JP2019521422A - 異常なユーザ行動関連アプリケーションデータを検出するための方法、装置、およびコンピュータ読み取り可能な媒体 - Google Patents

異常なユーザ行動関連アプリケーションデータを検出するための方法、装置、およびコンピュータ読み取り可能な媒体 Download PDF

Info

Publication number
JP2019521422A
JP2019521422A JP2018560991A JP2018560991A JP2019521422A JP 2019521422 A JP2019521422 A JP 2019521422A JP 2018560991 A JP2018560991 A JP 2018560991A JP 2018560991 A JP2018560991 A JP 2018560991A JP 2019521422 A JP2019521422 A JP 2019521422A
Authority
JP
Japan
Prior art keywords
irregularity
activity
values
data
score
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2018560991A
Other languages
English (en)
Other versions
JP6725700B2 (ja
Inventor
イゴール バラバイン、
イゴール バラバイン、
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Informatica LLC
Original Assignee
Informatica LLC
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Informatica LLC filed Critical Informatica LLC
Publication of JP2019521422A publication Critical patent/JP2019521422A/ja
Application granted granted Critical
Publication of JP6725700B2 publication Critical patent/JP6725700B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/90—Details of database functions independent of the retrieved data types
    • G06F16/95—Retrieval from the web
    • G06F16/951—Indexing; Web crawling techniques

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Databases & Information Systems (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Data Mining & Analysis (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
  • Image Analysis (AREA)

Abstract

異常なユーザ行動を検出するための装置、コンピュータ可読媒体、およびコンピュータ実装方法は、観察区間にわたって収集されたユーザ行動データを記憶することを含み、ユーザ行動データは、複数のデータオブジェクトを含み、複数のユーザに対応する複数のデータオブジェクトを複数のクラスタにグループ分けし、各クラスタに対応する１つ以上の異常値メトリックを計算し、複数のデータオブジェクト内の１つ以上のデータオブジェクトの各々について不規則性スコアを計算し、１つ以上のデータオブジェクトに関する１つ以上のオブジェクトポスチャ内の少なくとも１つのオブジェクトポスチャの各々を、オブジェクトポスチャと同じユーザに対応する１つ以上の先行オブジェクトポスチャと比較して、複数のユーザ内の１人以上のユーザの異常行動を識別する。

Description

本出願は、２０１６年５月２０日に出願された米国非仮出願第１５／１６０，７８３号の優先権を主張し、その開示は、その全体が参照により本明細書に組み込まれる。
データ資産のモニタリングは、重要なデータ管理と情報技術である。企業およびクラウドサービスプロバイダによってしばしば使用される（ＩＴ）機能には、パフォーマンス、信頼性、不正なホスト、疑わしいユーザ活動などに関連する問題について、内部ネットワーク上で発生する活動を監視することが含まれる。
異常検出は、予期される、望まれる、または通常のパターンとは異なる、アイテム、イベント、または挙動の識別である。データ消費者の文脈で研究される場合、異常な挙動の検出メカニズムは、リモートストレージデバイスへのデータバックアップなどの通常のオペレーションによって引き起こされる異常な挙動パターンと、機密データの隠蔽、スキャン、スヌーピング、および正当なユーザ偽装を実行する悪意のあるアクタの存在によって引き起こされる挙動パターンとを区別することが可能でなければならない。
Ｉｎｔｅｌ Ｓｅｃｕｒｉｔｙの２０１４年の調査によると、サイバー犯罪による世界経済の損失は３７５０億〜５７５０億ドルと推計されており、サイバー犯罪産業の成長傾向が顕著であることを示している。サイバー犯罪は、民間企業、グローバル企業、個人、政府、軍組織に影響を及ぼす。Ｓｏｐｈｏｓは、２０１３年に８億を超える個人データ記録が損なわれたと推定している。
サイバー犯罪による損失を軽減または排除するためには、悪意のある主体によって引き起こされる異常な活動を検出し、ＩＴセキュリティ担当者にタイムリーに報告しなければならない。
しかし、データユーザの異常な挙動の検出は、観察中のデータユーザおよびデータ資産の数が増加し、各観察された項目またはイベントの複雑さも増加する場合に、非常に困難になる。データユーザの異常挙動を検出することは、複雑な異常検出問題の極端な例である。
従来、データユーザに起因する異常事象の検出は、ネットワークセキュリティアナリストの領域にあった。通常、セキュリティアナリストは、セキュリティインシデントを調査しながら、長年にわたって蓄積されたツールの集合を所有する。これらの調査ツールの大多数は、セキュリティ事件が発見された後に行われる法医学的調査に適している。しかし、発見の時点までに、サイバー犯罪者はすでにその目的を達成し、被害者のデータ資産から貴重な情報を取り出しているかもしれない。
膨大な量のデータ、データ到着率、および関連し得る観察されたパラメータの数のために、機械学習ベースの方法のみが、ユーザ挙動異常検出タスクを処理することができる。異常事象のタイムリーな警告を提供することができる機械学習方法は、教師なし機械学習方法及び教師あり機械学習方法の２つのグループに分類することができる。
教師なし機械学習方法は、「生」データに作用し、エキスパートからの入力を必要としない。自動的であるため、教師なし機械学習方法は、偽陽性が高いという問題がある。
教師あり機械学習は、論議領域についてのアプリオリな知識を仮定し、学習プロセスの基礎としての専門家の情報に基づいている。その知見はより正確であるが、教師あり機械学習法は、かなりの知識ベースを必要とするため、教師なし機械学習法よりも、論議領域の変化に対して適応性が低い。
したがって、ネットワーク環境における異常イベントをリアルタイムで識別し、進行中の違反状況をオペレータに警告するために、異常検出システムにおいて改善が必要とされる。
図１は、例示的な実施形態による、異常なユーザ挙動を検出するための方法のフローチャートを示す。 図２は、例示的な実施形態による、観察区間にわたるユーザ活動データのチャートを示す。 図３は、例示的な実施形態による、正規分布に適合するようにユーザ活動データを変換するためのフローチャートを示す。 図４は、例示的な実施形態によるユーザ活動データに適用される正規化処理の結果を示すチャートである。 図５は、本発明の一実施形態によるユーザ活動データに適用される入力データ次元縮小処理の結果を示すチャートである。 図６は、例示的な実施形態に従ってデータオブジェクトに適用されたクラスタリングステップの結果を示す。 図７は、例示的な実施形態による、データオブジェクトの２つの活動パラメータに対応する２次元空間内のクラスタを示す。 図８は、例示的な実施形態による、クラスタに対する外れ値メトリックとして使用することができる距離ベース外れ値メトリックの視覚化を示す。 図９は、例示的な実施形態による、クラスタに対する外れ値メトリックとして使用することができる密度ベース外れ値メトリックの視覚化を示す。 図１０は、例示的な実施形態による、データオブジェクトを含むクラスタのサイズと、データオブジェクトを含むクラスタの１つ以上の外れ値メトリックとに少なくとも部分的に基づいて、複数のデータオブジェクト内の各データオブジェクトの不規則性スコアを計算するためのフローチャートを示す。 図１１は、例示的な実施形態による例示的な実施形態による、特異性メトリック、距離ベース外れ値検出信頼度メトリック、および密度ベース外れ値検出信頼度メトリックに少なくとも部分的に基づいて、データオブジェクトの不規則性スコアを決定するためのフローチャートを示す。 図１２のＡ〜Ｂは、［０，２００］区間における特異性メトリックの範囲を複数の特異性レベルにマッピングするファジーメンバーシップ関数と、例示的な実施形態による例示的なマッピングとを示す。 図１３のＡ〜Ｂは、［０，２００］区間における距離ベース外れ値メトリックの範囲を複数の距離ベース外れ値レベルにマッピングするファジーメンバーシップ関数と、例示的な実施形態によるマッピングの例とを示す。 図１４のＡ〜Ｂは、［０，２００］区間における密度ベース外れ値メトリックの範囲を複数の密度ベース外れ値レベルにマッピングするファジーメンバーシップ関数、および例示的な実施形態によるマッピング例を示す。 図１５は、例示的な実施形態による、不規則性レベルを決定するためのファジールールのセットを示す表を示す。 図１６は、例示的な実施形態による、図１５のファジールールセットを使用するデータの仮想セットへのマッピングを示す。 図１７のＡ〜Ｂは、例示的な実施形態による不規則性決定関数および例を示す。 図１８は、例示的な実施形態による、各データオブジェクトに対応する複数の活動パラメータおよび各データオブジェクトの不規則性スコアに少なくとも部分的に基づいて、複数のデータオブジェクトの複数のオブジェクトポスチャを生成するために、複数のデータオブジェクト内の各データオブジェクトに対して実行される方法を示す。 図１９は、例示的な実施形態による、サンプルデータオブジェクトにおける活動パラメータおよび不規則性スコアのマッピングを示す。 図２０は、例示的な実施形態による、複数の活動パラメータ内の各活動パラメータを、セグメント値のセット内のセグメント値にマッピングし、その活動パラメータに対応するファジーメンバーシップ関数に少なくとも部分的に基づいて、対応する変動値を各活動パラメータに割り当てるためのフローチャートを示す。 図２１は、例示的な実施形態による、サンプル活動パラメータへの図２０のステップの適用を示す。 図２２は、例示的な実施形態による、別のサンプル活動パラメータへの図２０のステップの適用を示す。 図２３は、例示的な実施形態による、データオブジェクトの不規則性スコアを、不規則性値のセット内の不規則性値にマッピングし、不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて、対応する不規則性変動値を不規則性スコアに割り当てるためのフローチャートを示す。 図２４は、例示的な実施形態による、不規則性値のセットにおける不規則性値への不規則性スコアのマッピング例と、不規則性スコアへの不規則性変動値の割り当て例とを示す。 図２５は、実施形態に係るポスチャ生成処理の一例を示す図である。 図２６は、例示的な実施形態による、１つ以上の活動パラメータに対応する１つ以上の変動値および１つ以上の活動パラメータに対応する１つ以上のファジーメンバーシップ関数に少なくとも部分的に基づいて、複数の活動パラメータ中の１つ以上の活動パラメータをセグメント値のセット中の１つ以上の追加のセグメント値にマッピングするためのフローチャートを示す。 図２７は、例示的な実施形態による、１つ以上の活動パラメータの、１つ以上の追加のセグメント値への例示的なマッピングを示す。 図２８は、例示的な実施形態による、不規則性スコアに対応する不規則性変動値および不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて、不規則性スコアを不規則性値のセット内の１つ以上の追加の不規則性値にマッピングするためのフローチャートを示す。 図２９は、例示的な実施形態による、不規則性スコアの１つ以上の追加の不規則性値への例示的なマッピングを示す。 図３０は、本発明の実施形態による変動値及び不規則性変動値を除去した後にポスチャを生成する例を示す。 図３１は、各ユーザに対応する各オブジェクトポスチャに対して実行され、それによって、複数のオブジェクトポスチャにおける各オブジェクトポスチャを、オブジェクトポスチャと同じユーザに対応する１つ以上の前のオブジェクトポスチャと比較して、例示的な実施形態による、複数のユーザにおける１つ以上のユーザの異常な活動を識別する方法を示す。 図３２は、例示的な実施形態による、２つのポスチャ間のレーベンシュタイン距離を示す。 図３３は、例示的な実施形態によるユーザ行動異常モジュールの配備を示す。 図３４は、例示的な実施形態による、異常なユーザ挙動を検出するための方法を実行するために使用することができる例示的なコンピューティング環境を示す。
本明細書では、方法と、装置と、コンピュータ可読媒体とを、例および実施形態として説明するが、当業者は、異常なユーザ挙動を検出するための方法、装置と、コンピュータ可読媒体とが、説明された実施形態または図面に限定されないことを認識する。図面および説明は、開示された特定の形態に限定されることを意図していないことを理解されたい。むしろ、意図は、添付の特許請求の範囲の精神および範囲内に入るすべての修正、等価物、および代替物を網羅することである。本明細書で使用される見出しはいずれも、編成目的のためだけのものであり、説明または特許請求の範囲を限定することを意味しない。本明細書で使用されるように、単語「ｍａｙ（することができる）」は、必須の意味ではなく、許容される意味（すなわち、可能性を有することを意味する）で使用される。同様に、単語「ｉｎｃｌｕｄｅ（含む）」、「ｉｎｃｌｕｄｉｎｇ（含む）」、および「ｉｎｃｌｕｄｅｓ（含む）」は、これらに限定されないが、含んでいることを意味する。
本出願人は、異常なユーザ挙動を検出するための方法、装置、およびコンピュータ可読媒体を発見した。開示された方法およびシステムは、活動パラメータ、データオブジェクトのポスチャ記述の作成、データオブジェクトのポスチャパターンにおける変化の時間的追跡、および識別された変化の分類などの１つ以上の属性によるデータオブジェクトの特徴付けを含む。より詳細には、開示された方法およびシステムは、データ資産の監視を通じて取得されたユーザ活動メタデータの処理を含み、これは、メタデータの消費者にタイムリーな方法で報告される有用な情報を効率的にもたらすことができる。
本出願人は、観察中のデータオブジェクトの状態の時間的変化（「ポスチャ（ｐｏｓｔｕｒｅ）」）を記述し評価する新規なアプローチを発見した。このようなポスチャの一時的なシーケンスは、観察中のデータオブジェクトに関する行動パターンを含み、オブジェクトのポスチャの経時的な著しい変化は、偏差に関する通知に変換される。
本システムは、各々が前記データオブジェクトの特定の属性の状態を特徴付ける塩基要素のＤＮＡ様配列を使用することによって、データオブジェクト記述に対する新規なアプローチを導入する。データオブジェクトの属性を記述する基本要素は、オペレータによって容易に理解され操作される言語カテゴリの有限セットから取られる。
本システムは、教師なし機械学習技術の予測的特徴を、教師あり機械学習アルゴリズムのロバストな分類能力と新規な方法で組み合わせることによって、教師なし機械学習方法と教師あり機械学習方法の両方を利用する。
本システムは、データオブジェクトの属性の特定のタイプに限定されない。データオブジェクトの属性は、連続変数、公称変数、順序変数、対称及び非対称バイナリ変数の形式をとることができるが、これらに限定されない。
本システムは、事後分析に頼ることなくストリーミング方式で動作することができ、データオブジェクトの挙動変化に関する情報をリアルタイムで提供することができる。本発明で開示される方法は、休止中のデータオブジェクトの挙動情報にも適用可能であることを理解されたい。
この説明は、データオブジェクト属性が活動パラメータであるデータ消費者挙動の分析を含む例を含むが、開示された方法、システム、およびコンピュータ可読媒体は、ネットワークエンドポイント、金融取引、あらゆる種類のテレメトリ、人口統計学的傾向、炭化水素リザーバなどの任意のデータオブジェクトの挙動パターンを分析するためにも利用することができる。例えば、本明細書に開示される異常データ検出のための方法およびシステムは、油井に配備されたセンサによって報告される石油化学製品の化学組成の変化の検出のために、または金融取引ネットワークにおける異常パターンを見つけるために利用され得る。前者の例では、データオブジェクトは、様々なセンサからのセンサ読み取り値であることができ、各データオブジェクトは、異なるセンサに対応する。後者の例では、データオブジェクトは、注文帳における取引または実行された取引であることができ、各データオブジェクトは、取引の１つ以上の当事者、取引プラットフォーム、または取引所に対応する。
図１は、例示的な実施形態による、異常なユーザ挙動を検出するための方法のフローチャートを示す。ステップ１０１において、ユーザ活動データが観察区間にわたって収集される。
観察区間に加えて、別個のユーザ活動データ収集区間があってもよい。例えば、ユーザ活動データ収集区間の長さは、３０秒から１週間であり得る。観察区間は、ユーザ活動データ収集区間の倍数とすることができる。例えば、観察区間の長さは、ユーザ活動データ収集区間の２０〜４０倍の間であり得る。このシナリオでは、ユーザ活動データは、ユーザ活動データ収集区間ごとに収集され、異常なユーザ挙動の検出は、それぞれの観察区間ごとに行われる。もちろん、単一の時間区間を、ユーザ活動データ収集区間および観察区間の両方に利用することができる。
ユーザ活動データは、複数のユーザに対応する複数のデータオブジェクトを含むことができ、複数のデータオブジェクト内の各データオブジェクトは、複数の活動パラメータ（データオブジェクトの属性）を含むことができる。例えば、複数の活動パラメータは、観察期間においてユーザによってアクセスされる多数のデータストア、観察期間においてユーザによってアクセスされる多数の機密データストア、観察期間においてユーザによって影響を受ける多数のレコード、観察期間におけるユーザによる多数の要求、観察期間におけるユーザによるアクセス時間（時間、平日、および／または日付を含む）、観察期間におけるユーザによる多数の機密要求、観察期間においてユーザによって影響を受ける多数の機密レコード、および／またはユーザの地理的位置のうちの１つ以上を含むことができる。
複数の活動パラメータはまた、ユーザのユーザホスト再配置異常メトリック、ユーザ活動タイミング異常メトリック、および／または転送ネットワークパスメトリックを含むことができる。ユーザホスト再配置異常メトリックは、ユーザ再配置／位置の不規則性の度合いを示す［０，１］区間の値である。１に近い値は異常なユーザ再配置を示す。ユーザ活動タイミング異常メトリックは、ユーザ労働時間のばらつきの度合いを示す［０，１］区間の値である。１に近い値は異常なユーザ労働時間を示す。ユーザの転送ネットワークパスは、ユーザが内部ネットワーク（例えば、ＶＰＮ、無線、ＬＡＮ）上にいる間にリソースにアクセスした場所である。これは、確率的アプローチを用いて定量化される名目データである。転送ネットワークパスメトリックは、特定のユーザがＶＰＮアドレスプールからまたは特定の無線ＬＡＮから作業する頻度など、転送ネットワークパスデータに関連するいくつかのメトリックを含むことができる。
図２は、例示的な実施形態による、観察区間にわたるユーザ活動データのチャート２００を示す。図２に示すように、１９個のデータオブジェクトがあり、その各々は、３つの活動パラメータ２０１Ａ、２０１Ｂ、および２０１Ｃを含む。１９個のデータオブジェクトの各々は、異なるユーザについての活動データに対応することができる。活動パラメータ２０１Ａは、対応するユーザによってアクセスされるデータストアの数に対応し、活動パラメータ２０１Ｂは、対応するユーザによってなされる要求の数に対応し、活動パラメータ２０１Ｃは、対応するユーザによってアクセスされる機密データストアの数に対応する。例えば、データオブジェクト１９は、括弧２０２によって示される値を含む。具体的には、データオブジェクト１９は、ユーザ１９に対応し、図に示すように、ユーザ１９は、５１個のデータストアにアクセスし、３１個の要求を行い、１０個の機密データストアにアクセスする。図２は、説明のみの目的で提示されており、実際のユーザ活動データまたは他の入力データセットは、より多くのまたはより少ない次元および／または異なる活動パラメータを有することができる。
図１に戻ると、任意選択で、ステップ１０２で、ユーザ活動データを正規分布に適合するように変換することができる。システムは、多変量正規性（ガウス（Ｇａｕｓｓｉａｎ））分布に従う入力データを利用することを要求され得る。この場合、入力データは正規性をチェックし、必要に応じて正規分布に変換することができる。
図３は、正規分布に適合するようにユーザ活動データを変換するフローチャートを示す。ステップ３０１では、複数の活動パラメータのうちの１つ以上の活動パラメータに対応するユーザ活動データが正規分布に適合するかどうかが判定される。
ユーザ活動データが正規分布であるかどうかを決定するために、その分布は、コルモゴロフ−スミノフ（Ｋｏｌｍｏｇｏｒｏｖ−Ｓｍｉｒｎｏｖ）検定を実行することによって正規分布に従う周知のテストデータセットの分布と比較される。もちろん、コルモゴロフ−スミノフ検定の代わりに、シャピロウィルク（Ｓｈａｐｉｒｏ−Ｗｉｌｋ）多変量正規性検定またはアンダーソン−ダーリング（Ａｎｄｅｒｓｏｎ−Ｄａｒｌｉｎｇ）検定のような他の統計的分布検定を用いることもできる。
ステップ３０２において、１つ以上の活動パラメータに対応するユーザ活動データは、１つ以上の活動パラメータに対応するユーザ活動データが正規分布に適合しないという決定に少なくとも部分的に基づいて、正規分布に適合するように変換される。
ユーザ活動データが正規分布から逸脱すると判定された場合、そのデータを、１パラメータＢｏｘ−Ｃｏｘパワー変換を使用して変換することができる。
ここで、λは、プロファイル尤度関数を用いて推定される。
もちろん、非正規データは、「Ｔｕｋｅｙ’ｓ Ｌａｄｄｅｒ ｏｆ Ｐｏｗｅｒｓ」または類似の方法などの他の手段によって、正規分布に従うように変換することができる。
図１に戻ると、任意選択で、ステップ１０３で、複数の活動パラメータ内の１つ以上の活動パラメータに対応するユーザ活動データを正規化することによって、ユーザ活動データを正規化することができる。
ユーザ活動データが多次元である結果として、活動パラメータの各々に対応する各データ次元は、他の活動パラメータに対応する他のデータ次元からスケールが大幅に変化し得る。例えば、＃Ｄａｔａ Ｓｔｏｒｅｓ Ａｃｃｅｓｓｅｄメトリックは、１から１０の間で変化し得るが、アクセスされたデータレコードの数およびアクセスされた機密データレコードの数のような他のメトリックは、数百万でカウントされ得、アウトバウンドパケットサイズメトリックの入力を容易に抑制し得る。正規化プロセスは、入力データスケーリング問題を解決する。
ユーザ活動パラメータに対応するメトリックの各々について、正規化は、各データポイントＸ（ｉ）メトリック（下記の数２で表されるＸ＾（ｉ）、ただし、＾は「Ｘ」上のチルダを表す）を、そのメトリックの１０パーセンタイルと９０パーセンタイルとの間に単位距離が存在するような方法で、再計算することによって実行することができる。
ここで、Ｘ（ｉ）＝｛ｘｊ（ｉ）｝、ｊ＝１、...、Ｎ、ｆｐ（ｙ）−メトリック測定値のｐパーセンタイルを返す関数、である。
最初の正規化ステップが完了すると、シグモイド関数を適用することによって、メトリックをさらに［０，１］区間に正規化することができる。
ここで、μ＝ｆ５０（Ｘ（ｉ）−メトリック中央値、β＝ｆ９０（Ｘ（ｉ））−シグモイド関数の「曲点」、である。
もちろん、ユーザ活動データ正規化ステップは、双曲線正接、Ｚスコアなどの異なる正規化変換を適用することによって実行することができる。
図４は、図２のユーザ活動データに適用される正規化処理の結果を示すチャート４００を示す。図４に示すように、活動パラメータの各々の値は、０〜１の間である。
図１に戻ると、任意選択で、ステップ１０４で、複数の活動パラメータ内の１つ以上の活動パラメータに対応するデータを除去することによって、ユーザ活動データ内の次元数を減らすことができる。このプロセスは、ユーザ活動データ内の重要なメトリックを見つけ、多次元入力データ空間内のノイズに等しい他のメトリックを廃棄するように構成され、したがって、ユーザ活動データの次元を低減する。
入力データ（ユーザ活動データ）の次元数を減らすことにより、主成分分析を行うことにより、後続のクラスタリングステップの高速化が達成される。（「ＰＣＡ」）メソッドは、元の論議領域におけるデータオブジェクトの次元の数と比較して、データオブジェクトの次元の数を減らす。ＰＣＡ入力データ次元数低減方法は、共分散行列の固有ベクトルが新たな座標軸となるように入力データ座標を変換する。
ＰＣＡは単に座標系を変換するだけであるが、実際のデータ次元縮小手順は、ホーン（Ｈｏｒｎ）の並列分析（「ＰＡ」）技法を使用することによって達成することができる。
ＰＡは、実際のデータセットの固有値を、実際のデータセットと同じ次元の補正されていない正規変数の人工データセットの固有値と比較することに基づく。実際のデータセットの次元性は事前に知られているが、実際のユーザ活動データセットのサイズは可変であり、予測することはできない。データセットサイズの変動性により、未訂正正規変数固有値の事前生成テーブルを、実行時にＰＣＡ手順を実行するときに使用することができる。未訂正正規変数固有値のテーブルは、オフラインで生成することができ、実行時に補間することができる。
もちろん、ＰＣＡ方法とＰＡ方法の組み合わせ以外の技術を使用して、入力データの次元を低減することができる。例えば、線形判別分析法または十分な寸法縮小アプローチを使用して、入力データの寸法縮小の目的を達成することもできる。
図５は、図３のユーザ活動データに適用される入力データ次元縮小処理の結果を示すチャート５００を示す。図４〜図５に示すように、「＃of sensitive data stores accessed」の活動パラメータに対応するデータが、ユーザ活動データから除去され、それにより、データセットが３次元から２次元に低減される。もちろん、図５に示す結果は例示のみを目的としており、データ次元縮小ステップの実際の結果は異なっていてもよい。
図１に戻ると、ステップ１０５において、複数のデータオブジェクトは、各データオブジェクトに対する複数の活動パラメータに少なくとも部分的に基づいて、複数のクラスタにグループ化される。クラスタリングステップは、入力データ次元縮小ステップ１０４、正規化ステップ１０３、変換ステップ１０２、または収集ステップ１０１の出力を受け取ることができる。さらに、クラスタリングステップは、類似のデータポイントのグループ（「クラスタ」）に関する情報を出力する。
データオブジェクトのクラスタリングは、入力データオブジェクトをクラスタリングするために、階層（「ＢＩＲＣＨ」）を使用するバランス型反復縮小およびクラスタリングを使用して実行することができる。ＢＩＲＣＨは、大量の多変量データを分析するために開発されたロバストなクラスタリングアルゴリズムである。このアルゴリズムは、入力データを連続的に取り込むことができる。クラスタリングステップは、以下に説明する４つのステップを含む。
第１のステップは、クラスタリング特徴（「ＣＦ」）ツリーを構築することであり、このステージの間、入力データはＢツリー様構造にロードされ、データオブジェクトは、データオブジェクト間の相対ユークリッド距離に基づいてリーフノードにおいて集められる。しきい値をマージするデータオブジェクトは、ＢＩＲＣＨアルゴリズムの入力パラメータであり、最初に小さな値に設定される。入力データを［０，１］区間に正規化する場合、０．０００１などの比較的小さいマージ閾値を用いることができる。さらに、後述するように、閾値は、後続の中間ステップ中に自動的に補正することができる。
第２のステップは、ＣＦツリー凝縮である。この動作は、ＣＦツリーが予め設定されたサイズを超えたときに開始することができる。この時点で、サンプルマージ閾値を再計算することができ、ＣＦツリーを再構築することができる。次に、既存のＣＦツリー内のエントリ間の距離から、マージ閾値の新しい値を導出することができる。
第３のステップは、グローバルクラスタリングであり、このステップにおいて、ＢＩＲＣＨクラスタリングアルゴリズムは、規則的なクラスタリングアルゴリズムをＣＦツリー内に収集された情報に適用する。例えば、ＢＩＲＣＨアルゴリズムの実装は、２つのグローバルクラスタリングオプションを利用することができる。ＣＦツリーリファインメントおよび階層クラスタリング（「ＨＣ」）。ＨＣは、より細かい粒度クラスタを生成することができるが、その実行時間はかなり長く、メモリ消費量は、ＣＦツリー精緻化手順のものよりもかなり高い。
第４のステップは、クラスタマッチングである。このステップの間、入力データオブジェクトは、リファインメントステップの後に生成されたクラスタとマッチングされる。
クラスタリングステップについてＢＩＲＣＨアルゴリズムを上述したが、クラスタリングステップ中にＢＩＲＣＨ以外のクラスタリング方法を使用することができる。例えば、ＤＢＳＣＡＮまたはＫ−ｍｅａｎｓなどのクラスタリングアルゴリズムを使用して、データオブジェクトをクラスタにグループ化することができる。
図６は、図５に示されるデータオブジェクトに適用されるクラスタリングステップの結果を示す。図６に示すように、図５に示す１９個のデータオブジェクトをグループ化するために、７個のクラスタ（ＣＬＵＳＴＥＲ）が生成される。例えば、クラスタ５は、データオブジェクト（Ｄａｔａ Ｏｂｊｅｃｔ）９およびデータオブジェクト１０を含む。別の例では、クラスタ１１はデータオブジェクト１１のみを含む。もちろん、これらのクラスタは、例示のみのために提供され、図５のデータに上述のクラスタリングステップを適用した結果は異なり得る。
図１のステップ１０６において、複数のクラスタ内の各クラスタに対応する１つ以上の外れ値メトリックが計算される。１つ以上の外れ値メトリック内の各外れ値メトリックは、対応するクラスタが複数のクラスタ内の他のクラスタからどの程度外れているかを測定することができる。このステップは、結果として得られるクラスタの集合において、外れているエンティティ（結果として得られる集合内の他のクラスタの大部分の外側に位置する１つ以上のクラスタである）の存在についてチェックする。
１つ以上の外れ値メトリックは、距離ベース外れ値メトリックおよび密度ベースのクラスタ外れ値メトリックのうちの１つ以上を含むことができる。これらのタイプの外れ値メトリック間の差異は、図７〜９を参照して説明される。
図７は、図５のデータオブジェクトの２つの活動パラメータに対応する２次元空間における図６のクラスタを示す。各クラスタは、クラスタ内に含まれるデータオブジェクトの平均値にプロットされる。例えば、クラスタ５は、データオブジェクト９およびデータオブジェクト１０を含む。データオブジェクト９とデータオブジェクト１０との間でアクセスされたメトリックを記憶するデータの平均数は０．２５である（図５に示すように正規化された場合）。データオブジェクト９とデータオブジェクト１０との間の要求メトリックの平均数は、０．４０である（図５に示すように正規化された場合）。図７のグラフのｘ軸はアクセスされたデータストアの数であり、ｙ軸は要求の数である。したがって、クラスタ５は点（０．２５，０．４０）にプロットされる。
もちろん、ユーザ活動データがより多くの次元を含む場合、クラスタは、対応する次元空間にプロットすることができる。図７のプロットは、例示のみのために提供され、限定することを意味しない。例えば、ユーザ活動データ（または変換、正規化、および／または次元縮小後のユーザ活動データ）がｋ次元を有する場合、クラスタをプロットすることができ、ｋ次元空間について外れ値メトリックを計算することができる。
図８は、クラスタに対する外れ値メトリック、マハラノビス外れ値分析（「ＭＯＡ」）として使用することができる距離ベース外れ値メトリックの視覚化を示す。マハラノビス距離は、点Ｐと分布Ｄとの間の距離の尺度であり、この尺度を計算するための原点は、図８の点８００として示されるクラスタの重心（質量中心）にある。この距離を計算するときの第１の座標軸８０１は、分散が最大である任意の方向であるクラスタのスパイン（ｓｐｉｎｅ）に沿って延びる。第２の座標軸８０２は第１の軸８０１に対して垂直に延び、原点８００は第１の軸８０１と第２の軸８０２との交点にある。図８を参照すると、各クラスタのマハラノビス距離は、クラスタから原点８００までの座標軸８０１および８０２に対して測定された距離である。
上述したように、距離ベース外れ値検出は、クラスタリングステップ中に発見されたクラスタのマハラノビス距離（「ＭＤ」）を計算することによって実行することができる。最大のＭＤ値（クラスタシステムの質量中心からの距離の単位中立尺度）を有するクラスタは、外れ値候補とみなされる。
距離ベース外れ値検出信頼度メトリックは、以下のように計算することができる。
ＣＭ０Ａ ＝ １００ｐｅ／［１−ｐｃｒｉｔ（δ，ｎ，ｐｅ）］
ここで、ｐｃｒｉｔ（δ，ｎ，ｐ）は、Ｐ．Ｆｉｌｚｍｏｓｅｒによって提案されたアルゴリズムを使用して、外れ値と極値とを区別するための臨界値である。決定は、分布のテールにおける経験的分布と理論的分布との間の差の尺度に基づいて行われ、クラスタの集合における外れ値の尺度として考慮される。
図９は、クラスタに対する外れ値メトリック、ローカル外れ値ファクタ（「ＬＯＦ」）として使用することができる密度ベース外れ値メトリックの視覚化を示す。ＬＯＦは、クラスタの局所密度に基づく。各クラスタの局所性は、ｋ個の最近傍によって与えられ、その距離は、密度を推定するために使用される。オブジェクトの局所密度をその近傍の局所密度と比較することによって、類似の密度の領域、ならびにそれらの近傍よりも低い密度を有する点を識別することができる。これらは外れ値と考えられる。
密度に基づく外れ値の検出は、所与のノードからそのＫ個の最近傍（「Ｋ−ＮＮ」）までの距離を評価することによって実行される。Ｋ−ＮＮ法は、クラスタシステム内のすべてのクラスタについてユークリッド距離行列を計算し、次いで、各クラスタの中心からそのＫ個の最近傍までの局所到達可能性距離を評価する。前記距離マトリックス局所到達可能性距離に基づいて、各クラスタについて密度が計算され、各クラスタについての局所外れ因子（「ＬＯＦ」）が決定される。大きなＬＯＦ値を有するクラスタは、外れ値候補として考慮される。
図９は、点線の円９０１として示されるクラスタ５の３−ＮＮ距離の視覚化と、点線の円９０２として示されるクラスタ７の３−ＮＮ距離の視覚化とを示す。図に示すように、クラスタ７の局所密度は、クラスタ５の局所密度よりもはるかに低い。
密度ベースのクラスタ外れ値信頼度メトリックは、以下のように計算することができる。
ここで、ＬＯＦは計算された局所的外れ値係数であり、ｔＬＯＦは経験的ＬＯＦしきい値である。より高い計算されたＬＯＦ値を有するクラスタは、外れ値とみなされる。
マハラノビス外れ値などの外れ値検出方法の適用に加えて、分析および局所的外れ値因子、別の補助的外れ値検出方法も、これらの外れ値検出方法の結果に適用することができる。例えば、グラブス検定は、外れたクラスタの不規則性の程度をさらに定量化する目的で、第１の外れ値検出ステップの結果に適用することができる。
グラブス検定は、クラスタリングステップ中に作成されたクラスタの集合における単一の外れ値を検出するために使用することができる。グラブス検定は、ＭＯＡおよびＬＯＦ評価の結果のさらなる検証に適用することができる。
グラブス検定信頼度メトリックは、以下のように計算することができる。
ここで、Ｇは、グラブス検定統計量であり、Ｇｃｒｉｔは、片側検定のための「外れ値なし」仮説（「帰無仮説」）を拒絶するための閾値である。
クラスタリングステップ中に生成されるクラスタの集合に複数の外れ値検出方法を適用することにより、クラスタリングステップ結果の解釈が向上する。本開示は、３つの外れ値検出方法を説明するが、外れ値検出方法のうちの１つまたは２つのみをクラスタリングステップ結果に適用することができることを理解されたい。
さらに、ＭＯＡ、ＬＯＦおよびグラブス検定以外の外れ値検出方法を、外れ値検出に使用することができる。例えば、最小共分散決定アルゴリズムまたは「カーネルトリック」法を、外れ値クラスタ検出に使用することができる。
さらに、クラスタではなく、個々のデータ点に対して外れ値検出方法を適用することができる。しかしながら、クラスタに外れ値検出方法を適用することは、外れ値検出方法を各個々のデータオブジェクトに別々に適用することによるよりも、外れたデータ点のより速い発見を達成する。
図１に戻ると、ステップ１０７において、不規則性スコアが、データオブジェクトを含むクラスタのサイズと、データオブジェクトを含むクラスタの１つ以上の外れ値メトリックとに少なくとも部分的に基づいて、複数のデータオブジェクト内の各データオブジェクトに対して計算される。このステップは、クラスタリングコンポーネントによって識別された各クラスタに不規則性の尺度を割り当てる。さらに、この不規則性スコアは、データオブジェクト（活動パラメータ）に対応するメトリックの集合に組み込むことができる。
不規則性スコアは、所与のデータオブジェクトが論議領域内の他のデータオブジェクトに類似する度合いを記述する。不規則性スコアは、所与のオブジェクトが、類似のオブジェクトのセットにおける異常であることにどれだけ近いかを伝える。不規則性スコアは、任意の値の範囲内に入ることができる。例えば、不規則性スコアは、０と１の間の値をとることができる。この場合、１の不規則性メトリックは、他のデータオブジェクトの中で最終的に目立つデータオブジェクト（またはクラスタ）に対応することができる。
図１０は、例示的な実施形態による、データオブジェクトを含むクラスタのサイズと、データオブジェクトを含むクラスタの１つ以上の外れ値メトリックとに少なくとも部分的に基づいて、複数のデータオブジェクト内の各データオブジェクトの不規則性スコアを計算するためのフローチャートを示す。
ステップ１００１で、クラスタのサイズに基づいて、データオブジェクトを含むクラスタの特異性メトリックが計算される。特異性メトリックは、データオブジェクトがグループ化されるクラスタのサイズから導出され、クラスタサイズの範囲を様々な特異性メトリックにマッピングすることができる特異性メンバーシップ関数によって決定することができる。
特異性メンバーシップ関数は、特異性メトリック／スコアに関してクラスタのサイズを記述する。特異性メンバーシップ関数の論議領域は、より高い特異性メトリックを有するより小さなクラスタを有する［０，２００］区間であり得る。例えば、単一のメンバを有するクラスタは、２００の特異性メトリックを有する。図６を参照すると、クラスタ６、クラスタ７、およびクラスタ８はすべて、この例では２００の特異性メトリックを有する。
あるいは、クラスタの特異性メトリックは、何らかの所定の式または技法を使用して、クラスタのサイズから計算することができる。例えば、すべてのクラスタのサイズは、正規化された分布およびある範囲の値に適合させることができる。または、特異性メトリックは、クラスタサイズとの何らかの線形または多項式関係に基づくことができる。
図１０のステップ１００２において、データオブジェクトを含むクラスタの距離ベース外れ値メトリックが計算される。先に論じたように、距離ベース外れ値メトリックは、マハラノビス外れ値分析（「ＭＯＡ」）法の結果とすることができる。ステップ１００３で、グラブス検定を距離ベース外れ値メトリックに任意に適用することができる。前述のように、距離ベース外れ値メトリックへのグラブス検定の適用は、距離ベース外れ値メトリックの結果を増幅する。
ステップ１００４で、データオブジェクトを含むクラスタの密度ベース外れ値メトリックが計算される。先に論じたように、密度ベース外れ値メトリックは、局所的外れ値因子（「ＬＯＦ」）計算の結果とすることができる。ステップ１００５において、グラブス検定は、密度ベース外れ値メトリックにオプションで適用することができ、これは、密度ベース外れ値メトリックの結果を増幅する効果を有する。
ステップ１００６で、データオブジェクトの不規則性スコアが、特異性メトリック、距離ベース外れ値メトリック、および密度ベース外れ値メトリックに少なくとも部分的に基づいて決定される。不規則性スコアを決定する関数は、以下のように表すことができる。
ｌ（ｘ）＝ｆ（ｌ０（ｘ），ｌ１（ｘ），Ｇ１（ｘ），ｌ２（ｘ），Ｇ２（ｘ））
ここで、ｘは問題のデータオブジェクトである。
ｌ０（ｘ）は、クラスタリングステップ中にデータオブジェクトｘがグループ化されるクラスタの大きさから導出されるデータオブジェクトのｘ特異性メトリックである。
ｌ１（ｘ）、ｌ２（ｘ）は、距離ベースおよび密度ベース外れ値の決定によってそれぞれ計算される信頼度メトリックである。
Ｇ１（ｘ）、Ｇ２（ｘ）は、距離ベースおよび密度ベース外れ値の決定にそれぞれ適用されるグラブス検定によって計算される信頼度メトリックである。
図１１を参照して説明したように、不規則性スコアＩ（ｘ）は、ファジー推論に基づいて決定することができる。図１１は、例示的な実施形態による、特異性メトリック、距離ベース外れ値検出信頼度メトリック、および密度ベース外れ値検出信頼度メトリックに少なくとも部分的に基づいて、データオブジェクトの不規則性スコアを決定するためのフローチャートを示す。
ステップ１１０１において、特異性メトリックは、特異性メトリックの値の範囲を複数の特異性レベルにマッピングする第１のファジーメンバーシップ関数に基づいて、複数の特異性レベルにおける１つ以上の特異性レベルにマッピングされる。
この一例を図１２Ａ〜１２Ｂに示す。図１２Ａは、［０，２００］区間における特異性メトリックの範囲を、ｌｏｗ、ｍｅｄｉｕｍ、ｈｉｇｈ、およびｖｅｒｙ ｈｉｇｈを含む複数の特異性レベルにマッピングするファジーメンバーシップ関数１２００を示す。ファジーメンバーシップ関数１２００のｙ軸は、確率値を示す。図に示すように８５の特異性メトリック１２０１に対応する点１２０３は、ｌｏｗとｍｅｄｉｕｍの２つの特異性レベルにマッピングされる。
図１１のステップ１１０２において、距離ベース外れ値メトリックは、距離ベース外れ値メトリックの値の範囲を複数の距離ベース外れ値レベルにマッピングする第２のファジーメンバーシップ関数に基づいて、複数の距離ベース外れ値レベルにおける１つ以上の距離ベース外れ値レベルにマッピングされる。この距離ベース外れ値メトリックは、最初の距離ベース外れ値メトリックに適用されたグラブス検定の結果を組み込んだ修正された距離ベース外れ値メトリックとすることができる。
この一例を図１３Ａ〜図１３Ｂに示す。図１３Ａは、［０，２００］区間における距離ベース外れ値メトリックの範囲を、ｌｏｗ、ｍｅｄｉｕｍ、ｈｉｇｈ、およびｖｅｒｙ ｈｉｇｈを含む複数の距離ベース外れ値レベルにマッピングするファジーメンバーシップ関数１３００を示す。ファジーメンバーシップ関数１３００のｙ軸は、確率値を示す。図に示すように図１３Ａ〜図１３Ｂでは、８０の距離ベース外れ値メトリック１３０１に対応する点１３０３が、距離ベース外れ値レベルＭｅｄｉｕｍにマッピングされる。
図１１のステップ１１０３で、密度ベース外れ値メトリックは、密度ベース外れ値メトリックの値の範囲を複数の密度ベース外れ値レベルにマッピングする第３のファジーメンバーシップ関数に基づいて、複数の密度ベース外れ値レベルにおける１つ以上の密度ベース外れ値レベルにマッピングされる。この密度ベース外れ値メトリックは、初期密度ベース外れ値メトリックに適用されたグラブス検定の結果を組み込んだ修正された密度ベース外れ値メトリックとすることができる。
この一例を図１４Ａ〜１４Ｂに示す。図１４Ａは、［０，２００］区間における密度ベース外れ値メトリックの範囲を、ｌｏｗ、ｍｅｄｉｕｍ、ｈｉｇｈ、およびｖｅｒｙ ｈｉｇｈを含む複数の密度ベース外れ値レベルにマッピングするファジーメンバーシップ関数１４００を示す。ファジーメンバーシップ関数１４００のｙ軸は、確率値を示す。図１４Ａ〜１４Ｂに示すように、１６０の密度ベース外れ値メトリック１４０１に対応する点１４０３は、密度ベース外れ値レベルＶｅｒｙ Ｈｉｇｈにマッピングされる。
図１１のステップ１１０４において、１つ以上の特異性レベル、１つ以上の距離ベース外れ値レベル、および１つ以上の密度ベース外れ値レベルの１つ以上の組み合わせが、複数の特異性レベル、複数の距離ベース外れ値レベル、および複数の密度ベース外れ値レベルの組み合わせを複数の不規則性レベルにマッピングするファジールールの組に基づいて、複数の不規則性レベルにおける１つ以上の不規則性レベルにマッピングされる。
ファジールールのセットは、「If Singularity is x AND MOA value is y AND LOF value is z THEN Irregularity is r」のようなフォーマットとすることができる。
ここで、
は、それぞれ特異性、距離、密度、および不規則性メトリックのファジーサブセットを表すように選択された言語変数のセットである。
もちろん、ファジールールの他のセットを利用することもでき、これらのルールは単なる例として提供される。例えば、ファジールールのセットは、不規則性メトリックの言語変数への代替マッピングを選択することによって、または異なる言語変数を全体的に選択することによって、異なる方法で構築することができる。さらに、メトリックとファジーレベルとの間でマップするために使用されるファジーメンバーシップ関数は、エキスパート入力に基づいて構築されるか、または進化的アルゴリズムなどの最大計算方法を使用することによってエントロピー最大化アプローチを使用して計算され得る。
上述のようなファジールールセットを示すテーブル１５００を、図１５に示す。表１５００に示されるように、特異性レベル、距離ベース外れ値レベル、および密度ベース外れ値レベルの各組合せは、不規則性レベルにマッピングされる。
図１６は、仮想データセット１６００に対する、図１５のファジールールのセットを使用する、図１１のステップ１１０４の適用を示す。データ１６００のセットは、図１２Ｂの特異性レベル１２０２（Ｌｏｗ、Ｍｅｄｉｕｍ）、図１３Ｂの距離ベース外れ値レベル１３０２（Ｍｅｄｉｕｍ）、および図１４Ｂの密度ベース外れ値レベル１４０２（Ｖｅｒｙ Ｈｉｇｈ）を含む。
図１６に示すように、特異性レベル、距離ベース外れ値レベル、および密度ベース外れ値レベルの２つの組合せ１６０１を、これらの値から生成することができる。組み合わせの数は、単に入力レベル値の全置換の数である。２つの特異性レベル、１つの距離ベース外れ値レベル、および１つの密度ベース外れ値レベルがあるので、特異性レベル、距離ベース外れ値レベル、および密度ベース外れ値レベルの可能な組合せは、２×１×１＝２順列より、２とおり存在する。
１６０２において、図１５のファジールールのセットが２つの組合せに適用される。
この結果、第１の組み合わせおよび第２の組み合わせにそれぞれ対応する２つの不規則性レベル１６０３、ＬｏｗおよびＭｅｄｉｕｍが生じる。
図１１に戻ると、ステップ１１０５において、不規則性判定関数が１つ以上の不規則性レベルに適用されて、不規則性スコアが生成される。図１７Ａは、不規則性決定機能１７００の一例を示す。図１７Ａに示されるように、不規則性決定関数１７００の論議領域は、［０，１］区間である。
図１７Ｂに示されるように、２つの不規則性レベル（ＬｏｗおよびＭｅｄｉｕｍ）（図１６の２つの不規則性レベル１６０３に対応する）が与えられると、不規則性決定関数１７００に基づく対応する不規則性スコア１７０２は、０．３および０．５となる。これは、不規則性決定関数１７００で見ることができ、ここで、不規則性レベルＬｏｗの１００％確率に対応する不規則性スコアは０．３であり、不規則性レベルＭｅｄｉｕｍの１００％確率に対応する不規則性スコアは０．５である。
不規則性レベルＬｏｗおよび不規則性レベルＭｅｄｉｕｍに対する確率分布は隣接しており、同じサイズであるので、結果として生じる不規則性スコア１７０３は、これら２つの不規則性スコアの不規則性スコアスケールに沿った中間点によって与えられる。中間点は、（０．３＋０．５）／２＝（０．８）／２＝０．４である。これは、データオブジェクト（および同じクラスタ内のすべてのデータオブジェクト）の全体的な不規則性スコアである。ファジールールセットの明瞭な出力（データオブジェクトの全体的な不規則性メトリック）は、Ｍａｍｄａｎｉアプローチを用いて得ることができる。さらに、ファジールールのセットの明瞭な出力は、Ｓｕｇｅｎｏ＿ｔｙｐｅ計算を用いて得ることができる。
もちろん、図１１のステップ１１０４の終わりに、単一の不規則性レベルのみがあった場合、データオブジェクトの全体的な不規則性スコアは、図１７の決定関数１７００に基づくそのスコアに対応する不規則性レベルである。
各データオブジェクトの全体的な不規則性スコアが決定された後、それは、データオブジェクトを特徴付ける複数の活動パラメータのような、データオブジェクトの他の属性と共に記憶されることができる。代替的に、それは別個に記憶され得るが、１つ以上の対応するデータオブジェクトに関連付けられ得る。例えば、クラスタレベルで各クラスタについて不規則性スコアを決定することができ、次いで、各クラスタについての各不規則性スコアを、そのクラスタ内でグループ化されたすべてのデータオブジェクトに関連付けることができる。
図１に戻ると、ステップ１０８において、複数のオブジェクトポスチャが、各データオブジェクトに対応する複数の活動パラメータおよび各データオブジェクトの不規則性スコアに少なくとも部分的に基づいて、複数のデータオブジェクトに対して生成される。複数のデータオブジェクトにおける各データオブジェクトは、複数のユーザにおけるユーザに対応するので、複数のオブジェクトポスチャにおける各生成されたオブジェクトポスチャは、複数のユーザにおけるユーザにも対応する。
図１８は、例示的な実施形態による、各データオブジェクトに対応する複数の活動パラメータおよび各データオブジェクトの不規則性スコアに少なくとも部分的に基づいて、複数のデータオブジェクトの複数のオブジェクトポスチャを生成するために、複数のデータオブジェクト内の各データオブジェクトに対して実行される方法を示す。上述したように、図１８のステップは、各データオブジェクトに対して実行される。
図１のステップ１０７の後、ｎ＋１次元空間内のデータオブジェクトＸは、以下のように表すことができる。
Ｘ＝{ｘｉ，Ｉ}，ｉ＝１，．．．，ｎ
ここで、ｘｉは、データオブジェクトＸのｉ番目の活動パラメータ（属性／次元）であり、Ｉは、データオブジェクトＸについて計算された全体的な不規則性尺度である。
図１８のステップ１８０１において、複数の活動パラメータにおける各活動パラメータは、セグメント値のセットにおけるセグメント値にマッピングされ、対応する変動値は、その活動パラメータに対応するファジーメンバーシップ関数に少なくとも部分的に基づいて、各活動パラメータに割り当てられる。その活動パラメータに対応するファジーメンバーシップ関数は、その活動パラメータの可能な値をセグメント値のセットにマッピングするように構成される。本明細書で使用されるように、「マップ」は、両方向で動作することができるオブジェクトおよび／またはデータ値の間の論理的リンクを表す。例えば、活動パラメータがセグメント値にマッピングされる場合、そのセグメント値も活動パラメータにマッピングされる。
ステップ１８０２において、データオブジェクトの不規則性スコアは、不規則性値のセットにおける不規則性値にマッピングされ、対応する不規則性変動値は、不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて、不規則性スコアに割り当てられる。不規則性ファジーメンバーシップ関数は、その不規則性スコアの可能な値を不規則性値のセットにマッピングするように構成される。本明細書で使用されるように、「マップ」は、両方向で動作することができるオブジェクトおよび／またはデータ値の間の論理的リンクを表す。例えば、不規則性スコアが不規則性値にマッピングされる場合、その不規則性値も不規則性スコアにマッピングされる。
本システムは、異常な変化を検出するという全体的な目的で、データオブジェクトのポスチャを記述し、データオブジェクトのポスチャの変化を経時的に追跡する独特のファジー論理ベースのアプローチを利用する。
サンプルデータオブジェクト１９００上のステップ１８０１および１８０２の例を図１９に示す。図１９に示されるように、活動パラメータ１、２、および３の各々は、対応するファジーメンバーシップ関数に基づいてマッピングされる。この結果、対応するセグメント値が活動パラメータの各々にマッピングされ、対応する変動値が活動パラメータの各々に割り当てられる。同様に、不規則性スコアは、不規則性ファジーメンバーシップ関数に基づいてマッピングされ、その結果、不規則性値が不規則性スコアにマッピングされ、不規則性変動値が不規則性スコアに割り当てられる。
図２０は、例示的な実施形態による、複数の活動パラメータ内の各活動パラメータを、セグメント値のセット内のセグメント値にマッピングし、その活動パラメータに対応するファジーメンバーシップ関数に少なくとも部分的に基づいて、対応する変動値を各活動パラメータに割り当てるためのフローチャートを示す。
ステップ２００１において、活動パラメータに対応するセグメント値のセットにおける１つ以上のセグメント値が、ファジーメンバーシップ関数に少なくとも部分的に基づいて決定される。
ステップ２００２において、１つ以上のセグメント値の中の最低のセグメント値が、活動パラメータにマッピングされる。
ステップ２００３では、変動値が、活動パラメータに対応する１つ以上のセグメント値の量に基づいて決定される。変動値は次式で与えられる。
変動値＝（１つ以上のセグメント値の量）−１
したがって、１つ以上のセグメント値の量が１である場合、変動値は０となる。１つ以上のセグメント値の量が２である場合、変動値は１となる。
ステップ２００４で、変動値が活動パラメータに割り当てられる。
図２１は、複数の活動パラメータ内の各活動パラメータを、セグメント値のセット内のセグメント値にマッピングし、対応する変動値を各活動パラメータに割り当てる、図２０に記載のステップの一例を示す。
図２１に示されるように、活動パラメータ２１０１は、０．６の値を有する。その活動パラメータ２１０１に対応するファジーメンバーシップ関数２１００に基づいて、セグメント値ＭｅｄｉｕｍおよびＨｉｇｈは値０．６に対応する。これらのセグメント値における最低のセグメント値はＭｅｄｉｕｍであるので、活動パラメータ２１０１にマッピングされる。活動パラメータ２１０１に対応するセグメント値の量は２であるため、活動パラメータには「１」の変動値が割り当てられる。
図２２は、複数の活動パラメータ内の各活動パラメータを、セグメント値のセット内のセグメント値にマッピングし、対応する変動値を各活動パラメータに割り当てる、図２０に記載のステップの別の例を示す。
図２２に示されるように、活動パラメータ２２０１は、０．３６の値を有する。その活動パラメータ２２０１に対応するファジーメンバーシップ関数２２００に基づいて、セグメント値Ｍｅｄｉｕｍは値０．３６に対応する。このシングルトンセットにおける最小セグメント値はＭｅｄｉｕｍであるので、活動パラメータ２２０１にマッピングされる。活動パラメータ２２０１に対応するセグメント値の量は１であるため、活動パラメータ２２０１には変動値「０」が割り当てられる。
図２３は、例示的な実施形態による、データオブジェクトの不規則性スコアを、不規則性値のセット内の不規則性値にマッピングし、不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて、対応する不規則性変動値を不規則性スコアに割り当てるためのフローチャートを示す。
ステップ２３０１において、不規則性スコアに対応する不規則性値のセットにおける１つ以上の不規則性値が、不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて決定される。
ステップ２３０２において、１つ以上の不規則性値の中の最も低い不規則性値が、不規則性スコアにマッピングされる。
ステップ２３０３では、不規則性スコアに対応する１つ以上の不規則性値の量に基づいて不規則性変化値が決定される。このばらつき変動値は、次式で与えられる。
不規則性変動値＝（１つ以上の不規則性値の量）−１
したがって、１つ以上の不規則値の量が１である場合、変動値は０となる。１つ以上の不規則性値の量が２である場合、変動値は１である。
ステップ２３０４において、不規則性変化値が不規則性スコアに割り当てられる。
図２４は、不規則性スコアを、不規則性値のセット内の不規則性値にマッピングし、対応する不規則性変動値を不規則性スコアに割り当てるための、図２３に記載されたステップの一例を示す。
図２４に示すように、不規則性スコア２４０１は、０．４の値を有する。不規則性スコア２４０１に対応する不規則性ファジーメンバーシップ関数２４００に基づいて、不規則性値ＬｏｗおよびＭｅｄｉｕｍは値０．４に対応する。これらの不規則値の中で最小不規則値はＬｏｗであるので、不規則性スコア２４０１にマッピングされる。不規則性スコアに対応する不規則性値の量は２であるため、不規則性スコア２４０１には不規則性変動値「１」が割り当てられる。
図１８に戻ると、ステップ１８０３および１８０４は、任意選択でスキップすることができる。ステップ１８０５において、データオブジェクトのポスチャは、複数の活動パラメータにマッピングされた複数のセグメント値と、不規則性スコアにマッピングされた不規則性値とに少なくとも部分的に基づいて生成される。ポスチャは、複数の活動パラメータにマッピングされたすべてのセグメント値と、不規則性スコアにマッピングされたすべての不規則性値とを連結することによって生成することができる。
図２５は、図１８のステップ１８０１、１８０２、および１８０５が実行される場合の例を示す。図２５に示されるように、データオブジェクト２５００は、｛Ｘ１，Ｘ１，．．．Ｘｎ｝として示されるｎ個の活動パラメータおよび不規則性スコアＩを有する。活動パラメータの各々は、セグメント値にマッピングされ、対応するファジーメンバーシップ関数に基づいて変動値が割り当てられる。さらに、不規則性スコアは、不規則性値にマッピングされ、不規則性ファジーメンバーシップ関数に基づいて不規則性変動値が割り当てられる。
次に、複数の活動パラメータにマッピングされたすべてのセグメント値および不規則性スコアにマッピングされたすべての不規則性値を連結して、ポスチャ２５０１を生成する。図２５に示すように、ポスチャ２５０１は、一連の変動値も含むことができるが、これは必須ではない。ポスチャ２５０１における連結値には、区切りマーカ（この場合、ダッシュ）が含まれるが、これは必須ではない。さらに、示されるように、セグメント値は、ｖｅｒｙ ｌｏｗ、ｌｏｗ、ｍｅｄｉｕｍ、ｈｉｇｈ、ｖｅｒｙ ｈｉｇｈ、に対応するＶＬ、Ｌ、Ｍ、Ｈ、ＶＨなどのより短い表記法に短縮され得る。セグメント値は、整数などの他のシーケンスにマッピングすることもでき、バイナリ形式で表すこともできる。
また、セグメント値と変動値の組み合わせや、不規則性値と不規則性変動値の組み合わせも、ビットベクトルとして記憶することができる。
例えば、可能なセグメント値のセット｛Ｌｏｗ、Ｍｅｄｉｕｍ、Ｈｉｇｈ｝、活動パラメータにマッピングされた「Ｌｏｗ」のセグメント値、および活動パラメータに割り当てられた「０」の変動値が与えられると、マッピングされたセグメント値およびその活動パラメータに割り当てられた変動値は、ビットベクトル１−０−０として格納されることができ、ここで、各ビットは、可能なセグメント値に対応し、「１」は、その値の存在を示し、「０」は、その値の不在を示す。
別の例では、可能なセグメント値のセット｛Ｖｅｒｙ Ｌｏｗ、Ｌｏｗ、Ｍｅｄｉｕｍ、Ｈｉｇｈ、Ｖｅｒｙ Ｈｉｇｈ｝、活動パラメータにマッピングされた「Ｍｅｄｉｕｍ」のセグメント値、および活動パラメータに割り当てられた「１」の変動値が与えられると、マッピングされたセグメント値およびその活動パラメータに割り当てられた変動値は、ビットベクトル０−０−１−１−０として格納され得る。この場合、第１の「１」は「Ｍｅｄｉｕｍ」のマッピングされたセグメント値に対応し、第２の「１」は、割り当てられた変動値が「１」であり、「Ｈｉｇｈ」が「Ｍｅｄｉｕｍ」の後の次のセグメント値であるため、同じく存在する「Ｈｉｇｈ」のセグメント値に対応する。
同様に、考えられる不規則性値のセット｛Ｌｏｗ、Ｍｅｄｉｕｍ、Ｈｉｇｈ｝、不規則性スコアにマッピングされた「Ｍｅｄｉｕｍ」の不規則性値、および不規則性スコアに割り当てられた「０」の不規則性変動値が与えられると、不規則性スコアのマッピングされた不規則性値および割り当てられた不規則性変動値は、ビットベクトル０−１−０として格納されることができ、ここで、各ビットは、考えられる不規則性値に対応し、「１」は、その値の存在を示し、「０」は、その値の不在を示す。
ポスチャ２５０１におけるセグメント値および不規則性値のシーケンスは、多くの点で、比較のために図２５に示されるＤＮＡ鎖２５０２と類似している。本明細書で生成され、図２５に示されるデータオブジェクトのポスチャは、データオブジェクトＸの属性（活動パラメータおよび不規則性スコアなど）に関連するファジーメンバーシップ関数のセグメント値（および不規則性値）のシーケンス、および重複するファジーメンバーシップ関数のセグメント値（または不規則性値）のカウントのシーケンスを表すことができ、これらのセグメント値には前記属性が関連付けられる。
Ｐ（Ｘ）＝｛Ｓ（Ｘ）、Ｖ（Ｘ）｝
ここで、Ｓ（Ｘ）＝ｓ（ｘ１）−ｓ（ｘ２）−．．．ｓ（ｘｎ）−ｓ（Ｉ）は基本シーケンスである。
Ｖ（Ｘ）＝ｖ（ｘ１）−ｖ（ｘ２）−．．．−ｖ（ｘｎ）−ｖ（Ｉ）は、基本変動である。
Ｓ（ｘｉ）＝ｖｓ｜ｓ｜ｍ｜ｌ｜ｖｌ
ここで、ｖｓは「ｖｅｒｙ ｓｍａｌｌ」、ｓは「ｓｍａｌｌ」、ｍは「ｍｅｄｉｕｍ」、ｌは「ｌａｒｇｅ」、ｖｌは「ｖｅｒｙ ｌａｒｇｅ」であり、特性ｘｉがメンバーシップを有するファジーメンバーシップ関数の左端のセグメント値（「ベースセグメント」）である。
ｖ（ｘｉ）＝ｋｉ−１
ここでｋｉは、属性ｘｉがメンバーシップを持つファジィメンバーシップ関数セグメント値（または不規則値）の重複数である。ｋｉ＞０の場合、対応するｓ（ｘｉ）は、属性ｘｉがメンバーシップを有するファジィメンバーシップ関数の左端のセグメント値である。
シーケンスＳ（Ｘ）およびＶ（Ｘ）は共に、データオブジェクトＸのポスチャを一意に識別するストランドを形成すると考えることができる。
もちろん、本明細書で開示されるアプローチのいくつかの態様は、変更され得る。例えば、属性ｘｔがメンバーシップを有するファジーメンバーシップ関数の右端のセグメントを使用して、ファジーメンバーシップ関数の基本セグメント値を示すことができ、または属性ｘｉがメンバーシップを有する重複するメンバーシップ関数セグメント値の数を別の形式で提示することができる。
さらに、セグメント値のラベルまたは不規則値のラベルは、特別なセマンティクスを持たず、「Ａ」、「Ｂ」、「Ｃ」などのように異なる名前を付けることができる。また、メンバーシップ関数におけるセグメント値または不規則値の数は、５以外でもよいことが理解される。
上述のポスチャは、ポスチャの生成に先立って実行される追加のステップによって簡略化された形式で表すことができる。図１８に戻ると、ステップ１８０３において、複数の活動パラメータにおける１つ以上の活動パラメータは、１つ以上の活動パラメータに対応する１つ以上の変動値および１つ以上の活動パラメータに対応する１つ以上のファジーメンバーシップ関数に少なくとも部分的に基づいて、セグメント値のセットにおける１つ以上の追加のセグメント値にマッピングされ得る。
図２６は、例示的な実施形態による、１つ以上の活動パラメータに対応する１つ以上の変動値および１つ以上の活動パラメータに対応する１つ以上のファジーメンバーシップ関数に少なくとも部分的に基づいて、複数の活動パラメータ中の１つ以上の活動パラメータをセグメント値のセット中の１つ以上の追加のセグメント値にマッピングするためのフローチャートを示す。
ステップ２６０１において、ゼロより大きい割り当てられた変動値を有する複数の活動パラメータ内の１つ以上の活動パラメータが識別される。
ステップ２６０２において、１つ以上の活動パラメータにおける各活動パラメータについて、その活動パラメータに対応する１つ以上の可能なセグメント値が決定される。１つ以上の可能なセグメント値は、その活動パラメータに割り当てられた変動値、その活動パラメータにマッピングされたセグメント値、およびその活動パラメータに対応するファジーメンバーシップ関数に少なくとも部分的に基づいて決定される。
ステップ２６０３において、１つ以上の活動パラメータにおける各活動パラメータについて、その活動パラメータに対応する１つ以上の可能なセグメント値が連結されて、可能なセグメント値の連結リストが生成される。
ステップ２６０４において、１つ以上の活動パラメータにおける各活動パラメータについて、可能なセグメント値の連結リストが、対応する活動パラメータにマッピングされる。
図２７は、図２６に示す処理の一例を示す図である。３つの活動パラメータ２７００Ａ、２７０１Ａ、および２７０２Ａを図２７に示す。活動パラメータ２７０１Ａは、ゼロ以下の変動値を有するので、その活動パラメータに関してアクションは取られない。
活動パラメータ２７００Ａおよび２７０２Ａの両方は、割り当てられた変動値１を有する。したがって、２７００Ａおよび２７０２Ａのそれぞれに対する１つ以上の可能なセグメント値は、活動パラメータのそれぞれに割り当てられた変動値、活動パラメータのそれぞれにマッピングされたセグメント値、および活動パラメータのそれぞれに対応するファジーメンバーシップ関数に少なくとも部分的に基づいて決定される。
２７００Ａおよび２７０２Ａのそれぞれに対する対応するファジーメンバーシップ関数におけるセグメント値のセットは、対応するファジーメンバーシップ関数から検索することができ、セグメント値２７００Ｂおよび２７０２Ｂのセットをもたらす。
次に、ボックス２７００Ｃおよび２７０２Ｃのルールに従って、２７００Ａおよび２７０２Ａのそれぞれについて可能なセグメント値が決定される。具体的には、各活動パラメータ２７００Ａおよび２７０２Ａについての可能なセグメント値は、セグメント値の対応するセット内の［マッピングされたセグメント値の位置］から［マッピングされたセグメント値の位置＋変動値］までのすべてのセグメント値である。
２７００Ｄに示されるように、活動パラメータ２７００Ａについて、これは、位置［０］から位置［１］（０＋変動値１に対応する）までのセグメント値２７００Ｂ（この活動パラメータのマッピングされたセグメント値が「Ｌｏｗ」であるため）のセット内のセグメント値を含む。この結果、「Ｌｏｗ−Ｍｅｄｉｕｍ」を含む連結リスト２７００Ｅが得られる。
２７０２Ｄに示されるように、活動パラメータ２７０２Ａについて、これは、位置［２］（この活動パラメータのマッピングされたセグメント値が「Ｍｅｄｉｕｍ」であるため）から位置［３］（２＋変動値１に対応する）までのセグメント値２７０２Ｂのセット内のセグメント値を含む。この結果、「Ｍｅｄｉｕｍ−Ｈｉｇｈ」を含む連結リスト２７０２Ｅが得られる。
図２８は、例示的な実施形態による、不規則性スコアに対応する不規則性変動値および不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて、不規則性スコアを不規則性値のセット内の１つ以上の追加の不規則性値にマッピングするためのフローチャートを示す。
ステップ２８０１において、不規則性スコアに対応する１つ以上の可能な不規則性値が決定される。１つ以上の可能な不規則値は、不規則性スコアに割り当てられた不規則性変動値、不規則性スコアにマッピングされた不規則性値、および不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて決定される。
ステップ２８０２において、不規則性スコアに対応する１つ以上の可能な不規則性値が連結されて、可能な不規則性値の連結されたリストが生成される。
ステップ２８０３において、可能性のある不規則値の連結リストが不規則性スコアにマッピングされる。
図２９は、図２８に示す処理の一例を示す図である。不規則性スコア２９００Ａは、割り当てられた不規則性変動値１を有する。したがって、不規則性スコア２９００Ａについての１つ以上の可能なセグメント値は、不規則性スコアに割り当てられた不規則性変動値、不規則性スコアにマッピングされた不規則性値、および不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて決定される。
２９００Ａに対する不規則性ファジーメンバーシップ関数の不規則性値の集合は、不規則ファジーメンバーシップ関数から取得することができ、不規則値２９００Ｂのセットを得ることができる。
次に、ボックス２９００Ｃの規則に従って、２９００Ａの可能な不規則値を決定する。具体的には、不規則性スコア２９００Ａについての可能な不規則性値は、不規則性値の対応するセットにおける［マップされた不規則性値の位置］から［マップされた不規則性値の位置＋割り当てられた不規則性変化値］までの全ての不規則性値である。
２９００Ｄに示されるように、不規則性スコア２９００Ａについて、これは、不規則性値２９００Ｂのセットにおける位置［３］から位置［４］（３＋変動値１に対応する）までの不規則性値を含む（不規則性スコアのマッピングされた不規則性値が「Ｈｉｇｈ」であるため）。この結果、「Ｈｉｇｈ−Ｖｅｒｙ Ｈｉｇｈ」を含む連結リスト２９００Ｅが得られる。
上述した図１８のステップ１８０３および１８０４の結果として、セグメント値のすべての可能な変動および不規則値のすべての可能な変動をベースセグメント値またはベース不規則値に連結することによって、変動値および不規則変動値をデータオブジェクトのデータセットから効果的に除去することができる。
図１８に示すように、複数の活動パラメータにマッピングされた複数のセグメント値および不規則性スコアにマッピングされた不規則性値に少なくとも部分的に基づいてデータオブジェクトのポスチャを生成するステップ１８０５は、上述したステップ１８０３および１８０４の後に実行することもできる。
さらに、前述のように、複数の活動パラメータに対応する複数のセグメント値および不規則性スコアに対応する不規則性値に少なくとも部分的に基づいてデータオブジェクトのポスチャを生成することは、複数の活動パラメータにマッピングされたすべてのセグメント値および不規則性スコアにマッピングされたすべての不規則性値を連結することを含むことができる。
図３０は、図１８のステップ１８０３および１８０４に関して説明した方法により、変動値および不規則性変動値を除去した後にポスチャを生成するステップの一例を示す。
データオブジェクト３０００は、図２７の活動パラメータ２７００Ａ、２７０１Ａ、および２７０２Ａに対応する３つの活動パラメータを含む。さらに、データオブジェクト３０００は、図２９の不規則性スコア２９００Ａに対応する不規則性スコアを含む。
図２６に関して説明したプロセスは、データオブジェクト３０００内の３つの活動パラメータに適用され、図２８に関して説明したプロセスは、データオブジェクト３０００内の不規則性スコアに適用される。
図３０に示されるように、これは、以下のマッピングされたセグメント値および不規則性値をもたらす。
活動パラメータ１→Ｌｏｗ−Ｍｅｄｉｕｍ
活動パラメータ２→Ｌｏｗ
活動パラメータ３→Ｍｅｄｉｕｍ→Ｈｉｇｈ
不規則性スコア→Ｈｉｇｈ−Ｖｅｒｙ Ｈｉｇｈ
したがって、複数の活動パラメータにマッピングされた全てのセグメント値と、不規則性スコアにマッピングされた全ての不規則性値とを連結すると、ポスチャ３００１は、Ｌ‐Ｍ‐Ｌ‐Ｍ‐Ｈ‐Ｈ‐ＶＨ（省略して示す）。この簡略化されたポスチャは、変動値および不規則性変動値を追跡する必要性を排除し、後述するように、他のポスチャとの比較をより簡単にする。
図１に戻ると、ステップ１０９において、複数のオブジェクトポスチャにおける各オブジェクトポスチャが、オブジェクトポスチャと同じユーザに対応する１つ以上の前のオブジェクトポスチャと比較され、複数のユーザにおける１つ以上のユーザの異常な活動が識別される。１つ以上の前の物体ポスチャの各々は、図１のステップが実行された観察区間の前の異なる観察区間に対応することができる。言い換えれば、１つ以上の先行オブジェクトポスチャは、複数のオブジェクトポスチャにおける各オブジェクトポスチャに対する履歴的なオブジェクトポスチャである。
履歴データコンポーネントとのデータオブジェクトのポスチャ比較の結果、現在のデータオブジェクトのポスチャとその履歴先行ポスチャとの間の差が、履歴的に観察された閾値を超えると判断した場合、システムは、入力データ意味認識コンポーネント、管理者、または何らかの他のプログラムに、データオブジェクトのポスチャの有意な変化について通知することができる。システムは、観察された逸脱の性質を判断するために異常分類コンポーネントを呼び出すこともできる。
図３１は、各ユーザに対応する各オブジェクトポスチャに対して実行され、それによって、複数のオブジェクトポスチャにおける各オブジェクトポスチャを、オブジェクトポスチャと同じユーザに対応する１つ以上の先行オブジェクトポスチャと比較して、例示的な実施形態による、複数のユーザにおける１つ以上のユーザの異常な活動を識別する方法を示す。
ステップ３１０１で、オブジェクトポスチャと、同じユーザに対応する１つ以上の前のオブジェクトポスチャのうちの少なくとも１つとの間の非類似性ファクタが計算される。非類似性ファクタは、オブジェクトポスチャと、同じユーザに対応する１つ以上の先行オブジェクトポスチャのうちの少なくとも１つとの間のレーベンシュタイン距離メトリックとすることができる。
特に、観察点ｔ０及びｔ１におけるデータオブジェクトのＸポスチャ間の変化は、観察点ｔ０及びｔ１におけるストランド（ポスチャ）によって生成されるシーケンスの長さの差異に対して調整された一般的なレーベンシュタイン距離測定基準の修正を用いて計算することができる。
ポスチャによって生成されるシーケンスの長さは変化するので、差分メトリックを計算する方法は、その事実を考慮に入れなければならない。
データオブジェクトＸポスチャシーケンスＡ，Ｂの２つの例を考える。
Ａ＝｛ａ１，．．．，ａｎ｝およびＢ＝｛ｂ１，．．．，ｂｍ｝
ここで、ａｉ、ｂｊはそれぞれのストランドに由来する結果の配列である。シーケンスＡとＢの間の非類似性ファクタＤは、以下の式を用いて計算される。
ここで、ｄ（ｂｊ，ａｉ）は、シーケンスＢおよびＡをそれぞれ含む基本シーケンス間の距離である。
データオブジェクトのＸポスチャシーケンスＡおよびＢの基本シーケンスのサイズは同じであり、挿入および削除操作は必要とされないので、２つのストランド間の距離はハミング距離として解釈できることが理解される。
また、データオブジェクトＸを含む異なる属性は、異なる重みを有し、非類似性ファクタＤ計算への不均等な入力を提供し得ることも理解される。例えば、図３２は、置換が挿入または削除と等しく重み付けされる場合の、ポスチャ３２０１とポスチャ３２０２との間のレーベンシュタイン距離３２０２を示す。置換の重みが２倍になると、この場合のレーベンシュタイン距離３２０２も２倍になる。
また、レーベンシュタイン距離以外の距離メトリックが、非類似性ファクタを計算するために使用され得ることが理解される。例えば、最も長い共通サブシーケンス法または重みを有する編集距離を、非類似性係数の計算に使用することができる。
非類似性ファクタがどのように決定されるかにかかわらず、図３１のステップ３１０２において、非類似性ファクタが閾値非類似性ファクタより大きいという決定に少なくとも部分的に基づいて、ユーザの活動が異常であると識別される。この閾値非類似性ファクタは、ポスチャの変化の履歴分析に基づいて、または専門家によって設定されるか、または他の何らかの手段によって計算されることができる。データポイントのポスチャの異常な変化が報告されるか、または非類似性ファクタ値がある統計的に計算された閾値を超えたときに他のアクションが取られ得る。変化点検出アルゴリズムまたはプリセット閾値などの他の方法を使用して、非類似性因子値における異常な変化を検出してもよいことが理解される。例えば、ＣＵＳＵＭアルゴリズムまたはウェーブレット変換が、その目的のために使用され得る。
統計分析アプローチが適用される場合、観察区間にわたる非類似性ファクタ値の平均および標準偏差が計算される。非類似性ファクタ値の正規分布を仮定すると、計算された標準偏差が９５パーセンタイルの外にあるデータ収集区間は、異常であると考えられ、報告または他のアクションの対象となる。
ステップ３１０３で、非類似性ファクタが閾値非類似性ファクタより大きい場合、１つ以上のアクションをとることができる。これらのアクションは、警告または警告メッセージまたは通知を含むことができる。さらに、これらのアクションは、さらなる分析または報告のためにデータを送信することを含むことができる。これらの動作は、異常データが識別された１人または複数のユーザに関連する追加のポスチャに関する追加の計算を実行することも含むことができる。
本出願において導入される非類似性ファクタの概念は、データオブジェクトの挙動における長く持続する時間的変化を検出するための基礎を提供する。特に、以前のＮ個のデータ収集区間中に記録された履歴データオブジェクトのポスチャを記述するストランドのリストを保持することができる。このより大きな時間区間は、観察区間を含む。観察区間の持続時間は、２０〜４０の収集区間の倍数として構成可能である。一旦構成されると、観察区間の持続時間は一定であることができ、観察区間は、Ｎ個の最新の収集区間をカバーするスライディングウィンドウとして機能することができる。
各収集区間の終わりに、観察区間内の隣接するストランド（ポスチャ）間の非類似性ファクタが計算され、データオブジェクトのポスチャの異常に関する決定がなされる。さらに、データオブジェクトのポスチャ追跡は、データオブジェクトのポスチャに対する法医学または規制当局主導の洞察を得る目的で、より長い期間にわたって拡張することができる。例えば、１時間ごと、１日ごと、１週間ごとのデータオブジェクトのポスチャの記録を保持し、後で調べることができる。本発明に記載される「ストランド（鎖）」および「シーケンス（配列）」を含む「ポスチャ」の概念は、ＤＮＡ分子内の核酸配列に関連する同様の概念に非常に類似しており、データオブジェクトのポスチャをデータオブジェクトのＤＮＡとして記述し、データオブジェクトのポスチャの変化を追跡するための基礎を提供し、問題のデータオブジェクトの進化と呼ぶことができる。
図３３は、ＩｎｆｏｒｍａｔｉｃａのＳｅｃｕｒｅ＠Ｓｏｕｒｃｅプロダクト９９のコンポーネントとしてのユーザ行動異常（「ＵＢＡ」）モジュール１００の展開を示す。この展開シナリオでは、プローブモジュール２１は、限定はしないが、ＳＱＬまたは非ＳＱＬデータベース（ＤＢ）、Ｃｌｏｕｄｅｒａ Ｈａｄｏｏｐファイルシステム（ＣＤＨ）、ＨｏｒｔｏｎＷｏｒｋｓ Ｈａｄｏｏｐファイルシステム（ＨＤＰ）、および他のタイプのデータストアとすることができるような、様々なデータソース２０からユーザ活動情報を収集する。
さらに図３３を参照すると、プローブモジュール２１は、パブリッシュ／サブスクライブバックボーン２２（「ＰｕｂＳｕｂ Ｂａｃｋｂｏｎｅ」）上で観察されたユーザ活動情報をパブリッシュする。ユーザ活動情報は、処理のためにＵＢＡモジュール１００によって取り出される。ＵＢＡモジュール１００は、入力データセマンティクス認識コンポーネント（「アプリケーション」）１１１および汎用異常検出エンジン（「ＡＤＥ」）１０ライブラリから構成される。ＡＤＥライブラリ１０は、論理的に２つのセクションに分割される。１つは教師あり機械学習方法１１を含み、もう１つは教師なし機械学習方法１２のアルゴリズム実装を含む。
図３３に示すように、ユーザ活動情報処理を完了した後、アプリケーションモジュール１１１は、結果をプレゼンテーションコンポーネント３０のサービスコンポーネント３１に転送する。サービスコンポーネント３１は、異常検出プロセスの結果をシステムコンソールダッシュボード３２に転送し、この結果を法医学および将来の参照のためにデータベース（ＤＢ）３３に保存する。
上述の技術のうちの１つ以上は、１つ以上のコンピュータシステムにおいて実装され得るか、または１つ以上のコンピュータシステムに関与し得る。図３４は、コンピューティング環境３４００の一般化された例を示す。コンピューティング環境３４００は、説明される実施形態の使用または機能の範囲に関していかなる制約も示唆することを意図していない。
コンピューティング環境３４００は、少なくとも１つの処理ユニット３４１０およびメモリ３４２０を含む。処理ユニット３４１０は、コンピュータ実行可能命令を実行し、実プロセッサまたは仮想プロセッサとすることができる。多重処理システムでは、複数の処理ユニットがコンピュータ実行可能命令を実行して、処理能力を高める。メモリ３４２０は、揮発性メモリ（例えば、レジスタ、キャッシュ、ＲＡＭ）、不揮発性メモリ（例えば、ＲＯＭ、ＥＥＰＲＯＭ、フラッシュメモリなど）、またはこれら２つの何らかの組み合わせとすることができる。メモリ３４２０は、説明した技法を実装するソフトウェア３４８０を格納することができる。
コンピューティング環境は、追加の特徴を有することができる。例えば、コンピューティング環境３４００は、ストレージ３４４０と、１つ以上の入力デバイス３４５０と、１つ以上の出力デバイス３４６０と、１つ以上の通信接続３４９０とを含む。バス、コントローラ、またはネットワークなどの相互接続機構３４７０は、コンピューティング環境３４００のコンポーネントを相互接続する。通常、オペレーティングシステムソフトウェアまたはファームウェア（図示せず）は、コンピューティング環境３４００内で実行する他のソフトウェアのためのオペレーティング環境を提供し、コンピューティング環境３４００のコンポーネントの活動を調整する。
ストレージ３４４０は、リムーバブルまたは非リムーバブルとすることができ、磁気ディスク、磁気テープまたはカセット、ＣＤ−ＲＯＭ、ＣＤ−ＲＷ、ＤＶＤ、または情報を記憶するために使用することができ、コンピューティング環境３４００内でアクセスすることができる任意の他の媒体を含む。記憶装置３４４０は、ソフトウェア３４８０のための命令を記憶することができる。
入力デバイス３４５０は、キーボード、マウス、ペン、トラックボール、タッチスクリーン、またはゲームコントローラなどのタッチ入力デバイス、音声入力デバイス、走査デバイス、デジタルカメラ、リモコン、またはコンピューティング環境３４００に入力を提供する別のデバイスとすることができる。出力デバイス３４６０は、ディスプレイ、テレビ、モニタ、プリンタ、スピーカ、またはコンピューティング環境３４００からの出力を提供する別のデバイスとすることができる。
通信接続３４９０は、通信媒体を介した別のコンピューティングエンティティへの通信を可能にする。通信媒体は、コンピュータ実行可能命令、オーディオまたはビデオ情報、または他のデータなどの情報を変調データ信号で搬送する。変調されたデータ信号は、信号内の情報を符号化するようにその特性の１つ以上が設定または変更された信号である。限定ではなく例として、通信媒体は、電気的、光学的、ＲＦ、赤外線、音響、または他のキャリアで実施される有線または無線の技法を含む。
実装は、コンピュータ可読媒体の一般的な文脈で説明することができる。コンピュータ可読媒体は、コンピューティング環境内でアクセスすることができる任意の利用可能な媒体である。限定ではなく例として、コンピューティング環境３４００内で、コンピュータ可読媒体は、メモリ３４２０、ストレージ３４４０、通信媒体、および上記のいずれかの組み合わせを含む。
もちろん、図３４は、コンピューティング環境３４００、表示装置３４６０、および入力装置３４５０を、識別を容易にするためだけの別個の装置として示している。コンピューティング環境３４００、ディスプレイデバイス３４６０、および入力デバイス３４５０は、別個のデバイス（たとえば、モニタおよびマウスにワイヤによって接続されたパーソナルコンピュータ）とすることができ、単一のデバイス（たとえば、スマートフォンまたはタブレットなどのタッチディスプレイを備えたモバイルデバイス）、またはデバイスの任意の組合せ（たとえば、タッチスクリーンディスプレイデバイスに動作可能に結合されたコンピューティングデバイス、単一のディスプレイデバイスおよび入力デバイスに取り付けられた複数のコンピューティングデバイスなど）に統合することができる。コンピューティング環境３４００は、セットトップボックス、パーソナルコンピュータ、または１つ以上のサーバ、例えば、ネットワークサーバのファーム、クラスタ化サーバ環境、またはコンピューティングデバイスのクラウドネットワークとすることができる。
記載された実施形態を参照して本発明の原理を説明し例示してきたが、記載された実施形態は、そのような原理から逸脱することなく、配置および詳細において変更され得ることが認識されるであろう。本明細書で説明されるプログラム、プロセス、または方法は、別段の指示がない限り、任意の特定のタイプのコンピューティング環境に関連または限定されないことを理解されたい。様々なタイプの汎用または特殊化されたコンピューティング環境を、本明細書で説明される教示に従って使用するか、または動作を実行することができる。ソフトウェアで示される説明される実施形態の要素は、ハードウェアで実施することができ、その逆も同様である。
本発明の原理を適用することができる多くの可能な実施形態を考慮して、本発明者らは、以下の特許請求の範囲およびその均等物の範囲および精神内に入ることができるすべてのそのような実施形態を本発明として特許請求する。

Claims (51)

  1. 異常なユーザ挙動を検出するために１つ以上のコンピューティングデバイスによって実行される方法であって、
    １つ以上のコンピューティングデバイスのうちの少なくとも１つによって、観察区間にわたって収集されたユーザ活動データを格納するステップであって、前記ユーザ活動データは、複数のユーザに対応する複数のデータオブジェクトを含み、複数のデータオブジェクト内の各データオブジェクトは、複数の活動パラメータを含む、ステップと、
    １つ以上のコンピューティングデバイスのうちの少なくとも１つによって、各データオブジェクトに関する複数の活動パラメータに少なくとも部分的に基づいて、複数のデータオブジェクトを複数のクラスタにグループ化するステップと、
    １つ以上のコンピューティングデバイスのうちの少なくとも１つによって、複数のクラスタ内の各クラスタに対応する１つ以上の外れ値メトリックを計算するステップであって、１つ以上の外れ値メトリック内の各外れ値メトリックは、対応するクラスタが複数のクラスタ内の他のクラスタの外にある度合いを表す、ステップと、
    １つ以上のコンピューティングデバイスのうちの少なくとも１つによって、データオブジェクトを含むクラスタのサイズと、データオブジェクトを含むクラスタに対応する１つ以上の外れ値メトリックとに少なくとも部分的に基づいて、複数のデータオブジェクト内の１つ以上のデータオブジェクトの各々について不規則性スコアを計算するステップと、
    １つ以上のコンピューティングデバイスのうちの少なくとも１つによって、各データオブジェクトに対応する複数の活動パラメータおよび各データオブジェクトの不規則性スコアに少なくとも部分的に基づいて、１つ以上のデータオブジェクトのための１つ以上のオブジェクトポスチャを生成するステップであって、１つ以上のオブジェクトポスチャにおける各オブジェクトポスチャは前記複数のユーザにおける１人のユーザに対応する、ステップと、
    １つ以上のコンピューティングデバイスのうちの少なくとも１つによって、複数のユーザにおける１人以上のユーザの異常な活動を識別するために、１つ以上のオブジェクトポスチャにおける少なくとも１つのオブジェクトポスチャの各々を、オブジェクトポスチャと同じユーザに対応する１つ以上の先行オブジェクトポスチャと比較するステップであって、１つ以上の先行オブジェクトポスチャの各々は、観察区間の前の異なる観察区間に対応する、ステップとを含む、
    方法。
  2. 前記複数の活動パラメータは、ユーザによってアクセスされるデータストアの数、ユーザによってアクセスされる機密データストアの数、ユーザによって影響を受けるレコードの数、ユーザによる要求の数、ユーザによるアクセス時間、ユーザによる機密要求の数、ユーザによって影響を受ける機密レコードの数、ユーザ位置、ユーザホスト再配置異常メトリック、ユーザ活動タイミング異常メトリック、またはユーザの転送ネットワークパスのうちの１つ以上を含む、請求項１に記載の方法。
  3. 前記複数のデータオブジェクトを複数のクラスタにグループ分けする前に、
    １つ以上のコンピューティングデバイスのうちの少なくとも１つによって、複数の活動パラメータのうち１つ以上の活動パラメータに対応するユーザ活動データが正規分布に適合するかどうかを判定するステップと、
    １つ以上の活動パラメータに対応するユーザ活動データが正規分布に適合しないという決定に少なくとも部分的に基づいて、１つ以上のコンピューティングデバイスのうちの少なくとも１つによって、１つ以上の活動パラメータに対応するユーザ活動データを正規分布に適合するように変換するステップとをさらに含む、請求項１に記載の方法。
  4. 前記複数のデータオブジェクトを複数のクラスタにグループ分けする前に、
    １つ以上のコンピューティングデバイスのうちの少なくとも１つによって、複数の活動パラメータのうちの１つ以上の活動パラメータに対応するユーザ活動データを正規化するステップをさらに含む、請求項１に記載の方法。
  5. 前記複数のデータオブジェクトを複数のクラスタにグループ分けする前に、
    １つ以上のコンピューティングデバイスのうちの少なくとも１つによって、複数の活動パラメータのうちの１つ以上の活動パラメータに対応するデータを除去することによって、ユーザ活動データ内の次元数を低減するステップをさらに含む、請求項１に記載の方法。
  6. 前記１つ以上の外れ値メトリックは、距離ベース外れ値メトリックおよび密度ベースのクラスタ外れ値メトリックのうちの１つ以上を含む、請求項１に記載の方法。
  7. 前記データオブジェクトを含むクラスタのサイズと、前記データオブジェクトを含む前記クラスタに対応する前記１つ以上の外れ値メトリックとに少なくとも部分的に基づいて、前記複数のデータオブジェクト内の１つ以上のデータオブジェクトの各々について不規則性スコアを計算するステップは、
    前記クラスタのサイズに少なくとも部分的に基づいて、前記データオブジェクトを含むクラスタの特異性メトリックを計算するステップと、
    前記データオブジェクトを含むクラスタの距離ベース外れ値メトリックを計算するステップと、
    データオブジェクトを含むクラスタの密度ベース外れ値メトリックを計算するステップと、
    特異性メトリック、距離ベース外れ値メトリック、および密度ベース外れ値メトリックに少なくとも部分的に基づいて、データオブジェクトの不規則性スコアを決定するステップと、
    を含む、請求項６に記載の方法。
  8. 前記特異性メトリック、前記距離ベース外れ値検出信頼度メトリック、および前記密度ベース外れ値検出信頼度メトリックに少なくとも部分的に基づいて、前記データオブジェクトの前記不規則性スコアを決定するステップは、
    特異性メトリックの値の範囲を複数の特異性レベルにマッピングする第１のファジーメンバーシップ関数に少なくとも部分的に基づいて、特異性メトリックを複数の特異性レベルにおける１つ以上の特異性レベルにマッピングするステップと、
    距離ベース外れ値メトリックの値の範囲を複数の距離ベース外れ値レベルにマッピングする第２のファジーメンバーシップ関数に少なくとも部分的に基づいて、距離ベース外れ値メトリックを複数の距離ベース外れ値レベルにおける１つ以上の距離ベース外れ値レベルにマッピングするステップと、
    密度ベース外れ値メトリックの値の範囲を複数の密度ベース外れ値レベルにマッピングする第３のファジーメンバーシップ関数に少なくとも部分的に基づいて、密度ベース外れ値メトリックを複数の密度ベース外れ値レベルにおける１つ以上の密度ベース外れ値レベルにマッピングするステップと、
    １つ以上の特異レベル、１つ以上の距離ベース外れ値レベル、および１つ以上の密度ベース外れ値レベルの１つ以上の組合せを、複数の特異レベル、複数の距離ベース外れ値レベル、および複数の密度ベース外れ値レベルの組合せを複数の不規則性レベルにマッピングするファジールールセットに少なくとも部分的に基づいて、複数の不規則性レベルにおける１つ以上の不規則性レベルにマッピングするステップと、
    不規則性スコアを生成するために、不規則性判定関数を１つ以上の不規則性レベルに適用するステップと、
    を含む、請求項７に記載の方法。
  9. 各データオブジェクトに対応する複数の活動パラメータと、各データオブジェクトの不規則性スコアとに少なくとも部分的に基づいて、前記１つ以上のデータオブジェクトに対して１つ以上のオブジェクトポスチャを生成するステップは、
    １つ以上のデータオブジェクト内の各データオブジェクトに対して、
    複数の活動パラメータ内の各活動パラメータをセグメント値のセット内のセグメント値にマッピングし、当該活動パラメータに対応するファジーメンバーシップ関数に少なくとも部分的に基づいて、対応する変動値を各活動パラメータに割り当てるステップであって、当該活動パラメータに対応するファジーメンバーシップ関数は、当該活動パラメータの可能な値をセグメント値のセットにマッピングするように構成される、ステップと、
    データオブジェクトの不規則性スコアを、不規則性値のセットにおける不規則性値にマッピングし、不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて、対応する不規則性変動値を不規則性スコアに割り当てるステップであって、不規則性ファジーメンバーシップ関数は、当該不規則性スコアの可能な値を不規則性値のセットにマッピングするように構成される、ステップと、
    複数の活動パラメータにマッピングされた複数のセグメント値と、不規則性スコアにマッピングされた不規則性値とに少なくとも部分的に基づいて、データオブジェクトのオブジェクトポスチャを生成するステップと、
    を含む、請求項１に記載の方法。
  10. 前記複数の活動パラメータにおける各活動パラメータを、セグメント値のセットにおけるセグメント値にマッピングし、前記活動パラメータに対応するファジーメンバーシップ関数に少なくとも部分的に基づいて、対応する変動値を各活動パラメータに割り当てるステップは、
    ファジーメンバーシップ関数に少なくとも部分的に基づいて、活動パラメータに対応するセグメント値のセットにおける１つ以上のセグメント値を決定するステップと、
    １つ以上のセグメント値内の最低セグメント値を活動パラメータにマッピングするステップと、
    活動パラメータに対応する１つ以上のセグメント値の量に少なくとも部分的に基づいて変動値を決定するステップと、
    前記変動値を前記活動パラメータに割り当てるステップと、
    を含む、請求項９に記載の方法。
  11. 前記データオブジェクトの前記不規則性スコアを、不規則性値のセットにおける不規則性値にマッピングし、不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて、対応する不規則性変動値を前記不規則性スコアに割り当てるステップは、
    不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて、不規則性スコアに対応する不規則性値のセットにおける１つ以上の不規則性値を決定するステップと、
    １つ以上の不規則性値の最小不規則性値を不規則性スコアにマッピングするステップと、
    不規則性スコアに対応する１つ以上の不規則性値の量に少なくとも部分的に基づいて不規則性変化値を決定するステップと、
    前記不規則性スコアに前記不規則性変動値を割り当てるステップと、
    を含む、請求項９に記載の方法。
  12. 前記データオブジェクトのポスチャを生成する前に、
    １つ以上のコンピューティングデバイスのうちの少なくとも１つによって、１つ以上の活動パラメータに対応する１つ以上の変動値および１つ以上の活動パラメータに対応する１つ以上のファジーメンバーシップ関数に少なくとも部分的に基づいて、複数の活動パラメータのうちの１つ以上の活動パラメータをセグメント値のセットのうちの１つ以上の追加のセグメント値にマッピングするステップと、
    １つ以上のコンピューティングデバイスのうちの少なくとも１つによって、データオブジェクトの不規則性スコアを、不規則性スコアに対応する不規則性変動値および不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて、不規則性値のセット内の１つ以上の追加の不規則性値にマッピングするステップと、
    をさらに含む、請求項９に記載の方法。
  13. 前記複数の活動パラメータにおける１つ以上の活動パラメータを、前記１つ以上の活動パラメータに対応する１つ以上の変動値および前記１つ以上の活動パラメータに対応する１つ以上のファジーメンバーシップ関数に少なくとも部分的に基づいて、前記セグメント値のセットにおける１つ以上の追加のセグメント値にマッピングするステップは、
    ゼロより大きい対応変動値を有する複数の活動パラメータにおける１つ以上の活動パラメータを特定するステップと、
    特定された１つ以上の活動パラメータにおける各活動パラメータについて、当該活動パラメータに対応する１つ以上の可能なセグメント値を決定するステップであって、前記１つ以上の可能なセグメント値は、その活動パラメータに割り当てられた変動値、当該活動パラメータにマッピングされたセグメント値、および当該活動パラメータに対応するファジーメンバーシップ関数に少なくとも部分的に基づく、ステップと、
    識別された１つ以上の活動パラメータにおける各活動パラメータについて、その活動パラメータに対応する１つ以上の可能なセグメント値を連結して、可能なセグメント値の連結リストを生成するステップと、
    特定された１つ以上の活動パラメータ内の各活動パラメータについて、可能なセグメント値の連結リストを、対応する活動パラメータにマッピングするステップと、
    を含む、請求項１２に記載の方法。
  14. 前記データオブジェクトの前記不規則性スコアを、前記不規則性スコアおよび前記不規則性ファジーメンバーシップ関数に対応する前記不規則性変動値に少なくとも部分的に基づいて、前記不規則性値のセットにおける１つ以上の追加の不規則性値にマッピングするステップは、
    不規則性スコアに対応する１つ以上の可能な不規則性値を決定するステップであって、１つ以上の可能性な不規則性値は、不規則性スコアに割り当てられた不規則性変動値、不規則性スコアにマッピングされた不規則性値、および不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいている、ステップと、
    不規則性スコアに対応する１つ以上の可能な不規則性値を連結して、可能な不規則性値の連結リストを生成するステップと、
    可能な不規則性値の連結リストを不規則性スコアにマッピングするステップと、
    を含む、請求項１２に記載の方法。
  15. 前記複数の活動パラメータに対応する複数のセグメント値および前記不規則性スコアに対応する前記不規則性値に少なくとも部分的に基づいて前記データオブジェクトの前記オブジェクトポスチャを生成するステップは、
    複数の活動パラメータにマッピングされたすべてのセグメント値と、不規則性スコアにマッピングされたすべての不規則性値とを連結するステップを含む、請求項９に記載の方法。
  16. 前記１つ以上のオブジェクトポスチャにおける少なくとも１つのオブジェクトポスチャの各々を、前記オブジェクトポスチャと同じユーザに対応する１つ以上の先行オブジェクトポスチャと比較して、前記複数のユーザにおける１つ以上のユーザの異常な活動を識別するステップは、
    オブジェクトポスチャと、同じユーザに対応する１つ以上の先行オブジェクトポスチャのうちの少なくとも１つとの間の非類似性ファクタを計算するステップと、
    非類似性ファクタが閾値非類似性ファクタより大きいという決定に少なくとも部分的に基づいて、ユーザの活動を異常であると識別するステップと、
    を含む、請求項１に記載の方法。
  17. 前記非類似性ファクタは、前記オブジェクトポスチャと、前記同じユーザに対応する前記１つ以上の先行オブジェクトポスチャのうちの少なくとも１つとの間のレーベンシュタイン距離メトリックを含む、請求項１６に記載の方法。
  18. 異常なユーザ挙動を検出する装置であって、
    １つ以上のプロセッサと、
    前記１つ以上のプロセッサの少なくとも１つに操作可能に結合され、命令を格納した１つ以上のメモリとを含み、
    前記命令は、前記１つ以上のプロセッサの少なくとも１つに実行されたとき、前記１つ以上のプロセッサの少なくとも１つに、
    観察区間にわたって収集されたユーザ活動データを格納するステップであって、前記ユーザ活動データは、複数のユーザに対応する複数のデータオブジェクトを含み、複数のデータオブジェクト内の各データオブジェクトは、複数の活動パラメータを含む、ステップと、
    各データオブジェクトに関する複数の活動パラメータに少なくとも部分的に基づいて、複数のデータオブジェクトを複数のクラスタにグループ化するステップと、
    複数のクラスタ内の各クラスタに対応する１つ以上の外れ値メトリックを計算するステップであって、１つ以上の外れ値メトリック内の各外れ値メトリックは、対応するクラスタが複数のクラスタ内の他のクラスタの外にある度合いを表す、ステップと、
    データオブジェクトを含むクラスタのサイズと、データオブジェクトを含むクラスタに対応する１つ以上の外れ値メトリックとに少なくとも部分的に基づいて、複数のデータオブジェクト内の１つ以上のデータオブジェクトの各々について不規則性スコアを計算するステップと、
    各データオブジェクトに対応する複数の活動パラメータおよび各データオブジェクトの不規則性スコアに少なくとも部分的に基づいて、１つ以上のデータオブジェクトのための１つ以上のオブジェクトポスチャを生成するステップであって、１つ以上のオブジェクトポスチャにおける各オブジェクトポスチャは前記複数のユーザにおける１人のユーザに対応する、ステップと、
    複数のユーザにおける１人以上のユーザの異常な活動を識別するために、１つ以上のオブジェクトポスチャにおける少なくとも１つのオブジェクトポスチャの各々を、オブジェクトポスチャと同じユーザに対応する１つ以上の先行オブジェクトポスチャと比較するステップであって、１つ以上の先行オブジェクトポスチャの各々は、観察区間の前の異なる観察区間に対応する、ステップと、
    を実行させる装置。
  19. 前記複数の活動パラメータは、ユーザによってアクセスされるデータストアの数、ユーザによってアクセスされる機密データストアの数、ユーザによって影響を受けるレコードの数、ユーザによる要求の数、ユーザによるアクセス時間、ユーザによる機密要求の数、ユーザによって影響を受ける機密レコードの数、ユーザ位置、ユーザホスト再配置異常メトリック、ユーザ活動タイミング異常メトリック、またはユーザの転送ネットワークパスのうちの１つ以上を含む、請求項１８に記載の装置。
  20. 前記１つ以上のメモリの少なくとも１つが、当該メモリに格納された命令をさらに含み、当該命令は、前記１つ以上のプロセッサの少なくとも１つに実行されたとき、前記１つ以上のプロセッサの少なくとも１つに、
    前記複数のデータオブジェクトを複数のクラスタにグループ分けする前に、
    複数の活動パラメータのうち１つ以上の活動パラメータに対応するユーザ活動データが正規分布に適合するかどうかを判定するステップと、
    １つ以上の活動パラメータに対応するユーザ活動データが正規分布に適合しないという決定に少なくとも部分的に基づいて、１つ以上の活動パラメータに対応するユーザ活動データを正規分布に適合するように変換するステップと、
    を実行させる、請求項１８に記載の装置。
  21. 前記１つ以上のメモリの少なくとも１つが、当該メモリに格納された命令をさらに含み、当該命令は、前記１つ以上のプロセッサの少なくとも１つに実行されたとき、前記１つ以上のプロセッサの少なくとも１つに、
    前記複数のデータオブジェクトを複数のクラスタにグループ分けする前に、
    複数の活動パラメータのうちの１つ以上の活動パラメータに対応するユーザ活動データを正規化するステップをさらに実行させる、請求項１８に記載の装置。
  22. 前記１つ以上のメモリの少なくとも１つが、当該メモリに格納された命令をさらに含み、当該命令は、前記１つ以上のプロセッサの少なくとも１つに実行されたとき、前記１つ以上のプロセッサの少なくとも１つに、
    前記複数のデータオブジェクトを複数のクラスタにグループ分けする前に、
    複数の活動パラメータのうちの１つ以上の活動パラメータに対応するデータを除去することによって、ユーザ活動データ内の次元数を低減するステップをさらに実行させる、請求項１８に記載の装置。
  23. 前記１つ以上の外れ値メトリックは、距離ベース外れ値メトリックおよび密度ベースのクラスタ外れ値メトリックのうちの１つ以上を含む、請求項１８に記載の装置。
  24. 前記１つ以上のプロセッサの少なくとも１つに実行されたとき、前記１つ以上のプロセッサの少なくとも１つに、前記データオブジェクトを含むクラスタのサイズと、前記データオブジェクトを含む前記クラスタに対応する前記１つ以上の外れ値メトリックとに少なくとも部分的に基づいて、前記複数のデータオブジェクト内の１つ以上のデータオブジェクトの各々について不規則性スコアを計算するステップを実行させる命令は、前記１つ以上のプロセッサの少なくとも１つに、
    前記クラスタのサイズに少なくとも部分的に基づいて、前記データオブジェクトを含むクラスタの特異性メトリックを計算するステップと、
    前記データオブジェクトを含むクラスタの距離ベース外れ値メトリックを計算するステップと、
    データオブジェクトを含むクラスタの密度ベース外れ値メトリックを計算するステップと、
    特異性メトリック、距離ベース外れ値メトリック、および密度ベース外れ値メトリックに少なくとも部分的に基づいて、データオブジェクトの不規則性スコアを決定するステップと、
    をさらに実行させる、請求項２３に記載の装置。
  25. 前記１つ以上のプロセッサの少なくとも１つに実行されたとき、前記１つ以上のプロセッサの少なくとも１つに、前記特異性メトリック、前記距離ベース外れ値検出信頼度メトリック、および前記密度ベース外れ値検出信頼度メトリックに少なくとも部分的に基づいて、前記データオブジェクトの前記不規則性スコアを決定するステップを実行させる命令は、前記１つ以上のプロセッサの少なくとも１つに、
    特異性メトリックの値の範囲を複数の特異性レベルにマッピングする第１のファジーメンバーシップ関数に少なくとも部分的に基づいて、特異性メトリックを複数の特異性レベルにおける１つ以上の特異性レベルにマッピングするステップと、
    距離ベース外れ値メトリックの値の範囲を複数の距離ベース外れ値レベルにマッピングする第２のファジーメンバーシップ関数に少なくとも部分的に基づいて、距離ベース外れ値メトリックを複数の距離ベース外れ値レベルにおける１つ以上の距離ベース外れ値レベルにマッピングするステップと、
    密度ベース外れ値メトリックの値の範囲を複数の密度ベース外れ値レベルにマッピングする第３のファジーメンバーシップ関数に少なくとも部分的に基づいて、密度ベース外れ値メトリックを複数の密度ベース外れ値レベルにおける１つ以上の密度ベース外れ値レベルにマッピングするステップと、
    １つ以上の特異レベル、１つ以上の距離ベース外れ値レベル、および１つ以上の密度ベース外れ値レベルの１つ以上の組合せを、複数の特異レベル、複数の距離ベース外れ値レベル、および複数の密度ベース外れ値レベルの組合せを複数の不規則性レベルにマッピングするファジールールセットに少なくとも部分的に基づいて、複数の不規則性レベルにおける１つ以上の不規則性レベルにマッピングするステップと、
    不規則性スコアを生成するために、不規則性判定関数を１つ以上の不規則性レベルに適用するステップと、
    をさらに実行させる、請求項２４に記載の装置。
  26. 各データオブジェクトに対応する複数の活動パラメータと、各データオブジェクトの不規則性スコアとに少なくとも部分的に基づいて、前記１つ以上のデータオブジェクトに対して１つ以上のオブジェクトポスチャを生成するステップは、
    １つ以上のデータオブジェクト内の各データオブジェクトに対して、
    複数の活動パラメータ内の各活動パラメータをセグメント値のセット内のセグメント値にマッピングし、当該活動パラメータに対応するファジーメンバーシップ関数に少なくとも部分的に基づいて、対応する変動値を各活動パラメータに割り当てるステップであって、当該活動パラメータに対応するファジーメンバーシップ関数は、当該活動パラメータの可能な値をセグメント値のセットにマッピングするように構成される、ステップと、
    データオブジェクトの不規則性スコアを、不規則性値のセットにおける不規則性値にマッピングし、不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて、対応する不規則性変動値を不規則性スコアに割り当てるステップであって、不規則性ファジーメンバーシップ関数は、当該不規則性スコアの可能な値を不規則性値のセットにマッピングするように構成される、ステップと、
    複数の活動パラメータにマッピングされた複数のセグメント値と、不規則性スコアにマッピングされた不規則性値とに少なくとも部分的に基づいて、データオブジェクトのオブジェクトポスチャを生成するステップと、
    を含む、請求項１８に記載の装置。
  27. 前記１つ以上のプロセッサの少なくとも１つに実行されたとき、前記１つ以上のプロセッサの少なくとも１つに、前記複数の活動パラメータにおける各活動パラメータを、セグメント値のセットにおけるセグメント値にマッピングし、前記活動パラメータに対応するファジーメンバーシップ関数に少なくとも部分的に基づいて、対応する変動値を各活動パラメータに割り当てるステップを実行させる命令は、前記１つ以上のプロセッサの少なくとも１つに、
    ファジーメンバーシップ関数に少なくとも部分的に基づいて、活動パラメータに対応するセグメント値のセットにおける１つ以上のセグメント値を決定するステップと、
    １つ以上のセグメント値内の最低セグメント値を活動パラメータにマッピングするステップと、
    活動パラメータに対応する１つ以上のセグメント値の量に少なくとも部分的に基づいて変動値を決定するステップと、
    前記変動値を前記活動パラメータに割り当てるステップと、
    をさらに実行させる、請求項２６に記載の装置。
  28. 前記１つ以上のプロセッサの少なくとも１つに実行されたとき、前記１つ以上のプロセッサの少なくとも１つに、前記データオブジェクトの前記不規則性スコアを、不規則性値のセットにおける不規則性値にマッピングし、不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて、対応する不規則性変動値を前記不規則性スコアに割り当てるステップを実行させる命令は、前記１つ以上のプロセッサの少なくとも１つに、
    不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて、不規則性スコアに対応する不規則性値のセットにおける１つ以上の不規則性値を決定するステップと、
    １つ以上の不規則性値の最小不規則性値を不規則性スコアにマッピングするステップと、
    不規則性スコアに対応する１つ以上の不規則性値の量に少なくとも部分的に基づいて不規則性変化値を決定するステップと、
    前記不規則性スコアに前記不規則性変動値を割り当てるステップと、
    をさらに実行させる、請求項２６に記載の装置。
  29. 前記１つ以上のメモリの少なくとも１つが、当該メモリに格納された命令をさらに含み、当該命令は、前記１つ以上のプロセッサの少なくとも１つに実行されたとき、前記１つ以上のプロセッサの少なくとも１つに、
    前記データオブジェクトのポスチャを生成する前に、
    １つ以上の活動パラメータに対応する１つ以上の変動値および１つ以上の活動パラメータに対応する１つ以上のファジーメンバーシップ関数に少なくとも部分的に基づいて、複数の活動パラメータのうちの１つ以上の活動パラメータをセグメント値のセットのうちの１つ以上の追加のセグメント値にマッピングするステップと、
    データオブジェクトの不規則性スコアを、不規則性スコアに対応する不規則性変動値および不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて、不規則性値のセット内の１つ以上の追加の不規則性値にマッピングするステップと、
    をさらに実行させる、請求項２６に記載の装置。
  30. 前記１つ以上のプロセッサの少なくとも１つに実行されたとき、前記１つ以上のプロセッサの少なくとも１つに、前記複数の活動パラメータにおける１つ以上の活動パラメータを、前記１つ以上の活動パラメータに対応する１つ以上の変動値および前記１つ以上の活動パラメータに対応する１つ以上のファジーメンバーシップ関数に少なくとも部分的に基づいて、前記セグメント値のセットにおける１つ以上の追加のセグメント値にマッピングするステップを実行させる命令は、前記１つ以上のプロセッサの少なくとも１つに、
    ゼロより大きい対応変動値を有する複数の活動パラメータにおける１つ以上の活動パラメータを特定するステップと、
    特定された１つ以上の活動パラメータにおける各活動パラメータについて、当該活動パラメータに対応する１つ以上の可能なセグメント値を決定するステップであって、前記１つ以上の可能なセグメント値は、その活動パラメータに割り当てられた変動値、当該活動パラメータにマッピングされたセグメント値、および当該活動パラメータに対応するファジーメンバーシップ関数に少なくとも部分的に基づく、ステップと、
    識別された１つ以上の活動パラメータにおける各活動パラメータについて、その活動パラメータに対応する１つ以上の可能なセグメント値を連結して、可能なセグメント値の連結リストを生成するステップと、
    特定された１つ以上の活動パラメータ内の各活動パラメータについて、可能なセグメント値の連結リストを、対応する活動パラメータにマッピングするステップと、
    をさらに実行させる、請求項２９に記載の装置。
  31. 前記１つ以上のプロセッサの少なくとも１つに実行されたとき、前記１つ以上のプロセッサの少なくとも１つに、前記データオブジェクトの前記不規則性スコアを、前記不規則性スコアおよび前記不規則性ファジーメンバーシップ関数に対応する前記不規則性変動値に少なくとも部分的に基づいて、前記不規則性値のセットにおける１つ以上の追加の不規則性値にマッピングするステップを実行させる命令は、前記１つ以上のプロセッサの少なくとも１つに、
    不規則性スコアに対応する１つ以上の可能な不規則性値を決定するステップであって、１つ以上の可能性な不規則性値は、不規則性スコアに割り当てられた不規則性変動値、不規則性スコアにマッピングされた不規則性値、および不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいている、ステップと、
    不規則性スコアに対応する１つ以上の可能な不規則性値を連結して、可能な不規則性値の連結リストを生成するステップと、
    可能な不規則性値の連結リストを不規則性スコアにマッピングするステップと、
    をさらに実行させる、請求項２９に記載の装置。
  32. 前記１つ以上のプロセッサの少なくとも１つに実行されたとき、前記１つ以上のプロセッサの少なくとも１つに、前記複数の活動パラメータに対応する複数のセグメント値および前記不規則性スコアに対応する前記不規則性値に少なくとも部分的に基づいて前記データオブジェクトの前記オブジェクトポスチャを生成するステップを実行させる命令は、前記１つ以上のプロセッサの少なくとも１つに、
    複数の活動パラメータにマッピングされたすべてのセグメント値と、不規則性スコアにマッピングされたすべての不規則性値とを連結するステップをさらに実行させる、請求項２６に記載の装置。
  33. 前記１つ以上のプロセッサの少なくとも１つに実行されたとき、前記１つ以上のプロセッサの少なくとも１つに、前記１つ以上のオブジェクトポスチャにおける少なくとも１つのオブジェクトポスチャの各々を、前記オブジェクトポスチャと同じユーザに対応する１つ以上の先行オブジェクトポスチャと比較して、前記複数のユーザにおける１つ以上のユーザの異常な活動を識別するステップを実行させる命令は、前記１つ以上のプロセッサの少なくとも１つに、
    オブジェクトポスチャと、同じユーザに対応する１つ以上の先行オブジェクトポスチャのうちの少なくとも１つとの間の非類似性ファクタを計算するステップと、
    非類似性ファクタが閾値非類似性ファクタより大きいという決定に少なくとも部分的に基づいて、ユーザの活動を異常であると識別するステップと、
    をさらに実行させる、請求項１８に記載の装置。
  34. 前記非類似性ファクタは、前記オブジェクトポスチャと、前記同じユーザに対応する前記１つ以上の先行オブジェクトポスチャのうちの少なくとも１つとの間のレーベンシュタイン距離メトリックを含む、請求項３３に記載の装置。
  35. コンピュータ読み取り可能な命令を格納した、少なくとも１つの非一時的コンピュータ読み取り可能媒体であって、
    前記命令は、１つ以上のコンピューティングデバイスによって実行されたとき、前記１つ以上のコンピューティングデバイスの少なくとも１つに、
    観察区間にわたって収集されたユーザ活動データを格納するステップであって、前記ユーザ活動データは、複数のユーザに対応する複数のデータオブジェクトを含み、複数のデータオブジェクト内の各データオブジェクトは、複数の活動パラメータを含む、ステップと、
    各データオブジェクトに関する複数の活動パラメータに少なくとも部分的に基づいて、複数のデータオブジェクトを複数のクラスタにグループ化するステップと、
    複数のクラスタ内の各クラスタに対応する１つ以上の外れ値メトリックを計算するステップであって、１つ以上の外れ値メトリック内の各外れ値メトリックは、対応するクラスタが複数のクラスタ内の他のクラスタの外にある度合いを表す、ステップと、
    データオブジェクトを含むクラスタのサイズと、データオブジェクトを含むクラスタに対応する１つ以上の外れ値メトリックとに少なくとも部分的に基づいて、複数のデータオブジェクト内の１つ以上のデータオブジェクトの各々について不規則性スコアを計算するステップと、
    各データオブジェクトに対応する複数の活動パラメータおよび各データオブジェクトの不規則性スコアに少なくとも部分的に基づいて、１つ以上のデータオブジェクトのための１つ以上のオブジェクトポスチャを生成するステップであって、１つ以上のオブジェクトポスチャにおける各オブジェクトポスチャは前記複数のユーザにおける１人のユーザに対応する、ステップと、
    複数のユーザにおける１人以上のユーザの異常な活動を識別するために、１つ以上のオブジェクトポスチャにおける少なくとも１つのオブジェクトポスチャの各々を、オブジェクトポスチャと同じユーザに対応する１つ以上の先行オブジェクトポスチャと比較するステップであって、１つ以上の先行オブジェクトポスチャの各々は、観察区間の前の異なる観察区間に対応する、ステップと、
    を実行させる、媒体。
  36. 前記複数の活動パラメータは、ユーザによってアクセスされるデータストアの数、ユーザによってアクセスされる機密データストアの数、ユーザによって影響を受けるレコードの数、ユーザによる要求の数、ユーザによるアクセス時間、ユーザによる機密要求の数、ユーザによって影響を受ける機密レコードの数、ユーザ位置、ユーザホスト再配置異常メトリック、ユーザ活動タイミング異常メトリック、またはユーザの転送ネットワークパスのうちの１つ以上を含む、請求項３５に記載の媒体。
  37. コンピュータ読み取り可能な命令をさらに含み、当該命令は、前記１つ以上のコンピューティングデバイスの少なくとも１つに実行されたとき、前記１つ以上のコンピューティングデバイスの少なくとも１つに、
    前記複数のデータオブジェクトを複数のクラスタにグループ分けする前に、
    複数の活動パラメータのうち１つ以上の活動パラメータに対応するユーザ活動データが正規分布に適合するかどうかを判定するステップと、
    １つ以上の活動パラメータに対応するユーザ活動データが正規分布に適合しないという決定に少なくとも部分的に基づいて、１つ以上の活動パラメータに対応するユーザ活動データを正規分布に適合するように変換するステップと、
    を実行させる、請求項３５に記載の媒体。
  38. コンピュータ読み取り可能な命令をさらに含み、当該命令は、前記１つ以上のコンピューティングデバイスの少なくとも１つに実行されたとき、前記１つ以上のコンピューティングデバイスの少なくとも１つに、
    前記複数のデータオブジェクトを複数のクラスタにグループ分けする前に、
    複数の活動パラメータのうちの１つ以上の活動パラメータに対応するユーザ活動データを正規化するステップをさらに実行させる、請求項３５に記載の媒体。
  39. コンピュータ読み取り可能な命令をさらに含み、当該命令は、前記１つ以上のコンピューティングデバイスの少なくとも１つに実行されたとき、前記１つ以上のコンピューティングデバイスの少なくとも１つに、
    前記複数のデータオブジェクトを複数のクラスタにグループ分けする前に、
    複数の活動パラメータのうちの１つ以上の活動パラメータに対応するデータを除去することによって、ユーザ活動データ内の次元数を低減するステップをさらに実行させる、請求項３５に記載の媒体。
  40. 前記１つ以上の外れ値メトリックは、距離ベース外れ値メトリックおよび密度ベースのクラスタ外れ値メトリックのうちの１つ以上を含む、請求項３５に記載の媒体。
  41. 前記１つ以上のコンピューティングデバイスの少なくとも１つに実行されたとき、前記１つ以上のコンピューティングデバイスの少なくとも１つに、前記データオブジェクトを含むクラスタのサイズと、前記データオブジェクトを含む前記クラスタに対応する前記１つ以上の外れ値メトリックとに少なくとも部分的に基づいて、前記複数のデータオブジェクト内の１つ以上のデータオブジェクトの各々について不規則性スコアを計算するステップを実行させる命令は、前記１つ以上のコンピューティングデバイスの少なくとも１つに、
    前記クラスタのサイズに少なくとも部分的に基づいて、前記データオブジェクトを含むクラスタの特異性メトリックを計算するステップと、
    前記データオブジェクトを含むクラスタの距離ベース外れ値メトリックを計算するステップと、
    データオブジェクトを含むクラスタの密度ベース外れ値メトリックを計算するステップと、
    特異性メトリック、距離ベース外れ値メトリック、および密度ベース外れ値メトリックに少なくとも部分的に基づいて、データオブジェクトの不規則性スコアを決定するステップと、
    をさらに実行させる、請求項４０に記載の媒体。
  42. 前記１つ以上のコンピューティングデバイスの少なくとも１つに実行されたとき、前記１つ以上のコンピューティングデバイスの少なくとも１つに、前記特異性メトリック、前記距離ベース外れ値検出信頼度メトリック、および前記密度ベース外れ値検出信頼度メトリックに少なくとも部分的に基づいて、前記データオブジェクトの前記不規則性スコアを決定するステップを実行させる命令は、前記１つ以上のコンピューティングデバイスの少なくとも１つに、
    特異性メトリックの値の範囲を複数の特異性レベルにマッピングする第１のファジーメンバーシップ関数に少なくとも部分的に基づいて、特異性メトリックを複数の特異性レベルにおける１つ以上の特異性レベルにマッピングするステップと、
    距離ベース外れ値メトリックの値の範囲を複数の距離ベース外れ値レベルにマッピングする第２のファジーメンバーシップ関数に少なくとも部分的に基づいて、距離ベース外れ値メトリックを複数の距離ベース外れ値レベルにおける１つ以上の距離ベース外れ値レベルにマッピングするステップと、
    密度ベース外れ値メトリックの値の範囲を複数の密度ベース外れ値レベルにマッピングする第３のファジーメンバーシップ関数に少なくとも部分的に基づいて、密度ベース外れ値メトリックを複数の密度ベース外れ値レベルにおける１つ以上の密度ベース外れ値レベルにマッピングするステップと、
    １つ以上の特異レベル、１つ以上の距離ベース外れ値レベル、および１つ以上の密度ベース外れ値レベルの１つ以上の組合せを、複数の特異レベル、複数の距離ベース外れ値レベル、および複数の密度ベース外れ値レベルの組合せを複数の不規則性レベルにマッピングするファジールールセットに少なくとも部分的に基づいて、複数の不規則性レベルにおける１つ以上の不規則性レベルにマッピングするステップと、
    不規則性スコアを生成するために、不規則性判定関数を１つ以上の不規則性レベルに適用するステップと、
    をさらに実行させる、請求項４１に記載の媒体。
  43. 前記１つ以上のコンピューティングデバイスの少なくとも１つに実行されたとき、前記１つ以上のコンピューティングデバイスの少なくとも１つに、各データオブジェクトに対応する複数の活動パラメータと、各データオブジェクトの不規則性スコアとに少なくとも部分的に基づいて、前記１つ以上のデータオブジェクトに対して１つ以上のオブジェクトポスチャを生成するステップを実行させる命令は、前記１つ以上のコンピューティングデバイスの少なくとも１つに、
    １つ以上のデータオブジェクト内の各データオブジェクトに対して、
    複数の活動パラメータ内の各活動パラメータをセグメント値のセット内のセグメント値にマッピングし、当該活動パラメータに対応するファジーメンバーシップ関数に少なくとも部分的に基づいて、対応する変動値を各活動パラメータに割り当てるステップであって、当該活動パラメータに対応するファジーメンバーシップ関数は、当該活動パラメータの可能な値をセグメント値のセットにマッピングするように構成される、ステップと、
    データオブジェクトの不規則性スコアを、不規則性値のセットにおける不規則性値にマッピングし、不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて、対応する不規則性変動値を不規則性スコアに割り当てるステップであって、不規則性ファジーメンバーシップ関数は、当該不規則性スコアの可能な値を不規則性値のセットにマッピングするように構成される、ステップと、
    複数の活動パラメータにマッピングされた複数のセグメント値と、不規則性スコアにマッピングされた不規則性値とに少なくとも部分的に基づいて、データオブジェクトのオブジェクトポスチャを生成するステップと、
    をさらに実行させる、請求項３５に記載の媒体。
  44. 前記１つ以上のコンピューティングデバイスの少なくとも１つに実行されたとき、前記１つ以上のコンピューティングデバイスの少なくとも１つに、前記複数の活動パラメータにおける各活動パラメータを、セグメント値のセットにおけるセグメント値にマッピングし、前記活動パラメータに対応するファジーメンバーシップ関数に少なくとも部分的に基づいて、対応する変動値を各活動パラメータに割り当てるステップを実行させる命令は、前記１つ以上のコンピューティングデバイスの少なくとも１つに、
    ファジーメンバーシップ関数に少なくとも部分的に基づいて、活動パラメータに対応するセグメント値のセットにおける１つ以上のセグメント値を決定するステップと、
    １つ以上のセグメント値内の最低セグメント値を活動パラメータにマッピングするステップと、
    活動パラメータに対応する１つ以上のセグメント値の量に少なくとも部分的に基づいて変動値を決定するステップと、
    前記変動値を前記活動パラメータに割り当てるステップと、
    をさらに実行させる、請求項４３に記載の媒体。
  45. 前記１つ以上のコンピューティングデバイスの少なくとも１つに実行されたとき、前記１つ以上のコンピューティングデバイスの少なくとも１つに、前記データオブジェクトの前記不規則性スコアを、不規則性値のセットにおける不規則性値にマッピングし、不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて、対応する不規則性変動値を前記不規則性スコアに割り当てるステップを実行させる命令は、前記１つ以上のコンピューティングデバイスの少なくとも１つに、
    不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて、不規則性スコアに対応する不規則性値のセットにおける１つ以上の不規則性値を決定するステップと、
    １つ以上の不規則性値の最小不規則性値を不規則性スコアにマッピングするステップと、
    不規則性スコアに対応する１つ以上の不規則性値の量に少なくとも部分的に基づいて不規則性変化値を決定するステップと、
    前記不規則性スコアに前記不規則性変動値を割り当てるステップと、
    をさらに実行させる、請求項４３に記載の媒体。
  46. コンピュータ読み取り可能な命令をさらに含み、当該命令は、前記１つ以上のコンピューティングデバイスの少なくとも１つに実行されたとき、前記１つ以上のコンピューティングデバイスの少なくとも１つに、
    前記データオブジェクトのポスチャを生成する前に、
    １つ以上の活動パラメータに対応する１つ以上の変動値および１つ以上の活動パラメータに対応する１つ以上のファジーメンバーシップ関数に少なくとも部分的に基づいて、複数の活動パラメータのうちの１つ以上の活動パラメータをセグメント値のセットのうちの１つ以上の追加のセグメント値にマッピングするステップと、
    データオブジェクトの不規則性スコアを、不規則性スコアに対応する不規則性変動値および不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて、不規則性値のセット内の１つ以上の追加の不規則性値にマッピングするステップと、
    をさらに実行させる、請求項４３に記載の媒体。
  47. 前記１つ以上のコンピューティングデバイスの少なくとも１つに実行されたとき、前記１つ以上のコンピューティングデバイスの少なくとも１つに、前記複数の活動パラメータにおける１つ以上の活動パラメータを、前記１つ以上の活動パラメータに対応する１つ以上の変動値および前記１つ以上の活動パラメータに対応する１つ以上のファジーメンバーシップ関数に少なくとも部分的に基づいて、前記セグメント値のセットにおける１つ以上の追加のセグメント値にマッピングするステップを実行させる命令は、前記１つ以上のコンピューティングデバイスの少なくとも１つに、
    ゼロより大きい対応変動値を有する複数の活動パラメータにおける１つ以上の活動パラメータを特定するステップと、
    特定された１つ以上の活動パラメータにおける各活動パラメータについて、当該活動パラメータに対応する１つ以上の可能なセグメント値を決定するステップであって、前記１つ以上の可能なセグメント値は、その活動パラメータに割り当てられた変動値、当該活動パラメータにマッピングされたセグメント値、および当該活動パラメータに対応するファジーメンバーシップ関数に少なくとも部分的に基づく、ステップと、
    識別された１つ以上の活動パラメータにおける各活動パラメータについて、その活動パラメータに対応する１つ以上の可能なセグメント値を連結して、可能なセグメント値の連結リストを生成するステップと、
    特定された１つ以上の活動パラメータ内の各活動パラメータについて、可能なセグメント値の連結リストを、対応する活動パラメータにマッピングするステップと、
    をさらに実行させる、請求項４６に記載の媒体。
  48. 前記１つ以上のコンピューティングデバイスの少なくとも１つに実行されたとき、前記１つ以上のコンピューティングデバイスの少なくとも１つに、前記データオブジェクトの前記不規則性スコアを、前記不規則性スコアおよび前記不規則性ファジーメンバーシップ関数に対応する前記不規則性変動値に少なくとも部分的に基づいて、前記不規則性値のセットにおける１つ以上の追加の不規則性値にマッピングするステップを実行させる命令は、前記１つ以上のコンピューティングデバイスの少なくとも１つに、
    不規則性スコアに対応する１つ以上の可能な不規則性値を決定するステップであって、１つ以上の可能性な不規則性値は、不規則性スコアに割り当てられた不規則性変動値、不規則性スコアにマッピングされた不規則性値、および不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいている、ステップと、
    不規則性スコアに対応する１つ以上の可能な不規則性値を連結して、可能な不規則性値の連結リストを生成するステップと、
    可能な不規則性値の連結リストを不規則性スコアにマッピングするステップと、
    をさらに実行させる、請求項４６に記載の媒体。
  49. 前記１つ以上のコンピューティングデバイスの少なくとも１つに実行されたとき、前記１つ以上のコンピューティングデバイスの少なくとも１つに、前記複数の活動パラメータに対応する複数のセグメント値および前記不規則性スコアに対応する前記不規則性値に少なくとも部分的に基づいて前記データオブジェクトの前記オブジェクトポスチャを生成するステップを実行させる命令は、前記１つ以上のコンピューティングデバイスの少なくとも１つに、
    複数の活動パラメータにマッピングされたすべてのセグメント値と、不規則性スコアにマッピングされたすべての不規則性値とを連結するステップをさらに実行させる、請求項４３に記載の媒体。
  50. 前記１つ以上のコンピューティングデバイスの少なくとも１つに実行されたとき、前記１つ以上のコンピューティングデバイスの少なくとも１つに、前記１つ以上のオブジェクトポスチャにおける少なくとも１つのオブジェクトポスチャの各々を、前記オブジェクトポスチャと同じユーザに対応する１つ以上の先行オブジェクトポスチャと比較して、前記複数のユーザにおける１つ以上のユーザの異常な活動を識別するステップを実行させる命令は、前記１つ以上のコンピューティングデバイスの少なくとも１つに、
    オブジェクトポスチャと、同じユーザに対応する１つ以上の先行オブジェクトポスチャのうちの少なくとも１つとの間の非類似性ファクタを計算するステップと、
    非類似性ファクタが閾値非類似性ファクタより大きいという決定に少なくとも部分的に基づいて、ユーザの活動を異常であると識別するステップと、
    をさらに実行させる、請求項３５に記載の媒体。
  51. 前記非類似性ファクタは、前記オブジェクトポスチャと、前記同じユーザに対応する前記１つ以上の先行オブジェクトポスチャのうちの少なくとも１つとの間のレーベンシュタイン距離メトリックを含む、請求項５０に記載の媒体。
JP2018560991A 2016-05-20 2016-06-16 異常なユーザ行動関連アプリケーションデータを検出するための方法、装置、およびコンピュータ読み取り可能な媒体 Active JP6725700B2 (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US15/160,783 US10257211B2 (en) 2016-05-20 2016-05-20 Method, apparatus, and computer-readable medium for detecting anomalous user behavior
US15/160,783 2016-05-20
PCT/US2016/037847 WO2017200558A1 (en) 2016-05-20 2016-06-16 Method, apparatus, and computer-readable medium for detecting anomalous user behavior

Publications (2)

Publication Number Publication Date
JP2019521422A true JP2019521422A (ja) 2019-07-25
JP6725700B2 JP6725700B2 (ja) 2020-07-22

Family

ID=60325385

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2018560991A Active JP6725700B2 (ja) 2016-05-20 2016-06-16 異常なユーザ行動関連アプリケーションデータを検出するための方法、装置、およびコンピュータ読み取り可能な媒体

Country Status (4)

Country Link
US (1) US10257211B2 (ja)
JP (1) JP6725700B2 (ja)
CA (1) CA3024960C (ja)
WO (1) WO2017200558A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112837078A (zh) * 2021-03-03 2021-05-25 万商云集(成都)科技股份有限公司 一种基于集群的用户异常行为检测方法

Families Citing this family (43)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11509771B1 (en) 2013-12-30 2022-11-22 Massachusetts Mutual Life Insurance Company System and method for managing routing of customer calls
US11151486B1 (en) * 2013-12-30 2021-10-19 Massachusetts Mutual Life Insurance Company System and method for managing routing of leads
US11743389B1 (en) 2013-12-30 2023-08-29 Massachusetts Mutual Life Insurance Company System and method for managing routing of customer calls
US11831794B1 (en) 2013-12-30 2023-11-28 Massachusetts Mutual Life Insurance Company System and method for managing routing of leads
US10681059B2 (en) * 2016-05-25 2020-06-09 CyberOwl Limited Relating to the monitoring of network security
EP3293937A1 (en) * 2016-09-12 2018-03-14 Vectra Networks, Inc. Method and system for detecting malicious payloads
JP6781950B2 (ja) * 2016-10-12 2020-11-11 オムロン株式会社 識別情報付与システム、識別情報付与方法、及びそのプログラム
US10542017B1 (en) * 2016-10-13 2020-01-21 Symantec Corporation Systems and methods for personalizing security incident reports
ES2867860T3 (es) * 2016-12-23 2021-10-21 Cytognos S L Método de clasificación de información digital
US10528533B2 (en) * 2017-02-09 2020-01-07 Adobe Inc. Anomaly detection at coarser granularity of data
US11470097B2 (en) * 2017-03-03 2022-10-11 Nippon Telegraph And Telephone Corporation Profile generation device, attack detection device, profile generation method, and profile generation computer program
US10587635B2 (en) 2017-03-31 2020-03-10 The Boeing Company On-board networked anomaly detection (ONAD) modules
US10474667B2 (en) * 2017-07-29 2019-11-12 Vmware, Inc Methods and systems to detect and correct outliers in a dataset stored in a data-storage device
US10432648B1 (en) * 2017-08-28 2019-10-01 Palo Alto Networks, Inc. Automated malware family signature generation
US11637844B2 (en) 2017-09-28 2023-04-25 Oracle International Corporation Cloud-based threat detection
US11037033B2 (en) * 2018-03-26 2021-06-15 Ca, Inc. Multivariate clustering-based anomaly detection
CN108628721B (zh) * 2018-05-02 2021-07-27 腾讯科技（上海）有限公司 用户数据值的异常检测方法、装置、存储介质及电子装置
CN108737406B (zh) * 2018-05-10 2020-08-04 北京邮电大学 一种异常流量数据的检测方法及系统
CN109861953B (zh) * 2018-05-14 2020-08-21 新华三信息安全技术有限公司 一种异常用户识别方法及装置
US10708050B2 (en) * 2018-06-19 2020-07-07 TokenEx, LLC Multivariate encryption systems and methods
US10881964B1 (en) * 2018-09-13 2021-01-05 Electronic Arts Inc. Automated detection of emergent behaviors in interactive agents of an interactive environment
EP3623965A1 (en) * 2018-09-14 2020-03-18 United Technologies Corporation Fabricated data detection method
US11916895B1 (en) * 2018-11-01 2024-02-27 Amazon Technologies, Inc. Certificate authority breach detection for network-connected devices
CN109727446B (zh) * 2019-01-15 2021-03-05 华北电力大学（保定） 一种用电数据异常值的识别与处理方法
EP3921658B1 (de) * 2019-02-06 2023-04-05 Lisa Dräxlmaier GmbH Verfahren und prüfvorrichtung
CN114127698A (zh) * 2019-07-18 2022-03-01 日本电信电话株式会社 学习装置、检测系统、学习方法以及学习程序
CN110381151B (zh) * 2019-07-24 2021-12-28 秒针信息技术有限公司 一种异常设备检测方法及装置
US11734121B2 (en) * 2020-03-10 2023-08-22 EMC IP Holding Company LLC Systems and methods to achieve effective streaming of data blocks in data backups
US11880271B2 (en) * 2020-03-27 2024-01-23 VMware LLC Automated methods and systems that facilitate root cause analysis of distributed-application operational problems and failures
US11113174B1 (en) * 2020-03-27 2021-09-07 Vmware, Inc. Methods and systems that identify dimensions related to anomalies in system components of distributed computer systems using traces, metrics, and component-associated attribute values
US11880272B2 (en) * 2020-03-27 2024-01-23 VMware LLC Automated methods and systems that facilitate root-cause analysis of distributed-application operational problems and failures by generating noise-subtracted call-trace-classification rules
US11416364B2 (en) * 2020-03-27 2022-08-16 Vmware, Inc. Methods and systems that identify dimensions related to anomalies in system components of distributed computer systems using clustered traces, metrics, and component-associated attribute values
CN111461564A (zh) * 2020-04-08 2020-07-28 湖南大学 基于云模型和最优组合赋权的风电机组功率特性评估方法
CN111639067B (zh) * 2020-05-21 2023-05-30 中国地质大学（武汉） 多特征融合卷积自编码的多元地球化学异常识别方法
CN111831373A (zh) * 2020-06-09 2020-10-27 上海容易网电子商务股份有限公司 一种用于安卓互动屏应用启动状态的检测处理方法
CN111753293B (zh) * 2020-06-29 2022-08-02 苏州浪潮智能科技有限公司 一种操作行为监测方法、装置及电子设备和存储介质
US11552972B2 (en) * 2020-07-14 2023-01-10 Bank Of America Corporation Trusted travel devices equipped with on-the-fly monitoring
US20220067122A1 (en) * 2020-08-26 2022-03-03 Coupang Corp. System and method for capping outliers during an experiment test
LU102090B1 (en) * 2020-09-29 2022-03-29 Microsoft Technology Licensing Llc Anomalous pattern detection for control of computer networks
KR102446923B1 (ko) * 2020-11-24 2022-09-22 연세대학교 산학협력단 밀도 기반 클러스터링을 이용한 사람 자세 데이터셋의 축약 장치 및 방법
CN112528162B (zh) * 2020-11-27 2024-03-22 微梦创科网络科技（中国）有限公司 一种刷转发量行为用户的实时识别方法及装置
CN116166960B (zh) * 2023-02-07 2023-09-29 山东经鼎智能科技有限公司 用于神经网络训练的大数据特征清洗方法及系统
CN117650995B (zh) * 2023-11-28 2024-06-14 佛山科学技术学院 一种基于离群检测的数据传输异常识别方法

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006065572A (ja) * 2004-08-26 2006-03-09 Mitsubishi Electric Corp 行動パターン抽出装置および異常行動検出装置
US20150229661A1 (en) * 2011-11-07 2015-08-13 Netflow Logic Corporation Method and system for confident anomaly detection in computer network traffic
WO2015141560A1 (ja) * 2014-03-19 2015-09-24 日本電信電話株式会社 トラヒック特徴情報抽出方法、トラヒック特徴情報抽出装置及びトラヒック特徴情報抽出プログラム
WO2016076334A1 (ja) * 2014-11-14 2016-05-19 日本電信電話株式会社 マルウェア感染端末の検出装置、マルウェア感染端末の検出方法およびマルウェア感染端末の検出プログラム

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3553713A1 (en) * 2008-06-12 2019-10-16 Guardian Analytics, Inc. Modeling users for fraud detection and analysis
US7890675B2 (en) * 2009-03-05 2011-02-15 International Business Machines Corporation Apparatus, system, and method for real time job-specific buffer allocation
US20120137367A1 (en) 2009-11-06 2012-05-31 Cataphora, Inc. Continuous anomaly detection based on behavior modeling and heterogeneous information analysis
US8826438B2 (en) 2010-01-19 2014-09-02 Damballa, Inc. Method and system for network-based detecting of malware from behavioral clustering
US9477826B2 (en) * 2010-11-29 2016-10-25 Biocatch Ltd. Device, system, and method of detecting multiple users accessing the same account
US9185095B1 (en) 2012-03-20 2015-11-10 United Services Automobile Association (Usaa) Behavioral profiling method and system to authenticate a user
US10063654B2 (en) * 2013-12-13 2018-08-28 Oracle International Corporation Systems and methods for contextual and cross application threat detection and prediction in cloud applications
US9846687B2 (en) * 2014-07-28 2017-12-19 Adp, Llc Word cloud candidate management system
US9774681B2 (en) 2014-10-03 2017-09-26 Fair Isaac Corporation Cloud process for rapid data investigation and data integrity analysis

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006065572A (ja) * 2004-08-26 2006-03-09 Mitsubishi Electric Corp 行動パターン抽出装置および異常行動検出装置
US20150229661A1 (en) * 2011-11-07 2015-08-13 Netflow Logic Corporation Method and system for confident anomaly detection in computer network traffic
WO2015141560A1 (ja) * 2014-03-19 2015-09-24 日本電信電話株式会社 トラヒック特徴情報抽出方法、トラヒック特徴情報抽出装置及びトラヒック特徴情報抽出プログラム
US20160366159A1 (en) * 2014-03-19 2016-12-15 Nippon Telegraph And Telephone Corporation Traffic feature information extraction method, traffic feature information extraction device, and traffic feature information extraction program
WO2016076334A1 (ja) * 2014-11-14 2016-05-19 日本電信電話株式会社 マルウェア感染端末の検出装置、マルウェア感染端末の検出方法およびマルウェア感染端末の検出プログラム

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
山西 健司 ほか: "最新！データマイニング手法 統計的異常検出３手法", 情報処理, vol. 第４６巻 第１号, JPN6009006038, 15 January 2005 (2005-01-15), JP, pages 34 - 40, ISSN: 0004268715 *
豊嶋 伊知郎 ほか: "クラスタリング結果を用いた外れ値検出による，歩行軌跡データからの行動識別手法", 情報処理学会研究報告, vol. 2007, no. 31, JPN6020016961, 20 March 2007 (2007-03-20), JP, pages 205 - 212, ISSN: 0004268714 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112837078A (zh) * 2021-03-03 2021-05-25 万商云集(成都)科技股份有限公司 一种基于集群的用户异常行为检测方法
CN112837078B (zh) * 2021-03-03 2023-11-03 万商云集(成都)科技股份有限公司 一种基于集群的用户异常行为检测方法

Also Published As

Publication number Publication date
CA3024960A1 (en) 2017-11-23
CA3024960C (en) 2022-03-08
WO2017200558A1 (en) 2017-11-23
US20170339168A1 (en) 2017-11-23
JP6725700B2 (ja) 2020-07-22
US10257211B2 (en) 2019-04-09

Similar Documents

Publication Publication Date Title
JP6725700B2 (ja) 異常なユーザ行動関連アプリケーションデータを検出するための方法、装置、およびコンピュータ読み取り可能な媒体
US11496498B2 (en) Statistical analysis of network behavior using event vectors to identify behavioral anomalies using a composite score
US11005872B2 (en) Anomaly detection in cybersecurity and fraud applications
US11330009B2 (en) Systems and methods for machine learning-based digital content clustering, digital content threat detection, and digital content threat remediation in machine learning task-oriented digital threat mitigation platform
US10140576B2 (en) Computer-implemented system and method for detecting anomalies using sample-based rule identification
US9661010B2 (en) Security log mining devices, methods, and systems
US20200379868A1 (en) Anomaly detection using deep learning models
US11093845B2 (en) Tree pathway analysis for signature inference
US20150067857A1 (en) In-situ trainable intrusion detection system
US11693917B2 (en) Computational model optimizations
US20180077181A1 (en) Bot detection based on behavior analytics
US11303666B1 (en) Systems and methods for intelligent cyber security threat detection and mitigation through an extensible automated investigations and threat mitigation platform
Kalinichenko et al. Methods for anomaly detection: A survey
US11734312B2 (en) Feature transformation and missing values
Aziz et al. Cluster Analysis-Based Approach Features Selection on Machine Learning for Detecting Intrusion.
Singh et al. User behaviour based insider threat detection using a hybrid learning approach
Meryem et al. A novel approach in detecting intrusions using NSLKDD database and MapReduce programming
Alhakami Alerts clustering for intrusion detection systems: overview and machine learning perspectives
US11777962B2 (en) Systems and methods for machine learning-based detection of an automated fraud attack or an automated abuse attack
Jirachan et al. Applying KSE-test and K-means clustering towards scalable unsupervised intrusion detection
Kaiser Cognitive discriminative feature selection using variance fractal dimension for the detection of cyber attacks
Abinaya et al. Big Data in Real Time to Detect Anomalies
US20240211331A1 (en) Systems and methods for a profile-based model selector
Sandeep et al. Analysis and Detection of Fraud in Email Database Using Machine Learning Approach
Gonçalves et al. Clinical Business Intelligence to Prevent Stroke Accidents

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20190614

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20190619

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20200423

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20200526

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20200625

R150 Certificate of patent or registration of utility model

Ref document number: 6725700

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250