフ・モデルのエッジは、特定の送信元ＩＰアドレスおよび宛先ＩＰアドレスを含むログ・エントリ数の重み付けされた量とすることができる。

ＧＰＵ２１２は、ＨＤＦＳ２１４に記憶されている抽出済みログ・エントリに少なくとも部分的に基づき、ネットワーク１００のグラフィカル・モデルを発生させる。抽出済みログ・エントリは、ネットワーク１００内で悪意あるアクティビティが生じている可能性の指標としての役割を潜在的に果たし得る対象パラメータを少なくとも１つ含む。ネットワーク１００内で生じる一定のアクティビティまたはイベントに関連するパラメータ（例えば対象パラメータ）が、モジュール１２０により自動的に、またはネットワーク１００の管理を監督する管理者もしくはセキュリティ担当者により手動で識別され得る。

一部の実装では、パラメータを選択するのに使用されるアクティビティ／イベントとしては、例えば、特定の送信元ＩＰアドレスが特定の宛先ＩＰアドレスにアウトバウンド接続を試行していること、既知のアクティビティ傾向に基づき特定の送信元ＩＰアドレスにより典型的に試行される閾値数を超える数のアウトバウンド接続を当該送信元ＩＰアドレスが試行していること、第１の送信元ＩＰアドレスまたはコンピューティング資産１０４がウイルスまたはマルウェアなどの悪意あるプログラム・コードに感染していると分かっている第２の送信元ＩＰアドレスまたはコンピューティング資産１０４に接続または結合されていること、特定のユーザ１０２が特定ファイルまたはネットワーク１００のサブ・ネットワークに対するアクセスまたは認証を試行していることの徴候、あるいはその他、ユーザ１０２、コンピューティング資産１０４、もしくは送信元／宛先ＩＰアドレスが関与していて且つ特異であるまたは１つ以上のサイバー・セキュリティ脆弱性が疑われる指標であると理解され得るネットワーク１００関連のアクティビティを挙げることができる。

一部の実装では、ネットワーク１００のグラフィカル・モデルを発生させることは、モジュール１２０により、ポイント・イン・タイム・パーティショニング（ＰＴＰ：ｐｏｉｎｔ−ｉｎ−ｔｉｍｅ ｐａｒｔｉｔｉｏｎｉｎｇ）を含む周期的なログ・データ更新を実行することを含む。ＰＴＰの実行に際し、ＨＤＦＳ２１４に提供される抽出済みログ・エントリの新たな更新（経過時間窓（ｐａｓｔ ｔｉｍｅ ｗｉｎｄｏｗ）に対応）毎に、その経過時間窓のデータがＨＤＦＳ２１４により収集／受信され、ＧＰＵ２１２によってグラフ解析メトリックの新たなセットが計算されてデータ・ストア２１０に記憶される。一部の実装では、グラフィカル・モデルまたは解析メトリック・セットが、隣接行列および圧縮疎行列のうちの少なくとも１つとしてデータ・ストア２１０に記憶される。各時間窓に対してグラフ解析計算がどの程度頻繁に実行されるかに対応する更新レートは、管理者の好みによって異なり得る。各グラフ解析計算は、ネットワーク１００の特定のノード／パラメータ（例えばユーザ１０２のユーザＩＤ、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ユーザＩＤ、または宛先ユーザＩＤ）に関連するグラフ解析メトリックのセットを発生させる。

一部の例では、ＧＰＵ２１２がグラフ解析メトリックの新規または後続のセットを１時間毎に計算するように、毎時間の更新レートを有するようモジュール１２０を構成できる。更新レートは変化してもよく、毎時間、毎日、毎週、またはネットワーク１００の管理者が望むその他任意のレートとすることができる。経過時間窓は、グラフ解析計算のために使用される時間窓のサイズ（例えば１日、２日、５日などの時間単位）に対応する。一部の実装では、モジュール１２０は、２日の経過時間窓を有するよう構成でき、それにより、ＧＰＵ２１２に提供される抽出済みログ・エントリは、過去２日間に生じたネットワーク・アクティビティ・ログに対応する。更新レートとよく似て、経過時間窓も管理者の好みによって異なることができる。

モジュール１２０は、ＧＰＵ２１２により実行されたグラフ解析測定に関連する１つ以上のエンリッチ化関数を含むことができる。一部の実装では、エンリッチ化関数は、ネットワーク１００の中の１つ以上のノードの特定のネットワーク・アクティビティ（例えばデータ・トラフィック／パケットの送信または受信）に関連する時間属性を各ログ・エントリに関してパースするために、抽出済みログ・エントリに対して適用される。さらに、パースされた時点における対応するグラフ解析測度を、ネットワーク・アクティビティに関連する送信元ノード／ＩＰアドレスおよび宛先ノード／ＩＰアドレスに関してエンリッチ化できる。一部の例では、上述のとおり、時間属性のエンリッチ化は、ログ・エントリの経過時間窓（ログ・エントリの過去２日間）に対して時間属性（ＥＳＴ午前１１時）をパースして経過時間窓にわたる特定のノードまたはパラメータに関するログ・エントリの内容を分析することを含むことができる。

グラフ分析／解析測度は、ＰａｇｅＲａｎｋ測度、媒介中心性測度、三角形数え上げ測度、あるいはその他、ログ・エントリに含まれるノードまたはパラメータの繰り返し起こる特性を分析するべく構成された１つ以上のグラフ解析測度のうちの少なくとも１つを含むことができる。コンピュータ・ネットワーク分析に関しては、グラフ解析測度を使用して、グラフ内で最も重要な頂点（例えばノード・アクティビティ／イベント）を識別する中心性の指標を検出することができる。応用として、コンピュータ・ネットワークの中で最もアクティブなノードを識別することを挙げることができる。例えばネットワーク１００では、グラフ解析測度を使用することで、閾値レベルのアクティビティを超えるネットワーク・アクティビティ（例えば閾値を上回る特定のファイル／リソースへのアクセス試行、閾値を上回るデータ・パケットの送信／受信など）に関与したユーザ１０２またはコンピューティング資産１０４（送信元／宛先ＩＰ）を識別または検出することができる。

データ・ストア２１０は、検索照会の機能性を含む時系列データ・ストアである。一部の実装では、データ・ストア２１０は、時系列データの記憶および取得のためのメカニズムを提供する非構造化照会言語（ＮｏＳＱＬ：ｎｏｎ−ｓｔｒｕｃｔｕｒｅｄ ｑｕｅｒｙ ｌａｎｇｕａｇｅ）データベースとすることができる。データ・ストア２１０は、ネットワーク１００の特定のノードに関連する時系列データを受信および記憶するよう構成される。図２に示されるとおり、データ・ストア２１０は、ＧＰＵ２１２から受信される時系列データを記憶することができる。一部の実装では、データは、ＧＰＵ２１２によって生成された１つ以上のグラフ・メトリック・セットに対してＧＰＵ２１２により実行される時系列処理に基づき発生する。時系列データを発生させるためにＧＰＵ２１２により使用される例示の時系列分析法としては、例えば、時系列回帰法、自己回帰法、管理図に基づく方法、マルコフ・ジャンプ法、またはその他、少なくとも部分的にＧＰＵ２１２によって実装可能な任意の時系列分析法を挙げることができる。

時系列データを生成する処理方法は複数ある。例えば、１つの方法は、ＨＤＦＳ２１４を使用して実装可能な従来型の時系列算定関数を使用することを伴う。図のように、時系列データを生成した後、次にＨＤＦＳ２１４は、生成されたデータを記憶および後続の分析のためにＮｏＳＱＬデータ・ストア２１０に提供することができる。時系列データを生成する別の方法は、例えば、抽出済みのログ・データをＧＰＵクラスタに提供し、計算／算定を実行して時系列データを生成し、次に、生成されたデータをＮｏＳＱＬデータ・ストア２１０に記憶することにより、ＧＰＵ２１２に固有の算定関数を利用することを含む。別の実装では、ＥＴＬ２０８によりログ・データに対して実行された算定に少なくとも部分的に基づいて時系列データを生成できる。したがって、データ・ストア２１０は、ＥＴＬ２０８の１つ以上の関数の適用後に生成されたコンピュータ・ネットワーク・イベントに関連するパラメータを含むログ・エントリを受信することができる。時系列分析法の適用は、時系列分析データを生成するプロセスとは異なる。故に、上述の時系列分析法を、データ・ストア２１０に記憶された時系列分析データに対して適用して、ネットワーク１００に対する悪意ある脅威を最終的に識別することができる。

一部の例では、時系列分析は、所与の期間の使用を有効化して、ネットワーク１００の特定のノードに関連する抽出済みログ・データ・エントリまたはグラフ・メトリックを発生順にさせる。時系列グラフは、時間の進行に伴う属性または変数の値の変化を含め、属性値を順序づけて表示するグラフィカル・データ・セットを含むことができる。値とベースラインまたは閾値とを比較するなど、多様な統計的検討を時系列データに対して実行できる。一部の例では、時系列グラフは、少なくとも２つのログ・データ・パラメータの分析に基づいて構築でき、時間／日付値は、少なくとも２つのパラメータのうちの少なくとも１つのパラメータである。日付／時間の増分がプロットされ、他のパラメータまたは変数に関連する値がその日付／時間増分に対してプロットされ得る。

したがって、或る特定のパラメータ値は、系列の中の特定の日付／時間に対応し、指定された時間範囲にわたってパラメータ値が分析されて、ベースラインまたは閾値に対する値の突然のまたは予期せぬ変動を検出することができる。値の突然のまたは予期せぬ変動は、ネットワーク１００の特定ノードの相対的重要度の増大に対応し得る。一部のノードは、そのノードの既知のイベント・プロファイルと比較して、そのノードらしくない、故に特異と思われる、上昇した重要度係数を示すかもしれない。特異な挙動を示すノード、またはそれらしくないネットワーク・アクティビティに関与したノードは、そのノードが、コンピュータ・ウイルスまたはマルウェアなどの悪意あるプログラム・コードにより侵害されまたはそれに感染したことの指標となり得る。

一部の実装では、デバイス１１２は、特定のノードが並外れて高い重要度係数を示すときに、生成される偽陽性指摘の数を削減するよう構成された偽陽性処理（ＦＰＨ：ｆａｌｓｅ ｐｏｓｉｔｉｖｅ ｈａｎｄｌｉｎｇ）機能性を含むことができる。デバイス１１２のＦＰＨ機能は、それらしくない高重要度係数を示しているように思われる特定のノードに適用されるホワイトリスト機能を有効化することを含むことができる。そのようなノードは、例えば一定期間中に実行される割り当てられたジョブに基づき相対的重要度の突然の変動を周期的に生成させる、「既知の優良ノード」として識別できる。例示の既知の優良ノードとしては、ネットワーク脆弱性スキャナ、電子メール・サーバ、ウェブ・リソース・サーバ、あるいはその他、特定の状況が原因で重要度係数の上昇を示すことが分かっている任意のコンピューティング資産１０４またはユーザ１０２（または他のデバイス）を挙げることができる。したがってＦＰＨ機能は、対応が必要なネットワーク・セキュリティ事例数を減少させ、したがってネットワーク管理者の作業負荷を削減するべく、一定の既知の優良ノードをホワイトリストに載せるために使用可能である。

図３は、１つ以上のグラフ解析メトリックと、ネットワーク１００に関連するデバイスから取得されたログ・データの少なくともサブセットに対して実行される時系列分析とに基づく、悪意ある脅威検出のための例示のプロセス３００のフローチャートを示す。プロセス３００は、ブロック３０２にて開始し、デバイス１１２によって、ネットワーク１００に関連するフィールドを含むログ・データをデータ・ストア１１８から受信することを含む。上述のとおり、フィールドは例えば、ノードおよび時間属性を含むことができる。ノードは例えば、第１コンピューティング資産または送信元ＩＰ、第２コンピューティング資産または宛先ＩＰ、送信元ユーザ、あるいは宛先ユーザのうちの１つを含むことができる。一部の実装では、フィールドは、ネットワーク１００外のコンピューティング資産、ユーザ、またはＩＰアドレスに対応してもよい。ブロック３０４にて、プロセス３００は、デバイス１１２のモジュール１２０が、ログ・データ・ストア１１８に含まれるログ・エントリから抽出された少なくとも１つのフィールドに部分的に基づいてネットワーク１００に関連するグラフィカル・モデルを構築する／発生させることを含む。ブロック３０４にて、プロセス３００は、デバイス１１２のモジュール１２０が、コンピュータ・ネットワーク・イベントに関連する対象の特徴を１つ以上含む特定のログ・エントリに対して、抽出、変換、またはロード関数のうちの少なくとも１つを（ＥＴＬ２０８を使用して）実行することをさらに含むことができる。ＥＴＬ２０８によって実行される様々な関数は、抽出されたログ・エントリをＨＤＦＳ２１４にロードさせる。

ブロック３０６にてプロセス３００は、デバイス１１２のモジュール１２０が、グラフィカル・モデルに関連するグラフ時系列特徴を生成することを含み、この特徴はネットワーク１００のノードにも関連する。上述のとおり、一部の実装では、この特徴は、グラフ解析モデルから求められた重要度測度とすることができる。一方、他の実装では、この特徴は、ノードがネットワーク１０２内での、またはネットワーク１００外のコンピューティング資産とのネットワーク・アクティビティに関与する回数のような個々のメトリックとすることができる。一部の実装では、ＧＰＵ２１２は、抽出された１つ以上のログ・エントリをＨＤＦＳ２１４から受信し、１つ以上のグラフ解析測度を適用して、時系列データ・ストア２１０に記憶するグラフ・メトリックの初期セットを発生させる。ブロック３０６にて、プロセス３００は、ＧＰＵ２１２が、経過時間窓に部分的に基づいてグラフ・メトリックの後続セットを少なくとも１つ発生させるようにポイント・イン・タイム・パーティショニングを実行することをさらに含むことができる。ブロック３０８にてプロセス３００は、識別された時系列特徴に対してモジュール１２０が時系列分析を実行することを含む。一部の実装では、この特徴は、以前の挙動（例えばベースライン・アクティビティ・プロファイルもしくは傾向データ）またはＧＰＵ２１２により生成されたグラフ解析特徴により示される重要度係数に基づいて分析される。

分析の後で、他の時系列特徴に、その特徴の値に関連する寄与因子に部分的に基づいて、最終的な時系列解析モデルのための潜在的な候補としてフラグが立てられ得る。一部の実装では、例えば或るパラメータ（例えばログイン試行、インバウンド／アウトバウンド・データ・パケットの数量）の予測値が閾値を超えることに基づいて、そのパラメータに、候補としてフラグが立てられ得る。パラメータはさらに、パラメータが特異なまたは異例のネットワーク・イベントに関連していることに基づいて、２値特徴としてフラグを立てられ得る。例示の特異なまたは異例のイベントとしては、非公開のファイルまたはサブ・ネットワークにユーザ１０２がアクセス試行すること、あるいは悪意あるプログラム・コード（例えばマルウェア、コンピュータ・ウイルス）に侵害または感染されたネットワーク・ノードへの接続をコンピューティング資産１０４が有することを挙げることができる。

ブロック３１０にてプロセス３００は、識別されたパラメータに関して作成された時系列モデルに基づき、ネットワーク１００に関連する異常なイベントまたはネットワーク１００に関連する悪意あるイベント／脅威のうちの少なくとも１つを判定または検出する。一部の実装では、識別された特徴の時系列分析は、特定ノードの相対的重要度係数か、または或るノードに関連する識別された特徴（および特徴の値）かに生じた、突然の予期せぬ変動を検出できるようにする。ネットワーク・セキュリティの文脈では、悪意あるイベントまたは脅威とは、通常はネットワーク所有者の認識も許可もないままに、機密情報またはデータに対して、破損、破壊、アクセス拒否、スパイ、または盗取などの有害なまたは望まれない影響を生じさせる目的で、不正なユーザおよび／またはコンピュータ・プログラム（例えばマルウェア、ウイルス、スパイウェア、またはボットネット）が、ネットワーク１００に権限なしにアクセスすることの発生、またはその可能性と説明することができる。

本主題の実施形態、および本明細書に記載された機能動作は、デジタル電子回路において、または有形に具現化されたコンピュータ・ソフトウェアもしくはファームウェアにおいて、または本明細書で開示された構造およびその構造上の等価物を含むコンピュータ・ハードウェアにおいて、またはそのうちの１つ以上の組み合わせにおいて実装できる。本明細書に記載された主題の実施形態は、１つ以上のコンピュータ・プログラム、すなわちデータ処理装置により実行されるよう、またはデータ処理装置の動作を制御するよう、有形の非一時的プログラム保持体上にコードされたコンピュータ・プログラム命令の１つ以上のモジュールなどとして実装できる。あるいは、またはさらに、プログラム命令は、例えば機械により生成された電気、光、または電磁信号などの人工的に生成される伝播信号上にコードでき、該信号は、データ処理装置による実行のために適切な受信器装置に送信するべく情報をコードするために生成される。コンピュータ・ストレージ媒体は、機械可読ストレージ・デバイス、機械可読ストレージ基板、ランダムもしくは逐次アクセス・メモリ・デバイス、またはその１つ以上の組み合わせとすることができる。

コンピュータ・プログラム（プログラム、ソフトウェア、ソフトウェア・アプリケーション、モジュール、ソフトウェア・モジュール、スクリプト、またはコードと呼ばれることも記載されることもある）は、コンパイル型もしくはインタープリタ型言語、または宣言型もしくは手続き型言語を含む任意の形式のプログラミング言語で書くことができ、スタンドアロン・プログラムとして、またはモジュール、コンポーネント、サブルーチン、あるいはコンピューティング環境用に適した他のユニットとしてを含め、任意の形態で展開できる。コンピュータ・プログラムは、ファイル・システムの中のファイルに対応することもあるが、必須ではない。プログラムは、例えばマークアップ言語ドキュメントに格納される１つ以上のスクリプトなど、他のプログラムまたはデータを保持するファイルの一部、対象のプログラム専用の単一ファイル、あるいは例えば１つ以上のモジュール、サブプログラム、またはコードの一部を格納する複数ファイルなどの複数の連携ファイルに格納可能である。コンピュータ・プログラムは、１つのコンピュータ上、または１つの場所に位置するかもしくは複数の場所に分散し通信ネットワークにより相互接続された複数のコンピュータ上で実行されるよう展開可能である。

本明細書に記載されたプロセスおよび論理フローは、入力データに作用し出力を生成することにより機能を実行する１つ以上のコンピュータ・プログラムを実行する１つ以上のプログラマブル・コンピュータにより実行できる。プロセスおよび論理フローはさらに、例えばＦＰＧＡ（ｆｉｅｌｄ ｐｒｏｇｒａｍｍａｂｌｅ ｇａｔｅ ａｒｒａｙ：フィールド・プログラマブル・ゲート・アレイ）、ＡＳＩＣ（特定用途向け集積回路）、またはＧＰＵ（汎用グラフィックス処理ユニット）などの専用論理回路により実行可能であり、装置はさらに、該専用論理回路として実装可能である。

コンピュータ・プログラムを実行するのに適したコンピュータは、例として、汎用もしくは専用マイクロプロセッサまたはその両方、あるいはその他任意の種類の中央処理ユニットに基づくことができる。一般に、中央処理ユニットは、読み取り専用メモリまたはランダム・アクセス・メモリまたは両方から命令およびデータを受信する。コンピュータの必須要素は、命令を実施または実行する中央処理ユニット、ならびに命令およびデータを記憶する１つ以上のメモリ・デバイスである。一般に、コンピュータはさらに、例えば磁気、光磁気ディスク、もしくは光ディスクなど、データを記憶する１つ以上の大容量ストレージ・デバイスを含むか、またはそれからデータを受信するよう、もしくはそれにデータを転送するよう動作上結合されるか、またはその両方である。なお、コンピュータはそのようなデバイスを有しなくてもよい。さらにコンピュータは、ごく少数の例を挙げると、モバイル電話、携帯情報端末（ＰＤＡ：ｐｅｒｓｏｎａｌ ｄｉｇｉｔａｌ ａｓｓｉｓｔａｎｔ）、モバイル・オーディオまたはビデオ・プレーヤ、ゲーム機、全地球測位システム（ＧＰＳ：Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）受信器、または例えばユニバーサル・シリアル・バス（ＵＳＢ：ｕｎｉｖｅｒｓａｌ ｓｅｒｉａｌ ｂｕｓ）フラッシュ・ドライブなどのポータブル・ストレージ・デバイスなど、別のデバイスに組み込むことができる。

コンピュータ・プログラム命令およびデータを記憶するのに適したコンピュータ可読媒体は、あらゆる形式の不揮発性メモリ、媒体、およびメモリ・デバイスを含み、例として、例えばＥＰＲＯＭ、ＥＥＰＲＯＭ、およびフラッシュ・メモリ・デバイスなどの半導体メモリ・デバイス、例えば内蔵ハード・ディスクまたはリムーバブル・ディスクなどの磁気ディスク、光磁気ディスク、ならびにＣＤ ＲＯＭおよびＤＶＤ−ＲＯＭディスクなどが含まれる。プロセッサおよびメモリは、専用論理回路により補完されること、またはそれに組み込まれることが可能である。

ユーザとのやり取りを提供するために、本明細書に記載されている主題の実施形態は、ユーザに情報を表示するための、例えばＣＲＴ（ｃａｔｈｏｄｅ ｒａｙ ｔｕｂｅ：陰極線管）またはＬＣＤ（ｌｉｑｕｉｄ ｃｒｙｓｔａｌ ｄｉｓｐｌａｙ：液晶ディスプレイ）モニタなどのディスプレイ・デバイス、ならびにユーザが入力をコンピュータに提供することができるキーボードおよび、例えばマウス、またはトラックボールなどのポインティング・デバイスを有するコンピュータ上に実装できる。他の種類のデバイスを、同じくユーザとのやり取りを提供するために使用可能である。例えば、ユーザに提供されるフィードバックは、例えば視覚フィードバック、聴覚フィードバック、または触覚フィードバックなど、任意の形式の感覚フィードバックとすることができ、ユーザからの入力は、音響、スピーチ、または触覚入力を含め、任意の形式で受信可能である。さらに、コンピュータは、例えばウェブ・ブラウザから受信されたリクエストに応答してウェブ・ページをユーザのクライアント・デバイス上のウェブ・ブラウザへ送信するなど、ユーザにより使用されるデバイスにドキュメントを送信し該デバイスからドキュメントを受信することで、ユーザとやり取りできる。

本明細書に記載されている主題の実施形態は、例えばデータ・サーバとしてなど、バックエンド・コンポーネントを含むコンピューティング・システム、または、例えばアプリケーション・サーバなど、ミドルウェア・コンポーネントを含むコンピューティング・システム、または、例えば本明細書に記載されている主題の実装とのやり取りをユーザがすることができるグラフィカル・ユーザ・インターフェースもしくはウェブ・ブラウザを有するクライアント・コンピュータなど、フロント・エンド・コンポーネントを含むコンピューティング・システム、またはそのようなバックエンド、ミドルウェア、もしくはフロント・エンド・コンポーネントの１つ以上の任意の組み合わせにおいて実装できる。システムのコンポーネントは、例えば通信ネットワークなど、任意の形態または媒体のデジタル・データ通信により相互接続可能である。通信ネットワークの例としては、ローカル・エリア・ネットワーク（「ＬＡＮ（ｌｏｃａｌ ａｒｅａ ｎｅｔｗｏｒｋ）」）、および例えばインターネットなどのワイド・エリア・ネットワーク（「ＷＡＮ（ｗｉｄｅ ａｒｅａ ｎｅｔｗｏｒｋ）」）が挙げられる。

コンピューティング・システムは、クライアントおよびサーバを含むことができる。クライアントとサーバとは、一般に、互いに遠隔にあり、典型的には通信ネットワークを介してやり取りする。クライアントとサーバとの関係は、各コンピュータ上で実行され互いにクライアント−サーバ関係を有するコンピュータ・プログラムにより生じる。

本明細書は具体的な実装の詳細を多数含むが、これらは、任意の発明の範囲または特許請求の範囲に対する制限として解釈されるべきではなく、むしろ特定の発明の特定の実施形態に特有であり得る特徴の記載として解釈されるべきである。別々の実施形態との関連で本明細書に記載されている特定の特徴は、単一の実施形態において組み合わせて実装されることも可能である。逆に、単一の実施形態との関連で記載されている様々な特徴が、複数の実施形態で別々に、または任意の適切な一部組み合わせで実装されることも可能である。さらに、各特徴は、特定の組み合わせで動作するよう上記に記載されることもあり、当初そのように請求されることさえもあるが、場合によっては、請求される組み合わせの１つ以上の特徴が、その組み合わせから削除されることが可能であり、請求される組み合わせは、一部組み合わせまたは一部組み合わせの変形物を対象とし得る。

同じく、各動作は特定の順序で図面に表されているが、これは、所望の結果を達成するために、当該の動作が示されている特定の順序もしくは順番で実行されること、または示されているすべての動作が実行されることを要求するものと理解されてはならない。特定の状況では、マルチタスクおよび並列処理が有利なこともある。さらに、上述の実施形態における様々なシステム・モジュールおよびコンポーネントの分離は、すべての実施形態においてそのような分離を要求するものと理解されてはならず、当然のことながら、記載されているプログラム・コンポーネントおよびシステムは、一般に、単一ソフトウェア製品に統合されること、または複数のソフトウェア製品にパッケージ化されることが可能である。

本主題の特定の実施形態が記載された。他の実施形態は、添付の特許請求の範囲に記載の範囲内にある。例えば、特許請求の範囲に列挙されたアクションは、異なる順序で実行でき、それでも所望の結果を達成し得る。一例として、添付の図面に表したプロセスは、所望の結果を達成するために、必ずしも示された特定の順序または順番を要求するものではない。特定の実装では、マルチタスクおよび並列処理が有利なこともある。

１０２ ユーザ
１０４ａ、１０４ｂ、１０４ｃ コンピューティング資産
１０６ ネットワーク保護ツール（ファイアウォール、ＩＤＳ、プロキシ・ログなど）
１０８ インターネット
１１０ セキュリティ情報／イベント・マネージャ（ＳＩＥＭ）
１１２ データ分析デバイス
１１４ 処理ユニット
１１８ データ・ストア
１２２ａ、１２２ｂ データ通信パス
１２０ グラフ解析＆時系列モジュール

Claims (20)

1. データ分析デバイスによって、複数のログ・データ・エントリを備えるデータ・ファイルを受信するステップであって、前記ログ・データ・エントリは、コンピューティング・ネットワークにおけるコンピュータ・ネットワーク・イベントに関連するパラメータを含む、前記受信するステップと、
   前記ログ・データ・エントリに含まれた少なくとも１つのパラメータに基づいて、前記データ分析デバイスによって、前記コンピューティング・ネットワークのグラフィカル・モデルを発生させるステップと、
   前記グラフィカル・モデルに関連するパラメータを前記データ分析デバイスによって識別するステップであって、前記パラメータは、前記コンピューティング・ネットワークのノードにも関連する、前記識別するステップと、
   前記データ分析デバイスによって、前記パラメータに対して時系列分析を実行するステップと、
   前記コンピューティング・ネットワークに関連する異常なイベントまたは前記コンピューティング・ネットワークに関連する悪意あるイベントのうちの少なくとも１つを、前記パラメータに対する前記時系列分析に基づいて判断するステップと、
   を含む、コンピュータに実装された方法。
2. 前記コンピューティング・ネットワークの前記グラフィカル・モデルを発生させるステップは、グラフ解析（ＧＡ）メトリックの第１セットを発生させるために、前記データ分析デバイスのプロセッサによって、１つ以上のＧＡ測度を使用してログ・データ・エントリを分析することを含む、請求項１に記載の方法。
3. 前記ＧＡ測度は、ＰａｇｅＲａｎｋ測度、媒介中心性測度、三角形数え上げ測度、または、前記少なくとも１つのパラメータの繰り返し起こる特性を分析するべく構成された１つ以上のグラフ解析測度のうちの少なくとも１つを含む、請求項２に記載の方法。
4. 前記方法は、
   前記データ分析デバイスによって、周期的なログ・データ更新の更新毎に前記グラフィカル・モデルに関連するログ・データ・エントリの経過時間窓を受信して前記経過時間窓を前記データ分析デバイスのデータ・ストレージ・ユニットに記憶することにより、ポイント・イン・タイム・パーティショニングを含む前記周期的なログ・データ更新を実行するステップ
   をさらに含む、請求項２に記載の方法。
5. 前記方法は、ＧＡメトリックの後続セットを発生させるために、前記プロセッサによって、前記グラフィカル・モデルに関連するログ・データ・エントリの前記経過時間窓を分析するステップをさらに含み、前記ＧＡメトリックの第１セットおよびＧＡメトリックの後続セットはそれぞれ、時系列分析を実行される少なくとも１つのパラメータを備える、請求項４に記載の方法。
6. 前記データの前記グラフィカル・モデルを隣接行列および圧縮疎行列のうちの少なくとも１つとして前記データ・ストレージ・ユニットに記憶するステップをさらに含む、請求項４に記載の方法。
7. 前記パラメータに対して時系列分析を実行するステップは、前記コンピューティング・ネットワークの前記ノードの属性における所定閾値を超える変化を検出するために、前記データ分析デバイスによって前記ノードを分析することを含み、前記変化は、第１期間と、前記第１期間よりも時間的に遅い第２期間との間に生じる、請求項１に記載の方法。
8. 前記方法は、
   前記データ分析デバイスによって、前記コンピュータ・ネットワーク・イベントに関連する前記パラメータを抽出し、前記データ分析デバイスのデータ・ストレージ・ユニットにロードされる少なくとも１つのパラメータを準備するステップ、
   をさらに含み、
   抽出および準備は、前記データ分析デバイスのプロセッサが、前記データ・ストレージ・ユニットに記憶された命令を実行するのに応答して生じ、前記命令は、抽出、変換、ロード（ＥＴＬ）データ処理関数を備える、
   請求項１に記載の方法。
9. 前記ログ・データ・エントリに含まれる前記コンピュータ・ネットワーク・イベントに関連する前記パラメータは、ネットワーク・イベント・タイプ、送信元識別子、または宛先識別子のうちの少なくとも１つを備え、前記ノードは、コンピューティング資産またはコンピューティング資産のユーザのうちの１つを備える、請求項１に記載の方法。
10. 前記時系列分析を実行するステップは、グラフィックス処理ユニット（ＧＰＵ）、中央処理ユニット（ＣＰＵ）、特定用途向け集積回路、またはプログラマブル論理デバイスのうちの１つを使用して前記時系列分析の少なくとも一部を実行すること含む、請求項１に記載の方法。
11. １つ以上の処理デバイスと、
    動作を実行するために前記１つ以上の処理デバイスにより実行可能な命令を記憶する１つ以上の機械可読ストレージ・デバイスと、
    を備える電子システムであって、前記動作は、
    複数のログ・データ・エントリを備えるデータ・ファイルを受信することであって、前記ログ・データ・エントリは、コンピューティング・ネットワークにおけるコンピュータ・ネットワーク・イベントに関連するパラメータを含む、前記受信することと、
    前記ログ・データ・エントリに含まれた少なくとも１つのパラメータに基づいて、前記コンピューティング・ネットワークのグラフィカル・モデルを発生させることと、
    前記グラフィカル・モデルに関連するパラメータを識別することであって、前記パラメータは、前記コンピューティング・ネットワークのノードにも関連する、前記識別することと、
    前記パラメータに対して時系列分析を実行することと、
    前記コンピューティング・ネットワークに関連する異常なイベントまたは前記コンピューティング・ネットワークに関連する悪意あるイベントのうちの少なくとも１つを、前記パラメータに対する前記時系列分析に基づいて判断することと、
    を含む、電子システム。
12. 前記コンピューティング・ネットワークの前記グラフィカル・モデルを発生させることは、グラフ解析（ＧＡ）メトリックの第１セットを発生させるために、前記電子システムのグラフィックス・プロセッサによって、１つ以上のＧＡ測度を使用してログ・データ・エントリを分析することを含む、請求項１１に記載の電子システム。
13. 前記ＧＡ測度は、ＰａｇｅＲａｎｋ測度、媒介中心性測度、三角形数え上げ測度、または、前記少なくとも１つのパラメータの繰り返し起こる特性を分析するべく構成された１つ以上のグラフ解析測度のうちの少なくとも１つを含む、請求項１２に記載の電子システム。
14. 前記電子システムにより実行される動作は、周期的なログ・データ更新の更新毎に前記グラフィカル・モデルに関連するログ・データ・エントリの経過時間窓を受信してログ・データ・エントリの前記経過時間窓を前記電子システムのストレージ・デバイスに記憶することにより、ポイント・イン・タイム・パーティショニングを含む前記周期的なログ・データ更新を実行することをさらに含む、請求項１２に記載の電子システム。
15. 前記電子システムにより実行される動作は、ＧＡメトリックの後続セットを発生させるために、前記グラフィカル・モデルに関連するログ・データ・エントリの前記経過時間窓を前記グラフィックス・プロセッサによって分析することをさらに含み、前記ＧＡメトリックの第１セットおよびＧＡメトリックの後続セットはそれぞれ、時系列分析を実行される少なくとも１つのパラメータを備える、請求項１４に記載の電子システム。
16. 前記電子システムによって実行される動作は、前記コンピュータ・ネットワーク・イベントに関連する前記パラメータを抽出して、前記電子システムのストレージ・デバイスにロードされる少なくとも１つのパラメータを準備することをさらに含み、
    抽出および準備は、データ分析デバイスのプロセッサがデータ・ストレージ・ユニットに記憶されている命令を実行するのに応答して生じ、前記命令は、抽出、変換、ロード（ＥＴＬ）データ処理関数を備える、請求項１１に記載の電子システム。
17. 前記パラメータに対して時系列分析を実行することは、前記コンピューティング・ネットワークの前記ノードの属性における所定閾値を超える変化を検出するために、前記ノードを、前記電子システムのグラフィックス・プロセッサによって分析することを含み、前記変化は、第１期間と、前記第１期間よりも時間的に遅い第２期間との間に生じる、請求項１１に記載の電子システム。
18. 前記時系列分析は、時系列回帰法、自己回帰法、管理図に基づく方法、またはマルコフ・ジャンプ法のうちの少なくとも１つを含む、請求項１１に記載の電子システム。
19. データ分析デバイスに配置されコンピュータ・プログラムでコードされた非一時的コンピュータ・ストレージ・ユニットであって、前記プログラムは、１つ以上の処理ユニットにより実行されると前記１つ以上の処理ユニットに動作を実行させる命令を備え、前記動作は、
    複数のログ・データ・エントリを備えるデータ・ファイルを受信することであって、前記ログ・データ・エントリは、コンピューティング・ネットワークにおけるコンピュータ・ネットワーク・イベントに関連するパラメータを含む、前記受信することと、
    前記ログ・データ・エントリに含まれた少なくとも１つのパラメータに基づいて、前記コンピューティング・ネットワークのグラフィカル・モデルを発生させることと、
    前記グラフィカル・モデルに関連するパラメータを識別することであって、前記パラメータは、前記コンピューティング・ネットワークのノードにも関連する、前記識別することと、
    前記パラメータに対して時系列分析を実行することと、
    前記コンピューティング・ネットワークに関連する異常なイベントまたは前記コンピューティング・ネットワークに関連する悪意あるイベントのうちの少なくとも１つを、前記パラメータに対する前記時系列分析に基づいて判断することと、
    を含む、非一時的コンピュータ・ストレージ・ユニット。
20. 前記コンピューティング・ネットワークの前記グラフィカル・モデルを発生させることは、グラフ解析（ＧＡ）メトリックの第１セットを発生させるために、前記データ分析デバイスの処理ユニットによって、１つ以上のＧＡ測度を使用してログ・データ・エントリを分析することを含む、請求項１９に記載の非一時的コンピュータ・ストレージ・ユニット。

Images