JP2019506797A - 自動ハニーポットプロビジョニングシステム - Google Patents

Abstract

ハニーネットを自動的にプロビジョニングするためのシステムおよび方法を開示する。ハニーネットは、不正ユーザによるネットワークの脅威または攻撃を示す、ハニーネットネットワーク内で伝送中、処理中、アクセス中および／または実行中の不正ネットワークトラフィックおよび／または他の情報を連続的に集め、捕捉する。

Description

［関連出願の相互参照］
本特許協力条約（ＰＣＴ）特許出願は、２０１６年２月１０日に出願された、「自動ハニーポットプロビジョニングシステム」と題する米国仮出願第６２／２９３，５６１号に関連し、それに基づく優先権を主張し、その全体がこれにより参照によって組み込まれる。

本開示の態様はハニーネットネットワークを含み、特には、ハニーネットネットワークおよび対応するコンポーネントの自動プロビジョニングおよび構成を含む。

コンピューティングシステムおよび／またはコンピューティングネットワークのモニタリングに使用される、ファイアウォールまたは侵入検出システムなどの従来のセキュリティ技術は、通常、大量のデータを生成する。あらゆる攻撃または不正アクティビティを特定するべく、システム管理者は、データの全てを注意深く調べ、データが意味のある、不正な攻撃を特定中であることを確認すること、および／または、攻撃を解釈し、優先順位をつけることを行わなくてはならない。そのようなことを行うのは、時間がかかり、多大な労力を要し、費用がかかる。とりわけ、これらの概念を念頭に置いた上で、本開示の様々な態様が考えられた。

本明細書において記載されている本開示の前述のおよび他の目的、特徴、および利点が、添付の図面において例示されているように、それらの発明の概念の特定の実施形態の以下の説明から明らかになるであろう。また、図面では、同様の参照符号は種々の図を通して同じ部分を指し得る。図面は、本開示の典型的な実施形態のみを描写しており、したがって、範囲を限定するものとはみなされない。

本開示の態様に係る、ハニーネットネットワークを示すブロック図である。 本開示の態様に係る、ハニーネットネットワークを示すブロック図である。

本開示の態様に係る、ハニーネットネットワークを自動的にプロビジョニングするための例示的なプロセスを示すフローチャートである。

本開示の態様に係る、ハニーポットを示す図である。

本開示の態様に係る、ハニーネットネットワークを自動的にプロビジョニングするコンピューティングデバイスを示すブロック図である。

本開示の態様は、脅威を検出するためのシステム、方法、および非一時的コンピュータ可読媒体を含む。当該システム、方法、および非一時的コンピュータ可読媒体は、通信ネットワーク内にデプロイされたネットワークデバイスのクラスタのうちの少なくとも１つのネットワークデバイス上のサービスにアクセスしようと試みる不正ネットワークトラフィックをモニタリングするようハニーネットネットワークをプロビジョニングすることを含む。ハニーネットネットワークは、不正ネットワークトラフィックのログをとるための、ハニカムなどの少なくとも１つの処理デバイスと、不正トラフィックを受信し、不正トラフィックに対応する第１のログセットを生成するための、ハニーウォールなどの少なくとも１つのゲートウェイデバイスとを備える。ハニーネットネットワークは、ゲートウェイデバイスからの不正トラフィックを受信するための少なくとも１つのハニーポットをさらに備える。ハニーポットは、サービスのインスタンスであり、ハニーポットは、サービス上の不正ネットワークトラフィックをモニタリングし、不正トラフィックに対応する第２のログセットを生成する。

本開示の態様は、本明細書において「ハニーネット」ネットワーク環境と称される拡張可能な冗長のソフトウェア環境を自動的にプロビジョニングし、構成し、動作させるシステムおよび方法を含む。ハニーネットネットワーク環境は、不正ユーザ（例えば攻撃者）によるネットワークの脅威または攻撃を示す、ハニーネットネットワーク内で伝送中、処理中、アクセス中、および／または実行中のデータ、ネットワークトラフィック、イベント、および／または他の情報を（例えばリアルタイムで）連続的に集め、捕捉する。

一般的に言えば、ハニーネットは、攻撃者がインタラクトする現実のシステム、アプリケーション、および／またはサービスを提供する特定のタイプのネットワークを表す。ハニーネットネットワークは、攻撃者の関心を引いてハニーネットネットワークへ入り込もうと試みるよう仕向ける意図的な脆弱性をもって故意に確立され、それによって、攻撃者のアクティビティおよび方法を捕捉、処理、および分析することを可能にする。例えば、よく見られる脆弱性は、サーバなどの様々なコンピューティングコンポーネントのパッチおよび／または更新の欠如を含み、それらは、ネットワークへの未認証コマンドプロンプトまたは他のバックドアパスを許容してしまう。他の脆弱性は、ネットワークへの不正アクセスを可能にする、誤って構成されたファイアウォールルールベースを含む。脆弱性は、アプリケーションが、バッファにそれが保持できる量より多くのデータを入れようと試みるときに起こるバッファオーバーフローを含み得る。バッファに割り当てられた空間外への書き込みにより、隣接するメモリブロックの内容を攻撃者が上書きすることが可能になり、データの破損、プログラムのクラッシュ、または勝手な悪意あるコードの実行を引き起こす。他の脆弱性は、電子メールクライアントなどの、欠陥のあるおよび／またはバグの多いアプリケーションを含むことができ、勝手なコードが実行される、トロイの木馬が埋め込まれる、などのことが行われ得る。

ハニーネットによって捕捉された任意のデータ、ネットワークトラフィック、イベント、および／または他の情報が、ハニーネットネットワークの様々なアーキテクチャコンポーネント内において統合され、視覚化されてよい。他の態様において、潜在的なセキュリティ問題を特定および／または定量化する１または複数の分析の形式の捕捉データにユーザがアクセスすることを可能にする、１または複数の対話型インタフェース、グラフィカルユーザインタフェース、ダッシュボード、および／またはポータルが生成されてよい。あるいは、捕捉データ、イベント、および／または他の情報は、自動分析のために、ネットワーキングデバイスのクラスタへとセキュアに伝送し戻されてよい。

本出願は、本明細書において明記された概念の様々な実施形態を示すための例として、遠隔通信ネットワークおよびサービスを使用する。しかしながら、本出願は、遠隔通信サービスに限定されるものではなく、ネットワーク攻撃、サービス妨害攻撃（「ＤＯＳ攻撃」）、分散型サービス妨害攻撃（「ＤＤＯＳ攻撃」）、および／または脆弱なネットワークサービスの不当利用等の対象となりやすい他の業界およびサービスに適用可能である。

図１Ａは、例示的な通信ネットワーク１００を示す。通信ネットワーク１００は、様々なネットワークデバイス１１０〜１１２と１または複数のクラスタ１０４、１０６、および１０８とを備え、その一部は不正ユーザによる攻撃の対象となりやすい場合がある。通信ネットワーク１００は、遠隔通信ネットワーク、インターネット、イントラネット、ローカルエリアネットワーク、無線ローカルネットワーク、もしくは任意の他のタイプの通信ネットワーク、またはネットワークの組み合わせであってよい。通信ネットワーク１００は、インターネットの一部、イントラネット、ローカルエリアネットワーク、無線ローカルネットワーク、コンテンツ配信ネットワーク、もしくは任意の他のタイプの通信ネットワーク、またはネットワークの組み合わせからのＩＰベースの遠隔通信ネットワークであってよい。例えば、特定の一実施形態において、通信ネットワーク１００は、様々なネットワーク要素の間の光ファイバパスを含む遠隔通信ネットワークであってよい。当該様々なネットワーク要素は、当該様々な要素の間でのおよびネットワークのユーザの間での情報の送受信を可能にするべく相互接続されるサーバ、スイッチ、ルータ、ボックス、および／または、他の光遠隔通信ネットワークデバイスなどである。本明細書において使用されるとき、「ボックス」は、サーバ、サーバアプリケーションなどのような１または複数のアプリケーションを実行可能な、１または複数のプロセッサ、ディスクドライブ、メモリ、コントローラなどを含む物理ユニット／マシンを指す。ボックスはまた、ハードウェアコンポーネントおよびソフトウェアコンポーネントの両方を含むものとして概して説明されてよく、サーバとして概して説明されてよい。通信ネットワークはまた、多くのそのようなネットワークデバイスが存在するデータセンタを含んでよい。

クラスタ１０４、１０６、および／または１０８の各々は、共通の目的を共有し、特定の機能を果たし、および／または、何らかの協調方式で一緒に実行されてよい、スイッチ、ルータ、サーバなどのような様々なコンピューティングリソースおよび／またはネットワークデバイスの論理的な方向性または配置を表す。例えば、サーバのクラスタは、コンテンツ配信および管理などの特定のサービスを提供するために、遠隔通信において使用されることが多い。よく見られるタイプのコンテンツ配信は、標準キャッシング、ストリーミング、およびセキュアソケット層によって保護されたデータ伝送等を含む。クラスタを使用してそのようなサービスを提供することで、単一サーバなどの単一のコンピューティングリソースに比べて性能および可用性が改善される。

ネットワークデバイス１１０〜１１２、ならびに／またはクラスタ１０４、１０６、および／もしくは１０８は、通信ネットワーク１００のコンポーネントを表す。これらのコンポーネントは、通常、機密データのアクセスを提供するため、不正ユーザによる１または複数の攻撃の対象となりやすい場合がある。例えば、遠隔通信環境において、そのようなデバイスは、独自のシステム構成および／または同様のものを必要とする機密データおよびコンテンツ（例えば、顧客データ）を含み得る。攻撃がネットワークデバイスならびに／またはクラスタ１０４、１０６、および／もしくは１０８にアクセスすることを阻止するべく、様々なネットワークデバイス１１０〜１１２、ならびに／またはクラスタ１０４、１０６、および／もしくは１０８の機能をエミュレートするハニーネットがデプロイされてよく、その後、不正ユーザがハニーネットにアクセスしたとき、ハニーネットは自動的に、不正な攻撃について広範なデータおよび情報を捕捉する。

より具体的には、通信ネットワーク１００内に配置され、および／または通信ネットワーク１００に通信可能に接続されたプロビジョニングシステム１２６が、ハニーネットネットワークを既存のハードウェアのネットワーク内においてプロビジョニングおよびデプロイするためのコントローラ１２８を含んでよい。プロビジョニングシステム１２６は、構成ファイルを記憶および取り出すためのデータベース１３１をさらに含んでよい。当該構成ファイルのうちの任意のものが、特定のハニーネットネットワークをプロビジョニング、および／またはそうでなければ構成するために使用されてよい。図１Ａのデータベース１３０は、プロビジョニングシステム１２６内に配置されるように描写されているが、データベース１３０は遠隔位置などのプロビジョニングシステム１２６の外部に配置されてよく、プロビジョニングシステム１２６と通信してよいことが考えられる。

様々な実施形態において、プロビジョニングシステム１２６は、ハニーネットネットワークをデプロイする要求を受信し、それに応答して、完全なハニーネットネットワークを自動的にプロビジョニングしてよい。図１Ｂは、一実施形態に係るハニーネットネットワーク１２０の説明図を提供する。示されるように、ハニーネットネットワーク１２０は、ハニークイーンサーバ１３０、ハニーウォール１３２、ハニカム１３４、および１または複数のハニーポット１３６〜１４０を備える。各コンポーネント（例えば、ハニークイーン、ハニカム、および１または複数のハニーポット）には、各コンポーネントがハニーポットネットワーク１２０内においてどのように機能するべきかを示すロールが割り当てられてよい。

一般的に言えば、ハニークイーンサーバ１３０は、ハニーネットネットワーク１２０を制御および／または管理するサーバデバイスを表す。より具体的には、ハニークイーンサーバ１３０は、ハニーウォール１３２および１または複数のハニーポット１３６〜１４０と論理的に通信して、データの収集およびモニタリングをオーケストレーションおよび自動化する。言い方を変えれば、ハニークイーンサーバ１３０は、ハニーネットネットワーク１２０内において（例えば、ハニーウォール１３２またはハニーポット１３６〜１４０において）収集されたデータを管理およびモニタリングする。例えば、ハニークイーンサーバ１３０は、ハニーポット１３６〜１４０またはハニーウォール１３２において発生する不正トラフィックを示す最新のデータを連続的に抽出、またはそうでなければ受信してよい。そのようなデータは、攻撃者数、送信元および送信先のＩＰアドレス、ならびに送信元および送信先のポートなどを特定するのに十分な情報を提供してよい。いくつかの実施形態において、ハニークイーンサーバ１３０は、データを整理してハニーポット１３６〜１４０またはハニーウォール１３２のアクティビティの概要（例えば、グラフまたはチャート）を提示するグラフィカルユーザインタフェースを生成、またはそうでなければ供給してよい。

ハニーウォール１３２は、ハニーポット１３６〜１４０を通信ネットワーク１００のネットワーク世界の残りのものから分離するゲートウェイデバイスを表す。言い方を変えれば、ハニーウォール１３２は、ハニーポット１３６〜１４０を含むハニーネットネットワーク１２０への入口および出口として機能するネットワークポイントである。ゆえに、（例えば攻撃者１４２からの）１または複数のハニーポット１３６〜１４０にアクセスしようと試みるいずれのネットワークトラフィックも、ハニーポット１３６〜１４０のいずれかに接触する前にハニーウォール１３２を通ってルーティングされる。

各ハニーポット１３６〜１４０は、１または複数のクラスタ１０４、１０６、および１０８の不正な使用を検出する、および／またはそうでなければかわすために確立された、あるタイプのコンピュータセキュリティメカニズムを表す。１つの実施形態において、各ハニーポット１３６〜１４０は、正規のものに見えるが、実際には切り離され、モニタリングされるデータ、ソフトウェア、サービス、および／または、機能の組み合わせからなっていてよい。言い方を変えれば、各ハニーポットは、クラスタ１０４、１０６、および１０８、ならびに／またはネットワークデバイス１１０〜１１２のうちの１または複数において、おとりの形で、所与のソフトウェア、オペレーティングシステム、および／またはサービスの挙動をエミュレートする。例えば、ハニーポットは、一見正規のウェブサーバを実装および実行するためのオペレーティングシステムおよび対応するソフトウェアを含んでよい。別の例として、ハニーポットは、特定のネットワークポートに対して指定された１または複数のネットワークサービスをシミュレートするためのソフトウェアを含んでよい。

攻撃者は、ハニーポットにおいて動作している様々なソフトウェアおよびサービスを不当利用するのに使用され得る脆弱なサービスをハニーポットが実行中であると推測し、ハニーポットに不正ネットワークトラフィックを送信する。ハニーポット１３６〜１４０は、リアルタイムのまたは後の分析のために、攻撃者１４２からハニーポット１３６〜１４０に送信された不正なトラフィックおよびデータをモニタリングし、捕捉する。例えば、不正なトラフィックおよびデータは、将来の攻撃および不当利用についての早期の予兆を特定するために分析され得る。不正なトラフィックおよびデータは、ハニーポット１３６〜１４０のソフトウェアシステムおよび／またはハードウェアシステム内に存在する、デプロイ時には知られていなかった未知の脆弱性を特定するために分析され得る。不正なトラフィックおよびデータは、まだ理解されていない脆弱性を検出するために使用され得る特定のキーストローク情報および／またはセッション署名情報を含んでよい。例えば、たとえ不当利用の手段が以前には見つかったことがない場合であっても、ハニーポット１３６〜１４０を離れるデータを分析することによって脆弱性および／または危殆化が検出され得る。

ハニカム１３４は、処理および分析のために、ハニークイーンサーバ１３０、ならびに／または、通信ネットワーク１００のクラスタ１０４、１０６、および１０８、および／もしくはネットワークデバイス１１０〜１１２のうちの１または複数に、ハニーポット１３６〜１４０において捕捉された不正ネットワークトラフィックを伝送する役割を担う処理デバイスである。特定の一実施形態において、ハニカム１３４は、メッセージバスと、ハニカム１３４が、メッセージバス内の捕捉された不正トラフィックをクラスタに返送するためにキューに入れることを可能にするネットワークファイルシステムとを含んでよい。あるいは、不正トラフィックは、大きいバイナリファイルとしてネットワークファイルシステムに記憶されて、クラスタ１０４、１０６、および１０８、ならびに／またはネットワークデバイス１１０〜１１２のうちの１または複数に返送されてよい。

図３は、一実施形態に係るハニーポット３００の実例を提供する。示された実施形態は、ネットワークレベルで仮想コンピューティングシステムをシミュレートする仮想ハニーポットを描写している。ハニーポットは、正規のネットワークコンポーネントであるように見え、ゆえに、実際のネットワークコンポーネントに類似した様々なコンピューティング層および仮想化を含むが、それらの全ては切り離され、モニタリングされる。したがって、図３において、ハニーポット３００は、何らかのタイプの有用なアプリケーションおよび／またはサービスを実行可能な仮想化環境内にデプロイされる。ハニーポット３００は、仮想マシン層３４２における構成可能コンピューティングコンポーネントおよび／または仮想マシンと、仮想環境（例えば、仮想オペレーティングシステムおよびアプリケーション）をホストするハイパーバイザなどの仮想化コンポーネント３３４とを備え、それらの全ては、サーバなどの何らかタイプの物理層３３６と通信する。仮想マシン層３４２、仮想化コンポーネント３３４、および物理層３３６の各々は、不正アクティビティを捕捉するためのモニタリングメカニズム３４３によってモニタリングされてよい。

ここで図２を参照し、図１Ａおよび図１Ｂを全体的に参照して、ハニーネットネットワークを自動的にプロビジョニングおよびデプロイするための例示的なプロセス２００が提供される。示されるように、プロセス２００は、ハニーネットネットワークのコンポーネントをどのように初期設定およびデプロイするかを定義する、プロビジョニングシステムにおいて記憶されたプロビジョニングデータに基づいて、ハニークイーンサーバを自動的にプロビジョニングする段階（動作２０２）で開始する。図１Ａを参照すると、プロビジョニングシステム１２６のコントローラ１２８は、プロビジョニングシステム１２６において記憶されたプロビジョニングデータにしたがってハニークイーンサーバを自動的にプロビジョニングする。例えば、プロビジョニングデータは、コンポーネント（例えばサーバデバイス）に適切なシステム、データ、およびソフトウェアを準備し、ネットワークオペレーションに備えて当該コンポーネントの準備を整えるための情報を含んでよい。プロビジョニングデータはさらに、プロビジョニングされたコンポーネントへアクセスするための権利および特権を定義するセキュリティメカニズムおよび対応するセキュリティデータを定義してよい、またはそうでなければ含んでよい。例えば、プロビジョニングデータは、アプリケーションプログラミングインタフェースキー、セキュアシェルキー、および／または認証パラメータ等のうちの少なくとも１つを含んでよく、そのいずれかが、プロビジョニングされたコンポーネントへのいずれのアクセスも、定義されたアクセス特権に従っていることを保証するために使用されてよい。特定の一実施形態において、プロビジョニングされたハニーネットネットワークコンポーネントがひとたびデプロイされると、プロビジョニングデータは、当該コンポーネントによってアクセス可能でない場合がある。それにより、ハニーネットネットワークが不正トラフィックにさらされている場合、当該トラフィックは、ハニーネットネットワークをプロビジョニングするために使用されたセキュリティ定義およびメカニズムを取得することも、それらにアクセスすることもできない。

ハニークイーンのプロビジョニングに加えて、プロビジョニングシステム１２６は、プロビジョニングデータに基づいて、より大きなハニーネットネットワークに含まれるべき１または複数のハニーウォール、ハニカム、およびハニーポットをプロビジョニングしてよい（動作２０４）。例えば、プロビジョニングデータは、ハニーポット、ハニカム、およびハニークイーンなどの物理ハードウェア、オペレーティングシステム、地理的位置、サービスロール、および／またはサービス構成パラメータ等を初期設定するために使用されてよい。

再び図２を参照すると、ひとたびプロビジョニングされると、ハニーネットネットワークのハニークイーンサーバおよびその他のコンポーネントは、ハニーネットネットワークのハニークイーンサーバおよび他のコンポーネントのプロビジョニング中にプロビジョニングシステムから取得された構成データにしたがって構成される（動作２０６）。１つの実施形態において、構成データは、とりわけ、ハニークイーンの名称、コンポーネントの数およびタイプ（例えばサーバ数）、ネットワーク位置（例えばどのネットワークプロバイダか）などの構成パラメータを含む。別の実施形態において、構成データは、１）インストール用に、アプリケーションまたはサービスを含み、および／またはそうでなければアプリケーションまたはサービスを特定してよく、および、２）具体的にどのようにして当該アプリケーションまたはサービスをハニーネットネットワークのハニークイーンサーバまたは他のコンポーネントにインストールするかに関する命令を含む１または複数のファイルを含んでよい。言い方を変えれば、構成データは、ハニークイーンサーバまたは他のハニーネットネットワークコンポーネントにインストールされるアプリケーションのための特定のパラメータおよび初期設定を含んでよい。特定の一実施形態において、構成データは、ハニークイーンを最初にプロビジョニングしたプロビジョニングシステム１２６によってアクセス可能でない場合がある。構成ファイルは、使用前に生成されてよく、プロビジョニングシステム１２６のデータベース１３１に事前に記憶され、プロビジョニング中にハニークイーン（または他のハニーネットネットワークコンポーネント）に伝送されてよい。あるいは、ユーザが、プロビジョニングシステム１２６によって生成されるユーザインタフェースとインタラクトして、構成データおよびファイルを生成、および／または構成データおよびファイルを修正してよいことが考えられる。１つの実施形態において、プロビジョニング中にハニーネットネットワークのハニークイーンサーバおよび／またはその他のコンポーネントにひとたび伝送されると、構成データは、プロビジョニングシステム１２６によってアクセス可能でない場合がある。それにより、ハニーネットネットワークが不正トラフィックにさらされている場合、不正トラフィックは、構成データを取得および使用してプロビジョニングシステム１２６を特定することができない。いくつかの実施形態において、ハニークイーン１３０は、１または複数のハニカム、１または複数のハニーポット、および／または１または複数のハニーウォールを含むその他のハニーネットネットワークコンポーネントの構成を管理するために使用されてよい。言い方を変えれば、１または複数のハニーポットおよび／または１または複数のハニーウォールは、ハニークイーンサーバ１３０にアクセスして、更新された構成、新たな構成などを取得してよいが、プロビジョニングシステム１２６からはいかなる構成データも取得できない。

新たにプロビジョニングされた１または複数のハニークイーン、１または複数のハニーポット、および／または１または複数のハニーウォールは、脅威を示し得る、ハニーポットネットワーク内の不正なネットワークトラフィックおよびデータを、同時に、連続的に、および／または自動的に捕捉し、ログをとり、ログをとったネットワークトラフィックデータの全てをハニカムに伝送する（動作２０８）。いくつかの実施形態において、ハニーネットネットワークの様々なコンポーネントとインタラクトするとき、ログデータは、悪意ある挙動と関連付けられるマシン、ボット、ボットネットネットワーク、および／または他のタイプのデバイス（例えばＩＰアドレス）を特定する情報と、攻撃者の行為の概略を示す情報とを含んでよい。他の実施形態において、捕捉された不正なトラフィックおよびデータは、侵入検出システムまたはファイアウォールなどの他のタイプのモニタリングシステムにとっては利用可能でない情報を含んでよい。１つの特定の例において、ハニーネットの様々なコンポーネント、特にハニーポットは、様々なハニーポットにおいて実行される、および／またはそうでなければ行われる全ての接続、コマンド、ダウンロードファイル、および／またはマルウェアのログをとってよい。例えば、セキュアな接続が（例えば、介入者攻撃を介して）容易には攻撃され得ない例では、アプリケーションレベルの詳細のみが、ハニーポットレベルにおいて取得されてよい。そのような例において、セキュアシェル（ＳＳＨ）接続のキーストロークデータと、カスタム暗号化アルゴリズムを使用して暗号化チャネルを介して送信されたデータとがハニーポットによって取得されてよい。

ハニカム（または他のハニーネットコンポーネント）は、通知、処理、および分析のために、ログデータおよび他の出力を様々なネットワークデバイス１１０〜１１２ならびに／または１もしくは複数のクラスタ１０４、１０６、および１０８に伝送する（動作２１０）。１つの実施形態において、ログをとられたイベントのいずれかおよび／または他の情報が、ハニーネットネットワークの様々なアーキテクチャコンポーネント内に統合され、視覚化され、および／または、通信ネットワーク１００のネットワークデバイス１１０〜１１２ならびに／または１もしくは複数のクラスタ１０４、１０６、および１０８に伝送し戻されてよい。例えば、データは、通信ネットワーク１００のアーキテクチャコンポーネントの既存のインタフェースにしたがって視覚化されてよい。別の実施形態において、ユーザがログデータにアクセスすることを可能にする１または複数の対話型インタフェース、グラフィカルユーザインタフェース、ダッシュボード、および／またはポータルが生成されてよい。さらに別の実施形態において、処理のために、データは、様々なネットワークデバイス１１０〜１１２および／またはネットワーククラスタ１０４〜１０８に、直接的かつ自動的に、セキュアに伝送されてよい。図１は、ログデータおよび他の出力を受信する遠隔通信デバイスのクラスタを示すが、そのようなデータは、データを取り込み、処理し、分析することが可能な任意のシステムに提供されてよく、またはそうでなければ任意のシステムにおいて受信されてよいことが考えられる。

１つの実施形態において、特定された脅威は、既存のアーキテクチャコンポーネントと統合される前、または、処理のためにネットワークデバイス１１０〜１１２および／またはネットワーククラスタ１０４〜１０８に伝送される前に、高度、中度、または低度として優先順位をつけられてよい。より具体的には、データが捕捉されたとき、データは、ハニーネットの様々なコンポーネントが不正トラフィックを継続的に捕捉した結果、動的に優先順位をつけられてよい。例えば、捕捉データから同じ脅威が検出されるか、またはそうでなければ特定された場合、当該脅威は、高度の脅威として優先順位をつけられてよい。当該システムは、イベントの目新しさ、イベントの重大性、特定のイベントタイプの相関などを含む多数の異なる要因について脅威に優先順位をつけてよい。例えば、マルウェアサンプルがダウンロードされるか、または未知の攻撃が検出された場合、システムは、これらの脅威をより高い優先度で示してよい。他の実施形態において、捕捉データは、クラスタ１０４〜１０８によってリアルタイムのセキュリティのイベントおよびメトリクスを生成するために処理されてよい。例えば、攻撃の過程において、１または複数のハニーポットは、様々なコマンドの実行を可能にするブルートフォース技術を使用してポートスキャンされ、ログインされる場合があり、その全ては、イベントに優先順位をつけるために使用され得るログデータを生成する。

図４は、図１Ａ〜図３において説明された本開示の様々な態様を実装するために使用されてよい適切なコンピューティングおよびネットワーキング環境４００の例を示す。示されるように、コンピューティングおよびネットワーキング環境４００は、汎用コンピューティングデバイス４００を含むが、ネットワーキング環境４００は、パーソナルコンピュータ、サーバコンピュータ、携帯用デバイスまたはラップトップデバイス、タブレットデバイス、マルチプロセッサシステム、マイクロプロセッサベースシステム、セットトップボックス、プログラム可能民生用電子デバイス、ネットワークＰＣ、ミニコンピュータ、メインフレームコンピュータ、デジタル信号プロセッサ、ステートマシン、論理回路、および、上記コンピューティングシステムまたはデバイスのいずれかを含む分散型コンピューティング環境等のような１または複数の他のコンピューティングシステムを含んでよいことが考えられる。

コンピュータ４００のコンポーネントは、処理ユニット４０２、データ記憶装置４０４（例えばシステムメモリ）、およびコンピュータ４００の様々なシステムコンポーネントを処理ユニット４０２に結合するシステムバス４０６などの様々なハードウェアコンポーネントを備えてよい。システムバス４０６は、メモリバスまたはメモリコントローラ、周辺機器用バス、および、様々なバスアーキテクチャのいずれかを使用するローカルバスを含むいくつかのタイプのバス構造のいずれかであってよい。例えば、そのようなアーキテクチャは、Ｉｎｄｕｓｔｒｙ Ｓｔａｎｄａｒｄ Ａｒｃｈｉｔｅｃｔｕｒｅ（ＩＳＡ）バス、Ｍｉｃｒｏ Ｃｈａｎｎｅｌ Ａｒｃｈｉｔｅｃｔｕｒｅ（ＭＣＡ）バス、Ｅｎｈａｎｃｅｄ ＩＳＡ（ＥＩＳＡ）バス、Ｖｉｄｅｏ Ｅｌｅｃｔｒｏｎｉｃｓ Ｓｔａｎｄａｒｄｓ Ａｓｓｏｃｉａｔｉｏｎ（ＶＥＳＡ）ローカルバス、およびＭｅｚｚａｎｉｎｅバスとしても知られるＰｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ（ＰＣＩ）バスを含んでよい。

コンピュータ４００は、リムーバブル／非リムーバブル媒体および揮発性／不揮発性媒体を含むが、一時的伝搬信号を除く様々なコンピュータ可読媒体４０８をさらに備えてよい。コンピュータ可読媒体４０８はまた、コンピュータ記憶媒体および通信媒体を含んでよい。コンピュータ記憶媒体は、コンピュータ可読命令、データ構造、プログラムモジュールまたは他のデータなどの情報を記憶するための任意の方法または技術で実装される、所望の情報／データを記憶するために使用され得て、かつコンピュータ４００によってアクセスされ得るＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、フラッシュメモリもしくは他のメモリ技術、ＣＤ−ＲＯＭ、デジタル多用途ディスク（ＤＶＤ）もしくは他の光ディスク記憶装置、磁気カセット、磁気テープ、磁気ディスク記憶装置もしくは他の磁気記憶デバイス、または任意他の媒体などのリムーバブル／非リムーバブル媒体および揮発性／不揮発性媒体を含む。通信媒体は、搬送波などの変調データ信号または他のトランスポートメカニズムにおいてコンピュータ可読命令、データ構造、プログラムモジュール、または他のデータを含み、任意の情報配信媒体を含む。「変調データ信号」という用語は、信号の特性のうちの１または複数が、信号内の情報を符号化するように設定または変化されたものを意味する。例えば、通信媒体は、有線ネットワークもしくは直接有線接続（ｄｉｒｅｃｔ−ｗｉｒｅｄ ｃｏｎｎｅｃｔｉｏｎ）などの有線媒体、ならびに、音波、ＲＦ、赤外線、および／もしくは他の無線媒体などの無線媒体、またはそれらの何らかの組み合わせを含んでよい。コンピュータ可読媒体は、コンピュータ記憶媒体に記憶されたソフトウェアなどのコンピュータプログラム製品として具現化されてよい。

データ記憶装置またはシステムメモリ４０４は、リードオンリメモリ（ＲＯＭ）およびランダムアクセスメモリ（ＲＡＭ）などの揮発性／不揮発性メモリの形態のコンピュータ記憶媒体を含む。（例えば起動中に）コンピュータ４００内の要素間での情報の転送を助ける基本ルーチンを含む基本入出力システム（ＢＩＯＳ）は、通常ＲＯＭに記憶される。ＲＡＭは通常、処理ユニット４０２にとって直ちにアクセス可能な、および／または処理ユニット４０２によって現在動作させられているデータおよび／またはプログラムモジュールを含む。例えば、１つの実施形態において、データ記憶装置４０４は、オペレーティングシステム、アプリケーションプログラム、ならびに他のプログラムモジュールおよびプログラムデータを保持する。

データ記憶装置４０４はまた、他のリムーバブル／非リムーバブルの揮発性／不揮発性のコンピュータ記憶媒体を含んでよい。例えば、データ記憶装置４０４は、非リムーバブルの不揮発性磁気媒体に対して読み書きを行うハードディスクドライブ、リムーバブルの不揮発性磁気ディスクに対して読み書きを行う磁気ディスクドライブ、および／または、ＣＤ−ＲＯＭもしくは他の光媒体などのリムーバブルの不揮発性光ディスクに対して読み書きを行う光ディスクドライブであってよい。他のリムーバブル／非リムーバブルの揮発性／不揮発性コンピュータ記憶媒体は、磁気テープカセット、フラッシュメモリカード、デジタル多用途ディスク、デジタルビデオテープ、ソリッドステートＲＡＭ、およびソリッドステートＲＯＭ等を含んでよい。上述のおよび図４に示されたドライブおよびそれらの関連付けられるコンピュータ記憶媒体は、コンピュータ４００のためのコンピュータ可読命令、データ構造、プログラムモジュール、および他のデータの記憶を提供する。

ユーザは、ユーザインタフェース４１０、または、タブレット、電子デジタイザ、マイク、キーボード、および／もしくは一般にマウス、トラックボール、またはタッチパッドと称されるポインティングデバイスなどの他の入力デバイスを通じてコマンドおよび情報を入力してよい。他の入力デバイスは、ジョイスティック、ゲームパッド、サテライトディッシュ、またはスキャナ等を含んでよい。加えて、音声入力、（例えば手または指による）ジェスチャ入力、または他のナチュラルユーザインタフェースも、マイク、カメラ、タブレット、タッチパッド、グローブ、または他のセンサなどの適切な入力デバイスとともに使用されてよい。これらのおよび他の入力デバイスは、システムバス４０６に結合されたユーザインタフェース４１０を通じて処理ユニット４０２に接続されることが多いが、パラレルポート、ゲームポート、またはユニバーサルシリアルバス（ＵＳＢ）などの他のインタフェースおよびバス構造によって接続されてよい。モニタ４１２または他のタイプのディスプレイデバイスも、ビデオインタフェースなどのインタフェースを介してシステムバス４０６に接続される。モニタ４１２はまた、タッチスクリーンパネルまたは同様のものと統合されてよい。

コンピュータ４００は、ネットワークインタフェースまたはアダプタ４１４の、リモートコンピュータなどの１または複数のリモートデバイスへの論理接続を使用して、ネットワーク化された環境またはクラウドコンピューティング環境において動作してよい。リモートコンピュータは、パーソナルコンピュータ、サーバ、ルータ、ネットワークＰＣ、ピアデバイス、または他のよく見られるネットワークノードであってよく、コンピュータ４００に関連して上述された要素のうちの多くのまたは全ての要素を通常は含む。図４に描写された論理接続は、１または複数のローカルエリアネットワーク（ＬＡＮ）および１または複数のワイドエリアネットワーク（ＷＡＮ）を含むが、他のネットワークも含んでよい。そのようなネットワーキング環境は、オフィス規模、企業規模のコンピュータネットワーク、イントラネット、およびインターネットにおいてよく見られる。

ネットワーク化された環境またはクラウドコンピューティング環境において使用されるとき、コンピュータ４００は、ネットワークインタフェースまたはアダプタ４１４を通じてパブリックネットワークおよび／またはプライベートネットワークに接続されてよい。そのような実施形態では、ネットワークを通じた通信を確立するためのモデムまたは他の手段が、ネットワークインタフェースもしくはアダプタ４１４または他の適切なメカニズムを介してシステムバス４０６に接続される。インタフェースおよびアンテナを含む無線ネットワーキングコンポーネントが、アクセスポイントまたはピアコンピュータなどの適切なデバイスを通じてネットワークに結合されてよい。ネットワーク化された環境において、コンピュータ４００に関連して描写されたプログラムモジュールまたはそれらの一部が、リモートのメモリ記憶デバイスに記憶されてよい。

前述されたものは、本開示の原理を示したものに過ぎない。本明細書の教示を考慮すれば、説明された実施形態に対する様々な修正および変更が当業者には明らかであろう。ゆえに、本明細書においては明示的に示されても説明されてもいないが、本開示の原理を具現化し、ゆえに、本開示の主旨および範囲内である多数のシステム、配置、および方法を当業者であれば案出できることが理解されよう。上記説明および図面から、示され、説明された特定の実施形態は例示のみを目的としており、本開示の範囲を限定することは意図されていないことを当業者は理解するであろう。特定の実施形態の詳細を参照することは、本開示の範囲を限定することを意図しない。

前述されたものは、本開示の原理を示したものに過ぎない。本明細書の教示を考慮すれば、説明された実施形態に対する様々な修正および変更が当業者には明らかであろう。ゆえに、本明細書においては明示的に示されても説明されてもいないが、本開示の原理を具現化し、ゆえに、本開示の主旨および範囲内である多数のシステム、配置、および方法を当業者であれば案出できることが理解されよう。上記説明および図面から、示され、説明された特定の実施形態は例示のみを目的としており、本開示の範囲を限定することは意図されていないことを当業者は理解するであろう。特定の実施形態の詳細を参照することは、本開示の範囲を限定することを意図しない。
［項目１］
通信ネットワークに含まれる第１のサーバコンピューティングデバイスを備えた、脅威を検出するためのシステムであって、
上記第１のサーバコンピューティングデバイスは、
上記第１のサーバコンピューティングデバイスに記憶されたプロビジョニングデータに基づいて、上記通信ネットワークにおいてハニーネットネットワークとしてデプロイするためのコンポーネントをプロビジョニングし、上記プロビジョニングデータは、上記ハニーネットネットワークとしてひとたびデプロイされた上記プロビジョニングされたコンポーネントによってアクセス可能ではなく、上記ハニーネットネットワークは、上記ハニーネットネットワーク内で実行されるサービスにアクセスしようと試みる不正ネットワークトラフィックをモニタリングし、
上記ハニーネットネットワークの上記プロビジョニングされたコンポーネントは、
上記不正ネットワークトラフィックのログをとる処理デバイスと、
上記不正トラフィックの第１の部分を受信し、上記不正トラフィックに対応する第１のログセットを生成するゲートウェイデバイスと、
上記不正トラフィックの第２の部分を受信するハニーポットであって、上記ハニーポットは、上記サービスのインスタンスを実行し、上記ハニーポットは、上記サービスの上記不正ネットワークトラフィックをモニタリングし、上記モニタリングされた不正トラフィックに対応する第２のログセットを生成する、ハニーポットと、
第２のサーバコンピューティングデバイスであって、上記第２のサーバコンピューティングデバイスは、上記第２のサーバに記憶された構成データに基づいて、上記ゲートウェイデバイス、上記処理デバイス、および上記ハニーポットを自動的に構成し、上記構成データは、上記第１のサーバによってアクセス可能ではない、第２のサーバコンピューティングデバイスと
を備える、
システム。
［項目２］
上記プロビジョニングデータは、１つの上記処理デバイス、上記ゲートウェイデバイス、上記ハニーポット、および上記第２のサーバのプロビジョニング中に使用されるアプリケーションプログラミングインタフェースキー、セキュアシェルキー、および認証パラメータのうちの少なくとも１つを含む、
項目１に記載のシステム。
［項目３］
上記構成データは、アプリケーションと、上記アプリケーションをインストールするための命令を定義する１または複数のファイルとを含み、上記処理デバイス、上記ゲートウェイデバイス、および上記ハニーポットを自動的に構成することは、上記命令に基づいて、上記処理デバイス、上記ゲートウェイデバイス、および上記ハニーポットのうちの少なくとも１つに上記アプリケーションをインストールすることを含む、
項目２に記載のシステム。
［項目４］
上記サービスは、上記通信ネットワークのネットワークデバイス上で実行されるものと同一のサービスの挙動をエミュレートして、上記不正ネットワークトラフィックを上記ハニーネットネットワークに誘導する、
項目１に記載のシステム。
［項目５］
上記処理デバイスはさらに、上記不正ネットワークトラフィックからの脅威を特定し、上記脅威が上記ネットワークトラフィックから特定された回数に基づいて上記脅威に優先順位をつけるよう構成される、
項目１に記載のシステム。
［項目６］
上記処理デバイスはさらに、上記通信ネットワークの少なくとも１つのネットワークデバイスに対して、上記第１のログセットおよび上記第２のログセットへのアクセスを提供するよう構成される、
項目１に記載のシステム。
［項目７］
上記ハニーネットネットワークは独立であり、上記通信ネットワークの外部にある、
項目１に記載のシステム。
［項目８］
脅威を検出するための方法であって、
プロビジョニングデータに基づいて、通信ネットワークにおいてハニーネットネットワークとしてデプロイするためのコンポーネントをプロビジョニングする段階であって、上記プロビジョニングデータは、上記ハニーネットネットワークとしてひとたびデプロイされた上記プロビジョニングされたコンポーネントによってアクセス可能ではなく、上記ハニーネットネットワークは、上記通信ネットワーク内にデプロイされたネットワークデバイスのクラスタのうちの一ネットワークデバイス上のサービスにアクセスしようと試みる不正ネットワークトラフィックをモニタリングする、段階
を備え、上記プロビジョニングする段階は、
上記不正ネットワークトラフィックのログをとる処理デバイスをプロビジョニングする段階と
上記不正トラフィックの第１の部分を受信し、上記不正トラフィックに対応する第１のログセットを生成するゲートウェイデバイスをプロビジョニングする段階と、
上記不正トラフィックの第２の部分を受信するハニーポットをプロビジョニングする段階であって、上記ハニーポットは、上記サービスのインスタンスを実行し、上記ハニーポットは、上記サービスの上記不正ネットワークトラフィックをモニタリングし、上記モニタリングされた不正トラフィックに対応する第２のログセットを生成する、段階と、
第２のサーバに記憶された構成データに基づいて、上記処理デバイス、上記ゲートウェイデバイス、および上記ハニーポットを自動的に構成する上記第２のサーバをプロビジョニングする段階であって、上記構成データは、上記第１のサーバによってアクセス可能ではない、段階と
を有する、
方法。
［項目９］
上記プロビジョニングデータは、１つの上記処理デバイス、上記ゲートウェイデバイス、上記ハニーポット、および上記第２のサーバのプロビジョニング中に使用されるアプリケーションプログラミングインタフェースキー、セキュアシェルキー、および認証パラメータのうちの少なくとも１つを含む、
項目８に記載の方法。
［項目１０］
上記構成データは、アプリケーションと、上記アプリケーションをインストールするための命令を定義する１または複数のファイルとを含み、上記処理デバイス、上記ゲートウェイデバイス、および上記ハニーポットを自動的に構成することは、上記命令に基づいて、上記処理デバイス、上記ゲートウェイデバイス、および上記ハニーポットのうちの少なくとも１つに上記アプリケーションをインストールすることを含む、
項目９に記載の方法。
［項目１１］
上記サービスは、上記通信ネットワークのネットワークデバイス上で実行されるものと同一のサービスの挙動をエミュレートして、上記不正ネットワークトラフィックを上記ハニーネットネットワークに誘導する、
項目８に記載の方法。
［項目１２］
上記処理デバイスはさらに、上記不正ネットワークトラフィックからの脅威を特定し、上記脅威が上記ネットワークトラフィックから特定された回数に基づいて上記脅威に優先順位をつけるよう構成される、
項目８に記載の方法。
［項目１３］
上記処理デバイスはさらに、上記通信ネットワークの少なくとも１つのネットワークデバイスに対して、上記第１のログセットおよび上記第２のログセットへのアクセスを提供するよう構成される、
項目８に記載の方法。
［項目１４］
上記ハニーネットネットワークは独立であり、上記通信ネットワークの外部にある、
項目８に記載の方法。
［項目１５］
脅威を検出するための命令を有して符号化される非一時的コンピュータ可読媒体であって、上記命令はプロセッサによって実行可能であり、上記命令は、
プロビジョニングデータに基づいて、通信ネットワークにおいてハニーネットネットワークとしてデプロイするためのコンポーネントをプロビジョニングすることであって、上記プロビジョニングデータは、上記ハニーネットネットワークとしてひとたびデプロイされた上記プロビジョニングされたコンポーネントによってアクセス可能ではなく、上記ハニーネットネットワークは、上記通信ネットワーク内にデプロイされたネットワークデバイスのクラスタのうちの一ネットワークデバイス上のサービスにアクセスするよう試みる不正ネットワークトラフィックをモニタリングする、プロビジョニングすること
を含み、上記プロビジョニングすることは、
上記不正ネットワークトラフィックのログをとる処理デバイスをプロビジョニングすることと、
上記不正トラフィックの第１の部分を受信し、上記不正トラフィックに対応する第１のログセットを生成するゲートウェイデバイスをプロビジョニングすることと、
上記不正トラフィックの第２の部分を受信するハニーポットをプロビジョニングすることであって、上記ハニーポットは、上記サービスのインスタンスを実行し、上記ハニーポットは、上記サービスの上記不正ネットワークトラフィックをモニタリングし、上記モニタリングされた不正トラフィックに対応する第２のログセットを生成する、プロビジョニングすることと、
第２のサーバに記憶された構成データに基づいて、上記処理デバイス、上記ゲートウェイデバイス、および上記ハニーポットを自動的に構成する上記第２のサーバをプロビジョニングすることであって、上記構成データは、上記第１のサーバによってアクセス可能ではない、プロビジョニングすることと
を有する、
非一時的コンピュータ可読媒体。
［項目１６］
上記プロビジョニングデータは、１つの上記処理デバイス、上記ゲートウェイデバイス、上記ハニーポット、および上記第２のサーバのプロビジョニング中に使用されるアプリケーションプログラミングインタフェースキー、セキュアシェルキー、および認証パラメータのうちの少なくとも１つを含む、
項目１５に記載の非一時的コンピュータ可読媒体。
［項目１７］
上記構成データは、アプリケーションと、上記アプリケーションをインストールするための命令を定義する１または複数のファイルとを含み、上記処理デバイス、上記ゲートウェイデバイス、および上記ハニーポットを自動的に構成することは、上記命令に基づいて、上記処理デバイス、上記ゲートウェイデバイス、および上記ハニーポットのうちの少なくとも１つに上記アプリケーションをインストールすることを含む、
項目１６に記載の非一時的コンピュータ可読媒体。
［項目１８］
上記サービスは、上記通信ネットワークのネットワークデバイス上で実行されるものと同一のサービスの挙動をエミュレートして、上記不正ネットワークトラフィックを上記ハニーネットネットワークに誘導する、
項目１５に記載の非一時的コンピュータ可読媒体。
［項目１９］
上記処理デバイスはさらに、上記不正ネットワークトラフィックからの脅威を特定し、上記脅威が上記ネットワークトラフィックから特定された回数に基づいて上記脅威に優先順位をつけるよう構成される、
項目１５に記載の非一時的コンピュータ可読媒体。
［項目２０］
上記処理デバイスはさらに、上記通信ネットワークの少なくとも１つのネットワークデバイスに対して、上記第１のログセットおよび上記第２のログセットへのアクセスを提供するよう構成される、
項目１５に記載の非一時的コンピュータ可読媒体。
［項目２１］
上記ハニーネットネットワークは独立であり、上記通信ネットワークの外部にある、
項目１５に記載の非一時的コンピュータ可読媒体。

Claims (21)

1. 通信ネットワークに含まれる第１のサーバコンピューティングデバイスを備えた、脅威を検出するためのシステムであって、
   前記第１のサーバコンピューティングデバイスは、
   前記第１のサーバコンピューティングデバイスに記憶されたプロビジョニングデータに基づいて、前記通信ネットワークにおいてハニーネットネットワークとしてデプロイするためのコンポーネントをプロビジョニングし、前記プロビジョニングデータは、前記ハニーネットネットワークとしてひとたびデプロイされた前記プロビジョニングされたコンポーネントによってアクセス可能ではなく、前記ハニーネットネットワークは、前記ハニーネットネットワーク内で実行されるサービスにアクセスしようと試みる不正ネットワークトラフィックをモニタリングし、
   前記ハニーネットネットワークの前記プロビジョニングされたコンポーネントは、
   前記不正ネットワークトラフィックのログをとる処理デバイスと、
   前記不正トラフィックの第１の部分を受信し、前記不正トラフィックに対応する第１のログセットを生成するゲートウェイデバイスと、
   前記不正トラフィックの第２の部分を受信するハニーポットであって、前記ハニーポットは、前記サービスのインスタンスを実行し、前記ハニーポットは、前記サービスの前記不正ネットワークトラフィックをモニタリングし、前記モニタリングされた不正トラフィックに対応する第２のログセットを生成する、ハニーポットと、
   第２のサーバコンピューティングデバイスであって、前記第２のサーバコンピューティングデバイスは、前記第２のサーバに記憶された構成データに基づいて、前記ゲートウェイデバイス、前記処理デバイス、および前記ハニーポットを自動的に構成し、前記構成データは、前記第１のサーバによってアクセス可能ではない、第２のサーバコンピューティングデバイスと
   を備える、
   システム。
2. 前記プロビジョニングデータは、１つの前記処理デバイス、前記ゲートウェイデバイス、前記ハニーポット、および前記第２のサーバのプロビジョニング中に使用されるアプリケーションプログラミングインタフェースキー、セキュアシェルキー、および認証パラメータのうちの少なくとも１つを含む、
   請求項１に記載のシステム。
3. 前記構成データは、アプリケーションと、前記アプリケーションをインストールするための命令を定義する１または複数のファイルとを含み、前記処理デバイス、前記ゲートウェイデバイス、および前記ハニーポットを自動的に構成することは、前記命令に基づいて、前記処理デバイス、前記ゲートウェイデバイス、および前記ハニーポットのうちの少なくとも１つに前記アプリケーションをインストールすることを含む、
   請求項２に記載のシステム。
4. 前記サービスは、前記通信ネットワークのネットワークデバイス上で実行されるものと同一のサービスの挙動をエミュレートして、前記不正ネットワークトラフィックを前記ハニーネットネットワークに誘導する、
   請求項１に記載のシステム。
5. 前記処理デバイスはさらに、前記不正ネットワークトラフィックからの脅威を特定し、前記脅威が前記ネットワークトラフィックから特定された回数に基づいて前記脅威に優先順位をつけるよう構成される、
   請求項１に記載のシステム。
6. 前記処理デバイスはさらに、前記通信ネットワークの少なくとも１つのネットワークデバイスに対して、前記第１のログセットおよび前記第２のログセットへのアクセスを提供するよう構成される、
   請求項１に記載のシステム。
7. 前記ハニーネットネットワークは独立であり、前記通信ネットワークの外部にある、
   請求項１に記載のシステム。
8. 脅威を検出するための方法であって、
   プロビジョニングデータに基づいて、通信ネットワークにおいてハニーネットネットワークとしてデプロイするためのコンポーネントをプロビジョニングする段階であって、前記プロビジョニングデータは、前記ハニーネットネットワークとしてひとたびデプロイされた前記プロビジョニングされたコンポーネントによってアクセス可能ではなく、前記ハニーネットネットワークは、前記通信ネットワーク内にデプロイされたネットワークデバイスのクラスタのうちの一ネットワークデバイス上のサービスにアクセスしようと試みる不正ネットワークトラフィックをモニタリングする、段階
   を備え、前記プロビジョニングする段階は、
   前記不正ネットワークトラフィックのログをとる処理デバイスをプロビジョニングする段階と
   前記不正トラフィックの第１の部分を受信し、前記不正トラフィックに対応する第１のログセットを生成するゲートウェイデバイスをプロビジョニングする段階と、
   前記不正トラフィックの第２の部分を受信するハニーポットをプロビジョニングする段階であって、前記ハニーポットは、前記サービスのインスタンスを実行し、前記ハニーポットは、前記サービスの前記不正ネットワークトラフィックをモニタリングし、前記モニタリングされた不正トラフィックに対応する第２のログセットを生成する、段階と、
   第２のサーバに記憶された構成データに基づいて、前記処理デバイス、前記ゲートウェイデバイス、および前記ハニーポットを自動的に構成する前記第２のサーバをプロビジョニングする段階であって、前記構成データは、前記第１のサーバによってアクセス可能ではない、段階と
   を有する、
   方法。
9. 前記プロビジョニングデータは、１つの前記処理デバイス、前記ゲートウェイデバイス、前記ハニーポット、および前記第２のサーバのプロビジョニング中に使用されるアプリケーションプログラミングインタフェースキー、セキュアシェルキー、および認証パラメータのうちの少なくとも１つを含む、
   請求項８に記載の方法。
10. 前記構成データは、アプリケーションと、前記アプリケーションをインストールするための命令を定義する１または複数のファイルとを含み、前記処理デバイス、前記ゲートウェイデバイス、および前記ハニーポットを自動的に構成することは、前記命令に基づいて、前記処理デバイス、前記ゲートウェイデバイス、および前記ハニーポットのうちの少なくとも１つに前記アプリケーションをインストールすることを含む、
    請求項９に記載の方法。
11. 前記サービスは、前記通信ネットワークのネットワークデバイス上で実行されるものと同一のサービスの挙動をエミュレートして、前記不正ネットワークトラフィックを前記ハニーネットネットワークに誘導する、
    請求項８に記載の方法。
12. 前記処理デバイスはさらに、前記不正ネットワークトラフィックからの脅威を特定し、前記脅威が前記ネットワークトラフィックから特定された回数に基づいて前記脅威に優先順位をつけるよう構成される、
    請求項８に記載の方法。
13. 前記処理デバイスはさらに、前記通信ネットワークの少なくとも１つのネットワークデバイスに対して、前記第１のログセットおよび前記第２のログセットへのアクセスを提供するよう構成される、
    請求項８に記載の方法。
14. 前記ハニーネットネットワークは独立であり、前記通信ネットワークの外部にある、
    請求項８に記載の方法。
15. 脅威を検出するための命令を有して符号化される非一時的コンピュータ可読媒体であって、前記命令はプロセッサによって実行可能であり、前記命令は、
    プロビジョニングデータに基づいて、通信ネットワークにおいてハニーネットネットワークとしてデプロイするためのコンポーネントをプロビジョニングすることであって、前記プロビジョニングデータは、前記ハニーネットネットワークとしてひとたびデプロイされた前記プロビジョニングされたコンポーネントによってアクセス可能ではなく、前記ハニーネットネットワークは、前記通信ネットワーク内にデプロイされたネットワークデバイスのクラスタのうちの一ネットワークデバイス上のサービスにアクセスするよう試みる不正ネットワークトラフィックをモニタリングする、プロビジョニングすること
    を含み、前記プロビジョニングすることは、
    前記不正ネットワークトラフィックのログをとる処理デバイスをプロビジョニングすることと、
    前記不正トラフィックの第１の部分を受信し、前記不正トラフィックに対応する第１のログセットを生成するゲートウェイデバイスをプロビジョニングすることと、
    前記不正トラフィックの第２の部分を受信するハニーポットをプロビジョニングすることであって、前記ハニーポットは、前記サービスのインスタンスを実行し、前記ハニーポットは、前記サービスの前記不正ネットワークトラフィックをモニタリングし、前記モニタリングされた不正トラフィックに対応する第２のログセットを生成する、プロビジョニングすることと、
    第２のサーバに記憶された構成データに基づいて、前記処理デバイス、前記ゲートウェイデバイス、および前記ハニーポットを自動的に構成する前記第２のサーバをプロビジョニングすることであって、前記構成データは、前記第１のサーバによってアクセス可能ではない、プロビジョニングすることと
    を有する、
    非一時的コンピュータ可読媒体。
16. 前記プロビジョニングデータは、１つの前記処理デバイス、前記ゲートウェイデバイス、前記ハニーポット、および前記第２のサーバのプロビジョニング中に使用されるアプリケーションプログラミングインタフェースキー、セキュアシェルキー、および認証パラメータのうちの少なくとも１つを含む、
    請求項１５に記載の非一時的コンピュータ可読媒体。
17. 前記構成データは、アプリケーションと、前記アプリケーションをインストールするための命令を定義する１または複数のファイルとを含み、前記処理デバイス、前記ゲートウェイデバイス、および前記ハニーポットを自動的に構成することは、前記命令に基づいて、前記処理デバイス、前記ゲートウェイデバイス、および前記ハニーポットのうちの少なくとも１つに前記アプリケーションをインストールすることを含む、
    請求項１６に記載の非一時的コンピュータ可読媒体。
18. 前記サービスは、前記通信ネットワークのネットワークデバイス上で実行されるものと同一のサービスの挙動をエミュレートして、前記不正ネットワークトラフィックを前記ハニーネットネットワークに誘導する、
    請求項１５に記載の非一時的コンピュータ可読媒体。
19. 前記処理デバイスはさらに、前記不正ネットワークトラフィックからの脅威を特定し、前記脅威が前記ネットワークトラフィックから特定された回数に基づいて前記脅威に優先順位をつけるよう構成される、
    請求項１５に記載の非一時的コンピュータ可読媒体。
20. 前記処理デバイスはさらに、前記通信ネットワークの少なくとも１つのネットワークデバイスに対して、前記第１のログセットおよび前記第２のログセットへのアクセスを提供するよう構成される、
    請求項１５に記載の非一時的コンピュータ可読媒体。
21. 前記ハニーネットネットワークは独立であり、前記通信ネットワークの外部にある、
    請求項１５に記載の非一時的コンピュータ可読媒体。

Images