JP2019067398A - 電子メッセージベースのセキュリティ脅威の自動軽減 - Google Patents

Abstract

【課題】電子メールフィッシング攻撃の脅威の検出と封じ込めを自動化する。【解決手段】セキュリティ判定ポイント装置は、管理対象ネットワークを経由してメッセージを受信し、メッセージを解析して１つ以上のセキュリティ脅威のネットワークアドレス、ハイパーリンク、又は添付ファイルの表示の少なくとも１つを含む観測可能な指標を識別し、観測可能な指標に対してセキュリティ脅威データベースを遠隔で照会し、セキュリティ脅威データベースから観測可能な指標が特定のセキュリティ脅威に関連付けられているという表示を受信し、セキュリティ実施ポイント装置に特定のセキュリティ脅威が軽減されるようにその関連付けられているセキュリティポリシーを更新するコマンドを送信する。【選択図】図８

Description

電子メールフィッシング攻撃は、コンピュータ装置へのマルウェアの導入と同じく、機密性の高い個人情報の不正な取得のための最も一般的な方向の１つとなっている。フィッシング攻撃をうまく検出することは、困難な場合がある。それは、特に電子メールスパムとフィッシングの間の境界が非常にわずかであることがあるためである。新しいフィッシングの脅威が定期的に発生し進化しているため、電子メールサービスのユーザに対して、フィッシング攻撃を含む電子メールを受信した可能性があると判断した場合に適切に対応するように、教育することは困難である。従って、これらの脅威の検出と封じ込めを自動化するための措置を講じることは有益である。

フィッシング攻撃は、通常、多数のユーザに送信される電子メールメッセージの形式をとる。このような電子メールメッセージは、ユーザが特定の行為を実行するように求めるテキスト又はイメージが含む場合がある。この行為は、ユニフォームリソースローケイタ（ＵＲＬ）などのハイパーリンクを参照している場合がある。そのハイパーリンクは、実際のウェブサイトの外観を模倣しユーザが機密性の高い個人情報（例えば、ユーザＩＤ群やパスワード群）を入力することを推奨する、偽造のウェブサイトに誘導する場合がある。或いは又は更に、その行為は、ユーザが電子メールメッセージに含まれている添付ファイルをダウンロードすることである可能性がある。その添付ファイルは、アクティブ化されたときにユーザのコンピューティング装置にマルウェアをインストールする実行形式が含まれる場合がある。

精密な手法が使用されているかにかかわらず、フィッシング攻撃の影響は個人や企業にとって壊滅的なものになる。潜在的な財務上の損失に加えて、フィッシング攻撃の範囲を判定し、感染した装置を識別し、脅威の封じ込めと根絶に、数百人又は何千人もの人の時間が費やされることがある。従って、フィッシング攻撃の検出と応答を改善するために使用できる手法は、有益である。

特に、企業やその他の組織では、ユーザがセキュリティ専門家に対してフィッシング攻撃の疑いを報告することが推奨される。例えば、受信した電子メールメッセージがフィッシング攻撃であるとユーザが怪しむ場合がある。ユーザは、電子メールメッセージを事前に確立されたメールボックスに転送できる。セキュリティ専門家たちは、このメールボックス内の電子メールメッセージを確認して、怪しまれたフィッシング攻撃が実際の脅威であるかどうかを判断できる。この場合、セキュリティ専門家は攻撃の範囲を評価することができる。これは、何人の他のユーザが同じ又は類似のフィッシング攻撃を受けたか、これらのユーザのいずれかがフィッシング攻撃に関連付けられた行為のいずれかを取ったかどうかを立証することと、これらの行為の影響を評価することと、セキュリティの実施ポイント（例えば、エンドポイントの装置上で動作しているファイアウォール、電子メールサーバ、侵入検知システム、侵入防止システム、マルウェア対策アプリケーション）においてセキュリティポリシーを更新してフィッシング攻撃の影響を軽減又は根絶することを含むことができる。

このプロセスは、経験豊かなセキュリティ専門家でも、数時間又は数日かかることがある。そのような期間中において、その攻撃は、未チェックのまま広がり、数十、数百、又は数千の装置の適切な機能を妨害する可能性がある。疑いもなく、これらの脅威の検出、封じ込め、及び根絶の期間を短縮する技術的なソリューションは、歓迎され、おそらく目に見えない攻撃から前もって保護するために必要である。

本実施形態は、管理対象ネットワークにおいてフィッシング攻撃がどのように検出され、評価され、及び軽減されるかというための、技術的な改善を提供する。起こりうるフィッシング攻撃が検出されると（例えば、ユーザにより報告されたり自動的に検出されたりすると）、疑わしい電子メールメッセージのコピーが電子メールアカウント又は別の宛先に送信される。ひとたび受信されると、疑わしい電子メールメッセージはフィッシングの観測可能な指標がないかスキャンされる。これらは、上記疑わしい電子メールのヘッダ内における特定のパターンや不整合、上記疑わしい電子メールメッセージの本文内における特定のＵＲＬへのリンク、上記疑わしいメールに含まれる特定の添付ファイルなどが含まれる場合がある。観測可能な指標がフィッシング攻撃に関連付けられていると判断された場合、同じ又は類似した観測可能な指標を有するその後の電子メールメッセージがユーザの電子メールの受信トレイに届かないように、更新されたセキュリティポリシーが管理対象ネットワーク内の１つ以上のセキュリティ実施ポイントに提供されるようにすることができる。観測可能な指標がフィッシング攻撃に関連付けられていないと判断された場合、管理対象ネットワーク上の電子メールスパムフィルタに更新されたポリシーが提供されるようにすることができる。この方法では、その後のスパムメールは、ユーザの電子メールの受信トレイに配信される可能性が低くなる。このように、これらの実施形態はまた、セキュリティ要員のための「雑音」を削減し、彼らのリソースを実際のそして差し迫った脅威に集中するのに役立つ。

従って、第１の例示的実施形態は、管理対象ネットワーク内に配置されたセキュリティ実施ポイント装置を含むことができる。このセキュリティ実施ポイント装置は、セキュリティポリシーを適用して、管理対象ネットワーク上のコンピューティング装置をセキュリティ脅威から保護する。第１の例示的実施形態はまた、リモートネットワーク管理プラットフォームのコンピュータのインスタンス内に配置されたセキュリティ判定ポイント装置を含むこともできる。ここで、上記コンピュータのインスタンスは上記管理対象ネットワークを受け持つ。セキュリティ判定ポイント装置はまた、次のように構成することもできる。上記装置は、上記管理対象ネットワークを経由してメッセージを受信するように構成できる。そのメッセージは、上記コンピューティング装置中の特定のコンピューティング装置によって取得されたものである。上記装置は、上記メッセージを解析して、１つ以上のセキュリティ脅威の観測可能な指標を識別するように構成できる。その観測可能な指標は、ネットワークアドレス、ハイパーリンク、又は添付ファイルの表示の少なくとも１つを含む。上記装置は、観測可能な指標に対してセキュリティ脅威データベースを遠隔で照会するように構成できる。上記装置は、上記セキュリティ脅威データベースから、上記観測可能な指標が特定のセキュリティ脅威に関連付けられているという表示を受信するように構成できる。そして、上記装置は、セキュリティ実施ポイント装置に、上記特定のセキュリティ脅威が軽減されるように、その関連付けられているセキュリティポリシーを更新するコマンドを送信するように構成できる。上記コマンドの受信は、上記セキュリティ実施ポイント装置に対して上記更新されたセキュリティポリシーに従って動作を変更させる。

第２の例示的実施形態は、リモートネットワーク管理プラットフォームのコンピュータのインスタンス内に配置されたセキュリティ判定ポイント装置において、管理対象ネットワークを介してメッセージを受信することを含むことができる。上記メッセージは、上記管理対象ネットワーク内に配置された特定のコンピューティング装置によって取得される。そして、上記コンピュータのインスタンスは上記管理対象ネットワークを受け持つ。第２の例示的実施形態はまた、上記セキュリティ判定ポイント装置によって、上記メッセージを解析して、１つ以上の上記セキュリティ脅威の観測可能な指標を識別することを含むことができる。上記観測可能な指標は、ネットワークアドレス、ハイパーリンク、又は添付ファイルの表示の少なくとも１つを含む。第２の例示的実施形態はまた、上記セキュリティ判定ポイント装置によって、上記観測可能な指標に対してセキュリティ脅威データベースを遠隔で照会することを含むことができる。第２の例示的実施形態はまた、上記セキュリティ判定ポイント装置によって、上記セキュリティ脅威データベースから、上記観測可能な指標が特定のセキュリティ脅威に関連付けられているという表示を受信することを含むことができる。第２の例示的実施形態はまた、上記セキュリティ実施ポイント装置によって、上記管理対象ネットワーク内に配置されているセキュリティ実施ポイント装置に、上記特定のセキュリティ脅威が軽減されるように、上記セキュリティ実施ポイント装置のセキュリティポリシーを更新するコマンドを送信することを含むことができる。上記コマンドの受信は、上記セキュリティ実施ポイント装置に対して上記更新されたセキュリティポリシーに従って動作を変更させる。

第３の例示的実施形態において、製造物品は、その上にプログラム命令を記憶した非一過性のコンピュータ読取り可能な媒体を含むことができ、上記媒体上に保存されたプログラム命令は、コンピューティングシステムによって実行されたときに、そのコンピューティングシステムに対して、上記第１及び／又は第２の例示的実施形態に基づく動作を実行させることができる。

第４の例示的実施形態において、コンピューティングシステムは、少なくとも１つのプロセッサ、並びにメモリ及びプログラム命令を含めることができる。プログラム命令は、上記メモリに記憶されるようにすることができ、そして、少なくとも上記１つのプロセッサによって実行されるときに、上記コンピューティングシステムに対して、上記第１及び／又は第２の例示的実施形態に従う動作を実行させることができる。

第５の例示的実施形態において、システムは、上記第１及び／又は第２の例示的実施形態の動作のそれぞれを実行するための様々な手段を含むことができる。

これらの並びに他の実施形態、態様、優位性、及び代替は、必要に応じて添付図面を参照しながら以下の詳細な説明を読むことによって、当業者に明らかになる。また、本明細書に記載されているこのサマリー及びその他の説明及び図は実施形態を例示するものにすぎず、そういうものとして、多数の変形が可能である。例えば、構造的な要素と処理ステップは、再配置、結合、分散、除去、又はその他の変更を行うことができ、クレームされた実施形態の範囲内に残る。

例示的実施形態による、コンピューティング装置の概略図を示している。 例示的実施形態による、サーバ装置クラスタの概略図面を示している。 例示的実施形態による、リモートネットワーク管理アーキテクチャを描いている。 例示的実施形態による、リモートネットワーク管理アーキテクチャを含む通信環境を描いている。 例示的実施形態による、リモートネットワーク管理アーキテクチャを含む別の通信環境を描いている。 例示的実施形態による、フローチャートである。 例示的実施形態による、電子メッセージ及びヘッダの実施例である。 例示的実施形態による、電子メッセージ及びヘッダの別の実施例である。 例示的実施形態による、セキュリティ脅威の検出と軽減のためのネットワークアーキテクチャである。 例示的実施形態による、メッセージフロー図である。 例示的実施形態による、フローチャートである。

方法、装置、及びシステムの実施例について、ここに説明する。「例」及び「例示的な」という語は、ここでは「例、事例、又は図として提供する」という意味で用いられる。「例」又は「例示的な」としてここで説明する任意の実施形態又は機能は、そのように記載されていないとしても、必ずしも他の実施形態又は機能よりも好ましい又は有利と解釈される必要はない。従って、ここで与えられている手段の範囲から逸脱することなく、他の実施形態を利用することができ、他の変更を加えることができる。

従って、ここで説明する例示的実施形態は、限定されるものではない。本開示の態様としては、ここで一般的に説明され図中に例示されているように、配置され、置換され、結合され、分離され、及び多種多様な異なる構成で設計され得ることが容易に理解される。例えば、「クライアント」及び「サーバ」要素への機能の分離は、多くの方法において発生する可能性がある。

更に、文脈がそれ以外を示唆しない限り、各図に例示される特徴は互いに組み合わせて使用することができる。このように、各実施形態についてすべては図示していない特徴が必要であることを理解して、図は一般的に１つ以上の全体の実施形態の構成要素として見られるべきである。

更に、本明細書又はクレームにおける要素、ブロック、又はステップの列挙は、わかりやすくするためのものである。従って、このような列挙は、これらの要素、ブロック、又はステップが、特定の配置に従うか又は特定の順序で実行されることを要求又は暗示するように解釈されるべきではない。

＜Ｉ．序説＞
大企業は、多くの相互運用を伴う複雑なエンティティである。これらのいくつかは、人事（ＨＲ）、サプライチェーン、情報技術（ＩＴ）、ファイナンスなど、企業全体にわたって見つかる。しかし、各企業はまた、本質的な機能を提供し、及び／又は競争上の優位性を生成する独自の経営を持っている。

広く実施される運営をサポートするために、企業は通常、カスタマリレーションシップマネジメント（ＣＲＭ）や人的資本管理（ＨＣＭ）パッケージなどの、既製のソフトウェアアプリケーションを使用する。しかしながら、独自の要件を満たすためにカスタムソフトウェアアプリケーションが必要になる場合もある。大企業は、多くの場合、数十又は数百のこれらのカスタムソフトウェアアプリケーションを持っている。それにもかかわらず、ここでの実施形態によって提供される利点は、大企業に限定されず、企業、又は任意のサイズの組織の任意の他のタイプに適用されるようにすることができる。

そのようなソフトウェアアプリケーションの多くは、企業内の個々の部門によって開発される。これらは、単純なスプレッドシートからカスタムビルドのソフトウェアツールやデータベースまでの範囲にわたる。しかし、孤立カスタムソフトウェアアプリケーションの急増には多くの欠点がある。それは、企業がそのビジネスを運営及び成長させ、革新し、規制要件を満たす能力に悪影響を及ぼす。企業は、サブシステムとデータを統一する単一のシステムがないために、統合、合理化、運用の強化が困難であることを見出す可能性がある。

カスタムアプリケーションを効率的に生成するために、企業は、不必要な開発の複雑さを排除するリモートホストアプリケーションプラットフォームの恩恵を受けることができる。このようなプラットフォームの目標は、ソフトウェアエンジニアや他の役の個人が、ユニークで価値の高い機能の開発に専念できるように、時間のかかる、反復されるアプリケーション開発タスクを削減することであろう。

この目標を達成するために、サービスとしてのアプリケーションプラットフォームの概念（ａＰａａＳ）が導入され、企業全体にわたるワークフローをインテリジェントに自動化する。上記ａＰａａＳシステムは、企業から遠隔でホストされるが、セキュアな接続によって、企業内のデータ、アプリケーション、及びサービスにアクセスできる。このようなａＰａａＳシステムは、多くの有利な機能と特性を有することができる。これらの利点と特性は、ＩＴ、ＨＲ、ＣＲＭ、カスタマーサービス、アプリケーション開発、及びセキュリティのための企業の業務及びワークフローを改善することができる可能性がある。

上記ａＰａａＳシステムは、モデルビューコントローラ（ＭＶＣ）アプリケーションの開発及び実行をサポートすることができる。ＭＶＣアプリケーションは、情報がユーザに提示される方法から情報の表現を分離するために、３つの相互接続された部分（モデル、ビュー、及びコントローラ）に機能を分割することにより、効率的なコード再利用と並行開発を可能とする。これらのアプリケーションは、ウェブベースとすることができ、生成、読出し、更新、削除（ＣＲＵＤ）の機能を提供することができる。これにより、共通のアプリケーションインフラストラクチャ上に新しいアプリケーションを構築できる。

上記ａＰａａＳシステムは、グラフィカルユーザインタフェース（ＧＵＩ）開発用の標準化されたウィジェットセットなど、標準化されたアプリケーションコンポーネントをサポートすることができる。このように、上記ａＰａａＳシステムを使用して構築されたアプリケーションは、一般的なルックアンドフィールを備えている。その他のソフトウェアコンポーネントやモジュールも、同様に標準化されるようにすることができる。いくつかのケースでは、このルックアンドフィールは、企業のカスタムロゴ及び／又は配色体系によって、ブランド化又は皮で覆うことができる。

上記ａＰａａＳシステムは、メタデータを使用してアプリケーションの動作を設定する機能をサポートすることができる。これは、アプリケーションが特定のニーズを満たすように急速に適応されるようにすることを可能にする。このようなアプローチが、開発時間を短縮し、柔軟性を増大させる。更に、上記ａＰａａＳシステムは、メタデータの生成と管理を容易にするＧＵＩツールをサポートすることができるため、従って、メタデータにおけるエラーを減らすことができる。

上記ａＰａａＳシステムは、アプリケーション間で明確に定義されたインタフェースをサポートすることができ、従って、ソフトウェア開発者が不要なアプリケーション間の依存関係を回避することができる。従って、上記ａＰａａＳシステムは、永続的な状態情報やその他のデータが記憶されているサービス層を実装することができる。

上記ａＰａａＳシステムは、その上のアプリケーションがレガシアプリケーションやサードパーティアプリケーションと対話できるように、豊富な統合機能のセットをサポートすることができる。例えば、上記ａＰａａＳシステムは、レガシのＨＲ、ＩＴ、及び会計システムと統合するカスタム従業員オンボードシステムをサポートすることができる。

上記ａＰａａＳシステムは、エンタープライズレベルのセキュリティをサポートすることができる。更に、上記ａＰａａＳシステムは遠隔でホストされるようにすることができるため、企業内又はサードパーティのネットワークにおけるシステムや企業の外部に提供されているサービスと対話する時に、セキュリティ手順を利用することも必要である。例えば、上記ａＰａａＳシステムは、企業や他の当事者間でデータを共有して、一般的なセキュリティ脅威を検出及び識別するように構成できる。

上記ａＰａａＳシステムのその他の特徴、機能、及び利点があり得る。この説明は実施例の目的のためであり、制限されることは意図されていない。

上記ａＰａａＳ開発プロセスの一実施例として、ソフトウェア開発者は、上記ａＰａａＳシステムを使用して新しいアプリケーションを生成することを割り当てられるようにすることができる。まず、上記開発者は、上記アプリケーションが使用するデータの種類と両者の関係を定めるデータモデルを定義することができる。その後、上記ａＰａａＳシステムのＧＵＩを介して、上記開発者が上記データモデルを入力（例えば、アップロード）する。上記ａＰａａＳシステムは、対応するすべてのデータベーステーブル、フィールド、及びリレーションシップを自動的に生成し、それでそれらはオブジェクト指向サービス層を介してアクセスされるようにすることができる。

加えて、上記ａＰａａＳシステムは、クライアント側のインタフェースとサーバ側のＣＲＵＤロジックを有する、完全に機能するＭＶＣアプリケーションを構築することもできる。この生成されたアプリケーションは、ユーザの更なる開発の基礎として役に立つことができる。有利なことに、開発者は、基本的なアプリケーション機能に大量の時間を費やす必要はない。更に、アプリケーションはウェブベースとすることができるため、それは任意のインターネット対応クライアント装置からアクセスできる。代わりに又は加えて、例えばインターネットサービスが利用できない場合などに、アプリケーションのローカルコピーがアクセスされるようにすることができる。

上記ａＰａａＳシステムは、アプリケーションに追加することができる、定義済みの機能の豊富なセットをサポートすることができる。これらの機能は、検索、電子メール、テンプレート、ワークフローデザイン、レポート生成、解析、ソーシャルメディア、スクリプティング、モバイルフレンドリな出力、カスタマイズされたＧＵＩなどのサポートを含む。

以下の実施形態は、ａＰａａＳシステム実施例のアーキテクチャの及び機能的な側面、並びにその特徴と利点について説明する。

＜ＩＩ．コンピューティング装置とクラウドベースのコンピューティング環境の例＞
図１は、コンピューティング装置１００を例示した簡略化されたブロック図であり、本明細書の実施形態に従って動作するように配置されたコンピューティング装置に含まれうる構成要素のいくつかを例示している。コンピューティング装置１００は、クライアント装置（ユーザがアクティブに動作する装置など）、サーバ装置（クライアント装置に計算サービスを提供する装置など）、又はその他の種類の計算プラットフォームであってよい。いくつかのサーバ装置は、特定の動作を実行するために、随時クライアント装置として動作することができ、いくつかのクライアント装置はサーバ機能を組み込んでよい。

この例では、コンピューティング装置１００は、プロセッサ１０２、メモリ１０４、ネットワークインタフェース１０６、及び入出力ユニット１０８を含み、すべてがシステムバス１１０又は同様の機構によって結合されるようにすることができる。いくつかの実施形態において、コンピューティング装置１００は、他のコンポーネント及び／又は周辺機器（例えば、着脱可能なストレージ、プリンタなど）を含むことができる。

プロセッサ１０２は、中央処理装置（ＣＰＵ）、コプロセッサ（例えば、数学、グラフィック、又は暗号化のコプロセッサ）、デジタル信号プロセッサ（ＤＳＰ）、ネットワークプロセッサ、及び／又はプロセッサ動作を実行する統合された回路又はコントローラーの形態のような、１つ以上の任意のタイプのコンピュータ処理要素とすることができる。いくつかのケースでは、プロセッサ１０２は、１つ以上シングルコアプロセッサであってよい。その他のケースでは、プロセッサ１０２は、複数の独立した処理ユニットを有する１つ以上のマルチコアプロセッサであってよい。プロセッサ１０２はまた、実行中の命令や関連データを一時的に記憶するレジスタメモリ、並びに、最近使用した命令やデータを一時的に格納するためのキャッシュメモリを含むこともできる。

メモリ１０４は、任意のタイプのコンピュータで使用可能なメモリであってよく、ランダムアクセスメモリ（ＲＡＭ）、読取り専用メモリ（ＲＯＭ）、不揮発性メモリ（例えば、フラッシュメモリ、ハードディスクドライブ、ソリッドステートドライブ、コンパクトディスク（ＣＤ）、デジタルビデオディスク（ＤＶＤ）、及び／又はテープストレージ）を含むがそれらに制限されない。従って、メモリ１０４は、メインメモリユニット、並びに長期間ストレージの両方を表している。他のタイプのメモリは、生物学的メモリを含めることができる。

メモリ１０４は、その上でプログラム命令が動作するプログラム命令及び／又はデータを記憶することができる。例えば、メモリ１０４は、これらのプログラム命令を非一過性のコンピュータ読取り可能な媒体に保存することができ、それにより、本明細書又は添付図面で開示されている任意の方法、プロセス、又は動作を実行するためにプロセッサ１０２によってそれらの命令が実行可能となる。

図１に示されるように、メモリ１０４は、ファームウェア１０４Ａ、カーネル１０４Ｂ、及び／又はアプリケーション１０４Ｃを含むことができる。ファームウェア１０４Ａは、いくつか又はすべてのコンピューティング装置１００をブート又はさもなければ開始するために使用されるプログラムコードであってよい。カーネル１０４Ｂは、メモリ管理、プロセスのスケジューリングと管理、入出力、及び通信のためのモジュールを含むオペレーティングシステムであってよい。カーネル１０４Ｂはまた、オペレーティングシステムがコンピューティング装置１００のハードウェアモジュール（例えば、メモリユニット、ネットワーキングインタフェース、ポート、及びバス）と通信できるデバイスドライバを含んでもよい。アプリケーション１０４Ｃは、ウェブブラウザや電子メールクライアントなどの１つ以上のユーザ空間ソフトウェアプログラム、並びにこれらのプログラムによって使用されるソフトウェアライブラリであってよい。メモリ１０４はまた、これら及び他のプログラムやアプリケーションで使用されるデータを格納することができる。

ネットワークインタフェース１０６は、イーサネット（例えば、高速イーサネット、ギガビットイーサネットなど）のような、１つ以上の有線インタフェースの形式をとることができる。ネットワークインタフェース１０６はまた、同軸ケーブル若しくは電力線のような１つ以上の非イーサネットメディア、又は同期光ネットワーキング（ＳＯＮＥＴ）若しくはデジタル加入者線（ＤＳＬ）技術のようなワイドエリアメディアをまたがる通信をサポートすることもできる。ネットワークインタフェース１０６は加えて、ＩＥＥＥ ８０２．１１ （Ｗｉｆｉ）、ＢＬＵＥＴＯＯＴＨ（登録商標）、全地球測位システム（ＧＰＳ）、又はワイドエリアワイヤレスインタフェースのような、１つ以上のワイヤレスインタフェースの形式をとることもできる。ただし、他の形式の物理層インタフェース及びその他のタイプの標準又は独自の通信プロトコルは、ネットワークインタフェース１０６を介して使用することができる。更に、ネットワークインタフェース１０６は、複数の物理インタフェースを備えていてもよい。例えば、コンピューティング装置１００のいくつかの実施形態は、イーサネット、ＢＬＵＥＴＯＯＴＨ（登録商標）、及びＷｉｆｉインタフェースを含めることができる。

入出力ユニット１０８は、ユーザ及び周辺機器の例えばコンピューティング装置１００との対話を容易にすることができる。入出力ユニット１０８は、キーボード、マウス、タッチスクリーンなどの１種類以上の入力装置を含むことができる。同様に、入出力ユニット１０８は、スクリーン、モニタ、プリンタ、及び／又は１つ以上の発光ダイオード（ＬＥＤ）などの１種類以上の出力装置を含むことができる。加えて又は代わりに、コンピューティング装置１００は、例えば、ユニバーサルシリアルバス（ＵＳＢ）又は高精細マルチメディアインタフェース（ＨＤＭＩ）ポートインタフェースを使用して、他の装置と通信することができる。

いくつかの実施形態では、ａＰａａＳアーキテクチャをサポートするために、コンピューティング装置１００の１つ以上のインスタンスがデプロイされるようにすることができる。これらのコンピューティング装置の正確な物理的な位置、接続性、及び構成は、クライアント装置にとって不明及び／又は重要ではないようにすることができる。従って、上記コンピューティング装置は、さまざまなリモートデータセンタの場所に収容される可能性がある、「クラウドベース」の装置と呼ばれることがある。

図２は、例示的実施形態による、クラウドベースのサーバクラスタ２００を図示している。図２において、コンピューティング装置（例えば、コンピューティング装置１００）の動作は、すべてがローカルクラスタネットワーク２０８によって接続されていてもよい、サーバ装置２０２、データストレージ２０４、及びルータ２０６の間に分散されていてもよい。サーバクラスタ２００におけるサーバ装置２０２、データストレージ２０４、及びルータ２０６の数は、サーバクラスタ２００に割り当てられるコンピューティングタスク及び／又はアプリケーションに依存するようにすることができる。

例えば、サーバ装置２０２は、コンピューティング装置１００のさまざまなコンピューティングタスクを実行するように構成されることができる。従って、コンピューティングタスクは、１つ以上のサーバ装置２０２の間で配分されるようにすることができる。これらのコンピューティングタスクが並列に実行されることができる範囲では、そのようなタスクの配分は、これらのタスクを完了して結果を返すための合計時間を短縮することができる。簡単にするために、サーバクラスタ２００と個々のサーバ装置２０２はどちらも「サーバ装置」と呼ばれることがある。この命名法は、サーバ装置の動作において、１つ以上の別個のサーバ装置、データストレージ装置、及びクラスタルータが関与している可能性があることを意味することを理解される必要がある。

データストレージ２０４は、ハードディスクドライブ及び／又はソリッドステートドライブのグループに対する読出し及び書込みアクセスを管理するように構成されたドライブアレイコントローラを含むデータストレージアレイであってもよい。ドライブアレイコントローラはまた、単独で又はサーバ装置２０２と協同して、データストレージ２０４に記憶されるデータのバックアップ又は冗長コピーを管理して、１つ以上のサーバ装置２０２がクラスタデータストレージ２０４のユニットにアクセスできないドライブの障害やその他の種類の障害に対して保護をするように構成されるようにすることもできる。ドライブは別とする他の種類のメモリが使用されてもよい。

ルータ２０６は、サーバクラスタ２００のための内部及び外部通信を提供するように構成されたネットワーク機器を含むことができる。例えば、ルータ２０６は、（ｉ）クラスタネットワーク２０８を介したサーバ装置２０２とデータストレージ２０４間のネットワーク通信、及び／又は（ｉｉ）ネットワーク２１２への通信リンク２１０を介したサーバクラスタ２００と他の装置間のネットワーク通信を提供するように構成された１つ以上のパケットスイッチング及び／又はルーティング装置（スイッチ及び／又はゲートウェイを含む）を含むことができる。

更に、クラスタルータ２０６の構成は、サーバ装置２０２及びデータストレージ２０４のデータ通信要求、ローカルクラスタネットワーク２０８のレイテンシとスループット、通信リンク２１０の待ち時間とスループットとコスト、並びに／又はシステムアーキテクチャのコストと速度と耐故障性と復元性と効率性及び／若しくは他の設計目標に寄与する可能性のあるその他の要因の、少なくとも一部に基づくようにすることができる。

可能性のある実施例として、データストレージ２０４は、構造化クエリ言語（ＳＱＬ）データベースのような任意の形式のデータベースを含むことができる。さまざまな種類のデータ構造は、そのようなデータベースに、テーブル、配列、リスト、ツリー、タプルを含みしかしそれに制限されない情報を記憶することができる。更に、データストレージ２０４における任意のデータベースは、一体にされる又は複数の物理装置にわたって分散されるようにすることができる。

サーバ装置２０２は、クラスタデータストレージ２０４に対してデータを送信するように及びデータを受信するように構成されてよい。この送信及び取得は、ＳＱＬクエリ又はその他のタイプのデータベースクエリ、及びそのようなクエリの出力の形式を、それぞれ取ることができる。そのうえ、追加のテキスト、画像、ビデオ、及び／又はオーディオが含まれていてもよい。更に、サーバ装置２０２は、受信したデータをウェブページ表現にまとめることができる。このような表現は、ハイパーテキストマークアップ言語（ＨＴＭＬ）、拡張マークアップ言語（ＸＭＬ）、又はいくつかのその他の標準化された又は独自のフォーマットのマークアップ言語の形式を取ることができる。更に、サーバ装置２０２は、Ｐｅｒｌ、Ｐｙｔｈｏｎ、ＰＨＰハイパーテキストプリプロセッサ（ＰＨＰ）、アクティブサーバページ（ＡＳＰ）、ＪａｖａＳｃｒｉｐｔなどの、さまざまな種類のコンピュータ化されたスクリプト言語を実行する機能を有することができる。これらの言語で書かれたコンピュータプログラムコードは、クライアント装置へのウェブページの提供、並びにウェブページとのクライアント装置の対話を容易にすることができる。

＜ＩＩＩ．リモートネットワーク管理アーキテクチャの実施例＞
図３は、例示的実施形態による、リモートネットワーク管理アーキテクチャを図示している。このアーキテクチャは、すべてインターネット３５０を介して接続している３つの主要コンポーネントとして、管理対象ネットワーク３００、リモートネットワーク管理プラットフォーム３２０、及びサードパーティのネットワーク３４０を含んでいる。

管理対象ネットワーク３００は、例えば、コンピューティング及び通信のタスクのためにビジネスによって使用されるエンタープライズネットワーク、並びにデータのストレージであってよい。従って、管理対象ネットワーク３００は、さまざまなクライアント装置３０２、サーバ装置３０４、ルータ３０６、仮想マシン３０８、ファイアウォール３１０、及び／又はプロキシサーバ３１２を含むことができる。クライアント装置３０２は、コンピューティング装置１００によって具体化されてもよく、サーバ装置３０４は、コンピューティング装置１００又はサーバクラスタ２００によって具体化されていてもよく、ルータ３０６は任意のタイプのルータ、スイッチ、又はゲートウェイであってもよい。

仮想マシン３０８は、１つ以上のコンピューティング装置１００又はサーバクラスタ２００によって具体化されてもよい。一般的に、仮想マシンはコンピューティングシステムのエミュレーションであり、物理コンピュータの機能（例えば、プロセッサ、メモリ、通信リソース）を模倣する。サーバクラスタ２００などの１つの物理コンピューティングシステムでは、数千までの個別の仮想マシンをサポートできる。いくつかの実施形態では、仮想マシン３０８は、個々の仮想マシンへの物理コンピューティングリソースの割り当て並びにパフォーマンスとエラーの報告を容易にする、一元化されたサーバ装置又はアプリケーションによって管理されるようにすることができる。企業は、必要とされる仕方で効率的にコンピューティングリソースを割り当てるために、仮想マシンを採用することがよくある。仮想化コンピューティングシステムのプロバイダには、ＶＭＷＡＲＥ（登録商標）及びＭＩＣＲＯＳＯＦＴ（登録商標）が含まれる。

ファイアウォール３１０は、管理対象ネットワーク３００から発せられる権限が授けられた通信を許可しながら、装置、アプリケーション、及びその中のサービスへの不正なアクセスから上記管理対象ネットワーク３００を保護する１つ以上の専用ルータ又はサーバ装置とすることができる。ファイアウォール３１０はまた、侵入検出、ウェブフィルタリング、ウイルススキャン、アプリケーション層ゲートウェイ、及びその他のアプリケーション又はサービスを提供することができる。図３に示されていないいくつかの実施形態では、管理対象ネットワーク３００は、リモートネットワーク管理プラットフォーム３２０（下記参照）と通信する１つ以上の仮想プライベートネットワーク（ＶＰＮ）ゲートウェイを含むことができる。

管理対象ネットワーク３００はまた、１つ以上のプロキシサーバ３１２を含めることもできる。プロキシサーバ３１２の一実施形態は、管理対象ネットワーク３００とリモートネットワーク管理プラットフォーム３２０とサードパーティネットワーク３４０の間のデータの通信と移動を容易にするサーバ装置であってもよい。特に、プロキシサーバ３１２は、リモートネットワーク管理プラットフォーム３２０の１つ以上のコンピュータのインスタンスとセキュアな通信セッションを確立し維持することができる。このようなセッションを通じて、リモートネットワーク管理プラットフォーム３２０は、管理対象ネットワーク３００及びその構成要素のアーキテクチャ及び構成の様子を発見し管理することができる。できるかぎりプロキシサーバ３１２の支援を受けて、リモートネットワーク管理プラットフォーム３２０は、管理対象ネットワーク３００によって使用されるサードパーティのネットワーク３４０の様子を発見し管理することができる。

ファイアウォール３１０などのファイアウォールは通常、セッションが最終的にはファイアウォールの背後から（つまり、管理対象ネットワーク３００上の装置から）発せられたような場合又はファイアウォールが明示的にそのセッションをサポートするように設定されている場合を除き、インターネット３５０を経由して着信しているすべての通信セッションを拒否する。プロキシサーバ３１２をファイアウォール３１０の背後に（例えば、管理対象ネットワーク３００内でかつファイアウォール３１０で保護されるように）配置することにより、プロキシサーバ３１２は、ファイアウォール３１０を通じてこれらの通信セッションを開始することができる。従って、ファイアウォール３１０は、リモートネットワーク管理プラットフォーム３２０からの着信セッションをサポートするように特別に構成する必要がなく、管理対象ネットワーク３００に対する潜在的なセキュリティリスクを回避できる。

いくつかのケースでは、管理対象ネットワーク３００は少数の装置と少数のネットワークで構成されてもよい。他のデプロイメントでは、管理対象ネットワーク３００は複数の物理的な場所にまたがることができ、数百のネットワークと数十万の装置を含むことができる。従って、図３に図示されているアーキテクチャは、桁違いにスケールアップ又はスケールダウンすることができる。

更に、管理対象ネットワーク３００のサイズ、アーキテクチャ、及び接続性に依存して、さまざまな数のプロキシサーバ３１２がそこにデプロイされるようにすることができる。例えば、プロキシサーバ３１２の各１つは、管理対象ネットワーク３００の一部について、リモートネットワーク管理プラットフォーム３２０との通信を担当する場合がある。代わりに又は加えて、負荷分散、冗長性、高可用性などの目的で、２つ以上のプロキシサーバのセットが管理対象ネットワーク３００のそのような一部に割り当てられるようにすることができる。

リモートネットワーク管理プラットフォーム３２０は、ユーザ特に管理対象ネットワーク３００の管理者に、ａＰａａＳサービスを提供するホストされた環境である。これらのサービスは、例えば、ウェブベースのポータルの形式を取ることができる。従って、ユーザは、例えばクライアント装置３０２から或いはもしかすると管理対象ネットワーク３００の外部のクライアント装置から、リモートネットワーク管理プラットフォーム３２０にセキュアにアクセスすることができる。ユーザは、ウェブベースのポータルを使用して、アプリケーションを設計、テスト、及びデプロイし、レポートを生成し、解析を閲覧し、及びその他のタスクを実行することができる。

図３に示されるように、リモートネットワーク管理プラットフォーム３２０は、４つのコンピュータのインスタンス３２２、３２４、３２６、及び３２８を含む。これらの各インスタンスは、特定の顧客が利用できるウェブポータルのセット、サービス、及びアプリケーション（例えば、完全に機能するａＰａａＳシステム）を表すことができる。いくつかのケースでは、１人の顧客は、複数のコンピュータのインスタンスを使用することができる。例えば、管理対象ネットワーク３００は、リモートネットワーク管理プラットフォーム３２０の企業の顧客である可能性があり、コンピュータのインスタンス３２２、３２４、及び３２６を使用することができる。１人の顧客に複数のインスタンスを提供する理由は、顧客がそのアプリケーション及びサービスを独自に開発、テスト、及びデプロイすることを望むことがあるためである。従って、コンピュータのインスタンス３２２は管理対象ネットワーク３００に関連するアプリケーション開発を受け持つことができ、コンピュータのインスタンス３２４はこれらのアプリケーションのテストを受け持つことができ、そして、コンピュータのインスタンス３２６は、テストされたアプリケーション及びサービスのライブ動作を受け持つことができる。コンピュータのインスタンスはまた、ホストされたインスタンス、リモートインスタンス，顧客インスタンス、又はその他の呼称によって呼ばれることがある。

リモートネットワーク管理プラットフォーム３２０のマルチインスタンスアーキテクチャは、マルチインスタンスアーキテクチャにいくつかの利点がある従来のマルチテナントアーキテクチャとは対照的である。マルチテナントアーキテクチャでは、異なる顧客（例えば、企業）からのデータが１つのデータベースに一緒にされる。これらの顧客のデータは互いに分離されているが、分離は単一のデータベースを操作するソフトウェアによって実施される。結果として、このシステムのセキュリティ侵害は、すべての顧客のデータに影響を与える可能性があり、特に政府、医療、及び／又は金融規制に所属する実体に更なるリスクを生成する。更に、１人の顧客に影響を与えるデータベース操作は、そのデータベースを共有するすべての顧客に影響する可能性がある。従って、ハードウェア又はソフトウェアのエラーが原因で停止が発生した場合、この停止はすべてのそのような顧客に影響を及ぼす。同様に、１人の顧客のニーズを満たすようにデータベースをアップグレードする場合は、アップグレードプロセス中にすべての顧客が使用できなくなる。多くの場合、このようなメンテナンスウィンドウは、共有データベースのサイズが原因で、長い時間になる。

これに対して、マルチインスタンスアーキテクチャは、各顧客に専用のコンピューティングインスタンス内の専用のデータベースを提供する。これにより、顧客データが一緒になることを防ぎ、各インスタンスを個別に管理できるようになる。例えば、ある顧客のインスタンスがエラー又はアップグレードを原因とする停止を経験した場合、その他のコンピュータのインスタンスは影響を受けない。データベースは一人の顧客のデータしか含まないため、メンテナンスのダウンタイムは限定的である。更に、マルチインスタンスアーキテクチャのシンプルな設計により、各顧客データベースとインスタンスの冗長コピーを地理的に多様に配置することができる。このことは、障害が検出されたとき又はメンテナンスが実行されているときに、顧客のインスタンスのライブバージョンを移動できる高可用性を促進する。

複数のコンピュータのインスタンスを効率的な方法でサポートするために、リモートネットワーク管理プラットフォーム３２０は、複数のこれらのインスタンスを単一のハードウェアプラットフォーム上で実装することができる。例えば、ａＰａａＳシステムがサーバクラスタ２００などのサーバクラスタに実装されている場合、それは、計算、ストレージ、及び通信のリソースの可変量をインスタンスのために確保する仮想マシンを動作させる場合がある。しかし、サーバクラスタ２００の完全な仮想化は不要であり、他のメカニズムを使用してインスタンスを分離することもできる。いくつかの実施例では、各インスタンスは専用のアカウントを有し、サーバクラスタ２００上に１つ以上の専用データベースを有することができる。或いは、コンピュータのインスタンス３２２は、複数の物理装置にまたがることができる。

いくつかのケースでは、リモートネットワーク管理プラットフォーム３２０の単一サーバクラスタが、複数の独立した企業をサポートすることができる。更に、後述するように、リモートネットワーク管理プラットフォーム３２０は、負荷分散、冗長性、及び／又は高可用性を促進するために、地理的に多様なデータセンタに配置される複数のサーバクラスタを含めることができる。

サードパーティのネットワーク３４０は、アウトソーシングされた計算、データストレージ、通信、及びサービスのホスティング動作に使用することができるリモートサーバ装置（例えば、サーバクラスタ２００などの複数のサーバクラスタ）であってよい。これらのサーバは、仮想化されるようにすることができる（つまり、そのサーバはバーチャルマシンとなるようにすることができる）。サードパーティのネットワーク３４０の例としては、ＡＭＡＺＯＮＷＥＢサービス（登録商標）とＭＩＣＲＯＳＯＦＴ（登録商標）Ａｚｕｒｅを含むことができる。リモートネットワーク管理プラットフォーム３２０と同様に、サードパーティのネットワーク３４０をサポートする複数のサーバクラスタを、負荷分散、冗長性、及び／又は高可用性の目的で、地理的に多様な場所に配置することができる。

管理対象ネットワーク３００は、１つ以上のサードパーティのネットワーク３４０を使用して、アプリケーション及びサービスをそのクライアント及び顧客にデプロイできる。例えば、管理対象ネットワーク３００がオンライン音楽ストリーミングサービスを提供している場合、サードパーティのネットワーク３４０は音楽ファイルを記憶し、ウェブインタフェース及びストリーミング機能を提供することができる。このように、管理対象ネットワーク３００の企業は、これらの動作のために、独自のサーバを構築し維持する必要はない。

リモートネットワーク管理プラットフォーム３２０は、サードパーティのネットワーク３４０と統合されたモジュールを含むことができ、仮想マシンとその中の管理対象サービスを、管理対象ネットワーク３００に公開することができる。上記モジュールは、ユーザが仮想リソースを要求することを可能にし、サードパーティのネットワーク３４０のための柔軟なレポートを提供することができる。この機能を確立するために、管理対象ネットワーク３００のユーザは、最初にサードパーティのネットワーク３４０とアカウントを確立し、関連するリソースのセットを要求することができる。次に、ユーザは、リモートネットワーク管理プラットフォーム３２０の適切なモジュールにアカウント情報を入力することができる。これらのモジュールは、アカウント内の管理可能なリソースを自動的に発見し、そしてまた、使用状況、パフォーマンス、及び請求に関するレポートを提供することもできる。

インターネット３５０は、グローバルインターネットの一部を表すことができる。ただし、インターネット３５０は、プライベートなワイドエリア又はローカルエリアパケット交換ネットワークのような、異なる種類のネットワークを代わりに表すこともできる。

図４は、管理対象ネットワーク３００とコンピュータのインスタンス３２２との間の通信環境を更に示しており、更なる機能と代替の実施形態を導入している。図４において、コンピュータのインスタンス３２２は、データセンタ４００Ａ及び４００Ｂ間で複製される。これらのデータセンタは、地理的に互いに離れていて、おそらく別の都市や異なる国にある。各データセンタには、管理対象ネットワーク３００並びにリモートユーザとの通信を容易にするサポート機器が含まれている。

データセンタ４００Ａでは、外部装置への又はそこからのネットワークトラフィックは、ＶＰＮゲートウェイ４０２Ａ又はファイアウォール４０４Ａを介して流れる。ＶＰＮゲートウェイ４０２Ａは、インターネットプロトコルセキュリティ（ＩＰＳＥＣ）又はトランスポート層セキュリティ（ＴＬＳ）などのセキュリティプロトコルを経由して、管理対象ネットワーク３００のＶＰＮゲートウェイ４１２とピア接続されるようにすることができる。ファイアウォール４０４Ａは、ユーザ４１４やリモートユーザ４１６などの権限のあるユーザからのアクセスを許可し、権限のないユーザへのアクセスを拒否するように構成されるようにすることができる。ファイアウォールの４０４Ａによって、これらのユーザはコンピュータのインスタンス３２２、そしておそらく他のコンピュータのインスタンスに、アクセスすることができる。ロードバランサー４０６Ａは、コンピュータのインスタンス３２２をホストする１つ以上の物理又は仮想サーバ装置の間で、トラフィックを分散するために使用されるようにすることができる。ロードバランサー４０６Ａは、データセンタ４００Ａの内部構成（例えば、コンピュータのインスタンス３２２）をクライアント装置から見えないようにすることにより、ユーザアクセスを簡素化することができる。例えば、コンピュータのインスタンス３２２がもし、複数のデータベースへのアクセスを共有する複数の物理又は仮想コンピューティング装置を含んでいる場合に、ロードバランサー４０６Ａは、誰のコンピューティング装置又はデータベースも他の人のより大幅にビジーとならないように、これらのコンピューティング装置及びデータベース間でネットワークトラフィックと処理タスクを分配することができる。いくつかの実施形態では、コンピュータのインスタンス３２２は、ＶＰＮゲートウェイ４０２Ａ、ファイアウォール４０４Ａ、及びロードバランサー４０６Ａを含むことができる。

データセンタ４００Ｂは、データセンタ４００Ａにおけるコンポーネントのそれ自身のバージョンを含むようにすることができる。従って、ＶＰＮゲートウェイ４０２Ｂ、ファイアウォール４０４Ｂ、及びロードバランサー４０６Ｂは、それぞれＶＰＮゲートウェイ４０２Ａ、ファイアウォール４０４Ａ、及びロードバランサー４０６Ａと同じ又は同様の動作を実行できる。更に、リアルタイム又はほぼリアルタイムのデータベースレプリケーションやその他の動作によって、コンピュータのインスタンス３２２は、データセンタ４００Ａと４００Ｂに同時に存在するようにすることができる。

図４に示されるように、データセンタ４００Ａ及び４００Ｂは、冗長性と高可用性を促進する。図４の構成では、データセンタ４００Ａがアクティブであり、データセンタ４００Ｂがパッシブである。従って、データセンタの４００Ａは、管理対象ネットワーク３００への又はそこからのすべてのトラフィックを扱っているが、同時に、データセンタ４００Ｂにおけるコンピュータのインスタンス３２２のバージョンは、ほぼリアルタイムで更新されている。両方のデータセンタがアクティブである場合のような、その他の構成もサポートされてもよい。

データセンタの４００Ａが何らかの形で失敗したり、さもなければユーザが利用できなくなったりした場合、データセンタ４００Ｂはアクティブなデータセンタとして引き継ぐことができる。例えば、コンピュータのインスタンス３２２のドメイン名をデータセンタ４００Ａの１つ以上のインターネットプロトコル（ＩＰ）アドレスに関連付けるドメイン名を関連付けるドメインネームシステム（ＤＮＳ）サーバは、上記ドメイン名をデータセンタ４００Ｂの１つ以上のＩＰアドレスに再関連付けすることができる。この再関連付けが完了した後（これは１秒又は数秒間以下だけかかるようにすることができる）、ユーザはデータセンタ４００Ｂを介してコンピュータのインスタンス３２２にアクセスすることができる。

図４は、管理対象ネットワーク３００の可能な構成を示している。上記のように、プロキシサーバ３１２とユーザ４１４は、ファイアウォール３１０を介して、コンピュータのインスタンス３２２にアクセスすることができる。プロキシサーバ３１２はまた、構成項目４１０にもアクセスすることができる。図４では、構成項目４１０は、クライアント装置３０２、サーバ装置３０４、ルータ３０６、及び仮想マシン３０８の任意のもの又はすべてと、その上で実行される任意のアプリケーション又はサービス、並びに装置、アプリケーション、及びサービス間の関係を参照することができる。従って、「構成項目」という用語は、任意の物理又は仮想装置、又はコンピュータのインスタンス３２２により遠隔で発見若しくは管理される任意のアプリケーション又はサービス、又は発見された装置、アプリケーション、及びサービス間の関係の、簡略な言い回しとすることができる。構成項目は、コンピュータのインスタンス３２２の構成管理データベース（ＣＭＤＢ）において表されるようにすることができる。

前述のように、ＶＰＮゲートウェイ４１２は、ＶＰＮゲートウェイ４０２Ａに専用のＶＰＮを提供することがある。このようなＶＰＮは、管理対象ネットワーク３００とコンピュータのインスタンス３２２との間にかなりの量のトラフィックがある場合、又はさもなければセキュリティポリシーがこれらのサイト間のＶＰＮの使用を提案又は要求しているときに、役に立つようにすることができる。いくつかの実施形態では、ＶＰＮ経由で直接通信する管理対象ネットワーク３００内の任意の装置及び／又はコンピュータのインスタンス３２２には、パブリックＩＰアドレスが割り当てられる。管理対象ネットワーク３００内のその他の装置及び／又はコンピュータのインスタンス３２２には、プライベートＩＰアドレス（例えば、１０．０．０．０〜１０．２５５．２５５．２５５又は１９２．１６８．０．０〜１９２．１６８．２５５．２５５の範囲から選択されたＩＰアドレス、それぞれサブネット１０．０．０．０／８及び１９２．１６８．０．０／１６と略記される）が割り当てられる。

＜ＩＶ．装置、アプリケーション、及びサービスの検出例＞
リモートネットワーク管理プラットフォーム３２０が管理対象ネットワーク３００の装置、アプリケーション、及びサービスを管理するために、リモートネットワーク管理プラットフォーム３２０は最初に、管理対象ネットワーク３００にどの装置が存在するか、これらの装置の構成及び運用状態、及びその装置によるアプリケーションとサービス、並びに発見された装置、アプリケーション、及びサービス間の関係を判定する。上述のように、各装置、アプリケーション、サービス、及び関係は、構成項目として参照されるようにすることができる。管理対象ネットワーク３００内の構成項目を定義するプロセスは、発見と呼ばれ、少なくとも一部のプロキシサーバ３１２によって容易にすることができる。

本明細書における実施形態の目的において、「アプリケーション」とは、１つ以上プロセス、スレッド、プログラム、クライアントモジュール、サーバモジュール、又は装置又は装置のグループ上で実行される任意のその他のソフトウェアを指すことができる。「サービス」とは、１つ以上の装置で実行される複数のアプリケーションが互いに連携して動作する高レベルの機能を指すことができる。例えば、高レベルのウェブサービスは、１つの装置で複数のウェブアプリケーションサーバスレッドを実行し、別の装置で実行されるデータベースアプリケーションから情報にアクセスすることができる。

図５Ａは、構成項目がどのように発見されるようにすることができるか、並びに発見された構成項目に関連する情報がどのように記憶されるようにすることができるかについての論理的な描写を提供する。簡単にするために、リモートネットワーク管理プラットフォーム３２０、サードパーティネットワーク３４０、及びインターネット３５０は表示されない。

図５Ａにおいて、ＣＭＤＢ５００及びタスクリスト５０２は、コンピュータのインスタンス３２２内に記憶される。コンピュータのインスタンス３２２は、発見コマンドをプロキシサーバ３１２に送信できる。応答として、プロキシサーバ３１２は、管理対象ネットワーク３００のさまざまな装置、アプリケーション、及びサービスにプローブを送信できる。これらの装置、アプリケーション、及びサービスは、プロキシサーバ３１２に応答を送信でき、それで、プロキシサーバ３１２は、検出された構成項目に関する情報を、その内部に記憶するためにＣＭＤＢ５００に与えることができる。ＣＭＤＢ５００に記憶された構成項目は、管理対象ネットワーク３００の環境を表している。

タスクリスト５０２は、プロキシサーバ３１２がコンピュータのインスタンス３２２に代わって実行するアクティビティの一覧を表している。発見が行われると、タスクリスト５０２が設定される。プロキシサーバ３１２は、タスクリスト５０２に繰り返し問い合わせ、そこにある次のタスクを取得し、タスクリスト５０２が空になるか、別の停止条件に達するまで、このタスクを実行する。

発見を容易にするために、プロキシサーバ３１２は、プロキシサーバ３１２経由で到達可能な管理対象ネットワーク３００内の１つ以上のサブネットに関する情報を用いて、構成されるようにすることができる。例えば、プロキシサーバ３１２は、ＩＰアドレス範囲１９２．１６８．０／２４がサブネットとして与えられるようにすることができる。それで、コンピュータのインスタンス３２２は、この情報をＣＭＤＢ５００に保存し、これらのアドレスの各々で装置を発見するためのタスクをタスクリスト５０２に配置することができる。

図５Ａはまた、管理対象ネットワーク３００内の装置、アプリケーション、及びサービスを、構成項目５０４、５０６、５０８、５１０、及び５１２として描いている。上述したように、これらの構成項目は、それぞれが複数の個別の構成項目を含む、物理及び／又は仮想装置（例えば、クライアント装置、サーバ装置、ルータ、又は仮想マシン）、その上で実行されるアプリケーション（例えば、ウェブサーバ、電子メールサーバ、データベース、ストレージアレイ）、それらの間の関係、並びにサービスのセットを表している。

タスクリスト５０２にタスクを配置すると、プロキシサーバ３１２に対して発動をかけてさもなくば動作をさせて、発見を開始させることができる。代わりに又は加えて、発見は、手動で発動されたり、又はトリガイベントに基づいて自動的に発動されたりするようにすることができる（例えば、発見は一日に一度特定の時刻に自動的に開始することができる）。

一般に、発見は、スキャン、分類、識別、及び探査の４つの論理フェーズで進行することができる。発見の各フェーズは、プロキシサーバ３１２によって管理対象ネットワーク３００内の１つ以上の装置に送信される、さまざまな種類のプローブメッセージを含む。これらのプローブへの応答は、プロキシサーバ３１２によって受信及び処理されるようにすることができ、それらの表示はＣＭＤＢ５００に送信されるようにすることができる。従って、各フェーズは、より多くの構成項目が検出され、ＣＭＤＢ５００に記憶されるという結果になることができる。

スキャンフェーズでは、プロキシサーバ３１２は、伝送制御プロトコル（ＴＣＰ）及び／又はユーザデータグラムプロトコル（ＵＤＰ）のポートをオープンするためのＩＰアドレスの指定された範囲内の各ＩＰアドレスをプローブして、装置の一般的な種類を判定することができる。或るＩＰアドレスにこのようなオープンポートが存在することは、特定のアプリケーションがそのＩＰアドレスが割り当てられている装置上で動作していることを示すことができ、今度はその装置によって使用されているオペレーティングシステムを識別することができる。例えば、もしＴＣＰポート１３５が開いている場合、それでその装置はＷＩＮＤＯＷＳ（登録商標）オペレーティングシステムを実行している可能性がある。同様に、もしＴＣＰポート２２が開いている場合、それでその装置はＬＩＮＵＸ（登録商標）などのＵＮＩＸ（登録商標）オペレーティングシステムを実行している可能性がある。もしＵＤＰポート１６１が開いている場合、それでその装置は、簡易ネットワーク管理プロトコル（ＳＮＭＰ）を通じて更に識別されることができるようにすることができる。他の可能性が存在する。特定のＩＰアドレスとそのオープンポートに或る装置が存在することが発見された場合、これらの構成項目はＣＭＤＢ５００に保存される。

分類フェーズでは、プロキシサーバ３１２は、発見された各装置を更にプローブして、オペレーティングシステムのバージョンを判断する。特定の装置に使用されるプローブは、スキャンフェーズでその装置について収集した情報に基づいている。例えば、もしＴＣＰポート２２が開いている装置が見つかった場合は、一連のＵＮＩＸ（登録商標）固有のプローブが使用されてよい。同様に、もしＴＣＰポート１３５が開いている装置が見つかった場合は、ＷＩＮＤＯＷＳ（登録商標）固有のプローブのセットが使用されてよい。いずれの場合も、プロキシサーバ３１２が実行できるように、適切なタスクのセットがタスクリスト５０２に配置されるようにすることができる。これらのタスクは、プロキシサーバ３１２がログオンしたり、又はさもなければ、特定の装置から情報にアクセスしたりするという結果をもたらすことができる。例えば、もしＴＣＰポート２２が開いている場合、プロキシサーバ３１２は、特定の装置へのセキュアシェル（ＳＳＨ）接続を開始し、そのファイルシステム内の特定の場所からその装置上のオペレーティングシステムに関する情報を取得する指示をされるようにすることができる。この情報に基づいて、オペレーティングシステムが判定されるようにすることができる。例として、ＴＣＰポート２２を開いたＵＮＩＸ（登録商標）装置は、ＡＩＸ（登録商標）、ＨＰＵＸ、ＬＩＮＵＸ（登録商標）、ＭＡＣＯＳ（登録商標）、又はＳＯＬＡＲＩＳ（登録商標）として分類されるようにすることができる。この分類情報は、１つ以上の構成項目としてＣＭＤＢ５００に格納されるようにすることができる。

識別フェーズでは、プロキシサーバ３１２は、分類された装置に関する特定の詳細を判定するようにすることができる。このフェーズで使用するプローブは、分類フェーズで特定の装置について収集された情報に基づくようにすることができる。例えば、装置がＬＩＮＵＸ（登録商標）として分類されている場合、ＬＩＮＵＸ（登録商標）固有のプローブのセットが使用されるようにすることができる。同様に、装置がＷＩＮＤＯＷＳ（登録商標）２０１２として分類されている場合は、ＷＩＮＤＯＷＳ（登録商標）２０１２固有のプローブのセットが使用されるようにすることができる。分類フェーズの場合と同様に、プロキシサーバ３１２が実行できるように、適切なタスクのセットがタスクリスト５０２に配置されるようにすることができる。これらのタスクは、プロキシサーバ３１２が、その特定の装置によって使用されている、基本入出力システム（ＢＩＯＳ）情報、シリアル番号、ネットワークインタフェース情報、これらのネットワークに割り当てられているメディアアクセス制御アドレス（ｅｓ）、ＩＰアドレスなどのような、その特定の装置からの情報を読み出す結果をもたらすようにすることができる。この識別情報は、１つ以上の構成項目としてＣＭＤＢ５００に格納されるようにすることができる。

探査フェーズでは、プロキシサーバ３１２は、分類された装置の動作状態についての詳細を判定するようにすることができる。このフェーズで使用されるプローブは、分類フェーズ及び／又は識別フェーズで特定の装置について収集した情報に基づくようにすることができる。繰り返すが、プロキシサーバ３１２が実行できるように、適切なタスクのセットがタスクリスト５０２に配置されるようにすることができる。これらのタスクは、プロキシサーバ３１２が、プロセッサ情報、メモリ情報、実行中のプロセス（アプリケーション）のリストなどのような、その特定の装置からの追加情報を読み出す結果をもたらすようにすることができる。更に、発見された情報は、１つ以上の構成項目としてＣＭＤＢ５００に格納されるようにすることができる。

ルータなどのネットワーク装置で発見を実行する動作が、ＳＮＭＰを使用するようにすることができる。実行中のプロセスのリスト又はその他のアプリケーション関連情報を判定するのではなく又は判定するのに加えて、発見が、ルータに認識される追加のサブネットと、ルータのネットワークインタフェースの動作状態（例えば、アクティブ、非アクティブ、キューの長さ、破棄されたパケットの数など）を判定するようにすることができる。追加のサブネットのＩＰアドレスが、更なる発見手順の候補になるようにすることができる。従って、発見は反復的又は再帰的に進行してよい。

ひとたび発見が完了すると、発見された各装置、アプリケーション、及びサービスのスナップショット表現がＣＭＤＢ５００で利用可能になる。例えば、発見後、オペレーティングシステムのバージョン、ハードウェア構成、及び管理対象ネットワーク３００におけるクライアント装置、サーバ装置、及びルータのためのネットワーク構成の詳細、並びにその上で実行されるアプリケーションが、記憶されるようにすることができる。この収集した情報は、ユーザが装置のハードウェア構成と動作状態、並びに複数の装置及びアプリケーションにまたがるサービスの特性を表示できるようにするために、さまざまな方法でユーザに提示されるようにすることができる。

更に、ＣＭＤＢ５００は、依存関係や構成項目間の関係に関するエントリを含むことができる。具体的には、特定のサーバ装置上で実行されているアプリケーション、並びにこのアプリケーションに依存するサービスは、ＣＭＤＢ５００においてそのように表されてよい。例えば、データベースアプリケーションがサーバ装置で実行されていて、このデータベースアプリケーションが新従業員オンボードサービスと給与サービスとによって使用されていると仮定する。従って、サーバ装置が保守のために運用されていない場合は、従業員オンボードサービスと給与サービスが影響を受けることは明らかである。同様に、構成項目間の依存関係と関係は、特定のルータが機能しなくなったときに影響を受けるサービスを表現することができる。

一般に、構成項目間の依存関係と関係は、ウェブベースのインタフェースに表示され、階層形式で表される。従って、そのような依存関係及び関係を追加、変更、又は削除することは、このインタフェースを介して行うことができる。

更に、管理対象ネットワーク３００のユーザは、特定の協調活動が複数の発見された装置間で行われるようにするワークフローを開発できる。例えば、ＩＴワークフローは、ユーザが共通の管理者パスワードを、発見されたすべてのＬＩＮＵＸ（登録商標）装置に対して単一の動作で変更することを可能にすることができる。

発見が前述の方法で行われるようにするために、プロキシサーバ３１２、ＣＭＤＢ５００、及び／又は１つ以上の資格証明書記憶装置が、発見される１つ以上の装置の資格証明書を有するように構成されてよい。資格証明書は、装置にアクセスするために必要な任意のタイプの情報を含むことができる。これらは、ユーザＩＤ／パスワードのペア、証明書などを含むことができる。いくつかの実施形態では、これらの資格証明書はＣＭＤＢ５００の暗号化されたフィールドに格納される。プロキシサーバ３１２は、プロキシサーバ３１２がこれらの資格情報を使用して発見されるべき装置にログオンしたりさもなければアクセスしたりできるようにするために、資格証明書のための復号化キーを含むことができる。

発見プロセスは、図５Ｂのフローチャートとして描かれている。ブロック５２０では例えばＩＰアドレスの範囲として、コンピュータのインスタンスにおけるタスクリストが設定される。ブロック５２２では、スキャンフェーズが行われる。従って、プロキシサーバはこれらのＩＰアドレスを使用して装置のＩＰアドレスをプローブし、これらの装置で実行されているオペレーティングシステムを判定しようとする。ブロック５２４では、分類フェーズが行われる。プロキシサーバは、発見された装置のオペレーティングシステムのバージョンを確認しようとする。ブロック５２６では、識別フェーズが行われる。プロキシサーバは、発見された装置のハードウェア又はソフトウェアの構成を判定しようとする。ブロック５２８では、探査フェーズが行われる。プロキシサーバは、発見された装置で実行されている動作状態とアプリケーションを判定しようとする。ブロック５３０では、検出された装置とアプリケーションを表す構成項目を更なる編集が行われるようにすることができる。この編集は、実際には自動化され及び／又は手動である。

図５Ｂで表されるブロックは、例示目的のためのものである。発見は、より多くの又はより少ないフェーズを持つことができる高度に構成可能な手順であり、各フェーズの動作は異なってもよい。いくつかのケースでは、１つ以上のフェーズがカスタマイズされたり、又はさもなければ、上記の例示の説明から逸脱してもよい。

＜Ｖ．電子メールメッセージのフォーマットとフィッシング攻撃の指標の例＞
上記で説明したように、管理対象ネットワークは、同じ数だけのユーザにサービスする数十、数百、又は数千のコンピューティング装置をホストすることができる。管理対象ネットワークのための最も普及したネットワークサービスの１つは電子メールである。管理対象ネットワーク上のユーザは、管理対象ネットワークの他のユーザ、並びに管理対象ネットワークの外部のソースから、１日に多数の電子メールメッセージを受け取る可能性がある。

近年では、フィッシングが、流行し、とかく効果的なサイバー犯罪の方法となっている。フィッシング攻撃は、多数のユーザ（通常、そのいくらかが特に「スピアフィッシング」攻撃の標的となる可能性のある多数のユーザ）に、正当な警告又は情報要求のように見える電子メールメッセージを送信することを含む。いくつかのケースでは、フィッシングメールは、実際のウェブサイトの外観や機能を模倣した偽のウェブサイトへのハイパーリンクを含んでいる場合がある。ユーザは、ユーザＩＤ、パスワード、クレジットカード番号、社会保障番号などの機密性の高い個人情報を、偽のウェブサイトに入力することを勧められる。一部のフィッシング攻撃は、コンピュータ装置にダウンロードして実行されるとそのコンピュータ装置にマルウェアをデプロイする添付ファイルをフィッシングメールに含んでいる。このマルウェアは、機密性の高い個人情報を攻撃者に送信するためにコンピューティング装置を検索する場合があり、管理対象ネットワークをスキャンすることを試みて機をうかがって他の装置に手を伸ばそうとする場合がある。

明らかに、特に多数のユーザと装置に影響を与える可能性のある管理対象ネットワークでは、フィッシング攻撃の脅威を迅速に軽減することが重要である。しかし、そのためには、電子メールメッセージのフォーマットと内容の理解が助けとなることができる。この理解により、電子メールメッセージがフィッシング攻撃であるかどうかを指示する可能性が高い電子メールメッセージの部分に、注意が集中されるようにすることができる。

例証の目的で、ここで説明する実施形態の多くは、ユーザに到達するために電子メールメッセージを使用するフィッシング攻撃に焦点を当てている。しかしながら、フィッシング攻撃で他のメカニズムを使用することは可能である。ショートメッセージサービス（ＳＭＳ）メッセージ、並びにインスタントメッセージング（ＩＭ）メッセージやグループチャットメッセージも、同様に使用できる。従って、本明細書における実施形態は、電子メールメッセージに限定されるものではない。

図６Ａは、電子メールメッセージの例の表示６００を示している。表示６００は、一般的な電子メールクライアントアプリケーションがユーザに電子メールメッセージをどのように提示するかを示している。電子メールメッセージの上位４行には、「Ｆｒｏｍ」、「Ｔｏ」、「Ｓｕｂｊｅｃｔ」、及び「Ｄａｔｅ」ヘッダがそれぞれ含まれている。これらのヘッダは、推定される送信者（ｂｓｍｉｔｈ＠ｅｘａｍｐｌｅ．ｃｏｍの電子メールアドレスを持つＢｏｂ Ｓｍｉｔｈ）、推定される受信者（ａｌｉｃｅ＠ｃｏｍｐａｎｙ．ｃｏｍの電子メールアドレスを持つＡｌｉｃｅ Ｊｏｎｅｓ）、推定される電子メールの件名（「Ｌｕｎｃｈ ｔｏｄａｙ？」）、及び推定時間及び電子メールメッセージが送信された日付（Ｔｈｕｒｓｄａｙ， Ａｕｇｕｓｔ ３１， ２０１７ ａｔ １０：４４：１７ＡＭ）を示している。この特定の電子メールメッセージの残りの部分は、それが伝えるところによれば彼らが昼食のために１２：１５に会えるかどうかを彼女に尋ねるＢｏｂ Ｓｍｉｔｈ（ボブスミス）からＡｌｉｃｅ Ｊｏｎｅｓ（アリスジョーンズ）へのメッセージであるそのメールの本文である。添付ファイルはない。

電子メールクライアントアプリケーションが電子メールメッセージをどのように提示するかということと一貫して、実際の電子メールメッセージのすべてではない情報がディスプレイ６００に表示される。特に、表示６０２に示されるように、電子メールメッセージは多くの場合、追加情報を含む多数のヘッダを含んでいる。ディスプレイ６０２の最初の４行は、ディスプレイ６００に表示される４つのヘッダを含む。しかし、表示６０２はまた、電子メールメッセージがフィッシング攻撃であるかどうかを推論するために使用できる貴重な情報を提供する更なるヘッダも含んでいる。

例えば、「Ｄｅｌｉｖｅｒｅｄ−Ｔｏ」ヘッダは、電子メールメッセージが配信された先の電子メールアドレスを示す。このヘッダには、２つの「Ｒｅｃｅｉｖｅｄ」ヘッダが続く。各「Ｒｅｃｅｉｖｅｄ」ヘッダは、電子メールサーバ、ゲートウェイ若しくはその宛先に電子メールメッセージを転送するリレー、又はその電子メールメッセージの最終的な宛先によって追加される。

例えば、表示６０２の最初の「Ｒｅｃｅｉｖｅｄ」ヘッダは、ＩＰアドレス１０．１０３．１３６．１を有する装置が、木曜日、８月３１日、２０１７年、１０：４４：４０にその電子メールメッセージを受信したことを示している。この装置は、その電子メールメッセージをクライアント装置に提供する最終的な宛先の電子メールサーバである可能性がある。

２番目の「Ｒｅｃｅｉｖｅｄ」ヘッダは、ドメイン名ｍｘ．ｃｏｍｐａｎｙ．ｃｏｍを有する装置が、ドメイン名ｍａｉｌ．ｅｘａｍｐｌｅ．ｃｏｍとＩＰアドレス１９２．１６８．１７４．２４８を有する装置から、木曜日、８月３１日、２０１７年、１０：４４：４０にその電子メールメッセージを受信したことを示している。このヘッダはまた、メッセージの受信者がａｌｉｃｅ＠ｃｏｍｐａｎｙ．ｃｏｍとして指定されたことも示している。

両方の「Ｒｅｃｅｉｖｅｄ」ヘッダの情報は、その電子メールメッセージが、ａｌｉｃｅ＠ｃｏｍｐａｎｙ．ｃｏｍに配信されるためにｍａｉｌ．ｅｘａｍｐｌｅ．ｃｏｍによってｍｘ．ｃｏｍｐａｎｙ．ｃｏｍに送信されたことを示唆している。その後、アリスジョーンズの受信トレイへの実際の配信のために、ｍｘ．ｃｏｍｐａｎｙ．ｃｏｍは、ＩＰアドレス１０．１０３．１３６．１を有する装置に、その電子メールメッセージを転送した。電子メールメッセージにはいくつかの「Ｒｅｃｅｉｖｅｄ」ヘッダがある場合があり、これらは任意の順序で出現し得る。

「Ｒｅｃｅｉｖｅｄ−ＳＰＦ」ヘッダは、推定される送信元ホストの送信者ポリシーフレームワーク（ＳＰＦ）ルックアップの結果を提供する。ＳＰＦは、電子メールメッセージがドメインから送信されたかどうかを、そのように行う権限を授けられたホストによって検出するための検証手法である。各ドメインは、そのドメインのためのＤＮＳレコードに、権限を授けられた送信元ホストの一覧を記憶することができる。フィッシング攻撃は多くの場合偽造された「Ｆｒｏｍ」アドレスを使用するため、ＳＰＦレコードをチェックすることが、これらの試みを検出するために使用されるようにすることができる。従って、表示６０２の「Ｒｅｃｅｉｖｅｄ−ＳＰＦ」ヘッダは、「ｅｘａｍｐｌｅ．ｃｏｍ」が許可された送信者として１９２．１６８．１７４．２４８を指定しているため、ＳＰＦチェックが合格（ｐａｓｓ）したことを示す。

「Ｒｅｔｕｒｎ−Ｐａｔｈ」ヘッダは、ボブスミスの電子メールアドレスｂｓｍｉｔｈ＠ｅｘａｍｐｌｅ．ｃｏｍを与える。一般に、このヘッダは、電子メールバウンスアドレス − 配信不能なメールが転送されるべき電子メールアドレスとして、送信元システムによって提供される値に設定される。

最後の２つのヘッダ、「Ａｃｃｅｐｔ−Ｌａｎｇｕａｇｅ」及び「Ｍｅｓｓａｇｅ−ＩＤ」は、応答で使用される言語及びその電子メールメッセージの一意の識別子を、指定する。どちらも通常、その電子メールメッセージの送信者によって設定される。

電子メールメッセージは多数のヘッダを含まれている場合があり、その例だけが図６Ａに表示されている。これらのヘッダの一部は、送信者に関連付けられた電子メールサーバによって電子メールメッセージ内に配置される場合がある。その他は、中間の電子メールサーバ又は受信者に関連付けられた電子メールサーバによって、電子メールメッセージ内に配置され得る。一般に、電子メールサーバは、電子メールメッセージを生成、送信、又は受信するときに、ほぼすべてのヘッダを挿入又は上書きできる。従って、電子メールメッセージは、偽造されたヘッダ情報を含む詐欺及び／又はなりすまし攻撃に対して、特に脆弱である。

これらのヘッダの情報、並びに本文の情報から、電子メールメッセージがフィッシング攻撃であるかどうかの推定を行うことができる。しかし、そのようにするための手順を評価するためには、そのような攻撃を含む電子メールの例を検討することが助けになる。

図６Ｂは、電子メールメッセージの別の例の表示６１０を示している。ディスプレイ６１０はまた、一般的な電子メールクライアントアプリケーションがユーザに電子メールメッセージをどのように表示するか示している。表示６１０に示されているヘッダは、推定される送信者（ｂｓｍｉｔｈ＠ｅｘａｍｐｌｅ．ｃｏｍの電子メールアドレスを持つＦｅｌｉｘ）、推定される受信者（ａｌｉｃｅ＠ｃｏｍｐａｎｙ．ｃｏｍの電子メールアドレスを持つＡｌｉｃｅ Ｊｏｎｅｓ）、推定される電子メールの件名（「Ｓｅｐｔｅｍｂｅｒ ｐａｙｍｅｎｔ」）、及び推定時間及び電子メールメッセージが送信された日付（Ｆｒｉｄａｙ， Ｓｅｐｔｅｍｂｅｒ ８， ２０１７ ａｔ １：３８：０８ＰＭ）を示している。この特定の電子メールメッセージの残りの部分は、おそらく９．９１英国ポンドの支払いを要求するメッセージであるそのメールの本文である。その電子メールメッセージはまた、添付ファイルも含んでいる。この添付ファイルは、１つ以上の圧縮ファイルを含むｚｉｐファイルであることを示すファイル名拡張子を有している。

ディスプレイ６１２は、その電子メールメッセージの追加ヘッダを示している。特に、２番目の「Ｒｅｃｅｉｖｅｄ」ヘッダは、ｍｘ．ｃｏｍｐａｎｙ．ｃｏｍがＩＰアドレス１７２．２０．１７．１９４を有するドメインｓｔａｔｉｃ．ｓｐｒｏｆ．ｚｖｎｘからその電子メールメッセージを受信したことを示している。しかしながら、「Ｒｅｃｅｉｖｅｄ−ＳＰＦ」ヘッダは、ドメインｂａｎｋｏｆｅｑｕｉｔｙ．ｃｏが電子メールメッセージを送信するために１７２．２０．１７．１９４における電子メールサーバを使用する権限が授けられていないため、ＳＰＦルックアップが失敗（ｆａｉｌ）したことを示している。更に、ヘッダのいくつかは、不審に見えるドメインを含んでいる。例えば、ドメインｓｔａｔｉｃ．ｓｐｒｏｆ．ｚｖｎｘは、正当なトップレベルドメイン（「ｚｖｎｘ」）を有しているとは思われず、「Ｒｅｔｕｒｎ−Ｐａｔｈ」ヘッダはランダムなタイピングの結果と思われる電子メールアドレスを含んでいる。「Ｒｅｔｕｒｎ−Ｐａｔｈ」ヘッダの電子メールアドレスが「Ｆｒｏｍ」ヘッダの電子メールアドレスと同じではないという事実は、珍しいことではないし、それ自体の不審ではないかもしれない。− この慣習は、メーリングリストに電子メールを送信するときには一般的である。また、「Ｆｒｏｍ」ヘッダの電子メールアドレスはｕｓｅｒ＠ｂａｎｋｏｆｅｑｕｉｔｙ．ｃｏであるが、「Ｆｅｌｉｘ（フェリックス）」として送信者の名前も与えている。

加えて、電子メールの本文自体は、スペルミス、文法の不備、不適切な句読点、及び空白文字の珍しい使い方を含んでいるため、不審である。メールに埋め込まれたＵＲＬ（ｈｔｔｐ：／／ｗｗｗ．ｂａｎｋｏｆｅｑｕｉｔｙ．ｃｏ／ｗｅｎｆ＆２３）は、実際のウェブサイトをエミュレートする偽のウェブサイトに導き、訪問者に実際のウェブサイトのための彼又は彼女の資格情報を入力させることを試みている可能性がある。添付ファイルも同様に、それはｚｉｐファイルと称しているので、問題を含んでいる可能性がある。Ｚｉｐファイル、実行可能ファイル、及びその他の種類のファイルは、一般に、受信者のコンピュータ装置にマルウェアを配布するために使用される。ユーザはファイルをダウンロードして実行する可能性があり、それはマルウェアにコンピュータ装置にインストールされるようにさせることになる。

また、これらの各要素は、ディスプレイ６１０及び６１２の電子メールメッセージがフィッシング攻撃であることを意味する場合とそうでない場合がある。しかし、それらの組合せは、これはそのようなケースであると強く示している。おそらく、その電子メールメッセージがフィッシング攻撃であるという最も強力な指標は、「Ｒｅｃｅｉｖｅｄ−ＳＰＦ」ヘッダに示されている失敗したＳＰＦルックアップである。

それにもかかわらず、フィッシング攻撃はスパムメール（例えば、迷惑メールなど）と区別することが困難な場合がある。フィッシング攻撃とは異なり、スパムメールは一般的に商品やサービスを販売するための無害な試みであり、受信者の機密性の高い個人情報を取得しようとはしない。しかし、特定の電子メールメッセージが正当である、スパムである、又はフィッシングであるか否かを判定することは、今日の洗練された機械学習技術に対しても、やりがいがあるものにできる。企業又はインターネットサービスプロバイダ（ＩＳＰ）により運用されている電子メールフィルタリングソフトウェアは、フィッシング攻撃の一部は正確に検出できるが、すべてではない。従って、少なくとも一部のフィッシング攻撃は、ユーザの電子メールの受信トレイに届くだろう。

ユーザに配信されるフィッシング攻撃の潜在的な損害を軽減するために、企業は、フィッシングの特性について電子メールメッセージを視覚的に検査する方法を、従業員に教育することができる。従業員は、セキュリティ専門家による更なる分析のために、疑わしいフィッシング攻撃を含む電子メールメッセージを別個の電子メールアドレスに転送することを推奨されるようにすることができる。

その結果、企業は、その従業員達を巻き込むフィッシング攻撃の流行とタイプについての改善された評価を得ることができるかもしれない。そうすることにより、企業は、一般的なフィッシング攻撃、フィッシング攻撃の成功の影響を検出し、この影響を緩和できるようにすることができる。例えば、特定の種類のフィッシング攻撃に明確な署名（例えば、偽のウェブサイトにつながる特定のＵＲＬや特定の添付ファイル）がある場合、企業は、これらの攻撃を含むこれらの電子メールメッセージが目的の受信者に配信されないように、その企業の電子メールフィルタリングソフトウェアにルールを追加することができる。代わりに又は加えて、もし特定の種類のフィッシング攻撃が成功して特定のマルウェアをコンピュータ装置にインストールしたときに、企業はどのコンピュータ装置が感染しているかを特定し、マルウェアを根絶するための対策を講じることができる。このことは、コンピューティング装置上のマルウェア対策ソフトウェアの更新、コンピュータ装置上のファイルの手動削除、コンピューティング装置の構成の編集、及び／又はコンピューティング装置上のディスクドライブの再フォーマットとオペレーティングシステムの再インストールを含むことができる。

このように、フィッシング攻撃によって引き起こされる問題の検出、封じ込め、および根絶は、セキュリティの専門家によって実行されると数時間または数日かかることがある。しかし、これらの攻撃に対処する場合、時間が本質である。セキュリティ担当者がフィッシング攻撃の影響を軽減するのにかかる時間が長ければ長いほど、この攻撃は更なるユーザを標的にし、感染したコンピューティングデバイスから拡散することができる。フィッシング攻撃の存在と範囲、並びにそれに対処するために必要な時間を判定することの複雑さにとって、攻撃によって引き起こされるセキュリティ上の問題が緩和の努力にもかかわらず広がり続けることができることが非常に大きくなることは、珍しいことではない。

従って、ここでの実施形態は、少なくとも迅速な方法でフィッシング攻撃に対処する技術的問題に対する技術的な解決策である。更に、フィッシング攻撃はコンピュータのネットワーキング環境にのみ存在するため、これらの解決策はコンピュータ及びネットワーキングに基本的に結び付けられている。

＜ＶＩ．管理対象ネットワークにおけるフィッシング攻撃に対処するためのネットワークアーキテクチャ＞
図７Ａは、フィッシング攻撃に関連する脅威を含む、自動セキュリティ脅威検出及び軽減を提供できるネットワークアーキテクチャを描いている。このアーキテクチャは、管理対象ネットワーク３００とコンピュータのインスタンス３２２を含み、これらはインターネット７１４（これは、パブリックインターネット、プライベートネットワーク、又はワイドエリアネットワークであってよい）を跨いで互いに通信できる。サードパーティの脅威データベース７１６はまた、インターネット７１４に通信可能なように結合されるようにすることができる。

管理対象ネットワーク３００は、図７Ａにセキュリティ実施ポイントとして示されているものを含む、多くの装置、システム、及び／又はソフトウェアアプリケーションを含むことができる。これらの装置は、ファイアウォール７００、侵入検知システム（ＩＤＳ）／侵入防止システム（ＩＰＳ）７０２、電子メールサーバ７０４、電子メールクライアント７０６、及びクライアント装置７０８である。

前述のように、ファイアウォール７００などのファイアウォールは、権限が授けられた通信を許可しながら、管理対象ネットワーク３００をその中にある装置、アプリケーション、及びサービスへの不正なアクセスから保護する、１つ以上の専用ルータ又はサーバ装置であるようにすることができる。

ＩＤＳ／ＩＰＳ７０２は、（通常は受け身の形で）悪意のある活動又はポリシー違反に対して、ネットワークを監視する装置又はアプリケーションであるようにすることができる。ＩＰＳは、検出された脅威に応答するための機能を少なくとも含むことができる。例えば、ＩＰＳは、攻撃をブロックしたり、攻撃に関与するネットワークトラフィックの内容を動的に変更したりするために、ファイアウォールを動的に設定できるようにすることができる。

電子メールサーバ７０４は、着信メールを受信し、それを受信者のコンピュータ装置に転送し、又は受信者が確認するかさもなければ処理するために受信トレイに保存する装置又はソフトウェアアプリケーションであるようにすることができる。電子メールクライアント７０６は、電子メールサーバ７０４と通信して１人以上の特定の受信者のためのメールを受信する装置又はソフトウェアアプリケーションであるようにすることができる。電子メールクライアント７０６はまた、表示６００及び表示６１０と類似するような形で又は別のフォーマットで、受信された電子メールメッセージを表示できるユーザインタフェース機能を含めることもできる。電子メールサーバ７０４と電子メールクライアント７０６は、標準化された又は独自のプロトコルに従って通信することができる。

クライアント装置７０８は、ユーザによる操作を目的とした１つ以上のコンピューティング装置を含むことができる。例えば、これらの装置は、パーソナルコンピュータ、ラップトップ、タブレット、スマートフォンなどであってよい。クライアント装置７０８は、クライアント装置７０８に感染するマルウェアの検出、隔離、及び削除を試みるウイルス対策アプリケーションなど、さまざまな種類のマルウェア対策ソフトウェアを実行できる。そのようなことを行うために、マルウェア対策ソフトウェアは、署名又はマルウェアの新しい種類の他の兆候により、定期的に更新される必要があるようにすることができる。

図７Ａには明示的には示されていないが、ファイアウォール７００、ＩＤＳ／ＩＰＳ７０２、電子メールサーバ７０４、電子メールクライアント７０６、及びクライアント装置７０８のいずれも、スパムフィルタソフトウェアアプリケーションを含むことができる。このようなアプリケーションは、迷惑及び／又は望まれていない電子メールメッセージを検出し、それらのメッセージが予定の受信者の受信トレイに到達することを防ぐことを試みるようにすることができる。スパムとしてマークされた電子メールメッセージは、受信トレイではなくスパムフォルダに配信されるか、又は遠隔で隔離されるようにすることができる。いくつかのケースでは、スパムフィルタは特定の種類のフィッシング攻撃を検出することもできるが、これらの攻撃の成長する高度化によって、少なくとも一部のフィッシング攻撃はスパムフィルタを無傷で通過し、ユーザの受信トレイに配信される結果となる。

一部のスパムフィルタは、電子メールメッセージのスコアを計算するために機械学習技法を使用し、このスコアを使用してこれらの電子メールメッセージをスパムとして分類するかどうかを判定する。例えば、失敗したＳＰＦルックアップのような不審なヘッダを有する含む電子メールメッセージは、同様に不審なヘッダを有する今後の電子メールメッセージがスパムとして分類される可能性が高いというスコアが付けられる。同様に、本文内に特定のキーワード、フレーズ、又はＵＲＬを有する電子メールメッセージもまた、それらがスパムとして分類される可能性が高いというスコアが付けられるようにすることができる。そのようなスパムフィルタは、その分類機能を改善するために、実際のスパムと非スパムの例が随時提供されるようにすることができる。

コンピュータのインスタンス３２２は、セキュリティ判定ポイント７１０及びセキュリティインシデントデータベース７１２を含むことができる。セキュリティ判定ポイント７１０は、それ自身の又は他の実体からの支援を受けて、不審な又は実際のフィッシング攻撃のレポートを分析してその特性と範囲を判定する装置又はソフトウェアアプリケーションであるようにすることができる。セキュリティインシデントデータベース７１２は、そのようなフィッシング攻撃のレコードを含むことができ、これらの特性を時間の経過とともに追跡し、並びに影響を受ける装置及び／又はユーザの範囲を判定するためのリポジトリとして機能するようにすることができる。

サードパーティの脅威データベース７１６は、フィッシング攻撃を含む、特定の観測されたフィッシング攻撃を含むセキュリティ脅威に関連付けられた特徴ベクトルを記憶する装置及び／又はソフトウェアアプリケーションであるようにすることができる。サードパーティの脅威データベース７１６は、特徴ベクトルの１つ以上の特徴を指定する要求を受信し、１つ以上の特徴に関連付けられている１つ以上のセキュリティ脅威のリストをすぐに応答して提供できるＡＰＩを含むことができる。いくつかのケースでは、図７Ａに示されるように、サードパーティの脅威データベース７１６は、インターネット７１４を介してアクセスできるようにすることができる。代わりに、サードパーティの脅威データベース７１６は、一般に、コンピュータのインスタンス３２２又はリモートネットワーク管理プラットフォーム３２０内に配置されてもよい。

これらのコンポーネントの動作については、図７Ｂの実施例で更に示される。特に、図７Ｂは、フィッシング攻撃の検出と軽減を描いたメッセージフロー図である。

ステップ７２０で、電子メールサーバ７０４は電子メールメッセージを受信する。例示の目的で、その電子メールメッセージがフィッシング攻撃を含んでいることが仮定されている。例えば、電子メールメッセージには、図６Ｂに示されているのと同じ又は類似したヘッダ及び本文の内容が含まれていてよい。

ステップ７２２で、電子メールサーバ７０４は、電子メールメッセージにセキュリティポリシーを適用する。そのポリシーは事前に定義されていてよく、例えば、スパムフィルタポリシーであってよい。そのようにして、電子メールサーバ７０４は、その電子メールメッセージのヘッダ及び／又は本文をスキャンすることができる。例えば、電子メールサーバ７０４は、その電子メールメッセージをスパム又は非スパムのいずれかとして分類するために、スパムフィルタ手法を適用することができる。フィッシング攻撃は、そのスパムフィルタポリシーによって、スパムと見なされる場合がある。

例示の目的で、上記電子メールメッセージは、その中に内に含まれるフィッシング攻撃にもかかわらず、スパムとして分類されないと仮定されている。上述のように、巧妙なフィッシング攻撃は合法の電子メールメッセージによく似ているので、これは珍しくない。

いずれの場合でも、ステップ７２４で、電子メールサーバ７０４は電子メールクライアント７０６に、電子メールメッセージを送信する。そこで、それは人間の受信者によって閲覧されるかもしれない。人間の受信者は、よく知らされていれば、その電子メールメッセージがフィッシング攻撃であると疑うかもしれない。従って、人間の受信者は、その電子メールメッセージを、指定された電子メールアドレス及び／又はセキュリティ判定ポイント７１０に関連付けられた受信トレイに転送するようにすることができる。このように、ステップ７２６は、電子メールメッセージが電子メールサーバ７０４に送信されることを含んでよい。

別の実施形態では、電子メールサーバ７０４又は電子メールクライアント７０６は、電子メールメッセージにフィッシング攻撃が含まれていることを自動的に判定できる場合がある。このようにして、これらのコンポーネントのいずれかが電子メールメッセージをセキュリティ判定ポイント７１０に転送するようにすることができる。

それにもかかわらず、ステップ７２８で、転送された電子メールは、セキュリティ判定ポイント７１０に到着することがある。ステップ７３０で、セキュリティ判定ポイント７１０は、そのメッセージを、フィッシング攻撃の観測可能な指標のために解析することができる。観察可能な指標の例としては、電子メールメッセージの推定された送信者及び受信者、その電子メールメッセージの送信に関与していた任意の電子メールサーバの、ドメイン名及び／又はＩＰアドレス、その電子メールメッセージの本文に含まれているＵＲＬ、任意の添付のファイル名、及び／又はこれらの添付の各々に一方向ハッシュ関数を適用した出力を含むことができる。

特に、ハッシュ関数の使用は、そのファイル自体が記憶される必要がないように、そのファイルを短い固定長のフォーマット（数バイト）で表すことが可能となる。ハッシュ関数の例としては、ＭＤ６及びＳＨＡ−３を含むことができる。

ステップ７３２において、セキュリティ判定ポイント７１０は、少なくともこれらの観測可能な指標の一部を、サードパーティの脅威データベース７１６に送信することができる。観測可能な指標は、特徴ベクトルフォーマットを使用して表すことができる。

応答として、サードパーティの脅威データベース７１６は、記憶されている特徴ベクトルに対してその観測可能な指標のルックアップを実行することができる。観測可能な指標と１つ以上の記憶されている特徴ベクトルの間にもし一致がある場合、サードパーティの脅威データベース７１６は、その観測可能な指標の脅威を示すとして識別することができる。従って、ステップ７３４において、特徴付けられた脅威の表示が、セキュリティ判定ポイント７１０に送信されるようにすることができる。この表示は、脅威を表す、数値コード、テキスト文字列、バイナリ識別子、又はその他の方法であってよい。

特徴ベクトルの例としては、［＜送信者の電子メールアドレス＞，＜受信者の電子メールアドレス＞、＜メールサーバのドメイン名＞，＜電子メールサーバのＩＰアドレス＞，＜電子メールメッセージ内のＵＲＬ＞，＜添付のファイル名＞，＜添付のハッシュ出力＞］のような、値の配列のフォーマットとすることができる。これは、単に１つの潜在的な配置であり、他の可能性も存在する。図６Ｂの電子メールメッセージのケースでは、特徴ベクトルは：［“ｕｓｅｒ＠ｂａｎｋｏｆｅｑｕｉｔｙ．ｃｏ”，”ａｌｉｃｅ＠ｃｏｍｐａｎｙ．ｃｏｍ”，”ｓｔａｔｉｃ．ｓｐｒｏｆ．ｚｖｎｘ”，“１７２．２０．１７．１９４”，“ｈｔｔｐ：／／ｗｗｗ．ｂａｎｋｏｆｅｑｕｉｔｙ．ｃｏ／ｗｅｎｆ＆２３”，“Ｐ＿１８７５７０＿２０１７０８”，“Ａ７ＦＥ７１ＡＥＤ８８Ｆ”］のようになるかもしれない。

いくつかのケースでは、特徴ベクタは要素の記入を含まない場合がある。例えば、ＵＲＬ又は添付ファイルのない疑わしいメールフィッシング攻撃が処理された場合、特徴ベクタの最後の３つの要素はｎｕｌｌ、空文字列、又はゼロを埋めた値が含まれてよい。従って、観測可能な指標を記憶された特徴ベクトルにマッチさせる場合には、これらの要素は考慮されないかもしれない。更に、セキュリティ判定ポイント７１０が一致を見つけるために、与えられた観測可能な指標のすべてが特徴ベクトル内のすべての特徴に一致する必要はない。セキュリティ判定ポイント７１０は、部分一致に基づいて脅威を分類できる。例えば、図６Ｂの電子メールメッセージのための上記の特徴ベクトルの例を考えると、ｈｔｔｐ：／／ｗｗｗ．ｂａｎｋｏｆｅｑｕｉｔｙ．ｃｏ／ｗｅｎｆ＆２３のＵＲＬとＰ＿１８７５７０＿２０１７０８．ｚｉｐの添付ファイルの名前を含む観察可能な指標の任意のセットは、フィッシング攻撃に関連付けられていると見なされるようにすることができる。

もしセキュリティ判定ポイント７１０が、サードパーティの脅威データベース７１６から、提供された観測可能な指標が脅威に関連付けられているという表示を受信すると（例えば、ステップ７３４）、セキュリティ判定ポイントは、セキュリティインシデントデータベース７１２と管理対象ネットワーク３００上の１つ以上の装置の両方を更新することができる。

例えば、ステップ７３６で、セキュリティ判定ポイント７１０は、電子メールメッセージ及び／又はその観測可能な指標のコピーを、セキュリティインシデントデータベース７１２に送信することができる。応答として、ステップ７３８において、セキュリティインシデントデータベース７１２は、この情報を記憶することができる。セキュリティインシデントデータベース７１２を保守することにより、セキュリティ担当者は、新たに検出されたフィッシング攻撃によって影響を受けるユーザ及び／又は装置を迅速に判定することができる。例えば、セキュリティインシデントデータベース７１２は、過去に報告された観測可能な指標をセキュリティ担当者が検索できるグラフィカルユーザインタフェースを提供することができる。例として、セキュリティ専門家は、電子メールメッセージがＵＲＬ ｈｔｔｐ：／／ｗｗｗ．ｂａｎｋｏｆｅｑｕｉｔｙ．ｃｏ／ｗｅｎｆ＆２３を含む以前のインシデントを検索する可能性がある。１つ以上が見つかった場合、セキュリティ担当者は、これらの以前のインシデントに関連するユーザ又は装置をチェックして、ユーザがそのＵＲＬにアクセスし及び／又は関連付けられたいずれかの添付ファイルを装置にダウンロードしたか否かを判定できる。

ステップ７４０で、セキュリティ判定ポイント７１０は、電子メールサーバ７０４にセキュリティポリシーの更新を送信する場合がある。このセキュリティポリシーの更新は、電子メールサーバ７０４に対して、今後着信するどの電子メールメッセージも、１つ以上の観測可能な指標（例えば、電子メールアドレス、ＩＰアドレス、ドメイン名、ＵＲＬ、添付ファイル名、又は添付のハッシュ値）がその流通する電子メールメッセージのものと一致する場合に、その電子メールメッセージをブロックするように指示することができる。例えば、電子メールサーバ７０４は、ＵＲＬ ｈｔｔｐ：／／ｗｗｗ．ｂａｎｋｏｆｅｑｕｉｔｙ．ｃｏ／ｗｅｎｆ＆２３を含むまたはｕｓｅｒ＠ｂａｎｋｏｆｅｑｕｉｔｙ．ｃｏの推定送信者を有するどの電子メールメッセージの配信も、差し止めることができる。これらのメッセージは、今後の参照又は削除のためにアーカイブできる。

図７Ｂに明示的に示されていない代替又は追加の実施形態では、セキュリティポリシーの更新がファイアウォール７００に送信されるようにすることができる。ステップ７４０のセキュリティポリシーの更新と同様に、このセキュリティポリシーの更新は、ファイアウォール７００に対して、現在の電子メールメッセージのものと一致する１つ以上の観測可能な指標（例えば、電子メールアドレス、ＩＰアドレス、ドメイン名、ＵＲＬ、添付ファイル名、又は添付のハッシュ値）を含む着信した電子メールメッセージをブロックするように指示することができる。

図７Ｂに明示的に示されていない別の代替又は追加の実施形態では、セキュリティポリシーの更新が電子メールクライアント７０６に送信されるようにすることができる。このセキュリティポリシーの更新は、電子メールクライアント７０６に対して、現在の電子メールメッセージのものと一致する１つ以上の観測可能な指標（例えば、電子メールアドレス、ＩＰアドレス、ドメイン名、ＵＲＬ、添付ファイル名、又は添付のハッシュ値）を含む着信した電子メールメッセージをブロックするように指示することができる。

図７Ｂに明示的に示されていない別の代替又は追加の実施形態では、セキュリティポリシー更新が１つ以上の装置７０８に送信されるようにすることができる。このセキュリティポリシーの更新は、これらの装置上で実行されているマルウェア対策アプリケーションに対して、ファイルＰ＿１８７５７０＿２０１７０８をスキャンするように、又はそのようなファイルがその装置にダウンロード又はインストールされている証拠を出すように、指示することができる。もしこれらの装置がエンドポイントファイアウォールソフトウェアを実行している場合、そのセキュリティポリシーの更新は、そのファイアウォールソフトウェアに対して、現在の電子メールメッセージのものと一致する１つ以上の観測可能な指標（例えば、電子メールアドレス、ＩＰアドレス、ドメイン名、ＵＲＬ、添付ファイル名、又は添付のハッシュ値）を含む着信した電子メールメッセージをブロックするように指示することができる。

図７Ｂに明示的に示されていない別の代替又は追加の実施形態では、セキュリティポリシーの更新がＩＤＳ／ＩＰＳ７０２の装置に送信されてもよい。このセキュリティポリシーの更新は、ＩＤＳ／ＩＰＳ７０２に対して、現在の電子メールメッセージのものと一致する１つ以上の観測可能な指標（例えば、電子メールアドレス、ＩＰアドレス、ドメイン名、ＵＲＬ、添付ファイル名、又は添付のハッシュ値）を含む着信した電子メールメッセージにセキュリティ脅威としてフラグを設定するように、指示することができる。

いくつかの実施形態では、サードパーティの脅威データベースは、ステップ７３２でそれが受信した観測可能な指標がフィッシング攻撃を示すものではないことを指定することができる。この場合、電子メールメッセージはスパムである可能性が高くなる。従って、セキュリティ判定ポイント７１０は、電子メールサーバ７０４、電子メールクライアント７０６、又は図７Ｂに示されていない別の実体のいずれかの一部であるスパムフィルタに、更新を送信することができる。この更新は、これらの観測可能な指標を有する今後の電子メールメッセージの正常な配信を阻止する可能性が増えるようにすることができる（例えば、このような電子メールメッセージは、受信者のスパムフォルダに送信されるか、どこかに隔離される）。このようにして、受信者は、電子メールメッセージを、その電子メールメッセージが単なるスパムにすぎない場合に、潜在的なフィッシング攻撃としてセキュリティ判定ポイント７１０に転送する可能性が低くなる。従って、セキュリティ判定ポイント７１０によって引き出される結論は、ユーザからのより少ない“偽陽性”に基づくものとなるため、そのため、正確である可能性が高くなる。加えて、セキュリティ判定ポイント７１０の負荷が軽減される。

＜ＶＩＩ．動作例＞
図８は、例示的実施形態を示すフローチャートである。図８によって示されるプロセスは、コンピューティング装置１００のようなコンピューティング装置、及び／又はサーバクラスタ２００などのようなコンピューティングクラスタ装置により、実行されるようにすることができる。しかしながら、そのプロセスは、他のタイプの装置又は装置サブシステムで実行されることもできる。例えば、そのプロセスは、ノートパソコンやタブレット装置などのポータブルコンピュータによって実行されることもできる。

図８の実施形態は、そこに示されている機能のいずれか１つ以上の除去によって簡略化することができる。また、これらの実施形態は、前述した図のさもなければここに説明されるいずれかの機能、態様、及び／又は実装と組み合わせることができる。

ブロック８００は、リモートネットワーク管理プラットフォームのコンピュータのインスタンス内に配置されたセキュリティ判定ポイント装置において、管理対象ネットワークを経由してメッセージを受信することを含むようにすることができる。上記メッセージは、上記管理対象ネットワーク内に配置された特定のコンピューティング装置によって取得されているようにすることができる。上記コンピュータのインスタンスは、上記管理対象ネットワークを受け持つようにすることができる。

ブロック８０２は、上記セキュリティ判定ポイント装置によって、上記メッセージを解析して、１つ以上のセキュリティ脅威の観測可能な指標を識別することを含むようにすることができる。上記観測可能な指標は、ネットワークアドレス、ハイパーリンク、又は添付ファイルの表示の少なくとも１つを含めることができる。ネットワークアドレスは、例えば、電子メールアドレス、ドメイン名、ＩＰアドレス、又はアドレスのいくつかの他の形式であってよい。

ブロック８０４は、上記セキュリティ判定ポイント装置によって、上記観測可能な指標に対してセキュリティ脅威データベースを遠隔で照会することを含むようにすることができる。

ブロック８０６は、上記セキュリティ判定ポイント装置によって、上記セキュリティ脅威データベースから、上記観測可能な指標が特定のセキュリティ脅威に関連付けられているという表示を受信することを含むようにすることができる。

ブロック８０８は、上記セキュリティ実施ポイント装置によって、上記管理対象ネットワーク内に配置されているセキュリティ実施ポイント装置に、上記特定のセキュリティ脅威が軽減されるように、上記セキュリティ実施ポイント装置のセキュリティポリシーを更新するコマンドを送信することを含むようにすることができる。上記コマンドの受信は、上記セキュリティ実施ポイント装置に対して、上記更新されたセキュリティポリシーに従って動作を変更させるようにすることができる。

いくつかの実施形態では、上記メッセージは上記ネットワークアドレス及び上記ハイパーリンクを含む電子メールメッセージである。上記ネットワークアドレスは、上記電子メールメッセージのヘッダ内に格納されてよく、上記電子メールメッセージが送信されたＩＰアドレスであってよい。上記ハイパーリンクは、上記電子メールメッセージの本文内に含まれるＵＲＬであってよい。

いくつかの実施形態では、上記メッセージは上記ネットワークアドレスと上記ハイパーリンクを含む電子メールメッセージである。上記ネットワークアドレスは、上記電子メールメッセージのヘッダ内に含まれてよく、送信元の電子メールアドレスであってよい。上記ハイパーリンクは、上記電子メールメッセージの本文内に含まれるＵＲＬであってよい。

いくつかの実施形態では、上記添付ファイルの上記表示は、上記添付ファイルに一方向関数を適用することによって計算されるハッシュである。別の実施形態では、上記添付ファイルの上記表示は、添付ファイルの名前である。

いくつかの実施形態では、上記セキュリティ実施ポイント装置は、上記管理対象ネットワークに代わって電子メールメッセージを受信する電子メールサーバ装置である。上記更新されたセキュリティポリシーは、上記電子メール装置に対して、上記ネットワークアドレス、上記ハイパーリンク、又は上記添付ファイルの表示に一致する特性を有する任意のファイルを含む上記受信された電子メールメッセージの配信を差し止めさせるようにすることができる。

いくつかの実施形態では、上記セキュリティ実施ポイント装置は、マルウェア対策ソフトウェアを実行している上記管理対象ネットワーク上のエンドポイントコンピューティング装置である。上記更新されたセキュリティポリシーは、上記マルウェア対策ソフトウェアに対して、上記添付ファイルが更なる電子メールメッセージに出現したときにマルウェアであると見なさせ、上記添付ファイルを隔離させるようにすることができる。

いくつかの実施形態では、上記セキュリティ実施ポイント装置は、上記管理対象ネットワーク上のファイアウォール装置である。上記更新されたセキュリティポリシーは、上記ファイアウォールに対して、上記ハイパーリンク又は上記添付ファイルの表示に一致する特性を持つ任意のファイルを含む上記ネットワークアドレスから流入するネットワークトラフィックをブロックさせるようにすることができる。

いくつかの実施形態では、上記管理対象ネットワークを経由して上記メッセージを受信することは、上記特定のコンピューティング装置から転送された電子メールとして上記メッセージを受信することを含む。

いくつかの実施形態では、上記セキュリティ判定ポイント装置は、上記特定のセキュリティ脅威が観察されたことを示す警告を供給するように更に構成される。いくつかの実施形態では、上記セキュリティ判定ポイント装置は、上記コンピュータのインスタンス内に配置されたセキュリティインシデントデータベースにおいて、上記ネットワークアドレス、上記ハイパーリンク、又は上記添付ファイルの表示の少なくとも１つを含む、観察された上記特定のセキュリティ脅威のレコードを記憶するように更に構成される。

いくつかの実施形態では、上記メッセージは、上記添付ファイルを含む電子メールメッセージであり、上記電子メールメッセージは上記管理対象ネットワークに関連付けられた電子メールサーバ装置によって受信される。上記セキュリティ判定ポイント装置は、上記電子メールサーバ装置に照会して、上記添付ファイルが上記電子メールサーバ装置によって受信された数、上記添付ファイルが配信された電子メールアカウントの数、及び／又は上記添付ファイルが配信された上記電子メールアカウントを確定するように更に構成されてよい。

上記セキュリティ判定ポイント装置は、上記管理対象ネットワークを介して２番目のメッセージを受信し、上記２番目のメッセージは２番目の電子メールメッセージであり、上記２番目のメッセージを解析して、１つ以上のセキュリティ脅威の２番目の観測可能な指標を識別し、上記２番目の観測可能な指標を使用して、上記セキュリティ脅威データベースを遠隔で照会し、上記セキュリティ脅威データベースから、上記２番目の観測可能な指標が上記セキュリティ脅威のいずれにも関連付けられていないことを示す２番目の表示を受信し、そして、上記管理対象ネットワークに関連付けられている電子メールスパムフィルタに、上記２番目のメッセージがスパムでないことを示す２番目の表示を有する上記２番目のメッセージを送信するように更に構成される。上記２番目のメッセージ及び上記２番目の表示の受信は、上記電子メールスパムフィルタに対して、そのフィルタリングルールを更新させるようにすることができる。上記２番目の観測可能な指標は、２番目のネットワークアドレス、２番目のハイパーリンク、又は２番目の添付ファイルの２番目の表示の少なくとも１つを含んでよい。

これらの実施形態は、上記メッセージを受信する上記組織内における上記脅威の上記範囲を理解することを容易にする。更に、それらは、電子メールサーバで同様のメッセージを検索することにより、また記憶されたログで同様のメッセージを検索することにより、そして、任意の怪しいファイル添付のハッシュを検索するエンドポイントツールを介して、高められるようにすることができる。

＜結論＞
本開示は、本願に記載された特定の実施形態の観点から限定されるものではなく、種々の態様の例証として意図されている。多くの変更及び変形は、当業者にとって明らかなものとなろうから、その範囲から逸脱することなく行うことができ、ここに説明されているものに加えて、開示の範囲内で機能的に同等の方法及び装置は、前述の記載から当業者には明らかであろう。このような変更及びバリエーションは、添付された特許請求の範囲内に含まれることを意図している。

上記の詳細な説明は、付属の図面に関連して開示されたシステム、装置、及び方法のさまざまな機能及び動作を説明したものである。ここに説明されている及び図面中の例示的実施形態は、制限を意図したものではない。ここに提供されている主題の範囲から逸脱することなく、他の実施形態が利用可能であり、その他の変更を行うことができる。本開示の態様としては、ここで一般的に説明され図中に例示されているように、配置され、置換され、結合され、分離され、及び多種多様な異なる構成で設計され得ることが容易に理解される。

図面中で及びここで説明されているメッセージフロー図、シナリオ、及びフローチャートに関連して、例示的実施形態に基づいて、各ステップ、ブロック、及び／又は通信は、情報の処理及び／又は情報の送信を表すことができる。代替となる実施形態は、これらの例示的実施形態の範囲内に含まれる。これらの代替となる実施形態において、例えば、ステップ、ブロック、送信、通信、要求、応答、及び／又はメッセージとして説明される動作は、図示され又は説明されるものから順番が異なって実行されるようにすることができ、これらは実質的に同時または逆の順序を含むことができ、関係する機能に依存するようにすることができる。更に、ここで説明したいずれのメッセージフロー図、シナリオ、及びフローチャートでも、より多くの又はより少ないブロック及び／又は動作を使用することができ、これらのメッセージフロー図、シナリオ、及びフローチャートは、一部または全体で相互に組み合わせることができる。

情報の処理を表すステップ又はブロックは、本明細書に記載された方法又は技法の特定の論理機能を実行するように構成できる回路に対応することができる。代わりに又は加えて、情報の処理を表すステップ又はブロックは、モジュール、セグメント、又はプログラムコードの一部（関連データを含む）に対応することができる。プログラムコードは、上記方法又は技法における特定の論理動作又はアクションを実装するためにプロセッサによって実行可能な、１つ以上の命令を含むことができる。そのプログラムコード及び／又は関連データは、ＲＡＭ、ディスクドライブ、ソリッドステートドライブ、又は他の記憶媒体を含む記憶装置のような任意のタイプのコンピュータ読取り可能媒体に記憶されるようにできる。

上記コンピュータ読取り可能媒体はまた、レジスタメモリ及びプロセッサキャッシュのように短期間だけデータを記憶するコンピュータ読取り可能媒体のような非一過性のコンピュータ読取り可能媒体を含むことができる。上記コンピュータ読取り可能媒体は更に、プログラムコードやデータをより長期間記憶する非一過性のコンピュータ読取り可能媒体を含むことができる。従って、上記コンピュータ読取り可能媒体は、例えば、ＲＯＭ、光又は磁気ディスク、ソリッドステートドライブ、コンパクトディスク読取り専用メモリ（ＣＤ−ＲＯＭ）のような、セカンダリ又は永続的な長期記憶装置を含むことができる。上記コンピュータ読取り可能媒体はまた、任意の他の揮発性又は不揮発性の記憶システムとすることもできる。コンピュータ読取り可能媒体は、例えば有形な記憶装置であるコンピュータ読取り可能記憶媒体であると考えられる。

そのうえ、１つ以上の情報伝達を表すステップ又はブロックは、同じ物理装置内のソフトウェア及び／又はハードウェアモジュール間の情報伝達に対応することができる。ただし、その他の情報伝達は、異なる物理装置のソフトウェアモジュール及び／又はハードウェアモジュール間とすることができる。

図中の特定の配置は、制限するものとして見るべきではない。他の実施形態は、与えられた図面に示される各要素のより多い又はより少ないものを含むことができると理解すべきである。更に、例示された要素のいくつかは、結合され、又は省略されるようにすることができる。また更に、例示的実施形態は、図に例示されていない要素を含むことができる。

様々な態様や実施形態が本明細書に開示されたが、その他態様及び実施形態は、当業者には明らかである。本明細書に開示される種々の態様及び実施形態は、例示の目的のためであり、制限するものではなく、真の範囲は以下の特許請求の範囲により示されるものである。

Claims (20)

1. 管理対象ネットワーク内に配置されたセキュリティ実施ポイント装置であって、前記セキュリティ実施ポイント装置が前記管理対象ネットワーク上のコンピューティング装置をセキュリティの脅威から保護するためのセキュリティポリシーを適用しセキュリティ実施ポイント装置と、
   リモートネットワーク管理プラットフォームのコンピュータのインスタンス内に配置されたセキュリティ判定ポイント装置であって、前記コンピュータのインスタンスは前記管理対象ネットワークを受け持つセキュリティ判定ポイント装置とを備え、前記セキュリティ判定ポイント装置は、
   前記管理対象ネットワークを経由してメッセージを受信し、前記メッセージは、前記コンピューティング装置中の特定のコンピューティング装置によって取得され、
   前記メッセージを解析して、１つ以上のセキュリティ脅威の観測可能な指標を識別し、前記観測可能な指標は、ネットワークアドレス、ハイパーリンク、又は添付ファイルの表示の少なくとも１つを含み、
   前記観測可能な指標に対してセキュリティ脅威データベースを遠隔で照会し、
   前記セキュリティ脅威データベースから、前記観測可能な指標が特定のセキュリティ脅威に関連付けられているという表示を受信し、
   前記セキュリティ実施ポイント装置に、前記特定のセキュリティ脅威が軽減されるように、その関連付けられているセキュリティポリシーを更新するコマンドを送信し、前記コマンドの受信が前記セキュリティ実施ポイント装置に対して前記更新されたセキュリティポリシーに従って動作を変更させる、
   ように構成される、システム。
2. 前記メッセージが前記ネットワークアドレス及び前記ハイパーリンクを含む電子メールメッセージであり、前記ネットワークアドレスは前記電子メールメッセージのヘッダ内に含まれかつ前記電子メールメッセージが送信されたインターネットプロトコル（ＩＰ）アドレスであり、前記ハイパーリンクは前記電子メールメッセージの本文内に含まれる統一資源位置指定子（ＵＲＬ）である、請求項１に記載のシステム。
3. 前記メッセージは前記ネットワークアドレス及び前記ハイパーリンクを含む電子メールメッセージであり、前記ネットワークアドレスは前記電子メールメッセージのヘッダ内に含まれかつ送信元の電子メールアドレスであり、前記ハイパーリンクは前記電子メールメッセージの本文内に含まれる統一資源位置指定子（ＵＲＬ）である、請求項１に記載のシステム。
4. 前記添付ファイルは、前記添付ファイルに一方向関数を適用して計算されたハッシュである、請求項１に記載のシステム。
5. 前記添付ファイルの表示は、前記添付ファイルの名前である、請求項１に記載のシステム。
6. 前記セキュリティ実施ポイント装置が、前記管理対象ネットワークに代わって電子メールメッセージを受信する電子メールサーバ装置であり、前記更新されたセキュリティポリシーは前記電子メール装置に前記ネットワークアドレス、前記ハイパーリンク、又は前記添付ファイルの表示に一致する特性を持つ任意のファイルを含む任意の受信された電子メールメッセージの配信を差し止めさせる、請求項１に記載のシステム。
7. 前記セキュリティ実施ポイント装置は、マルウェア対策ソフトウェアを実行している前記管理対象ネットワーク上のエンドポイントコンピューティング装置であり、前記更新されたセキュリティポリシーは前記マルウェア対策ソフトウェアに対して、前記添付ファイルが更なる電子メールメッセージに出現したときにマルウェアであると見なさせ、前記添付ファイルを隔離させる、請求項１に記載のシステム。
8. 前記セキュリティ実施ポイント装置は前記管理対象ネットワーク上のファイアウォール装置であり、前記更新されたセキュリティポリシーは前記ファイアウォールに対して、前記ネットワークアドレスからの前記ハイパーリンク又は前記添付ファイルの表示に一致する特性を持つ任意のファイルを含む流入するネットワークトラフィックをブロックさせる、請求項１に記載のシステム。
9. 前記管理対象ネットワークを経由して前記メッセージを受信することは、前記特定のコンピューティング装置から転送された電子メールとして前記メッセージを受信することを含む、請求項１に記載のシステム。
10. 前記セキュリティ判定ポイント装置は、前記特定のセキュリティ脅威が観察されたことを示す警告を供給するように更に構成される、請求項１に記載のシステム。
11. 前記セキュリティ判定ポイント装置は、
    前記コンピュータのインスタンス内に配置されたセキュリティインシデントデータベースにおいて、前記ネットワークアドレス、前記ハイパーリンク、又は前記添付ファイルの表示の少なくとも１つを含む、観察された前記特定のセキュリティ脅威のレコードを記憶するように更に構成される、請求項１に記載のシステム。
12. 前記メッセージは、前記添付ファイルを含む電子メールメッセージであり、前記電子メールメッセージは前記管理対象ネットワークに関連付けられた電子メールサーバ装置によって受信され、前記セキュリティ判定ポイント装置は、
    前記電子メールサーバ装置に照会して、前記添付ファイルが前記電子メールサーバ装置によって受信された数、前記添付ファイルが配信された電子メールアカウントの数、又は前記添付ファイルが配信された前記電子メールアカウントを確定する、
    ように更に構成される請求項１に記載のシステム。
13. 前記セキュリティ判定ポイント装置は、
    前記管理対象ネットワークを介して２番目のメッセージを受信し、前記２番目のメッセージは２番目の電子メールメッセージであり、
    前記２番目のメッセージを解析して、１つ以上のセキュリティ脅威の２番目の観測可能な指標を識別し、前記２番目の観測可能な指標は、２番目のネットワークアドレス、２番目のハイパーリンク、又は２番目の添付ファイルの２番目の表示の少なくとも１つを含み、
    前記２番目の観測可能な指標を使用して、前記セキュリティ脅威データベースを遠隔で照会し、
    前記セキュリティ脅威データベースから、前記２番目の観測可能な指標が前記セキュリティ脅威のいずれにも関連付けられていないことを示す２番目の表示を受信し、そして、
    前記管理対象ネットワークに関連付けられている電子メールスパムフィルタに、前記２番目のメッセージがスパムでないことを示す２番目の表示を有する前記２番目のメッセージを送信し、前記２番目のメッセージ及び前記２番目の表示の受信が前記電子メールスパムフィルタに対してそのフィルタリングルールを更新させる、
    ように更に構成される請求項１に記載のシステム。
14. リモートネットワーク管理プラットフォームのコンピュータのインスタンス内に配置されたセキュリティ判定ポイント装置において、管理対象ネットワークを経由してメッセージを受信し、前記メッセージは、前記管理対象ネットワーク内に配置された特定のコンピューティング装置によって取得され、前記コンピュータのインスタンスは前記管理対象ネットワークを受け持ち、
    前記セキュリティ判定ポイント装置によって、前記メッセージを解析して、１つ以上のセキュリティ脅威の観測可能な指標を識別し、前記観測可能な指標は、ネットワークアドレス、ハイパーリンク、又は添付ファイルの表示の少なくとも１つを含み、
    前記セキュリティ判定ポイント装置によって、前記観測可能な指標に対してセキュリティ脅威データベースを遠隔で照会し、
    前記セキュリティ判定ポイント装置によって、前記セキュリティ脅威データベースから、前記観測可能な指標が特定のセキュリティ脅威に関連付けられているという表示を受信し、
    前記セキュリティ実施ポイント装置によって、前記管理対象ネットワーク内に配置されているセキュリティ実施ポイント装置に、前記特定のセキュリティ脅威が軽減されるように、前記セキュリティ実施ポイント装置のセキュリティポリシーを更新するコマンドを送信し、前記コマンドの受信が前記セキュリティ実施ポイント装置に対して前記更新されたセキュリティポリシーに従って動作を変更させる、
    ことを備える方法。
15. 前記メッセージが前記ネットワークアドレス及び前記ハイパーリンクを含む電子メールメッセージであり、前記ネットワークアドレスは前記電子メールメッセージのヘッダ内に含まれかつ前記電子メールメッセージが送信されたインターネットプロトコル（ＩＰ）アドレスであり、前記ハイパーリンクは前記電子メールメッセージの本文内に含まれる統一資源位置指定子（ＵＲＬ）である、請求項１４に記載の方法。
16. 前記メッセージは前記ネットワークアドレス及び前記ハイパーリンクを含む電子メールメッセージであり、前記ネットワークアドレスは前記電子メールメッセージのヘッダ内に含まれかつ送信元の電子メールアドレスであり、前記ハイパーリンクは前記電子メールメッセージの本文内に含まれる統一資源位置指定子（ＵＲＬ）である、請求項１４に記載の方法。
17. 前記セキュリティ実施ポイント装置が、前記管理対象ネットワークに代わって電子メールメッセージを受信する電子メールサーバ装置であり、前記更新されたセキュリティポリシーは前記電子メール装置に前記ネットワークアドレス、前記ハイパーリンク、又は前記添付ファイルの表示に一致する特性を持つ任意のファイルを含む任意の受信された電子メールメッセージの配信を差し止めさせる、請求項１４に記載の方法。
18. 前記セキュリティ実施ポイント装置は、マルウェア対策ソフトウェアを実行している前記管理対象ネットワーク上のエンドポイントコンピューティング装置であり、前記更新されたセキュリティポリシーはマルウェア対策ソフトウェアに対して、前記添付ファイルが更なる電子メールメッセージに出現したときにマルウェアであると見なさせ、前記添付ファイルを隔離させる、請求項１４に記載の方法。
19. 前記管理対象ネットワークを介して２番目のメッセージを受信し、前記２番目のメッセージは２番目の電子メールメッセージであり、
    前記２番目のメッセージを解析して、１つ以上のセキュリティ脅威の２番目の観測可能な指標を識別し、前記２番目のオブザーバブル指標は、２番目のネットワークアドレス、２番目のハイパーリンク、又は２番目の添付ファイルの表示の少なくとも１つを含み、
    前記２番目の観測可能な指標を使用して、前記セキュリティ脅威データベースを遠隔で照会し、
    前記セキュリティ脅威データベースから、前記２番目の観測可能な指標が前記セキュリティ脅威のいずれにも関連付けられていないことを示す２番目の表示を受信し、そして、
    前記管理対象ネットワークに関連付けられている電子メールスパムフィルタに、前記２番目のメッセージがスパムでないことを示す２番目の表示を有する前記２番目のメッセージを送信し、前記２番目のメッセージ及び前記２番目の表示の受信が前記電子メールスパムフィルタに対してそのフィルタリングルールを更新させる、
    ように更に構成される請求項１４に記載の方法。
20. その上にプログラム命令を記憶した非一過性のコンピュータ読取り可能な媒体を含む製造物品であって、上記プログラム命令は、遠隔ネットワーク管理プラットフォームのコンピュータのインスタンス内に配置されるセキュリティ判定ポイント装置によって実行されたときに、前記セキュリティ判定ポイント装置に対して、
    管理対象ネットワークを経由してメッセージを受信し、前記メッセージは、前記管理対象ネットワーク内に配置された特定のコンピューティング装置によって取得され、前記コンピュータのインスタンスは前記管理対象ネットワークを受け持ち、
    前記メッセージを解析して、１つ以上のセキュリティ脅威の観測可能な指標を識別し、前記観測可能な指標は、ネットワークアドレス、ハイパーリンク、又は添付ファイルの表示の少なくとも１つを含み、
    前記観測可能な指標に対してセキュリティ脅威データベースを遠隔で照会し、
    前記セキュリティ脅威データベースから、前記観測可能な指標が特定のセキュリティ脅威に関連付けられているという表示を受信し、
    前記管理対象ネットワーク内に配置されているセキュリティ実施ポイント装置に、前記特定のセキュリティ脅威が軽減されるように、前記セキュリティ実施ポイント装置のセキュリティポリシーを更新するコマンドを送信し、前記コマンドの受信が前記セキュリティ実施ポイント装置に対して前記更新されたセキュリティポリシーに従って動作を変更させる、
    ことを備える動作を実行させる製品。