JP2020509511A - 悪意のあるコンピューティングイベントを検出するためのシステム及び方法 - Google Patents

Abstract

悪意のあるコンピューティングイベントを検出するための開示されるコンピュータ実装方法は、（ｉ）企業内で検出された複数のコンピューティングイベントについて、現在利用可能なセキュリティ情報に基づいて各コンピューティングイベントの初期傾向スコアを判定することと、（ｉｉ）各コンピューティングイベントの初期傾向スコアを閾値傾向スコアと比較することによって、悪意のある又は悪意のないものとして各コンピューティングイベントの初期分類を判定することと、（ｉｉｉ）各コンピューティングイベントについて、（ａ）新しいセキュリティ情報に基づいて更新された傾向スコアと、（ｂ）更新された分類と、を判定することと、（ｉｖ）各コンピューティングイベントの初期分類がコンピューティングイベントの更新された分類と一致する頻度を判定することによって、閾値傾向スコアが悪意のあるコンピューティングイベントを正しく識別する程度を計算することと、（ｖ）閾値傾向スコアが悪意のあるコンピューティングイベントを正しく識別する程度に基づいて閾値傾向スコアを調整することと、を含み得る。

Description

（関連出願の相互参照）
本願は、代理人整理番号００７１６０．１２７２Ｕ１によって識別され、「Ｓｙｓｔｅｍｓ ａｎｄ Ｍｅｔｈｏｄｓ ｆｏｒ Ｅｖａｌｕａｔｉｎｇ Ｓｅｃｕｒｉｔｙ Ｓｅｒｖｉｃｅｓ」と題された、２０１７年２月１４日出願の、Ｐｉｅｔｅｒ Ｖｉｌｊｏｅｎによる米国特許出願第１５／４３２，９０５号の全体を参照により組み込む。

個人及び組織は、所有するコンピューティングデバイスを異常な活動及び／又は望ましくない活動に対して保護するために、様々なソフトウェアセキュリティシステムを頻繁に使用する。そのようなセキュリティシステムは、エンドポイントデバイス上で潜在的に悪意のあるコンピューティングイベント又は挙動を検出し、次いで、これらのインシデントが不審さの一定の閾値又は程度を満たすかどうかを判定し得る。この閾値を満たすコンピューティングイベントは悪意のあるものとして分類され得、セキュリティシステムは、これらのイベントに関与するファイル又はオブジェクトを、エンドポイントデバイスを害することからブロック、削除、又は他の方法で防止し得る。

残念ながら、従来のセキュリティサービスは、企業内の悪意のあるコンピューティングイベントを正確に又は効率的に識別することができない場合がある。例えば、ファイルが企業で最初に見られるときに、従来のアンチマルウェア技術がそのファイルの評判の知識を欠いていると、アンチマルウェア技術は、ファイルの評判を示す情報が後の時点で利用可能になるとしても、そのファイルに関連したセキュリティ脅威を検出し損なう恐れがある。加えて、従来のセキュリティシステムは、顧客がマルウェア検出プロセスを自身の企業のニーズに合わせて調整することを許可しない場合がある。例えば、従来のセキュリティシステムは、個々の企業によって要求又は必要とされるセキュリティサービスに関係なく、悪意のあるコンピューティングイベントを分類する標準又はデフォルトのメトリックを複数の企業にわたって実装し得る。したがって、本開示は、悪意のあるコンピューティングイベントを検出するためのシステム及び方法に対するニーズを特定し、それに対処する。

より詳細に後述するように、本開示は、悪意のあるコンピューティングイベントを検出するための様々なシステム及び方法を説明する。一実施例では、悪意のあるコンピューティングイベントを検出するための方法は、（ｉ）企業内で検出された複数のコンピューティングイベントについて、現在利用可能なセキュリティ情報に基づいてコンピューティングイベントが悪意のあるものである可能性を示す各コンピューティングイベントの初期傾向スコアを判定することと、（ｉｉ）各コンピューティングイベントの初期傾向スコアを、悪意のあるコンピューティングイベントを示す最小傾向スコアを表す閾値傾向スコアと比較することによって、悪意のある又は悪意のないものとして各コンピューティングイベントの初期分類を判定することと、（ｉｉｉ）コンピューティングイベントに対する初期傾向スコアが判定された後に、各コンピューティングイベントについて、（ａ）初期傾向スコアが判定されたときに利用できなかった新しいセキュリティ情報に基づいて更新された傾向スコアと、（ｂ）更新された傾向スコアを閾値傾向スコアと比較することによって更新された分類と、を判定することと、（ｉｖ）各コンピューティングイベントの初期分類がコンピューティングイベントの更新された分類と一致する頻度を判定することによって、閾値傾向スコアが悪意のあるコンピューティングイベントを正しく識別する程度を計算することと、（ｖ）閾値傾向スコアが悪意のあるコンピューティングイベントを正しく識別する程度に基づいて閾値傾向スコアを調整することによって、企業をセキュリティ脅威から保護することと、を含み得る。

一部の実施例では、コンピューティングイベントは、企業内のエンドポイントデバイス上にファイルをダウンロードする試みを含み得る。それに加えて、又は代替的に、コンピューティングイベントは、企業内から外部エンティティに機密情報を配信する試み、及び／又は外部エンティティによる機密情報にアクセスする試みを含み得る。

一部の実施形態では、方法は、バックエンドセキュリティサーバにおいて、企業内の少なくとも１つのエンドポイントデバイスにインストールされたセキュリティエージェントから少なくとも１つのコンピューティングイベントを受信することを更に含み得る。このような実施形態では、方法はまた、コンピューティングイベントが検出された時点でのエンドポイントデバイスの構成の少なくとも一部分を受信することも含み得る。それに加えて、これらの実施形態では、コンピューティングイベントの更新された傾向スコアを判定することは、新しいセキュリティ情報を使用してエンドポイントデバイスの構成を再分析することを含み得る。

一部の実施例では、各コンピューティングイベントの初期分類がコンピューティングイベントの更新された分類と一致する頻度を判定することは、悪意のあるものとしての初期分類と悪意のないものとしての更新された分類とを有するコンピューティングイベントの割合を計算することによって、閾値傾向スコアにより生成された偽陽性率を判定することを含み得る。それに加えて、又は代替的に、頻度を判定することは、悪意のないものとしての初期分類と悪意のあるものとしての更新された分類とを有するコンピューティングイベントの割合を計算することによって、閾値傾向スコアにより生成された偽陰性率を判定することを含み得る。これらの実施例では、閾値傾向スコアが悪意のあるコンピューティングイベントを正しく識別する程度を計算することは、偽陰性率に対する偽陽性率の比を計算することを含み得る。

これらの実施例では、方法は、企業内に実装されたセキュリティサービスの所望の厳格性に対応する偽陽性対偽陰性の所望の比を企業から受信することを更に含み得る。一般に、偽陽性対偽陰性の高い比は厳格なセキュリティサービスに対応し得る。これらの実施例では、閾値傾向スコアを調整することは、コンピューティングイベントの初期傾向スコア及び更新された傾向スコアの遡及的分析に基づいて、偽陽性対偽陰性の所望の比を生成する最適な閾値傾向スコアを判定することを含み得る。

更に、これらの実施例では、方法は、初期傾向スコアが偽陽性であったコンピューティングイベントを識別することと、同様のコンピューティングイベントが悪意のないものとして分類されるように、識別されたコンピューティングイベントを企業内のホワイトリストに追加することと、を含み得る。方法はまた、識別されたコンピューティングイベントをホワイトリストに追加した後に、閾値傾向スコアを減少させることも含み得る。

一実施形態では、悪意のあるコンピューティングイベントを検出するためのシステムは、メモリに記憶されているいくつかのモジュールを含み得、これには、（ｉ）スコアリングモジュールであって、企業内で検出された複数のコンピューティングイベントのそれぞれについて、（ａ）現在利用可能なセキュリティ情報に基づいてコンピューティングイベントが悪意のあるものである可能性を示す各コンピューティングイベントの初期傾向スコアと、（ｂ）初期傾向スコアが判定されたときに利用できなかった新しいセキュリティ情報に基づいて更新された傾向スコアと、を判定する、スコアリングモジュールと、（ｉｉ）分類モジュールであって、（ａ）各コンピューティングイベントの初期傾向スコアを、悪意のあるコンピューティングイベントを示す最小傾向スコアを表す閾値傾向スコアと比較することによって、悪意のある又は悪意のないものとしての各コンピューティングイベントの初期分類と、（ｂ）更新された傾向スコアを閾値傾向スコアと比較することによって、更新された分類と、を判定する、分類モジュールと、（ｉｉｉ）各コンピューティングイベントの初期分類がコンピューティングイベントの更新された分類と一致する頻度を判定することによって、閾値傾向スコアが悪意のあるコンピューティングイベントを正しく識別する程度を計算する計算モジュールと、（ｉｖ）閾値傾向スコアが悪意のあるコンピューティングイベントを正しく識別する程度に基づいて閾値傾向スコアを調整することによって、企業をセキュリティ脅威から保護するセキュリティモジュールと、が含まれる。加えて、システムは、スコアリングモジュール、分類モジュール、計算モジュール、及びセキュリティモジュールを実行するように構成された少なくとも１つの物理プロセッサを含み得る。

一部の実施例では、上述の方法は、非一時的コンピュータ可読媒体上のコンピュータ可読命令としてコード化されてもよい。例えば、コンピュータ可読媒体は、コンピューティングデバイスの少なくとも１つのプロセッサによって実行されるとき、コンピューティングデバイスに、（ｉ）企業内で検出された複数のコンピューティングイベントについて、現在利用可能なセキュリティ情報に基づいてコンピューティングイベントが悪意のあるものである可能性を示す各コンピューティングイベントの初期傾向スコアを判定させ、（ｉｉ）各コンピューティングイベントの初期傾向スコアを、悪意のあるコンピューティングイベントを示す最小傾向スコアを表す閾値傾向スコアと比較することによって、悪意のある又は悪意のないものとして各コンピューティングイベントの初期分類を判定させ、（ｉｉｉ）コンピューティングイベントに対する初期傾向スコアが判定された後に、各コンピューティングイベントについて、（ａ）初期傾向スコアが判定されたときに利用できなかった新しいセキュリティ情報に基づいて更新された傾向スコアと、（ｂ）更新された傾向スコアを閾値傾向スコアと比較することによって更新された分類と、を判定させ、（ｉｖ）各コンピューティングイベントの初期分類がコンピューティングイベントの更新された分類と一致する頻度を判定することによって、閾値傾向スコアが悪意のあるコンピューティングイベントを正しく識別する程度を計算させ、（ｖ）閾値傾向スコアが悪意のあるコンピューティングイベントを正しく識別する程度に基づいて閾値傾向スコアを調整することによって、企業をセキュリティ脅威から保護させ得る、１つ以上のコンピュータ実行可能命令を含んでもよい。

上述の実施形態のいずれかによる特徴は、本明細書に記載される一般原理に従って、互いに組み合わせて使用されてもよい。これら及び他の実施形態、特徴、及び利点は、添付の図面及び特許請求の範囲と併せて以下の発明を実施するための形態を読むことによって更に十分に理解されるだろう。

添付の図面は、いくつかの例示的な実施形態を図示するものであり、本明細書の一部である。以下の説明と併せて、これらの図面は、本開示の様々な原理を実証及び説明する。
悪意のあるコンピューティングイベントを検出するための例示的なシステムのブロック図である。 悪意のあるコンピューティングイベントを検出するための追加の例示的なシステムのブロック図である。 悪意のあるコンピューティングイベントを検出するための例示的な方法のフローチャートである。 例示的な傾向スコアの経時的な変化のグラフである。 閾値傾向スコアの変化に対する例示的な偽陽性率及び偽陰性率の変化のグラフである。 本明細書に記載及び／又は図示される実施形態のうちの１つ以上を実装することができる例示的なコンピューティングシステムのブロック図である。 本明細書に記載及び／又は図示される実施形態のうちの１つ以上を実装することができる例示的なコンピューティングネットワークのブロック図である。

図面を通して、同一の参照符号及び記述は、必ずしも同一ではないが、類似の要素を示す。本明細書で説明される例示的実施形態は、様々な修正物及び代替的な形態が可能であるが、特定の実施形態が例として図面に示されており、本明細書に詳細に記載される。しかしながら、本明細書に記載される例示的実施形態は、開示される特定の形態に限定されることを意図しない。むしろ、本開示は、添付の特許請求の範囲内にある全ての修正物、等価物、及び代替物を網羅する。

本開示は、概して、悪意のあるコンピューティングイベントを検出するためのシステム及び方法を対象とする。以下でより詳細に説明するように、エンドポイントデバイス上で検出された不審なファイル、挙動、及び他のコンピューティングイベントの属性を記録することにより、開示されるシステム及び方法は、イベントが検出された直後のイベントの初期傾向スコアと、イベントに関連する追加のセキュリティ情報が利用可能になったときの更新された傾向スコアと、の両方を判定し得る。加えて、本明細書に記載されるシステム及び方法は、イベントを悪意のある又は悪意のないものとして分類するために使用されるセキュリティメトリックの性能を評価するために、コンピューティングイベントについて記録された情報に対して遡及的分析を実施してもよい。次いで、開示されるシステム及び方法は、企業のセキュリティニーズを最も効果的に満たすために、これらの分析を使用して企業内のセキュリティポリシーを調整し得る。

加えて、本明細書に記載されるシステム及び方法は、企業によって要求される特定のレベルの厳格性又は寛容性に従ってマルウェア及び他のセキュリティ脅威を分類する最適化された閾値に基づいて悪意のあるファイルを検出することにより、企業内のコンピューティングデバイスの機能を改善し得る。これらのシステム及び方法はまた、イベントが発生した後の不審なコンピューティングイベントの効率的かつ正確な分類を可能にすることによって（例えば、コンピューティングイベントについての記録された履歴情報の分析に基づく）、マルウェア検出の分野（特に、遡及的な静的検出の分野）も改善し得る。

以下に、図１及び図２を参照して、悪意のあるコンピューティングイベントを検出するための例示的なシステムの詳細な説明を提供する。対応するコンピュータ実装方法の詳細な説明も図３に関連して提供される。例示的な傾向スコアの経時的な変化の詳細な説明は、図４に提供される。加えて、閾値傾向スコアの変化に対する例示的な偽陽性率及び偽陰性率の変化の詳細な説明は、図５に関連して提供される。最後に、本明細書に記載の実施形態のうちの１つ以上を実装することができる例示的なコンピューティングシステム及びネットワークアーキテクチャの詳細な説明が、それぞれ、図６及び図７に関連して提供される。

図１は、悪意のあるコンピューティングイベントを検出するための例示的なシステム１００のブロック図である。この図に図示されるように、例示的なシステム１００は、１つ以上のタスクを実施するための１つ以上のモジュール１０２を含み得る。以下でより詳細に説明するように、例示的なシステム１００は、企業内で検出された複数のコンピューティングイベントについて、（ｉ）現在利用可能なセキュリティ情報に基づいてコンピューティングイベントが悪意のあるものである可能性を示す各コンピューティングイベントの初期傾向スコアと、（ｉｉ）初期傾向スコアが判定されたときに利用できなかった新しいセキュリティ情報に基づいて更新された傾向スコアと、を判定するスコアリングモジュール１０４を含み得る。加えて、例示的なシステム１００は、各コンピューティングイベントについて、（ｉ）コンピューティングイベントの初期傾向スコアを、悪意のあるコンピューティングイベントを示す最小傾向スコアを表す閾値傾向スコアと比較することによって、悪意のある又は悪意のないものとしての初期分類と、（ｉｉ）コンピューティングイベントの更新された傾向スコアを閾値傾向スコアと比較することによって、更新された分類と、を判定する、分類モジュール１０６を含み得る。

以下でより詳細に説明するように、例示的なシステム１００はまた、各コンピューティングイベントの初期分類がコンピューティングイベントの更新された分類と一致する頻度を判定することによって、閾値傾向スコアが悪意のあるコンピューティングイベントを正しく識別する程度を計算する計算モジュール１０８も含み得る。最後に、例示的なシステム１００は、閾値傾向スコアが悪意のあるコンピューティングイベントを正しく識別する程度に基づいて閾値傾向スコアを調整することによって、企業をセキュリティ脅威から保護するセキュリティモジュール１１０を含み得る。別々の要素として図示されるが、図１のモジュール１０２のうちの１つ以上は、単一のモジュール又はアプリケーションの部分を表してもよい。

特定の実施形態では、図１のモジュール１０２のうちの１つ以上は、コンピューティングデバイスによって実行されると、コンピューティングデバイスに１つ以上のタスクを実施させ得る、１つ以上のソフトウェアアプリケーション又はプログラムを表し得る。例えば、より詳細に後述するように、モジュール１０２のうちの１つ以上は、図２に示されるデバイス（例えば、セキュリティサーバ２０６）などの１つ以上のコンピューティングデバイスに記憶され、その上で作動するように構成されている、モジュールを表し得る。図１のモジュール１０２のうちの１つ以上はまた、１つ以上のタスクを実施するように構成されている１つ以上の専用コンピュータの全て又は一部を表し得る。

図１に示すように、例示的なシステム１００はまた、メモリ１４０などの１つ以上のメモリデバイスも含み得る。メモリ１４０は、一般に、データ及び／又はコンピュータ可読命令を記憶することができる任意のタイプ又は形態の揮発性又は不揮発性の記憶デバイス又は媒体を表す。一実施例では、メモリ１４０は、モジュール１０２のうちの１つ以上を記憶、ロード、及び／又は維持してもよい。メモリ１４０の例としては、非限定的に、ランダムアクセスメモリ（ＲＡＭ）、リードオンリーメモリ（ＲＯＭ）、フラッシュメモリ、ハードディスクドライブ（ＨＤＤ）、ソリッドステートドライブ（ＳＳＤ）、光ディスクドライブ、キャッシュ、それらのうちの１つ以上の変形形態若しくは組み合わせ、及び／又は任意の他の好適な記憶メモリが挙げられる。

図１に示すように、例示的なシステム１００はまた、物理プロセッサ１３０などの１つ以上の物理プロセッサも含み得る。物理プロセッサ１３０は、一般に、コンピュータ可読命令を解釈及び／又は実行することができる任意のタイプ又は形態のハードウェア実装処理ユニットを表す。一実施例では、物理プロセッサ１３０は、メモリ１４０に記憶されているモジュール１０２のうちの１つ以上にアクセスし、かつ／又はそれを変更することができる。それに加えて、又は代替的に、物理プロセッサ１３０は、悪意のあるコンピューティングイベントの検出を容易にするために、モジュール１０２のうちの１つ以上を実行し得る。物理プロセッサ１３０の例としては、非限定的に、マイクロプロセッサ、マイクロコントローラ、中央処理装置（ＣＰＵ）、ソフトコアプロセッサを実装するフィールドプログラマブルゲートアレイ（ＦＰＧＡ）、特定用途向け集積回路（ＡＳＩＣ）、それらのうちの１つ以上の部分、それらのうちの１つ以上の変形形態若しくは組み合わせ、及び／又は任意の他の好適な物理プロセッサが挙げられる。

図１に示すように、例示的なシステム１００はまた、１つ以上の追加要素１２０も含み得る。一実施例では、追加要素１２０は、初期傾向スコア１２２及び更新された傾向スコア１２６などの１つ以上の傾向スコアを含み得る。初期傾向スコア１２２は、一般に、企業内で検出された一連のコンピューティングイベントのセキュリティ特性の第１の定量的な査定又は評価を表す。特に、初期傾向スコア１２２は、コンピューティングイベントが検出されたときにセキュリティサービスによって利用可能であった又は既知であったセキュリティ情報又はセキュリティ試験に基づき得る。加えて、更新された傾向スコア１２６は、一般に、初期傾向スコア１２２が判定されたときに利用できなかった新しいセキュリティ情報に基づいた、コンピューティングイベントのセキュリティ特性の任意のタイプ又は形態のその後の査定又は評価を表す。

追加要素１２０はまた、初期分類１２４及び更新された分類１２８など、１つ以上の分類も含み得る。初期分類１２４は、一般に、初期傾向スコア１２２の任意の定性的な査定を表す。一実施形態では、初期分類１２４は、初期傾向スコア１２２を閾値傾向スコアと比較することによって生成され得る。加えて、更新された分類１２８は、一般に、更新された傾向スコア１２６の任意の定性的な査定を表す。

図１の例示的なシステム１００は、様々な方法で実装され得る。例えば、例示的なシステム１００のうちの全て又は一部は、図２における例示的なシステム２００の部分を表してもよい。図２に示すように、システム２００は、ネットワーク２０４を介してセキュリティサーバ２０６と通信している、企業２０２内の１つ以上のコンピューティングデバイスを含み得る。一実施例では、モジュール１０２の機能の全て又は一部は、セキュリティサーバ２０６及び／又は任意の他の好適なコンピューティングシステムによって実施され得る。より詳細に後述するように、図１によるモジュール１０２のうちの１つ以上は、セキュリティサーバ２０６の少なくとも１つのプロセッサによって実行されるとき、セキュリティサーバ２０６が悪意のあるコンピューティングイベントを検出することを可能にし得る。

例えば、より詳細に後述するように、スコアリングモジュール１０４は、セキュリティサーバ２０６に、企業２０２内で検出されたコンピューティングイベント２０８について、現在のセキュリティ情報２１０に基づいてコンピューティングイベント２０８が悪意のあるものである可能性を示す初期傾向スコア１２２を判定させ得る。加えて、分類モジュール１０６は、セキュリティサーバ２０６に、初期傾向スコア１２２のそれぞれを閾値傾向スコア２１４と比較することによって、初期分類１２４を判定させ得る。初期傾向スコア１２２が判定された後、スコアリングモジュール１０４は、セキュリティサーバ２０６に、新しいセキュリティ情報２１２に基づいて更新された傾向スコア１２６を判定させ得る。加えて、分類モジュール１０６は、セキュリティサーバ２０６に、更新された傾向スコア１２６のそれぞれを閾値傾向スコア２１４と比較することによって、更新された分類１２８を判定させ得る。次に、計算モジュール１０８は、セキュリティサーバ２０６に、初期分類１２４が更新された分類１２８と一致する頻度２１６を判定することによって、閾値傾向スコア２１４が悪意のあるコンピューティングイベントを正しく識別する程度を計算させ得る。最後に、セキュリティモジュール１１０は、セキュリティサーバ２０６に、閾値傾向スコア２１４が悪意のあるコンピューティングイベントを正しく識別する程度に基づいて調整された閾値傾向スコア２１８を判定して、企業２０２をセキュリティ脅威から保護させ得る。

企業２０２は、一般に、セキュリティサービスに加入する又はこれを実装する任意のタイプ又は形態の個人、個人のグループ、ビジネス、又は組織を表す。一部の実施例では、企業２０２は、１つ以上のエンドポイントデバイスを含み得る。一実施形態では、企業２０２内のエンドポイントデバイスは、クライアント側セキュリティソフトウェア（例えば、セキュリティサービスによって管理されているソフトウェアエージェント）を動作させ得る。このようなエンドポイントデバイスの例としては、ラップトップ、タブレット、デスクトップ、サーバ、携帯電話、携帯情報端末（ＰＤＡ）、マルチメディアプレーヤー、埋め込みシステム、ウェアラブルデバイス（例えば、スマートウォッチ、スマートグラスなど）、ゲーム機、それらのうちの１つ以上の変形形態若しくは組み合わせ、及び／又は他の任意の好適なコンピューティングデバイスなど、コンピュータ実行可能命令を読み取ることができる任意のタイプ又は形態のコンピューティングデバイスが挙げられる。

セキュリティサーバ２０６は、一般に、エンドポイントデバイス上で検出されたコンピューティングイベントを受信、分析、分類、及び／又は再分類することができる任意のタイプ又は形態のコンピューティングデバイスを表す。一実施例では、セキュリティサーバ２０６は、１つ以上の企業（企業２０２など）に対してセキュリティサービスを提供するバックエンドセキュリティサーバを表し得る。セキュリティサーバ２０６の追加の例としては、非限定的に、特定のソフトウェアアプリケーションを実行する、並びに／又は様々なセキュリティサービス、ウェブサービス、ストレージサービス、及び／若しくはデータベースサービスを提供するように構成された、アプリケーションサーバ、ウェブサーバ、ストレージサーバ、及び／又はデータベースサーバが挙げられる。図２では単一のエンティティとして示されているが、セキュリティサーバ２０６は、互いに連携して働く及び／又は動作する複数のサーバを含み得る及び／又はそれらを表し得る。

ネットワーク２０４は、一般に、通信若しくはデータ転送を容易にすることが可能な、任意の媒体又はアーキテクチャを表す。一実施例では、ネットワーク２０４は、企業２０２とセキュリティサーバ２０６との間の通信を容易にし得る。この実施例では、ネットワーク２０４は、無線接続及び／又は有線接続を使用して、通信又はデータ転送を容易にしてもよい。ネットワーク２０４の例としては、非限定的に、イントラネット、広域ネットワーク（ＷＡＮ）、ローカルエリアネットワーク（ＬＡＮ）、パーソナルエリアネットワーク（ＰＡＮ）、インターネット、電力線通信（ＰＬＣ）、セルラーネットワーク（例えば、Ｇｌｏｂａｌ Ｓｙｓｔｅｍ ｆｏｒ Ｍｏｂｉｌｅ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ（ＧＳＭ（登録商標））ネットワーク）、それらのうちの１つ以上の部分、それらのうちの１つ以上の変形形態若しくは組み合わせ、及び／又は任意の他の好適なネットワークが挙げられる。

図３は、悪意のあるコンピューティングイベントを検出するための例示的なコンピュータ実装方法３００のフローチャートである。図３に示されるステップは、図１のシステム１００、図２のシステム２００、及び／又はそれらのうちの１つ以上の変形形態若しくは組み合わせを含む、任意の好適なコンピュータ実行可能コード及び／又はコンピューティングシステムによって実施され得る。一実施例では、図３に示されるステップの各々は、アルゴリズムを表してもよく、そのアルゴリズムの構造は、複数のサブステップを含み、かつ／又はそれらによって表され、それらの実施例が以下により詳細に提供される。

図３に示すように、ステップ３０２において、本明細書に記載されるシステムのうちの１つ以上は、企業内で検出された複数のコンピューティングイベントについて、現在利用可能なセキュリティ情報に基づいてコンピューティングイベントが悪意のあるものである可能性を示す各コンピューティングイベントの初期傾向スコアを判定し得る。例えば、スコアリングモジュール１０４は、図２のセキュリティサーバ２０６の一部として、企業２０２内で検出されたコンピューティングイベント２０８の初期傾向スコア１２２を判定し得る。

「コンピューティングイベント」という用語は、本明細書で使用するとき、一般に、コンピューティングデバイス上で又はこれと関連して検出された任意のタイプ又は形態のインシデント、挙動、又はアクションを指す。一部の実施例では、コンピューティングイベントは、コンピューティングデバイスのセキュリティ状態を潜在的に損なう恐れがある、コンピューティングデバイスの構成（例えば、ソフトウェア、設定、データ、ファイル、プログラムなど）の任意の改変を表し得る。例えば、コンピューティングイベントは、エンドポイントデバイスのユーザがエンドポイントデバイス上でファイル又はプログラムをダウンロード、インストール、又は実行する試みを表し得る。他の実施例では、コンピューティングイベントは、ユーザがエンドポイントデバイスから（例えば、電子メッセージ又は取り外し可能な記憶デバイスを介して）情報を配信する試みを表し得る。代替的に、コンピューティングイベントは、外部エンティティが（例えば、侵入、フィッシング攻撃、及び／又は他のセキュリティ侵害を介して）エンドポイントデバイス内の情報にアクセスする試みを表し得る。

開示されるシステムは、様々な方法でエンドポイントデバイス上のコンピューティングイベントを検出し得る。一部の実施例では、セキュリティモジュール１１０は、企業内のエンドポイントデバイスの全て又は一部にソフトウェアセキュリティエージェントを配備し得る。これらのエージェントは、セキュリティ脅威を潜在的に示す任意のタイプ又は形態のコンピューティングイベントについてエンドポイントデバイスを監視し得る。例えば、配備されたエージェントは、エンドポイントデバイスのユーザがインストール又は実行を試みるファイルを識別し得る。加えて、セキュリティエージェントは、エンドポイントデバイスに及びエンドポイントデバイスから配信された電子メール及び他の電子メッセージの内容を監視し得る。それに加えて、又は代替的に、配備されたエージェントは、ユーザが自身のエンドポイントデバイスを介してアクセスしたネットワークリソース（例えば、サーバ、ウェブサイト、クラウドベースのアプリケーションなど）を識別し得る。

企業内に配備されたセキュリティエージェントは、検出されたコンピューティングイベントに関する様々な情報を識別し得る。一部の実施例では、エージェントは、コンピューティングイベントに関与するファイルの挙動を識別し得る。例えば、セキュリティエージェントは、エンドポイントデバイス上の検出されたファイルと他のプログラムとの間の相互作用を記録し得る。同様に、セキュリティエージェントは、ファイルによってアクセス又は改変されたコンピューティングリソース（例えば、レジストリ、データベース、又はネットワークリソース）を識別し得る。加えて、セキュリティエージェントは、ファイルのハッシュを識別及び／又は生成し得る。更なる実施例では、セキュリティエージェントは、エンドポイントデバイス及び／又はエンドポイントデバイスのユーザの設定など、コンピューティングイベントが検出されたエンドポイントデバイスについて関連するコンテキスト又は構成の詳細を識別し得る。加えて、セキュリティエージェントは、コンピューティングイベントが発生した時点（例えば、日付及び／又は時刻又は日）を記録し得る。

更に、一部の実施例では、セキュリティエージェントは、コンピューティングイベントの１つ以上のセキュリティ特性を判定し得る。例えば、セキュリティエージェントは、コンピューティングイベントの属性をマルウェア定義又はシグネチャ（例えば、悪意のあることが知られているファイル、オブジェクト、又は挙動のハッシュ）と比較し得る。一実施形態では、セキュリティエージェントは、セキュリティエージェントを管理するセキュリティサービスによって提供されたマルウェア定義又は他のセキュリティ情報を使用して、コンピューティングイベントを分析し得る。セキュリティエージェントは、セキュリティ情報にローカルに（例えば、情報は、セキュリティエージェントが動作しているエンドポイントデバイス上に直接記憶され得る）又はリモートに（例えば、情報は、クラウドベースのデータベース又はバックエンドセキュリティサーバに記憶され得る）のいずれかでアクセスし得る。

セキュリティエージェントがコンピューティングイベントに関する情報を識別した後、エージェントは、情報をバックエンドセキュリティサーバ（図２のセキュリティサーバ２０６など）に送信し得る。企業内のセキュリティエージェントは、そのような情報をリアルタイムで（例えば、検出直後に）又は定期的に（例えば、バッチで）スコアリングモジュール１０４に配信し得る。検出されたコンピューティングイベントに関する情報を受信した後、スコアリングモジュール１０４は、コンピューティングイベントに対して初期傾向スコアを判定し得る。

「傾向スコア」という用語は、本明細書で使用するとき、一般に、コンピューティングイベントのセキュリティ特性の任意のタイプ又は形態の査定又は評価を指す。一部の実施例では、傾向スコアは、コンピューティングイベントが悪意のあるものである（例えば、エンドポイントデバイスのセキュリティ状態又は性能に対して有害である）可能性を定量化し得る。具体的な実施例として、不審なファイルを伴うコンピューティングイベントの傾向スコアは、ファイルがマルウェアのインスタンス（例えば、ウイルス、ワーム、スパイウェア、アドウェアなど）である確率を示し得る。別の実施例では、エンドポイントデバイスからデータを転送しようとする試みを伴うコンピューティングイベントの傾向スコアは、転送されるデータが機密情報を含む可能性及び／又はデータの受信者が機密情報にアクセスする権限を与えられていない可能性を定量化し得る。

「初期傾向スコア」という用語は、本明細書で使用するとき、一般に、コンピューティングイベントに対して判定された第１の傾向スコアを指す。一部の実施例では、初期傾向スコアは、コンピューティングイベントが検出された直後に、及び／又は検出されたコンピューティングイベントに関する情報がバックエンドセキュリティサーバに送信された後に、計算され得る。以下でより詳細に説明するように、「更新された傾向スコア」という用語は、一般に、初期傾向スコアが判定された後に判定される、コンピューティングイベントの任意の傾向スコアを指す。

スコアリングモジュール１０４は、コンピューティングイベントに対して実施された任意のタイプのセキュリティ分析又は試験に基づいてコンピューティングイベントの初期傾向スコアを判定し得る。一部の実施形態では、スコアリングモジュール１０４は、コンピューティングイベントを検出したセキュリティエージェントによって識別されたコンピューティングイベントのセキュリティ特性に基づいて、コンピューティングイベントの初期傾向スコアを判定し得る。例えば、スコアリングモジュール１０４は、セキュリティエージェントで現在利用可能なセキュリティ情報に基づいてセキュリティエージェントによって計算された初期傾向スコアをセキュリティエージェントから直接受信し得る。それに加えて、又は代替的に、スコアリングモジュール１０４は、セキュリティサーバ内に記憶されている現在利用可能なセキュリティ情報に基づいてバックエンドセキュリティサーバにてコンピューティングイベントに対するセキュリティ分析を実施することによって、コンピューティングイベントの初期傾向スコアを判定し得る。

「セキュリティ情報」という用語は、本明細書で使用するとき、一般に、悪意のある又は悪意のないことが知られているコンピューティングイベントの特性を表す又は示す、任意のタイプ又は形態のデータを指す。セキュリティ情報の例としては、非限定的に、悪意のあるファイルのハッシュ、悪意のあるコンピューティング挙動の表現、信頼性のあるファイルのホワイトリスト、悪意のあるファイルのブラックリスト、及び／又はセキュリティサービスがコンピューティングイベントの評判又は信頼性を判定するために使用し得る任意の追加のデータ、試験、若しくは分析が挙げられる。加えて、「現在利用可能なセキュリティ情報」という用語は、本明細書で使用するとき、一般に、セキュリティサービスがコンピューティングイベントに対して初期傾向スコアを判定する時点において、セキュリティサービスに既知である又はセキュリティサービスによってアクセス可能である、任意のセキュリティ情報を指す。以下でより詳細に説明するように、「新しいセキュリティ情報」という用語は、一般に、コンピューティングイベントの初期傾向スコアが判定された後に、セキュリティサービスに既知となった又はセキュリティサービスによってアクセス可能となった、任意のセキュリティ情報を指す。

一部の実施例では、スコアリングモジュール１０４は、所定の範囲又はスケール内の数として傾向スコアを表し得る。例えば、スコアリングモジュール１０４は、コンピューティングイベントに０〜５の傾向スコアを割り当て得、スコア０は、悪意のないことが確認されたコンピューティングイベントを示し、スコア５は、非常に悪意のあることが確認されたコンピューティングイベントを示す。コンピューティングイベントに対して実施されるセキュリティ分析が決定的でない（例えば、現在利用可能なセキュリティ情報が、コンピューティングイベントのわずかに悪意のある若しくは悪意のない特性を示すか、又はコンピューティングイベントについて現在既知のセキュリティ情報がない）場合、スコアリングモジュール１０４は、コンピューティングイベントに、傾向スコア範囲の中央のスコアを割り当て得る。

図３に戻ると、ステップ３０４において、本明細書に記載されるシステムのうちの１つ以上は、各コンピューティングイベントの初期傾向スコアを、悪意のあるコンピューティングイベントを示す最小傾向スコアを表す閾値傾向スコアと比較することによって、悪意のある又は悪意のないものとして各コンピューティングイベントの初期分類を判定し得る。例えば、分類モジュール１０６は、図２のセキュリティサーバ２０６の一部として、初期傾向スコア１２２を閾値傾向スコア２１４と比較することによって、コンピューティングイベント２０８の初期分類１２４を判定し得る。

「分類」という用語は、本明細書で使用するとき、一般に、コンピューティングイベントに対する傾向スコアの任意の定性的な分類を指す。一実施形態では、分類モジュール１０６は、二進法を使用して傾向スコアを分類し得る。例えば、分類モジュール１０６は、「悪意のある」又は「悪意のない」のいずれかとしてコンピューティングイベントを分類し得る。「初期分類」という用語は、本明細書で使用するとき、一般に、コンピューティングイベントの初期閾値傾向スコアに基づいた、コンピューティングイベントの任意の分類を指す。以下でより詳細に説明するように、「更新された分類」という用語は、一般に、コンピューティングイベントの更新された傾向スコアに基づいた分類など、コンピューティングイベントの任意のその後の分類を指す。

本明細書に記載されるシステムは、様々な方法でコンピューティングイベントの初期分類を判定し得る。一部の実施例では、分類モジュール１０６は、コンピューティングイベントの初期傾向スコアを閾値傾向スコアと比較することによって、コンピューティングイベントの分類を判定し得る。「閾値傾向スコア」という用語は、本明細書で使用するとき、一般に、悪意のあるコンピューティングイベントを示す最小又はカットオフ傾向スコアを表す任意の傾向スコアを指す。一部の実施例では、閾値傾向スコアは、標準の又は事前設定された閾値傾向スコアを表し得る（例えば、開示されるシステムは、企業内で実装される閾値傾向スコアを自動的に定義し得る）。他の実施例では、閾値傾向は、企業によって指定され得るか、又は企業に合わせて調整され得る。

スコアリングモジュール１０４がコンピューティングイベントの初期傾向スコアを判定した後、分類モジュール１０６は、初期傾向スコアを閾値傾向スコアと比較し得る。初期傾向スコアが、閾値傾向スコアと同じである、又は閾値傾向スコアよりも高い程度の悪意性を示す場合、分類モジュール１０６は、コンピューティングイベントを悪意のあるものとして分類し得る。初期傾向スコアが閾値傾向スコアよりも低い程度の悪意性を示す場合、分類モジュール１０６は、コンピューティングイベントを悪意のないものとして分類し得る。

一部の実施形態では、セキュリティモジュール１１０は、悪意のあるコンピューティングイベントを検出したことに応じて、１つ以上のセキュリティ措置を実施し得る。例えば、セキュリティモジュール１１０は、クライアント側セキュリティエージェント（悪意のあるコンピューティングイベントを検出したセキュリティエージェントなど）に、コンピューティングイベントに関連した任意のファイル又はアクションをブロック及び／又は削除するように指示し得る。加えて、開示されるシステムは、悪意のある及び悪意のないコンピューティングイベントの両方の属性を記録及び記憶し得る。

図３に戻ると、ステップ３０６において、本明細書に記載されるシステムのうちの１つ以上は、コンピューティングイベントに対する初期傾向スコアが判定された後に、各コンピューティングイベントについて、（ｉ）初期傾向スコアが判定されたときに利用できなかった新しいセキュリティ情報に基づいて更新された傾向スコアと、（ｂ）更新された傾向スコアを閾値傾向スコアと比較することによって更新された分類と、を判定し得る。例えば、初期傾向スコア１２２が判定された後、スコアリングモジュール１０４は、図２のセキュリティサーバ２０６の一部として、新しいセキュリティ情報２１２に基づいて更新された傾向スコア１２６を判定し得る。加えて、分類モジュール１０６は、図２のセキュリティサーバ２０６の一部として、更新された分類１２８を判定し得る。

本明細書に記載されるシステムは、様々な方法でコンピューティングイベントの更新された傾向スコアを判定し得る。一部の実施例では、スコアリングモジュール１０４は、１つ以上のコンピューティングイベントに対する初期傾向スコアが判定された後に、新しいセキュリティ情報が利用可能になったことを判定し得る。例えば、スコアリングモジュール１０４は、セキュリティサービスが新しいマルウェアシグネチャ又は定義を識別又は生成したことを判定し得る。それに加えて、又は代替的に、スコアリングモジュール１０４は、セキュリティサービスが悪意のあるファイルのブラックリスト及び／又は正当なファイルのホワイトリストを更新したことを判定し得る。更なる実施例では、スコアリングモジュール１０４は、悪意のあるファイルを識別することができる新しい挙動査定又は追加のセキュリティ試験を識別し得る。一部の実施形態では、スコアリングモジュール１０４は、複数のエンドポイントデバイス上で及び／又は複数の企業内で検出されたコンピューティングイベントのインスタンスを分析することに基づいてセキュリティサービスによって生成された特定のコンピューティングイベントに関連する新しいセキュリティ情報を識別し得る。

コンピューティングイベントに関連する新しいセキュリティ情報が利用可能であることを判定した後、スコアリングモジュール１０４は、コンピューティングイベントについて以前に記録された情報を新しいセキュリティ情報と比較し得る。例えば、スコアリングモジュール１０４は、コンピューティングイベントに関与するファイルのハッシュを悪意のあるファイルの最近生成されたハッシュと比較し得る。別の実施例では、スコアリングモジュール１０４は、新しいセキュリティ情報を使用して、コンピューティングイベントの検出を取り巻くイベントを分析し得る。一般に、スコアリングモジュール１０４は、新しいセキュリティ情報を使用して、（ステップ３０２に関連して上述したように）初期傾向スコアを判定するために使用される任意の方法によって、コンピューティングイベントの更新された傾向スコアを判定し得る。特に、スコアリングモジュール１０４は、コンピューティングイベントについて以前に記録された情報のみに基づいて、コンピューティングイベントの更新された傾向スコアを判定し得る。例えば、スコアリングモジュール１０４は、コンピューティングイベントが検出されたときのエンドポイントデバイスの状態を表すコンテキスト情報を再分析又は再生することによって、コンピューティングイベントの更新された傾向スコアを判定し得る。

スコアリングモジュール１０４がコンピューティングイベントの更新された傾向スコアを判定した後、分類モジュール１０６は、コンピューティングイベントの更新された分類を判定し得る。具体的には、分類モジュール１０６は、更新された傾向スコアを閾値傾向スコア（即ち、コンピューティングイベントの初期分類を判定するために使用された閾値傾向スコア）と比較することによって、コンピューティングイベントの更新された分類を判定し得る。

図３に戻ると、ステップ３０６において、記載されるシステムの１つ以上は、各コンピューティングイベントの初期分類がコンピューティングイベントの更新された分類と一致する頻度を判定することによって、閾値傾向スコアが悪意のあるコンピューティングイベントを正しく識別する程度を計算し得る。例えば、計算モジュール１０８は、図２のセキュリティサーバ２０６の一部として、初期分類１２４がそれに対応する更新された分類１２８と一致する頻度２１６を判定することによって、閾値傾向スコア２１４が悪意のあるコンピューティングイベントを正しく識別する程度を計算し得る。

本明細書に記載されるシステムは、初期分類が更新された分類と一致する頻度を様々な方法で判定し得る。一部の実施例では、計算モジュール１０８は、閾値傾向スコアが悪意のあるコンピューティングイベントを正しく識別する偽陽性率及び／又は偽陰性率を判定し得る。計算モジュール１０８は、閾値傾向スコアに基づいて悪意のあるものとしての初期分類と悪意のないものとしての更新された分類とを有するコンピューティングイベントの割合を計算することによって、閾値傾向スコアにより生成された偽陽性率を判定し得る。同様に、計算モジュール１０８は、悪意のないものとしての初期分類と悪意のあるものとしての更新された分類とを有するコンピューティングイベントの割合を計算することによって、閾値傾向スコアにより生成された偽陰性率を判定し得る。以下でより詳細に説明するように、そのような比率は、セキュリティサービスの有効性及び／又は厳格性の程度を示し得る又は定量化し得る。

閾値傾向スコアによって生成された偽陽性及び偽陰性を識別する実施例として、図４は、傾向スコア対時間のグラフ４０２を示す。図４に示すように、グラフ４０２は、傾向スコアが７日間（即ち、０〜６日目）にわたって変化したときの、４つの例示的なコンピューティングイベント（即ち、コンピューティングイベント４０４、４０６、４０８、及び４１０）の初期及び更新された傾向スコアをプロットしている。この実施例では、スコアリングモジュール１０４は０〜５のスケール内の数として傾向スコアを表し得、５の傾向スコアは非常に悪意のあるコンピューティングイベントを示し、０の傾向スコアは正当なコンピューティングイベントを示す。また、この実施例では、分類モジュール１０６は、閾値傾向スコア４１２（即ち、４の傾向スコア）に基づいてコンピューティングイベントの分類を判定し得る。

図４の実施例では、スコアリングモジュール１０４は、０日目に、コンピューティングイベント４０４が５の初期傾向スコアを有すると判定し得る。閾値傾向スコア４１２に基づいて、分類モジュール１０６は、コンピューティングイベント４０４の初期分類は悪意のあるものと判定し得る。２日目に、スコアリングモジュール１０４は、コンピューティングイベント４０４を新しいセキュリティ情報に基づいて再評価し得る。図４の実施例では、スコアリングモジュール１０４は、新しいセキュリティ情報がコンピューティングイベント４０４の新しいセキュリティ特性を明らかにしないと判定し得る。このため、開示されるシステムは、コンピューティングイベント４０４の更新された傾向スコア及び更新された分類が初期傾向スコア及び初期分類と同じであると判定し得る。この実施例では、計算モジュール１０８は、コンピューティングイベント４０４が真陽性を表すと判定し得る。

また、図４の実施例では、スコアリングモジュール１０４は、０日目に、コンピューティングイベント４０６が３の初期分類を有すると判定し得る。閾値傾向スコア４１２に基づいて、分類モジュール１０６は、コンピューティングイベント４０６の初期分類は悪意のないものと判定し得る。しかしながら、３日目に、スコアリングモジュール１０４は、新しいセキュリティ情報が、コンピューティングイベント４０６の更新された傾向スコアが５であることを示すと判定し得る。このため、分類モジュール１０６は、コンピューティングイベント４０６の更新された分類は悪意のあるものと判定し得る。この実施例では、計算モジュール１０８は、コンピューティングイベント４０６が偽陰性を表すと判定し得る。

図４の実施例を続けると、２日目に、スコアリングモジュール１０４は、コンピューティングイベント４０８が１の初期傾向スコアを有すると判定し得る。したがって、分類モジュール１０６は、コンピューティングイベント４０８が悪意のないものとしての初期分類を有すると判定し得る。３日目に、スコアリングモジュール１０４は、コンピューティングイベント４０８に関連する新しいセキュリティ情報を識別し得る。しかしながら、この新しいセキュリティ情報は、コンピューティングイベント４０８の新しいセキュリティ特性を示し得ず、したがって、モジュール１０２は、コンピューティングイベント４０８の更新された傾向スコア及び更新された分類が初期傾向スコア及び初期分類に一致すると判定し得る。この実施例では、計算モジュール１０８は、コンピューティングイベント４０８が真陰性を表すと判定し得る。

最後に、図４の実施例では、スコアリングモジュール１０４は、４日目に、コンピューティングイベント４１０が５の初期傾向スコアを有すると判定し得る。したがって、分類モジュール１０６は、コンピューティングイベント４１０の初期分類は悪意のあるものと判定し得る。しかしながら、６日目に、スコアリングモジュール１０４は、新しいセキュリティ情報が、コンピューティングイベント４１０の更新された傾向スコアが１であることを示すと判定し得る。したがって、分類モジュール１０６は、コンピューティングイベント４２０の更新された分類は悪意のないものと判定し得る。この実施例では、計算モジュール１０８は、コンピューティングイベント４１０が偽陽性を表すと判定し得る。

一部の実施例では、計算モジュール１０８は、企業内で検出された各コンピューティングイベントの初期分類が偽陽性、真陽性、偽陰性、又は真陰性であるかどうかを判定し得る。計算モジュール１０８は、これらの査定を記録し、次いで、各カテゴリーに入るコンピューティングイベントの全体的な割合を判定し得る。一部の実施例では、計算モジュール１０８は、偽陽性対偽陰性の比を計算することによって、悪意のあるコンピューティングイベントを正確に識別する閾値傾向スコアの能力を更に評価し得る。以下でより詳細に説明するように、このような比は、閾値傾向スコア及び／又は閾値傾向スコアを実装するセキュリティサービスの厳格性を示し得る又は表し得る。

図３に戻ると、ステップ３１０において、本明細書に記載されるシステムのうちの１つ以上は、閾値傾向スコアが悪意のあるコンピューティングイベントを正しく識別する程度に基づいて閾値傾向スコアを調整することによって、企業をセキュリティ脅威から保護し得る。例えば、セキュリティモジュール１１０は、図２のセキュリティサーバ２０６の一部として、調整された閾値傾向スコア２１８を生成することによって企業２０２をセキュリティ脅威から保護し得る。

開示されるシステムは、様々な方法で閾値傾向スコアを調整し得る。一部の実施例では、セキュリティモジュール１１０は、企業のセキュリティニーズに従って閾値傾向スコアを調整し得る。例えば、セキュリティモジュール１１０は、企業から、企業内に実装されたセキュリティサービスに対して所望のレベルの厳格性又は重大度を受信し得る。一実施形態では、企業は、セキュリティモジュール１１０に、許容可能な偽陽性率及び／又は許容可能な偽陰性率を示し得る。別の実施形態では、企業は、偽陽性対偽陰性の所望の比を示し得る。一般に、高い偽陽性率（又は偽陽性対偽陰性の高い比）は、厳格なセキュリティサービスを示す。例えば、偽陰性よりも多くの偽陽性を検出するセキュリティサービスは、真陽性を検出する可能性がより高くなる。しかしながら、多数の偽陽性は、ユーザの利便性を損ね、及び／又は企業内の生産性を妨げる恐れがある。したがって、極秘の又は機密性の高い情報を取り扱う企業は、より機密性の低い情報を取り扱う企業よりも高い偽陽性対偽陰性の比を要求し得る。

企業に対するセキュリティサービスの所望の厳格性の指示を受信した後、セキュリティモジュール１１０は、企業内で検出されたコンピューティングイベントの偽陽性率及び／又は偽陰性率を分析して、企業の最適な閾値傾向スコアを判定し得る。例えば、セキュリティモジュール１１０は、企業のコンピューティングイベントの傾向スコアに対して遡及的分析を実施し得る。この遡及的分析は、様々な理論的な又は試験的な閾値傾向スコアを使用して偽陽性率及び／又は偽陰性率を計算することを伴い得る。具体的には、セキュリティモジュール１１０は、コンピューティングイベントに対する様々な試験的な閾値傾向スコア並びに実際の初期及び更新された傾向スコアを使用して、１つ以上のコンピューティングイベントに対する理論的な初期分類及び理論的な更新された分類を判定し得る。次いで、セキュリティモジュール１１０は、各試験的な閾値傾向スコアによって生成された偽陽性率及び偽陰性率を計算し得る。最後に、セキュリティモジュール１１０は、所望の又は適当な偽陽性率及び／又は偽陰性率を生成する閾値傾向スコアを選択し得る。

履歴的な傾向スコアに基づいて偽陽性率及び偽陰性率を判定する実施例として、図５は、閾値傾向スコアに対する偽陽性率及び偽陰性率のグラフ５０２を示す。図５に示すように、グラフ５０２は、企業内に実装され得る様々な閾値傾向スコアに対して偽陽性率５０４及び偽陰性率５０６の値をプロットしている。この実施例では、低い閾値傾向スコアにおいて、偽陽性率５０４は高く、偽陰性率５０６は低い（厳格なセキュリティシステムに対応する）。閾値傾向スコアが増加するにつれて、偽陽性率５０４は減少し、偽陰性率５０６は増加する（寛容なセキュリティシステムに対応する）。一実施形態では、セキュリティモジュール１１０は、そのような情報を使用して、企業の最適な閾値傾向スコアを選択し得る。例えば、企業が偽陽性対偽陰性の比に１を要求すると、セキュリティモジュール１１０は、最適な閾値傾向スコアは３であると判定し得る。企業が偽陽性対偽陰性の比に０．２５を要求すると、セキュリティモジュール１１０は、最適な閾値傾向スコアは４であると判定し得る。

一般に、セキュリティモジュール１１０は、企業内で検出されたコンピューティングイベントを記述している記録されたセキュリティ情報の任意の追加又は代替の遡及的分析に基づいて、企業の閾値傾向スコアを調整し得る。加えて、セキュリティモジュール１１０は、そのような遡及的分析に基づいて、企業内の他のセキュリティポリシー又はルールを調整、作成、又は削除し得る。例えば、セキュリティモジュール１１０は、偽陽性であると判定された（又は、低い閾値傾向スコアが実装されると偽陽性になるであろう）コンピューティングイベントを、許可された又は正当なイベントを識別するホワイトリストに追加することによって、企業内の偽陽性を低減し得る。このようにして、これらのコンピューティングイベントの繰り返し発生するインスタンスは、悪意のないものとして正確に識別される。更に、一部の実施例では、セキュリティモジュール１１０は、偽陽性コンピューティングイベントをホワイトリストに追加した後、企業の閾値傾向スコアを下げ得る。このため、セキュリティモジュール１１０は、有害なセキュリティ脅威から企業を依然として検出しながら、低い偽陰性率と偽陽性率の両方を企業に提供し得る。

図３〜図５に関連して上述したように、セキュリティサービスは、企業のセキュリティニーズに従って、悪意のある又は悪意のないものとしてコンピューティングイベントを正確かつ効率的に分類する、企業の最適な閾値傾向スコアを判定し得る。例えば、セキュリティサービスは、企業内で検出された潜在的に悪意のあるコンピューティングイベントに関する情報を収集及び記憶し得る。セキュリティサービスは、イベントが最初に検出されたとき、現在利用可能なセキュリティ情報に基づいて、コンピューティングイベントを分析及びスコアリングし得る。具体的には、セキュリティサービスは、イベントの傾向スコアを計算し、企業内に実装された閾値に対して傾向スコアを比較し得る。その後の時点で、セキュリティサービスは、新しいセキュリティ試験（例えば、マルウェアシグネチャ）が利用可能になると、イベントを（イベントについて記憶された情報に基づいて）再分析し得る。このようにして、セキュリティサービスは、企業内で以前に検出されたコンピューティングイベントの分類を適切に更新し得る。

一連のコンピューティングイベントに対して初期及び更新された傾向スコアを判定した後、セキュリティサービスは、偽陽性率及び偽陰性率（例えば、最初に誤って分類されたコンピューティングイベントの比率）を判定することによって、企業に対して現在の閾値傾向スコアの有効性を評価し得る。加えて、セキュリティサービスは、企業の所望のレベルの偽陽性及び／又は偽陰性に基づいて、閾値傾向スコアを調整し得る。例えば、コンピューティングイベントの初期及び更新された傾向スコアに対して遡及的分析を実施することによって、セキュリティサービスは、企業の要求された偽陽性率及び偽陰性率を生成する閾値傾向スコアを識別し得る。

図６は、本明細書に記載及び／又は図示される実施形態のうちの１つ以上を実装することができる例示的なコンピューティングシステム６１０のブロック図である。例えば、コンピューティングシステム６１０のうちの全て又は一部は、単独で又は他の要素と組み合わせてのいずれかで、本明細書に記載されるステップのうちの１つ以上（図３に示されるステップのうちの１つ以上など）を実施し得、及び／又はそれを実施するための手段であり得る。コンピューティングシステム６１０のうちの全て又は一部はまた、本明細書に記載及び／若しくは図示される任意の他のステップ、方法、若しくはプロセスを実施してもよく、並びに／又はそれを実施するための手段であってもよい。

コンピューティングシステム６１０は、コンピュータ可読命令を実行することができる任意のシングル又はマルチプロセッサのコンピューティングデバイス又はシステムを幅広く表す。コンピューティングシステム６１０の例としては、非限定的に、ワークステーション、ラップトップ、クライアント側端末、サーバ、分散型コンピューティングシステム、ハンドヘルドデバイス、又は他の任意のコンピューティングシステム若しくはデバイスが挙げられる。その最も基本的な構成において、コンピューティングシステム６１０は、少なくとも１つのプロセッサ６１４及びシステムメモリ６１６を含んでもよい。

プロセッサ６１４は、一般に、データを処理すること又は命令を解釈及び実行することができる任意のタイプ又は形態の物理的処理ユニット（例えば、ハードウェア実装型中央処理ユニット）を表す。特定の実施形態では、プロセッサ６１４は、ソフトウェアアプリケーション又はモジュールから命令を受信し得る。これらの命令は、プロセッサ６１４に、本明細書に記載及び／又は図示される例示的な実施形態のうちの１つ以上の機能を実施させ得る。

システムメモリ６１６は、一般に、データ及び／又は他のコンピュータ可読命令を記憶することができる任意のタイプ又は形態の揮発性又は不揮発性の記憶デバイス又は媒体を表す。システムメモリ６１６の例としては、非限定的に、ランダムアクセスメモリ（ＲＡＭ）、リードオンリーメモリ（ＲＯＭ）、フラッシュメモリ、又は任意の他の好適なメモリデバイスが挙げられる。必須ではないが、特定の実施形態では、コンピューティングシステム６１０は、揮発性メモリユニット（例えば、システムメモリ６１６など）、及び不揮発性記憶デバイス（例えば、詳細に後述するような、一次記憶デバイス６３２など）の両方を含んでもよい。一実施例では、図１のモジュール１０２のうちの１つ以上は、システムメモリ６１６内にロードされ得る。

一部の実施例では、システムメモリ６１６は、プロセッサ６１４による実行のために、オペレーティングシステム６４０を記憶及び／又はロードし得る。一実施例では、オペレーティングシステム６４０は、コンピュータハードウェア及びソフトウェアリソースを管理し、並びに／又はコンピューティングシステム６１０上のコンピュータプログラム及び／若しくはアプリケーションに共通のサービスを提供する、ソフトウェア、を含み得る及び／又はそれを表し得る。オペレーティングシステム６４０の例としては、非限定的に、ＬＩＮＵＸ、ＪＵＮＯＳ、ＭＩＣＲＯＳＯＦＴ ＷＩＮＤＯＷＳ（登録商標）、ＷＩＮＤＯＷＳ（登録商標） ＭＯＢＩＬＥ、ＭＡＣ ＯＳ、ＡＰＰＬＥのＩＯＳ、ＵＮＩＸ（登録商標）、ＧＯＯＧＬＥ ＣＨＲＯＭＥ ＯＳ、ＧＯＯＧＬＥのＡＮＤＲＯＩＤ（登録商標）、ＳＯＬＡＲＩＳ、それらのうちの１つ以上の変形形態、及び／又は任意の他の好適なオペレーティングシステムが挙げられる。

特定の実施形態では、例示的なコンピューティングシステム６１０はまた、プロセッサ６１４及びシステムメモリ６１６に加えて、１つ以上の構成要素又は要素も含み得る。例えば、図６に示すように、コンピューティングシステム６１０は、メモリコントローラ６１８、入力／出力（Ｉ／Ｏ）コントローラ６２０、及び通信インターフェース６２２を含み得、これらのそれぞれは、通信基盤６１２を介して相互接続され得る。通信基盤６１２は、一般に、コンピューティングデバイスの１つ以上の構成要素間の通信を容易にすることができる、任意のタイプ又は形態の基盤を表す。通信基盤６１２の例としては、非限定的に、通信バス（産業標準構成（ＩＳＡ）、周辺装置相互接続（ＰＣＩ）、ＰＣＩエクスプレス（ＰＣＩｅ）、又は類似のバスなど）、及びネットワークが挙げられる。

メモリコントローラ６１８は、一般に、メモリ若しくはデータを扱うこと、又はコンピューティングシステム６１０の１つ以上の構成要素間の通信を制御すること、ができる、任意のタイプ又は形態のデバイスを表す。例えば、特定の実施形態では、メモリコントローラ６１８は、通信基盤６１２を介して、プロセッサ６１４、システムメモリ６１６、及びＩ／Ｏコントローラ６２０の間の通信を制御してもよい。

Ｉ／Ｏコントローラ６２０は、一般に、コンピューティングデバイスの入出力機能を調整及び／又は制御することができる、任意のタイプ又は形態のモジュールを表す。例えば、特定の実施形態では、Ｉ／Ｏコントローラ６２０は、プロセッサ６１４、システムメモリ６１６、通信インターフェース６２２、ディスプレイアダプタ６２６、入力インターフェース６３０、及び記憶インターフェース６３４などの、コンピューティングシステム６１０の１つ以上の要素間におけるデータの転送を制御又は容易にし得る。

図６に示すように、コンピューティングシステム６１０はまた、ディスプレイアダプタ６２６を介してＩ／Ｏコントローラ６２０に連結された少なくとも１つのディスプレイデバイス６２４も含み得る。ディスプレイデバイス６２４は、一般に、ディスプレイアダプタ６２６によって転送された情報を視覚的に表示することができる、任意のタイプ又は形態のデバイスを表す。同様に、ディスプレイアダプタ６２６は、一般に、ディスプレイデバイス６２４上に表示するために通信基盤６１２から（又は当該技術分野において既知であるように、フレームバッファから）グラフィックス、テキスト、及び他のデータを転送するように構成されている任意のタイプ又は形態のデバイスを表す。

図６に示すように、例示的なコンピューティングシステム６１０はまた、入力インターフェース６３０を介してＩ／Ｏコントローラ６２０に連結された少なくとも１つの入力デバイス６２８も含み得る。入力デバイス６２８は、一般に、コンピュータ又は人間のいずれかが生成した入力を例示的なコンピューティングシステム６１０に提供することができる任意のタイプ又は形態の入力デバイスを表す。入力デバイス６２８の例としては、非限定的に、キーボード、ポインティングデバイス、音声認識デバイス、それらのうちの１つ以上の変形形態若しくは組み合わせ、及び／又は任意の他の入力デバイスが挙げられる。

それに加えて、又は代替的に、例示的なコンピューティングシステム６１０は、追加のＩ／Ｏデバイスを含み得る。例えば、例示的なコンピューティングシステム６１０は、Ｉ／Ｏデバイス６３６を含み得る。この実施例では、Ｉ／Ｏデバイス６３６は、コンピューティングシステム６１０との人間の相互作用を容易にするユーザインターフェースを含み得る及び／又はそれを表し得る。Ｉ／Ｏデバイス６３６の例としては、非限定的に、コンピュータマウス、キーボード、モニタ、プリンタ、モデム、カメラ、スキャナ、マイクロフォン、タッチスクリーンデバイス、それらのうちの１つ以上の変形形態若しくは組み合わせ、及び／又は任意の他のＩ／Ｏデバイスが挙げられる。

通信インターフェース６２２は、例示的なコンピューティングシステム６１０と１つ以上の追加のデバイスとの間の通信を容易にすることができる、任意のタイプ又は形態の通信デバイス又はアダプタを幅広く表す。例えば、特定の実施形態では、通信インターフェース６２２は、コンピューティングシステム６１０と、追加のコンピューティングシステムを含む私設又は公衆ネットワークとの間の通信を容易にし得る。通信インターフェース６２２の例としては、非限定的に、有線ネットワークインターフェース（ネットワークインターフェースカードなど）、無線ネットワークインターフェース（無線ネットワークインターフェースカードなど）、モデム、及び任意の他の好適なインターフェースが挙げられる。少なくとも１つの実施形態では、通信インターフェース６２２は、インターネットなどのネットワークへの直接リンクを介してリモートサーバへの直接接続を提供し得る。通信インターフェース６２２はまた、例えば、ローカルエリアネットワーク（イーサネット（登録商標）ネットワークなど）、パーソナルエリアネットワーク、電話若しくはケーブルネットワーク、セルラー電話接続、衛星データ接続、又は他の任意の好適な接続を通して、このような接続を間接的に提供してもよい。

特定の実施形態では、通信インターフェース６２２はまた、外部バス又は通信チャネルを介したコンピューティングシステム６１０と１つ以上の追加のネットワーク又は記憶デバイスとの間の通信を容易にするように構成されたホストアダプタも表し得る。ホストアダプタの例としては、非限定的に、小型コンピュータシステムインターフェース（ＳＣＳＩ）ホストアダプタ、ユニバーサルシリアルバス（ＵＳＢ）ホストアダプタ、米国電気電子学会（ＩＥＥＥ）１３９４ホストアダプタ、アドバンストテクノロジーアタッチメント（ＡＴＡ）、パラレルＡＴＡ（ＰＡＴＡ）、シリアルＡＴＡ（ＳＡＴＡ）、及び外部ＳＡＴＡ（ｅＳＡＴＡ）ホストアダプタ、ファイバーチャネルインターフェースアダプタ、イーサネット（登録商標）アダプタなどが挙げられる。通信インターフェース６２２はまた、コンピューティングシステム６１０が分散型又はリモートコンピューティングに関与することを可能にしてもよい。例えば、通信インターフェース６２２は、実行のために、リモートデバイスから命令を受信しても、リモートデバイスに命令を送信してもよい。

一部の実施例では、システムメモリ６１６は、プロセッサ６１４による実行のために、ネットワーク通信プログラム６３８を記憶及び／又はロードし得る。一実施例では、ネットワーク通信プログラム６３８は、コンピューティングシステム６１０が、別のコンピューティングシステム（図６には図示せず）とのネットワーク接続６４２を確立すること、及び／又は通信インターフェース６２２を介して他のコンピューティングシステムと通信すること、を可能にする、ソフトウェアを含み得る及び／又はそれを表し得る。この実施例では、ネットワーク通信プログラム６３８は、ネットワーク接続６４２を介して他のコンピューティングシステムに送信される発信トラフィックの流れを指示し得る。それに加えて、又は代替的に、ネットワーク通信プログラム６３８は、プロセッサ６１４と関連してネットワーク接続６４２を介して他のコンピューティングシステムから受信された着信トラフィックの処理を指示し得る。

図６にはこのようには示されていないが、ネットワーク通信プログラム６３８は、代替的に、通信インターフェース６２２に記憶及び／又はロードされ得る。例えば、ネットワーク通信プログラム６３８は、通信インターフェース６２２に組み込まれたプロセッサ及び／又は特定用途向け集積回路（ＡＳＩＣ）によって実行されるソフトウェア及び／又はファームウェアの少なくとも一部分を含み得る及び／又はそれを表し得る。

図６に示すように、例示的なコンピューティングシステム６１０はまた、記憶インターフェース６３４を介して通信基盤６１２に連結された、一次記憶デバイス６３２及びバックアップ記憶デバイス６３３も含み得る。記憶デバイス６３２及び６３３は、一般に、データ及び／又は他のコンピュータ可読命令を記憶することができる、任意のタイプ又は形態の記憶デバイス又は媒体を表す。例えば、記憶デバイス６３２及び６３３は、磁気ディスクドライブ（例えば、いわゆるハードドライブ）、ソリッドステートドライブ、フロッピーディスクドライブ、磁気テープドライブ、光ディスクドライブ、フラッシュドライブなどであり得る。記憶インターフェース６３４は、一般に、記憶デバイス６３２及び６３３とコンピューティングシステム６１０の他の構成要素との間でデータを転送するための、任意のタイプ又は形態のインターフェース又はデバイスを表す。一実施例では、図１の追加の要素１２０は、一次記憶デバイス６３２内に記憶及び／又はロードされ得る。

特定の実施形態では、記憶デバイス６３２及び６３３は、コンピュータソフトウェア、データ、又は他のコンピュータ可読情報を記憶するように構成された取り外し可能な記憶ユニットから読み取る及び／又はそれに書き込むように構成され得る。好適な取り外し可能な記憶ユニットの例としては、非限定的に、フロッピーディスク、磁気テープ、光ディスク、フラッシュメモリデバイスなどが挙げられる。記憶デバイス６３２及び６３３はまた、コンピュータソフトウェア、データ、又は他のコンピュータ可読命令がコンピューティングシステム６１０内にロードされることを可能にするための、他の同様の構造体又はデバイスを含んでもよい。例えば、記憶デバイス６３２及び６３３は、ソフトウェア、データ、又は他のコンピュータ可読情報を読み書きするように構成され得る。記憶デバイス６３２及び６３３はまた、コンピューティングシステム６１０の一部であってもよく、又は他のインターフェースシステムを通してアクセスされる別個のデバイスであってもよい。

他の多くのデバイス又はサブシステムが、コンピューティングシステム６１０に接続され得る。反対に、図６に示す構成要素及びデバイスの全てが、本明細書に記載及び／又は図示される実施形態を実践するために存在する必要があるわけではない。上記で言及したデバイス及びサブシステムはまた、図６に示されるものとは異なる方法で相互接続されてもよい。コンピューティングシステム６１０はまた、任意の数のソフトウェア、ファームウェア、及び／又はハードウェア構成を用いてもよい。例えば、本明細書で開示する例示的な実施形態のうちの１つ以上は、コンピュータ可読媒体上で、コンピュータプログラム（コンピュータソフトウェア、ソフトウェアアプリケーション、コンピュータ可読命令、又はコンピュータ制御論理とも称される）としてコード化されてもよい。「コンピュータ可読媒体」という用語は、本明細書で使用するとき、一般に、コンピュータ可読命令を格納又は保有することができる、任意の形態のデバイス、キャリア、又は媒体を指す。コンピュータ可読媒体の例としては、非限定的に、搬送波などの伝送型媒体、並びに磁気記憶媒体（例えば、ハードディスクドライブ、テープドライブ、及びフロッピーディスク）、光学記憶媒体（例えば、コンパクトディスク（ＣＤ）、デジタルビデオディスク（ＤＶＤ）、及びブルーレイ（ＢＬＵ−ＲＡＹ（登録商標））ディスク）、電子記憶媒体（例えば、ソリッドステートドライブ及びフラッシュメディア）、並びに他の分散システムなどの非一時的媒体が挙げられる。

コンピュータプログラムを包含するコンピュータ可読媒体は、コンピューティングシステム６１０内にロードされ得る。コンピュータ可読媒体に記憶されたコンピュータプログラムのうちの全て又は一部は、次いで、システムメモリ６１６内に、並びに／又は記憶デバイス６３２及び６３３の様々な部分内に記憶され得る。プロセッサ６１４によって実行されるとき、コンピューティングシステム６１０内にロードされたコンピュータプログラムは、プロセッサ６１４に、本明細書に記載及び／若しくは図示される例示的な実施形態のうちの１つ以上の機能を実施させ得、並びに／又はそれらを実施するための手段とならせ得る。それに加えて、又は代替的に、本明細書に記載及び／又は図示される例示的な実施形態のうちの１つ以上は、ファームウェア及び／又はハードウェアに実装されてもよい。例えば、コンピューティングシステム６１０は、本明細書に開示される例示的な実施形態のうちの１つ以上を実装するように適合された特定用途向け集積回路（ＡＳＩＣ）として構成され得る。

図７は、クライアントシステム７１０、７２０、及び７３０、並びにサーバ７４０及び７４５がネットワーク７５０に連結され得る例示的なネットワークアーキテクチャ７００のブロック図である。上で詳述したように、ネットワークアーキテクチャ７００のうちの全て又は一部は、単独で又は他の要素と組み合わせてのいずれかで、本明細書に開示されるステップのうちの１つ以上（図３に示されるステップのうち１つ以上など）を実施し得、及び／又はそれを実施するための手段であり得る。ネットワークアーキテクチャ７００のうちの全て又は一部はまた、本開示に記載される他のステップ及び特徴を実施するために使用されてもよく、並びに／又はそれを実施するための手段であってもよい。

クライアントシステム７１０、７２０、及び７３０は、一般に、図６の例示的なコンピューティングシステム６１０など、任意のタイプ又は形態のコンピューティングデバイス又はシステムを表す。同様に、サーバ７４０及び７４５は、一般に、様々なデータベースサービスを提供する及び／又は特定のソフトウェアアプリケーションを実行するように構成された、アプリケーションサーバ又はデータベースサーバなどのコンピューティングデバイス又はシステムを表す。ネットワーク７５０は、一般に、例えば、イントラネット、ＷＡＮ、ＬＡＮ、ＰＡＮ、又はインターネットを含む、任意の電気通信ネットワーク又はコンピュータネットワークを表す。一実施例では、クライアントシステム７１０、７２０、及び／若しくは７３０、並びに／又はサーバ７４０及び／若しくは７４５は、図１のシステム１００のうちの全て又は一部を含み得る。

図７に示すように、１つ以上の記憶デバイス７６０（１）〜（Ｎ）は、サーバ７４０に直接取り付けられ得る。同様に、１つ以上の記憶デバイス７７０（１）〜（Ｎ）は、サーバ７４５に直接取り付けられ得る。記憶デバイス７６０（１）〜（Ｎ）及び記憶デバイス７７０（１）〜（Ｎ）は、一般に、データ及び／又は他のコンピュータ可読命令を記憶することができる、任意のタイプ又は形態の記憶デバイス又は媒体を表す。特定の実施形態では、記憶デバイス７６０（１）〜（Ｎ）及び記憶デバイス７７０（１）〜（Ｎ）は、ネットワークファイルシステム（ＮＦＳ）、サーバメッセージブロック（ＳＭＢ）、又は共通インターネットファイルシステム（ＣＩＦＳ）などの様々なプロトコルを使用してサーバ７４０及び７４５と通信するように構成されたネットワーク接続ストレージ（ＮＡＳ）デバイスを表し得る。

サーバ７４０及び７４５はまた、ストレージエリアネットワーク（ＳＡＮ）ファブリック７８０に接続されてもよい。ＳＡＮファブリック７８０は、一般に、複数の記憶デバイス間の通信を容易にすることができる、任意のタイプ又は形態のコンピュータネットワーク又はアーキテクチャを表す。ＳＡＮファブリック７８０は、サーバ７４０及び７４５と、複数の記憶デバイス７９０（１）〜（Ｎ）及び／又はインテリジェント記憶アレイ７９５と、の間の通信を容易にし得る。ＳＡＮファブリック７８０はまた、記憶デバイス７９０（１）〜（Ｎ）及びインテリジェント記憶アレイ７９５が、クライアントシステム７１０、７２０、及び７３０にローカルに取り付けられたデバイスとして現れるような方式で、ネットワーク７５０並びにサーバ７４０及び７４５を介して、クライアントシステム７１０、７２０、及び７３０と、記憶デバイス７９０（１）〜（Ｎ）及び／又はインテリジェント記憶アレイ７９５と、の間の通信を容易にしてもよい。記憶デバイス７６０（１）〜（Ｎ）及び記憶デバイス７７０（１）〜（Ｎ）と同様に、記憶デバイス７９０（１）〜（Ｎ）及びインテリジェント記憶アレイ７９５は、一般に、データ及び／又は他のコンピュータ可読命令を記憶することができる、任意のタイプ又は形態の記憶デバイス又は媒体を表す。

特定の実施形態では、図６の例示的なコンピューティングシステム６１０を参照すると、図６の通信インターフェース６２２などの通信インターフェースは、各クライアントシステム７１０、７２０、及び７３０とネットワーク７５０との間の接続を提供するために使用され得る。クライアントシステム７１０、７２０、及び７３０は、例えば、ウェブブラウザ又は他のクライアントソフトウェアを使用して、サーバ７４０又は７４５上の情報にアクセスすることが可能であり得る。かかるソフトウェアは、クライアントシステム７１０、７２０、及び７３０が、サーバ７４０、サーバ７４５、記憶デバイス７６０（１）〜（Ｎ）、記憶デバイス７７０（１）〜（Ｎ）、記憶デバイス７９０（１）〜（Ｎ）、又はインテリジェント記憶アレイ７９５によってホストされたデータにアクセスすることを可能にし得る。図７は、データを交換するために（インターネットなどの）ネットワークを使用することを示しているが、本明細書に記載及び／又は図示される実施形態は、インターネット又は任意の特定のネットワークベースの環境に限定されない。

少なくとも１つの実施形態では、本明細書に開示される例示的な実施形態のうちの１つ以上の全て又は一部は、コンピュータプログラムとしてコード化され、サーバ７４０、サーバ７４５、記憶デバイス７６０（１）〜（Ｎ）、記憶デバイス７７０（１）〜（Ｎ）、記憶デバイス７９０（１）〜（Ｎ）、インテリジェント記憶アレイ７９５、又はこれらの任意の組み合わせ上にロードされ、これらによって実行され得る。本明細書に開示される例示的な実施形態のうちの１つ以上の全て又は一部はまた、コンピュータプログラムとしてコード化され、サーバ７４０に記憶され、サーバ７４５によって実行され、ネットワーク７５０を通じてクライアントシステム７１０、７２０、及び７３０に分散されてもよい。

上で詳述したように、コンピューティングシステム６１０及び／又はネットワークアーキテクチャ７００の１つ以上の構成要素は、単独で又は他の要素と組み合わせてのいずれかで、悪意のあるコンピューティングイベントを検出するための例示的な方法の１つ以上のステップを実施し得、及び／又はそれを実施するための手段であり得る。

前述の開示は、特定のブロック図、フローチャート、及び実施例を使用して様々な実施形態を記載しているが、本明細書に記載及び／又は図示されるそれぞれのブロック図の構成要素、フローチャートの工程、動作、及び／又は構成要素は、個別にかつ／又は集合的に、広範なハードウェア、ソフトウェア、又はファームウェア（若しくはそれらの任意の組み合わせ）の構成を使用して実装されてもよい。それに加えて、同じ機能性を達成するように他の多くのアーキテクチャを実装することができるので、他の構成要素内に包含される構成要素のいかなる開示も、本質的に例示と見なされるべきである。

一部の実施例では、図１の例示的なシステム１００のうちの全て又は一部は、クラウドコンピューティング環境又はネットワークベースの環境の一部を表してもよい。クラウドコンピューティング環境は、インターネットを介して、様々なサービス及びアプリケーションを提供してもよい。これらのクラウドベースのサービス（例えば、サービスとしてのソフトウェア、サービスとしてのプラットフォーム、サービスとしての基盤など）は、ウェブブラウザ又は他のリモートインターフェースを通してアクセス可能であってもよい。本明細書に記載する様々な機能は、リモートデスクトップ環境又は他の任意のクラウドベースのコンピューティング環境を通して提供されてもよい。

様々な実施形態では、図１の例示的なシステム１００のうちの全て又は一部は、クラウドベースのコンピューティング環境内におけるマルチテナンシーを容易にしてもよい。換言すれば、本明細書に記載するソフトウェアモジュールは、本明細書に記載する機能のうちの１つ以上に対するマルチテナンシーを容易にするように、コンピューティングシステム（例えば、サーバ）を構成してもよい。例えば、本明細書に記載するソフトウェアモジュールのうちの１つ以上は、２つ以上のクライアント（例えば、顧客）がサーバ上で作動しているアプリケーションを共有するのを可能にするように、サーバをプログラムしてもよい。このようにプログラムされたサーバは、複数の顧客（即ち、テナント）の間で、アプリケーション、オペレーティングシステム、処理システム、及び／又は記憶システムを共有してもよい。本明細書に記載するモジュールのうちの１つ以上はまた、ある顧客が別の顧客のデータ及び／又は設定情報にアクセスできないように、顧客ごとにマルチテナントアプリケーションのデータ及び／又は設定情報を分割してもよい。

様々な実施形態によれば、図１の例示的なシステム１００のうちの全て又は一部は、仮想環境内で実装されてもよい。例えば、本明細書に記載するモジュール及び／又はデータは、仮想機械内で常駐及び／又は実行してもよい。本明細書で使用するとき、「仮想機械」という用語は、一般に、仮想機械マネージャ（例えば、ハイパーバイザ）によってコンピューティングハードウェアから抽出される、任意のオペレーティングシステム環境を指す。それに加えて、又は代替的に、本明細書に記載するモジュール及び／又はデータは、仮想化層内で常駐及び／又は実行してもよい。本明細書で使用するとき、「仮想化層」という用語は、一般に、オペレーティングシステム環境にオーバーレイする、並びに／あるいはそこから抽出される、任意のデータ層及び／又はアプリケーション層を指す。仮想化層は、基礎となる基本オペレーティングシステムの一部であるかのように仮想化層を提示する、ソフトウェア仮想化ソリューション（例えば、ファイルシステムフィルタ）によって管理されてもよい。例えば、ソフトウェア仮想化ソリューションは、最初に基本ファイルシステム及び／又はレジストリ内の場所に方向付けられる呼び出しを、仮想化層内の場所にリダイレクトしてもよい。

一部の実施例では、図１の例示的なシステム１００のうちの全て又は一部は、モバイルコンピューティング環境の部分を表してもよい。モバイルコンピューティング環境は、携帯電話、タブレットコンピュータ、電子ブックリーダ、携帯情報端末、ウェアラブルコンピューティングデバイス（例えば、ヘッドマウントディスプレイを備えたコンピューティングデバイス、スマートウォッチなど）などを含む、広範なモバイルコンピューティングデバイスによって実装されてもよい。一部の実施例において、モバイルコンピューティング環境は、例えば、バッテリ電力への依存、任意の所与の時間での１つのみのフォアグラウンドアプリケーションの提示、リモート管理特性、タッチスクリーン特性、位置及び移動データ（例えば、グローバルポジショニングシステム、ジャイロスコープ、加速度計などによって提供される）、システムレベルの構成への修正を制限する、及び／又は第３者のソフトウェアが他のアプリケーションの挙動を検査する能力を限定する制限されたプラットフォーム、アプリケーションのインストールを（例えば、認可されたアプリケーションストアからのみ生じるように）制限する制御などを含む、１つ以上の個別の特性を有することができる。本明細書で説明される様々な機能は、モバイルコンピューティング環境に対して提供され得る、及び／又はモバイルコンピューティング環境と相互作用し得る。

それに加えて、図１の例示的なシステム１００のうちの全て又は一部は、情報管理のための１つ以上のシステムの部分を表してもよく、それと相互作用してもよく、それによって生成されるデータを消費してもよく、かつ／又はそれによって消費されるデータを生成してもよい。本明細書で使用するとき、「情報管理」という用語は、データの保護、組織化、及び／又は記憶を指してもよい。情報管理のためのシステムの例としては、非限定的に、記憶システム、バックアップシステム、アーカイブシステム、複製システム、高可用性システム、データ検索システム、仮想化システムなどを挙げることができる。

一部の実施形態では、図１の例示的なシステム１００のうちの全て又は一部は、情報セキュリティのための１つ以上のシステムの部分を表してもよく、それによって保護されるデータを生成してもよく、かつ／又はそれと通信してもよい。本明細書で使用するとき、「情報セキュリティ」という用語は、保護されたデータに対するアクセスの制御を指してもよい。情報セキュリティのためのシステムの例としては、非限定的に、管理されたセキュリティサービスを提供するシステム、データ損失防止システム、本人認証システム、アクセス制御システム、暗号化システム、ポリシー遵守システム、侵入検出及び防止システム、電子証拠開示システムなどを挙げることができる。

一部の実施例によれば、図１の例示的なシステム１００のうちの全て又は一部は、エンドポイントセキュリティのための１つ以上のシステムの部分を表してもよく、それと通信してもよく、かつ／又はそれから保護を受けてもよい。本明細書で使用するとき、「エンドポイントセキュリティ」という用語は、不正及び／若しくは違法な使用、アクセス、並びに／又は制御からのエンドポイントシステムの保護を指してもよい。エンドポイント保護のためのシステムの例としては、非限定的に、アンチマルウェアシステム、ユーザ認証システム、暗号化システム、プライバシーシステム、スパムフィルタリングサービスなどを挙げることができる。

本明細書に記載及び／又は図示されるプロセスパラメータ及び工程の順序は、単なる例として与えられるものであり、所望に応じて変更することができる。例えば、本明細書に図示及び／又は記載される工程は特定の順序で図示又は考察されることがあるが、これらの工程は、必ずしも図示又は考察される順序で実施される必要はない。本明細書に記載される及び／又は図示される様々な例示的な方法はまた、本明細書に記載される及び／又は図示される工程のうちの１つ以上を省略してもよく、又は開示されるものに加えて追加の工程を含んでもよい。

種々の実施形態が、完全に機能的なコンピューティングシステムに関連して本明細書に記載され及び／又は図示されているが、これら例示的な実施形態のうちの１つ以上は、実際に配布を行うために使用されるコンピュータ可読記憶媒体の特定のタイプに関わらず、多様な形態のプログラム製品として配布され得る。本明細書に開示される実施形態はまた、特定のタスクを実施するソフトウェアモジュールを使用して実装されてもよい。これらのソフトウェアモジュールは、コンピュータ可読記憶媒体又はコンピューティングシステムに記憶されてもよい、スクリプト、バッチ、若しくは他の実行可能ファイルを含んでもよい。一部の実施形態では、これらのソフトウェアモジュールは、本明細書に開示される例示的な実施形態のうちの１つ以上を実施するようにコンピューティングシステムを構成してもよい。

それに加えて、本明細書に記載するモジュールのうちの１つ以上は、データ、物理的デバイス、及び／又は物理的デバイスの表現を、１つの形態から別の形態へと変換してもよい。例えば、本明細書に列挙されるモジュールのうちの１つ以上は、企業内で検出された変換されるコンピューティングイベントを受信し、閾値傾向スコアが悪意のあるコンピューティングイベントを正確に識別する程度にコンピューティングイベントを変換し、変換の結果を企業に出力し、変換の結果を使用して閾値傾向スコアを適切に調整し、変換の結果をサーバ又はデータベースに記憶し得る。それに加えて、又は代替的に、本明細書に列挙されるモジュールのうちの１つ以上は、コンピューティングデバイス上で実行し、コンピューティングデバイスにデータを格納し、並びに／あるいは別の方法でコンピューティングデバイスと相互作用することによって、プロセッサ、揮発性メモリ、不揮発性メモリ、及び／又は物理的コンピューティングデバイスの他の任意の部分を、１つの形態から別の形態へと変換してもよい。

上述の記載は、本明細書に開示される例示的な実施形態の様々な態様を他の当業者が最良に利用するのを可能にするために提供されてきた。この例示的な記載は、網羅的であることを意図するものではなく、又は開示される任意の正確な形態に限定することを意図するものではない。本開示の趣旨及び範囲から逸脱することなく、多くの修正及び変形が可能である。本明細書に開示される実施形態は、あらゆる点で例示的であり、限定的ではないものと見なされるべきである。本開示の範囲を決定する際に、添付の特許請求の範囲及びそれらの等価物を参照するべきである。

別途記載のない限り、「〜に接続される」及び「〜に連結される」という用語（並びにそれらの派生語）は、本明細書及び特許請求の範囲で使用するとき、直接的接続及び間接的接続（即ち、他の要素若しくは構成要素を介する）の両方を許容するものとして解釈されるものである。それに加えて、「ａ」又は「ａｎ」という用語は、本明細書及び特許請求の範囲で使用するとき、「〜のうち少なくとも１つ」を意味するものとして解釈されるものである。最後に、簡潔にするため、「含む」及び「有する」という用語（並びにそれらの派生語）は、本明細書及び特許請求の範囲で使用するとき、「備える」という単語と互換性があり、同じ意味を有する。

Claims (20)

1. 悪意のあるコンピューティングイベントを検出するためのコンピュータ実装方法であって、前記方法の少なくとも一部分が、少なくとも１つのプロセッサを備えるコンピューティングデバイスによって実行され、前記方法が、
   企業内で検出された複数のコンピューティングイベントのそれぞれについて、現在利用可能なセキュリティ情報に基づいて前記コンピューティングイベントが悪意のあるものである可能性を示す初期傾向スコアを判定することと、
   各コンピューティングイベントの前記初期傾向スコアを、悪意のあるコンピューティングイベントを示す最小傾向スコアを表す閾値傾向スコアと比較することによって、悪意のある又は悪意のないものとして各コンピューティングイベントの初期分類を判定することと、
   前記コンピューティングイベントに対する前記初期傾向スコアが判定された後に、各コンピューティングイベントについて、
   前記初期傾向スコアが判定されたときに利用できなかった新しいセキュリティ情報に基づいて更新された傾向スコアと、
   前記更新された傾向スコアを前記閾値傾向スコアと比較することによって更新された分類と、を判定することと、
   各コンピューティングイベントの前記初期分類が前記コンピューティングイベントの前記更新された分類と一致する頻度を判定することによって、前記閾値傾向スコアが悪意のあるコンピューティングイベントを正しく識別する程度を計算することと、
   前記閾値傾向スコアが悪意のあるコンピューティングイベントを正しく識別する前記程度に基づいて前記閾値傾向スコアを調整することによって、前記企業をセキュリティ脅威から保護することと、を含む、方法。
2. 前記複数のコンピューティングイベントが、
   前記企業内のエンドポイントデバイス上にファイルをダウンロードする試みと、
   前記企業内から外部エンティティに機密情報を配信する試みと、
   前記外部エンティティによる、前記企業内の前記機密情報にアクセスする試みと、のうちの少なくとも１つを含む、請求項１に記載の方法。
3. バックエンドセキュリティサーバにおいて、前記企業内の少なくとも１つのエンドポイントデバイスにインストールされたセキュリティエージェントから前記複数のコンピューティングイベントを受信することを更に含む、請求項１に記載の方法。
4. 前記エンドポイントデバイス上で検出された少なくとも１つのコンピューティングイベントを受信することは、前記コンピューティングイベントが検出された時点での前記エンドポイントデバイスの構成の少なくとも一部分を受信することを更に含み、
   前記コンピューティングイベントの前記更新された傾向スコアを判定することは、前記新しいセキュリティ情報を使用して前記エンドポイントデバイスの前記構成を再分析することを含む、請求項３に記載の方法。
5. 各コンピューティングイベントの前記初期分類が前記コンピューティングイベントの前記更新された分類と一致する前記頻度を判定することが、
   悪意のあるものとしての初期分類と悪意のないものとしての更新された分類とを有するコンピューティングイベントの割合を計算することによって、前記閾値傾向スコアにより生成された偽陽性率を判定することと、
   悪意のないものとしての初期分類と悪意のあるものとしての更新された分類とを有するコンピューティングイベントの割合を計算することによって、前記閾値傾向スコアにより生成された偽陰性率を判定することと、を含む、請求項１に記載の方法。
6. 前記閾値傾向スコアが悪意のあるコンピューティングイベントを正しく識別する前記程度を計算することが、前記偽陰性率に対する前記偽陽性率の比を計算することを含む、請求項５に記載の方法。
7. 前記閾値傾向スコアを調整することが、
   前記企業内に実装されたセキュリティサービスの所望の厳格性に対応する偽陽性対偽陰性の所望の比を前記企業から受信することであって、偽陽性対偽陰性の高い比は厳格なセキュリティサービスに対応する、ことと、
   前記複数のコンピューティングイベントの前記初期傾向スコア及び前記更新された傾向スコアの遡及的分析に基づいて、前記偽陽性対偽陰性の所望の比を生成する最適な閾値傾向スコアを判定することと、を含む、請求項６に記載の方法。
8. 初期傾向スコアが偽陽性であったコンピューティングイベントを識別することと、
   同様のコンピューティングイベントが悪意のないものとして分類されるように、前記識別されたコンピューティングイベントを前記企業内のホワイトリストに追加することと、を更に含む、請求項５に記載の方法。
9. 前記閾値傾向スコアを調整することが、前記識別されたコンピューティングイベントを前記ホワイトリストに追加した後に、前記閾値傾向スコアを減少させることを含む、請求項８に記載の方法。
10. 悪意のあるコンピューティングイベントを検出するためのシステムであって、前記システムが、
    メモリに記憶されているスコアリングモジュールであって、企業内で検出された複数のコンピューティングイベントのそれぞれについて、
    現在利用可能なセキュリティ情報に基づいて前記コンピューティングイベントが悪意のあるものである可能性を示す初期傾向スコアと、
    前記初期傾向スコアが判定されたときに利用できなかった新しいセキュリティ情報に基づいて更新された傾向スコアと、を判定する、スコアリングモジュールと、
    メモリに記憶されている分類モジュールであって、各コンピューティングイベントについて、
    前記コンピューティングイベントの前記初期傾向スコアを、悪意のあるコンピューティングイベントを示す最小傾向スコアを表す閾値傾向スコアと比較することによって、悪意のある又は悪意のないものとしての初期分類と、
    前記コンピューティングイベントの前記更新された傾向スコアを前記閾値傾向スコアと比較することによって、更新された分類と、を判定する、分類モジュールと、
    メモリに記憶されている計算モジュールであって、各コンピューティングイベントの前記初期分類が前記コンピューティングイベントの前記更新された分類と一致する頻度を判定することによって、前記閾値傾向スコアが悪意のあるコンピューティングイベントを正しく識別する程度を計算する、計算モジュールと、
    メモリに記憶されているセキュリティモジュールであって、前記閾値傾向スコアが悪意のあるコンピューティングイベントを正しく識別する前記程度に基づいて前記閾値傾向スコアを調整することによって、前記企業をセキュリティ脅威から保護する、セキュリティモジュールと、
    前記スコアリングモジュール、前記分類モジュール、前記計算モジュール、及び前記セキュリティモジュールを実行するように構成された少なくとも１つの物理プロセッサと、を備える、システム。
11. 前記複数のコンピューティングイベントが、
    前記企業内のエンドポイントデバイス上にファイルをダウンロードする試みと、
    前記企業内から外部エンティティに機密情報を配信する試みと、
    前記外部エンティティによる、前記企業内の前記機密情報にアクセスする試みと、のうちの少なくとも１つを含む、請求項１０に記載のシステム。
12. バックエンドセキュリティサーバ内に実装された、前記スコアリングモジュールが、前記企業内の少なくとも１つのエンドポイントデバイスにインストールされたセキュリティエージェントから前記複数のコンピューティングイベントを更に受信する、請求項１０に記載のシステム。
13. 前記スコアリングモジュールは、前記コンピューティングイベントが検出された時点での前記エンドポイントデバイスの構成の少なくとも一部分を更に受信し、
    前記スコアリングモジュールは、前記新しいセキュリティ情報を使用して前記エンドポイントデバイスの前記構成を再分析することによって、前記コンピューティングイベントの前記更新された傾向スコアを判定する、請求項１２に記載のシステム。
14. 前記計算モジュールが、
    悪意のあるものとしての初期分類と悪意のないものとしての更新された分類とを有するコンピューティングイベントの割合を計算することによって、前記閾値傾向スコアにより生成された偽陽性率を判定することと、
    悪意のないものとしての初期分類と悪意のあるものとしての更新された分類とを有するコンピューティングイベントの割合を計算することによって、前記閾値傾向スコアにより生成された偽陰性率を判定することと、によって、各コンピューティングイベントの前記初期分類が前記コンピューティングイベントの前記更新された分類と一致する前記頻度を判定する、請求項１０に記載のシステム。
15. 前記計算モジュールが、前記偽陰性率に対する前記偽陽性率の比を計算することによって、前記閾値傾向スコアが悪意のあるコンピューティングイベントを正しく識別する前記程度を計算する、請求項１４に記載のシステム。
16. 前記セキュリティモジュールが、
    前記企業内に実装されたセキュリティサービスの所望の厳格性に対応する偽陽性対偽陰性の所望の比を前記企業から受信することであって、偽陽性対偽陰性の高い比は厳格なセキュリティサービスに対応する、ことと、
    前記複数のコンピューティングイベントの前記初期傾向スコア及び前記更新された傾向スコアの遡及的分析に基づいて、前記偽陽性対偽陰性の所望の比を生成する最適な閾値傾向スコアを判定することと、によって、前記閾値傾向スコアを調整する、請求項１５に記載のシステム。
17. 前記セキュリティモジュールが更に、
    初期傾向スコアが偽陽性であったコンピューティングイベントを識別し、
    同様のコンピューティングイベントが悪意のないものとして分類されるように、前記識別されたコンピューティングイベントを前記企業内のホワイトリストに追加する、請求項１６に記載のシステム。
18. 前記セキュリティモジュールが、前記識別されたコンピューティングイベントを前記ホワイトリストに追加した後に、前記閾値傾向スコアを減少させることによって、前記閾値傾向スコアを調整する、請求項１７に記載のシステム。
19. １つ以上のコンピュータ可読命令を含む非一時的コンピュータ可読媒体であって、前記命令は、コンピューティングデバイスの少なくとも１つのプロセッサによって実行されるとき、前記コンピューティングデバイスに、
    企業内で検出された複数のコンピューティングイベントのそれぞれについて、現在利用可能なセキュリティ情報に基づいて前記コンピューティングイベントが悪意のあるものである可能性を示す初期傾向スコアを判定させ、
    各コンピューティングイベントの前記初期傾向スコアを、悪意のあるコンピューティングイベントを示す最小傾向スコアを表す閾値傾向スコアと比較することによって、悪意のある又は悪意のないものとして各コンピューティングイベントの初期分類を判定させ、
    前記コンピューティングイベントに対する前記初期傾向スコアが判定された後に、各コンピューティングイベントについて、
    前記初期傾向スコアが判定されたときに利用できなかった新しいセキュリティ情報に基づいて更新された傾向スコアと、
    前記更新された傾向スコアを前記閾値傾向スコアと比較することによって更新された分類と、を判定させ、
    各コンピューティングイベントの前記初期分類が前記コンピューティングイベントの前記更新された分類と一致する頻度を判定することによって、前記閾値傾向スコアが悪意のあるコンピューティングイベントを正しく識別する程度を計算させ、
    前記閾値傾向スコアが悪意のあるコンピューティングイベントを正しく識別する前記程度に基づいて前記閾値傾向スコアを調整することによって、前記企業をセキュリティ脅威から保護させる、コンピュータ可読媒体。
20. 前記複数のコンピューティングイベントが、
    前記企業内のエンドポイントデバイス上にファイルをダウンロードする試みと、
    前記企業内から外部エンティティに機密情報を配信する試みと、
    前記外部エンティティによる、前記企業内の前記機密情報にアクセスする試みと、のうちの少なくとも１つを含む、請求項１９に記載のコンピュータ可読媒体。

Images