JP2021502625A - セキュリティ異常を判定するコンピュータ実装方法、コンピュータ・システム、システム、およびコンピュータ・プログラム - Google Patents

Abstract

【課題】【解決手段】一組のサイバーセキュリティ・データの空間属性および一組のサーバセキュリティ・データの時間属性に基づいて、複数のテンソルを生成するように構成された異常検出システムである。一組のサイバーセキュリティ・データは、複数の演算源から収集された数値データおよびテキスト・データを含む。この異常検出システムは、複数のテンソルを階層型時間メモリ（ＨＴＭ）ネットワークに提供可能である。ＨＴＭネットワークは、当該ＨＴＭネットワークの各領域の各ＨＴＭ出力を生成するように構成可能である。この異常検出システムは、少なくとも１つのＨＴＭ出力が異常を示すものと判定し、少なくとも１つのＨＴＭ出力を通知に変換し、通知をユーザ・インターフェースに提供することができる。【選択図】図２

Description

本開示は、コンピュータ・セキュリティに関し、より詳細には、異常検出システムに関する。

異常検出システムは、データ処理システムに格納されたデータ、データ処理システム上で実行されるデータ、またはデータ処理システム間でやり取りされるデータ、あるいはその組み合わせの機密性、完全性、または可用性、あるいはその組み合わせを保護するように構成されたサイバーセキュリティ・システムの一構成要素として、使用可能である。たとえば、異常検出システムは、サイバーセキュリティ環境の部分内、部分間、または部分全体で発生する不安定な動作、予想外の動作、異常な動作、不審な動作、悪意のある動作、または不正な動作、あるいはその組み合わせを識別可能である。

情報システム環境における異常状態の識別は、サイバー攻撃、セキュリティ・イベント、および脅威を検出する最も効果的な方法の１つである。このような状態の検出は、ＩＴ環境における重要な情報資産の漏洩、喪失、または損傷から保護するように時間内に応答可能とするため、あらゆる組織が取り掛かる必要のある最初のステップである。異常状態の検出ならびに特定のセキュリティもしくは脅威分類および応答の正しい理解および関連付けは、困難なプロセスである。通常のＩＴ環境は、複数の物理的コンピュータ、ネットワーク装置、記憶装置、オペレーティング・システム、ソフトウェア・コンポーネント、およびアプリケーション・システムから成る。これらの大型で複雑な相互接続された相互依存のシステムでは、さまざまな形態の大量のデータを処理する。

したがって、当技術分野においては、前述の課題への対処が求められている。

第１の態様によれば、本発明は、セキュリティ異常を判定するコンピュータ実装方法であって、一組のサイバーセキュリティ・データの空間属性および一組のサーバセキュリティ・データの時間属性に基づいて、複数のテンソルを生成することであって、一組のサイバーセキュリティ・データが、数値データおよびテキスト・データを含み、一組のサイバーセキュリティ・データが、複数の演算源から収集され、複数のテンソルを階層型時間メモリ（ＨＴＭ）ネットワークに提供することであって、ＨＴＭネットワークが、当該ＨＴＭネットワークの各領域の各ＨＴＭ出力を生成するように構成され、各出力が、ＨＴＭネットワークの各領域の活性ノードに基づくものであり、少なくとも１つのＨＴＭ出力が異常を示すものと判定することと、少なくとも１つのＨＴＭ出力を通知に変換することと、通知をユーザ・インターフェースに提供することとを含む、コンピュータ実装方法を提供する。別の態様によれば、本発明は、セキュリティ異常を判定するコンピュータ実装方法であって、特徴抽出システムの機械学習アルゴリズムを用いることにより、セキュリティ・データを複数の空間−時間多次元アレイに変換することであって、セキュリティ・データが、複数の演算装置を連通結合するサイバーセキュリティ環境において機能するセキュリティ情報・イベント管理（ＳＩＥＭ）システムから少なくとも部分的に収集され、複数の空間−時間多次元アレイが、複数の演算装置の少なくとも一部と関連付けられた少なくとも一連続の演算イベントに少なくとも部分的に基づくことと、階層型時間メモリ（ＨＴＭ）ネットワークを実行する３次元集積回路（３ＤＩＣ）に複数の空間−時間多次元アレイを提供することと、特徴抽出システムにおいてＨＴＭネットワークから、ＨＴＭネットワークの各領域の活性ノードに少なくとも部分的に基づいて、少なくとも１つの出力多次元アレイを受信することと、特徴抽出システムの機械学習アルゴリズムを用いることにより、少なくとも１つの出力多次元アレイに基づいて、少なくとも１つの異常を識別することと、特徴抽出システムにより、少なくとも１つの異常を識別したことに応答して、サイバーセキュリティ環境の少なくとも１つの態様を再構成することと、特徴抽出システムにより、特徴抽出システムに連通結合されたユーザ・インターフェースに対して、少なくとも１つの異常の通知を提示することとを含む、コンピュータ実装方法を提供する。

別の態様によれば、本発明は、セキュリティ異常を判定するコンピュータ・システムであって、プロセッサと、プロセッサにより実行された場合に、一組のサイバーセキュリティ・データの空間属性および一組のサーバセキュリティ・データの時間属性に基づいて、複数のテンソルを生成することであって、一組のサイバーセキュリティ・データが、数値データおよびテキスト・データを含み、一組のサイバーセキュリティ・データが、複数の演算源から収集され、複数のテンソルを階層型時間メモリ（ＨＴＭ）ネットワークに提供することであり、ＨＴＭネットワークが、当該ＨＴＭネットワークの各領域の各ＨＴＭ出力を生成するように構成され、各出力が、ＨＴＭネットワークの各領域の活性ノードに基づくことと、少なくとも１つのＨＴＭ出力が異常を示すものと判定することと、少なくとも１つのＨＴＭ出力を通知に変換することと、通知をユーザ・インターフェースに提供することと、を含む方法を実行するプログラム命令を格納する有形コンピュータ可読メモリとを備えた、コンピュータ・システムを提供する。

別の態様によれば、本発明は、セキュリティ異常を判定するシステムであって、セキュリティ・データを受信して、情報技術（ＩＴ）環境中の複数のデバイスのために前記セキュリティ・データを格納するセキュリティ情報・イベント管理（ＳＩＥＭ）システムと、階層型時間メモリ（ＨＴＭ）プロセッサおよびＨＴＭメモリを備えたＨＴＭシステムと、メモリおよびプロセッサを備えた特徴抽出システムであり、メモリが、プロセッサにより実行された場合に、セキュリティ・データを複数の空間−時間多次元アレイに変換することであって、複数の空間−時間多次元アレイの局面とセキュリティ・データとの相関が相関データベースに格納され、複数の空間−時間多次元アレイをＨＴＭシステムに入力したことに応答して、ＨＴＭシステムから少なくとも１つの出力多次元アレイを受信することと、当該特徴抽出システムに連通結合されたユーザ・インターフェースから受け付けられたクエリに対して自然言語処理を実行することであり、クエリが、ＩＴ環境中の複数のデバイスのうちの少なくとも１つを識別する、実行することと、クエリ、少なくとも１つの出力多次元アレイ、および相関データベースに基づいて、回答を生成することと、回答をユーザ・インターフェースに提示することと、を含む方法を実行する命令を格納した、上記特徴抽出システムとを備えた、システムを提供する。

別の態様によれば、本発明は、セキュリティ異常を判定するコンピュータ・プログラム製品であって、処理回路により読み出し可能で、本発明のステップを実行する方法を実行するための処理回路により実行される命令を格納したコンピュータ可読記憶媒体を備えた、コンピュータ・プログラム製品を提供する。

別の態様によれば、本発明は、コンピュータ可読媒体に格納され、デジタル・コンピュータの内部メモリにロード可能なコンピュータ・プログラムであって、コンピュータ上で実行された場合に、本発明のステップを実行するソフトウェア・コード部を含む、コンピュータ・プログラムを提供する。

本開示の態様は、一組のサイバーセキュリティ・データの空間属性および一組のサーバセキュリティ・データの時間属性に基づいて、複数のテンソルを生成することを含むコンピュータ実装方法を対象とする。一組のサイバーセキュリティ・データは、複数の演算源から収集された数値データおよびテキスト・データを含み得る。この方法は、各領域の活性ノードに基づいて、各領域の各ＨＴＭ出力を生成するように構成された階層型時間メモリ（ＨＴＭ）ネットワークに複数のテンソルを提供することをさらに含むことができる。この方法は、少なくとも１つのＨＴＭ出力が異常を示すものと判定することと、少なくとも１つのＨＴＭ出力を通知に変換することと、通知をユーザ・インターフェースに提供することと、をさらに含み得る。

本開示の別の態様は、プロセッサと、プロセッサにより実行された場合に、一組のサイバーセキュリティ・データの空間属性および一組のサーバセキュリティ・データの時間属性に基づいて、複数のテンソルを生成することを含む方法を実行するプログラム命令を格納する有形コンピュータ可読メモリとを備えたコンピュータ・システムを対象とする。一組のサイバーセキュリティ・データは、複数の演算源から収集された数値データおよびテキスト・データを含むことができる。この方法は、各領域の活性ノードに基づいて、各領域の各ＨＴＭ出力を生成するように構成された階層型時間メモリ（ＨＴＭ）ネットワークに複数のテンソルを提供することをさらに含み得る。この方法は、少なくとも１つのＨＴＭ出力が異常を示すものと判定することと、少なくとも１つのＨＴＭ出力を通知に変換することと、通知をユーザ・インターフェースに提供することとをさらに含むことができる。

本開示の別の態様は、プロセッサにより実行されて、一組のサイバーセキュリティ・データの空間属性および一組のサーバセキュリティ・データの時間属性に基づいて、複数のテンソルを生成することを含む方法をプロセッサに実行させ得るプログラム命令を有するコンピュータ可読記憶媒体を備えたコンピュータ・プログラム製品を対象とする。一組のサイバーセキュリティ・データは、複数の演算源から収集された数値データおよびテキスト・データを含むことができる。この方法は、各領域の活性ノードに基づいて、各領域の各ＨＴＭ出力を生成するように構成された階層型時間メモリ（ＨＴＭ）ネットワークに複数のテンソルを提供することをさらに含み得る。この方法は、少なくとも１つのＨＴＭ出力が異常を示すものと判定することと、少なくとも１つのＨＴＭ出力を通知に変換することと、通知をユーザ・インターフェースに提供することとをさらに含むことができる。

本開示の別の態様は、情報技術（ＩＴ）環境中の複数のデバイスに関するセキュリティ・データを受信して格納するセキュリティ情報・イベント管理（ＳＩＥＭ）システムと、ＨＴＭプロセッサおよびＨＴＭメモリを備えた階層型時間メモリ（ＨＴＭ）システムと、メモリおよびプロセッサを備えた特徴抽出システムであり、メモリが、プロセッサにより実行された場合に、方法を実行する命令を格納した、特徴抽出システムとを備えたシステムを対象とする。この方法は、セキュリティ・データを複数の空間−時間多次元アレイに変換することであって、複数の空間−時間多次元アレイの局面とセキュリティ・データとの相関が相関データベースに格納されることを含む。この方法は、複数の空間−時間多次元アレイをＨＴＭシステムに入力したことに応答して、ＨＴＭシステムから少なくとも１つの出力多次元アレイを受信することをさらに含み得る。この方法は、特徴抽出システムに連通結合されたユーザ・インターフェースから受け付けられたクエリに対して自然言語処理を実行することであり、クエリが、ＩＴ環境中の複数のデバイスのうちの少なくとも１つを識別する、実行することをさらに含むことができる。この方法は、クエリ、少なくとも１つの出力多次元アレイ、および相関データベースに基づいて、回答を生成することと、回答をユーザ・インターフェースに提示することとをさらに含むことができる。

本開示の別の態様は、特徴抽出システムの機械学習アルゴリズムを用いることにより、セキュリティ・データを複数の空間−時間多次元アレイに変換することであって、セキュリティ・データが、複数の演算装置を連通結合するサイバーセキュリティ環境において機能するセキュリティ情報・イベント管理（ＳＩＥＭ）システムから少なくとも部分的に収集される、変換することを含むコンピュータ実装方法を対象とする。複数の複数の空間−時間多次元アレイは、複数の演算装置の少なくとも一部と関連付けられた少なくとも一連続の演算イベントに少なくとも部分的に基づくことができる。この方法は、階層型時間メモリ（ＨＴＭ）ネットワークを実行する３次元集積回路（３ＤＩＣ）に複数の空間−時間多次元アレイを提供することをさらに含むことができる。この方法は、特徴抽出システムにおいてＨＴＭネットワークから、ＨＴＭネットワークの各領域の活性ノードに少なくとも部分的に基づいて、少なくとも１つの出力多次元アレイを受信することをさらに含むことができる。この方法は、特徴抽出システムの機械学習アルゴリズムを用いることにより、少なくとも１つの出力多次元アレイに基づいて、少なくとも１つの異常を識別することと、特徴抽出システムにより、少なくとも１つの異常を識別したことに応答して、サイバーセキュリティ環境の少なくとも１つの局面を認識することと、をさらに含むことができる。この方法は、特徴抽出システムにより、特徴抽出システムに連通結合されたユーザ・インターフェースに対して、少なくとも１つの異常の通知を提示することをさらに含むことができる。

以下の図面に示すように、好適な実施形態を参照して、本発明を以下に説明するが、これは一例に過ぎない。

本開示のいくつかの実施形態に係る、例示的なサイバーセキュリティ環境のブロック図である。 本開示のいくつかの実施形態に係る、例示的な異常検出方法のフローチャートである。 本開示のいくつかの実施形態に係る、テンソルを生成する例示的な方法のフローチャートである。 本開示のいくつかの実施形態に係る、階層型時間メモリ（ＨＴＭ）ネットワークを用いた例示的な異常スコア処理方法のフローチャートである。 本開示のいくつかの実施形態に係る、異常検出システムからの出力を提示する例示的な方法のフローチャートである。 本開示のいくつかの実施形態に係る、異常検出システムに問い合わせを行う例示的な方法のフローチャートである。 本開示のいくつかの実施形態に係る、例示的な異常検出のブロック図である。 先行技術に係る、本発明の好適な一実施形態を実装可能なクラウド・コンピューティングを示した図である。 先行技術に係る、本発明の好適な一実施形態を実装可能な抽象化モデル・レイヤを示した図である。

本開示は種々改良および代替形態を受け入れるが、図面には、その詳細を一例として示しており、以下に詳しく説明する。ただし、本開示は、記載の特定の実施形態に限定されるものではないことが了解されるものとする。逆に、本発明は、本開示の範囲内に含まれるすべての改良物、同等物、および代替物を網羅することになる。

本開示の態様は、コンピュータ・セキュリティを対象とし、より具体的には、異常検出システムを対象とする。本開示は、必ずしもそのような用途に限定されないものの、本文脈を用いた種々例の考察によって、本開示の種々態様が十分に理解することができる。

本開示の態様は、異種サイバーセキュリティ・データ（たとえば、ログ・データ、ネットワーク・データ、コンピュータ・データ、アプリケーション・データ、ユーザ挙動データ、ハードウェア・データ等）の収集、異種サイバーセキュリティ・データの同種データへの変換、同種データのアレイへの格納、アレイの階層型時間メモリ（ＨＴＭ）ネットワークへの入力、ＨＴＭネットワークの出力の分析、および（たとえば、質問・回答（Ｑ＆Ａ）システム、レポート、情報画像、チャート、メッセージ、アラート、異常スコア、確率等を用いた）関連するサイバーセキュリティ情報のユーザへの伝達を対象とする。

本開示の態様は、多くの利点を提示する。第１の例示的な利点として、本開示の態様は、異常検出の精度の向上（たとえば、誤検出または検出漏れ、あるいはその両方の低下）を提示する。この例示的な利点は、特徴抽出システムにより収集され、ＨＴＭネットワークに提供される大量のデータによって一部実現可能である。たとえば、特徴抽出システムは、異種データ（たとえば、ログ・データ、アンチウイルス・データ、ネットワーク・データ、ハードウェア・データ等）を同種データ（たとえば、ベクトル空間モデル（ＶＳＭ）、テンソル、空間−時間多次元アレイ、または疎分散表現（ＳＤＲ）、あるいはその組み合わせ）に変換し得る。このため、本開示の態様では、変換なしでは互換性のない大量のデータを利用することにより、異常検出システムの精度を向上可能である。

第２の例示的な利点として、本開示の態様では、多様な異常を検出する。たとえば、本開示の態様では、低レベルでの異常挙動（たとえば、単一のコンピュータ上で動作する単一のアプリケーションにおいて発生する異常挙動）および高レベルでの異常挙動（たとえば、数千台のコンピュータを結合したネットワークにおいて発生する異常挙動）を継続的に検出する。この利点は、ＨＴＭネットワークにより収集、変換、および処理される多様なデータのほか、ＨＴＭネットワークにおけるすべてのレベルで生成される継続的予測によって一部実現可能である。

第３の例示的な利点として、本開示の態様では、必要に応じて情報を提供することにより、異常検出システムの有用性を向上させる。たとえば、ユーザ（たとえば、セキュリティ分析者）が自然言語処理（ＮＬＰ）システムに問い合わせ可能であり、ＮＬＰシステムは、適当なデータ分析アルゴリズムを識別して適当なＨＴＭ出力を読み出すとともに、実行したデータ分析アルゴリズムが提供する分析済みＨＴＭ出力に基づいて、クエリに対する適当な回答を策定することができる。この利点は、理解しやすい情報を必要に応じて提供し得るＮＬＰシステムによって一部実現可能である。当業者には当然のことながら、未加工のＨＴＭ出力（たとえば、ＨＴＭネットワークの一部の活性ノードおよび非活性ノードに基づくアレイ）は、ユーザが理解できない（たとえば、ユーザは、ＮＬＰシステムおよび特徴抽出システムが実行するデータ分析アルゴリズムの補助がなければ、ＨＴＭ出力の意味を解釈できない可能性がある）。

第４の例示的な利点として、本開示の態様では、データを効率的にＨＴＭネットワークに入力することにより、処理の付帯的コストを低減し、電力使用を低減し、またはメモリ使用を低減する、あるいはそれらを組み合わせて行う。たとえば、本開示の態様では、他の方法では互換性のないサイバーセキュリティ・データを編集してＶＳＭ、テンソル、空間−時間多次元アレイ、またはＳＤＲ、あるいはその組み合わせにし、それによって、異なる技術を用いてデータの複数の部分集合を独立に分析するのではなく、類似の技術（たとえば、ＨＴＭネットワーク）を用いてデータの集合全体を同時に分析する。

第５の例示的な利点として、本開示の態様では、ハードウェア故障に耐性を持つ。たとえば、ＨＴＭネットワークは、３次元集積回路（３ＤＩＣ）を用いて実装し、処理速度を向上させることが可能である。ただし、当業者には当然のことながら、３ＤＩＣは、（たとえば、生産拡大に起因する）ハードウェア故障に見舞われやすい。ＨＴＭネットワークは、個々のデータ点ではなくデータのパターンに基づいて出力を生成するため、耐故障性があり都合が良い。このため、３ＤＩＣに多数の故障が発生しても、ＨＴＭ出力の生成に用いられるデータの全体パターンに及ぶ影響は無視できる。

前述の利点は例示的な利点であり、本開示は、本開示の範囲内に留まりつつ前述の利点のすべてを含み得る態様、前述の利点の一部を含み得る態様、または前述の利点を含み得ない態様が存在する。

ここで図１を参照して、この図は、本開示のいくつかの実施形態に係る、例示的なサイバーセキュリティ環境のブロック図である。実施形態において、サイバーセキュリティ環境１００（たとえば、情報技術（ＩＴ）環境、プライベート・ネットワーク、パブリック・ネットワーク、連通結合された一組の演算装置等）は、１つまたは複数のセキュリティ情報・イベント管理（ＳＩＥＭ）システム１２４を具備する。ＳＩＥＭシステム１２４としては、ＩＢＭ（Ｒ）のＱＲａｄａｒ（Ｒ）が可能であるが、これに限定されない。ＩＢＭおよびＱＲａｄａｒは、世界中の多くの法域で登録されたインターナショナル・ビジネス・マシーンズ・コーポレーションの商標である。ＳＩＥＭシステム１２４は、たとえばファイアウォール１０４、スパム・フィルタ１０６、アンチウイルス１０８、ネットワーク侵入検出システム（ＮＩＤＳ）１１０、およびログ・データ１１２を含む１つまたは複数のネットワーク防御システム１０２からデータを収集する。同様に、ＳＩＥＭシステム１２４は、たとえばファイアウォール１１６、アンチウイルス１１８、ホスト侵入検出システム（ＨＩＤＳ）１２０、およびログ・データ１２２を含む１つまたは複数のホスト防御システム１１４からデータを集める。ログ・データ（たとえば、ログ・データ１１２およびログ・データ１２２）としては、トランザクション・ログ、システム・ログ（たとえば、シスログ）、オペレーティング・システム・ログ、メッセージ・ログ、イベント・ログ、アプリケーション・ログ、ネットワーク・ログ、エンドユーザ・ログ、または異なるログ・データ、あるいはその組み合わせが挙げられるが、これらに限定されない。

ＳＩＥＭシステム１２４は、数値データおよびテキスト・データの両者を収集する。数値データとしては、ネットワーク・アドレス（たとえば、インターネット・プロトコル（ＩＰ）アドレス）、シリアル番号、ポート番号、性能データ（たとえば、ＣＰＵ速度、ＣＰＵ容量、メモリ使用量等）、コマンド・コード、エラー・コード、時間、日付、期間、または他の数値データ、あるいはその組み合わせが可能であるが、これらに限定されない。テキスト・データとしては、コマンド、メッセージ、名称、識別子、エラー、または他のテキスト・データ、あるいはその組み合わせが可能であるが、これらに限定されない。

１つのＳＩＥＭシステム１２４を示しているが、サイバーセキュリティ環境１００は、多くのＳＩＥＭシステム１２４を具備し得る。いくつかの実施形態においては、ＳＩＥＭシステム１２４の追加または代替として、シンプル・ネットワーク管理プロトコル（ＳＮＭＰ）トラップまたは侵入検出・防止システム（ＩＤＰＳ）、あるいはその両方からデータが収集される。本開示のいくつかの実施形態では、ＳＩＥＭシステム１２４を含まない代わりに、サイバーセキュリティ環境１００において機能する演算装置から直接データを収集する。演算装置としては、たとえばルータ、ハブ、サーバ、コンピュータ、デスクトップ、ラップトップ、タブレット、スマートフォン、手持ち式デバイス、ウェアラブル・デバイス、または他の演算装置、あるいはその組み合わせが挙げられる。

ＳＩＥＭシステム１２４により収集されたデータは、異常検出システム１４８に入力される。異常検出システム１４８には、特徴抽出システム１２６、階層型時間メモリ（ＨＴＭ）ネットワーク１３０、および自然言語処理（ＮＬＰ）システム１５２が物理的または仮想的に常駐する。特徴抽出システム１２６、ＨＴＭネットワーク１３０、またはＮＬＰシステム１５２、あるいはその組み合わせは、明瞭化のため別個のエンティティとして示しているが、いくつかの実施形態においては、機械学習機能、特徴抽出機能、ＨＴＭ機能、またはＮＬＰ機能、あるいはその組み合わせを有する同じエンティティに組み込まれていてもよい。

特徴抽出システム１２６としては、ＩＢＭのＷａｔｓｏｎ（ＴＭ）が可能であるが、これに限定されない。図示はしていないものの、特徴抽出システム１２６は、決定木学習、相関ルール学習、人工ニューラル・ネットワーク、深層学習、帰納法プログラミング、サポート・ベクター・マシン、クラスタリング、ベイジアン・ネットワーク、強化学習、表現学習、類似性／基準トレーニング、スパース辞書学習、遺伝的アルゴリズム、ルールベース学習、または他の機械学習技術、あるいはその組み合わせ等、任意数の機械学習アルゴリズムを実行するが、これらに限定されない。Ｗａｔｓｏｎは、世界中の多くの法域で登録されたインターナショナル・ビジネス・マシーンズ・コーポレーションの商標である。

たとえば、特徴抽出システム１２６は、Ｋ近傍法（ＫＮＮ）、学習ベクトル量子化（ＬＶＱ）、自己組織化写像（ＳＯＭ）、ロジスティック回帰、最小二乗回帰（ＯＬＳＲ）、線形回帰、ステップワイズ回帰、多変量適応型回帰スプライン（ＭＡＲＳ）、リッジ回帰、最小絶対値縮小選択演算子（ＬＡＳＳＯ）、エラスティック・ネット、最小角度回帰（ＬＡＲＳ）、確率的分類器、単純ベイズ分類器、二項分類器、線形分類器、階層分類器、正準相関分析（ＣＣＡ）、因子分析、独立成分分析（ＩＣＡ）、線形判別分析（ＬＤＡ）、多次元スケーリング（ＭＤＳ）、非負値基準因子分解（ＮＭＦ）、部分的最小二乗回帰（ＰＬＳＲ）、主成分分析（ＰＣＡ）、主成分回帰（ＰＣＲ）、サモン・マッピング、ｔ分布確率的近傍埋め込み法（ｔ−ＳＮＥ）、ブートストラップ・アグリゲーティング、アンサンブル平均化、勾配ブースティング決定木（ＧＢＲＴ）、勾配ブースティング・マシン（ＧＢＭ）、帰納バイアス・アルゴリズム、Ｑ学習、ＳＡＲＳＡ（State-Action-Reward-State-Action）、時間的差分（ＴＤ）学習、アプリオリ・アルゴリズム、等価クラス変換（ＥＣＬＡＴ）アルゴリズム、ガウス過程回帰、遺伝子発現プログラミング、ＧＭＤＨ（Group Method of Data Handling）、帰納法プログラミング、インスタンス・ベース学習、ロジスティック・モデル木、情報ファジー・ネットワーク（ＩＦＮ）、隠れマルコフ・モデル、ガウス単純ベイズ、多項単純ベイズ、平均単依存推定器（ＡＯＤＥ）、ベイジアン・ネットワーク（ＢＮ）、分類・回帰木（ＣＡＲＴ）、カイ二乗自動相互作用検出（ＣＨＡＩＤ）、期待値最大化アルゴリズム、フィードフォワード・ニューラル・ネットワーク、論理学習マシン、自己組織化マップ、シングル・リンケージ・クラスタリング、ファジー・クラスタリング、階層クラスタリング、ボルツマン・マシン、畳み込みニューラル・ネットワーク、再帰ニューラル・ネットワーク、階層型時間メモリ（ＨＴＭ）、または他の機械学習技術、あるいはその組み合わせ等の例示的な技術のうちの１つまたは複数を用いて機械学習を実行するように構成可能である。

特徴抽出システム１２６は、ＳＩＥＭシステム１２４により生成されたデータを読み込んで、そのデータを階層型時間メモリ（ＨＴＭ）ネットワーク１３０用に好適なフォーマットに変換するように構成されている。特徴抽出システム１２６は、ＳＩＥＭシステム１２４により収集されたデータの言語的特性、意味的特性、統語的特性、スカラー特性、または測定特性、あるいはその組み合わせを表す数値を格納するように構成されたデータベース１２８を格納可能である。たとえば、ＳＩＥＭシステム１２４から読み出されたデータは、ＶＳＭに変換可能である。このような例において、データベース１２８は、データの一部と当該データの一部を表す各ＶＳＭの各成分の各値との相関を格納可能である。データベース１２８は、図３に関してより詳しく論じる。

特徴抽出システム１２６は、変換データをＨＴＭネットワーク１３０に提供する。いくつかの実施形態において、変換データには、１つもしくは複数のＶＳＭ、１つもしくは複数のテンソル、または１つもしくは複数の空間−時間多次元アレイ、あるいはその組み合わせを含む。いくつかの実施形態において、変換データには、少なくとも１つのＶＳＭ、少なくとも１つのテンソル、または少なくとも１つの空間−時間多次元アレイに基づく１つまたは複数の疎分散表現（ＳＤＲ）を含む。

当業者には当然のことながら、ＨＴＭは、機械学習の技術である。ＨＴＭネットワークは、人間の脳の新皮質と類似の特性を提示し得る。たとえば、ＨＴＭネットワークは、複数のレベルを有するツリー状の階層として表し得る。データをより低いレベルに入力し、より低いレベルからの出力をより高いレベルへの入力として使用することができる。各レベルには、１つまたは複数の領域を含み得る。より低いレベルには、より高いレベルよりも多くの領域を含み得る。各領域には、複数のノードを含み得る（たとえば、あるレベルのある領域としては、１６×１６個のノードが可能である）。各ノードには、一列のセルを含み得る（たとえば、各ノードには、一列の３つのセルを含み得る）。ＨＴＭネットワークは、活性セルのパターン（または、活性ノードのパターン）に基づいて学習可能である。個々のセルは、フィード・フォワード入力（たとえば、より低いレベルから受信された入力）または隣接入力（たとえば、同じレベルのセルから受信された入力）により活性化可能である。

実施形態において、ＨＴＭネットワーク１３０は、１つまたは複数の空間プーラ１３２を用いてデータをフォーマットするとともに、１つまたは複数の時間プーラ１３４を用いて活性セルまたは活性ノード、あるいはその両方の次のパターンを予測する。いくつかの実施形態において、空間プーラ１３２は、受信データをＨＴＭネットワーク１３０に適したフォーマットに変換するように構成されている。たとえば、空間プーラ１３２は、ＨＴＭネットワーク１３０のレベル数、領域数、またはノード数、あるいはその組み合わせに適したサイズへとデータを再フォーマット可能である。別の例として、空間プーラ１３２は、情報効率の向上を示す少なくとも１つの異なるデータ構造へとデータを再フォーマット可能である。たとえば、空間プーラ１３２は、入力データの１つまたは複数の疎分散表現（ＳＤＲ）を生成可能である。このような例においては、入力データのＳＤＲに基づいて、ＨＴＭネットワーク１３０の各領域の一組のセルを活性化することにより、ＳＤＲをＨＴＭネットワーク１３０のある領域に入力することができる。代替実施形態において、特徴抽出システム１２６は、適当にフォーマットされたデータをＨＴＭネットワーク１３０に直接提供する。

時間プーラ１３４は、次の受信入力（たとえば、次の一組の活性セルまたは活性ノード）を予測するように構成されている。時間プーラ１３４は、ＨＴＭネットワーク１３０の各レベルの各領域を継続的に予測する。ＨＴＭネットワーク１３０は、正しい予測と関連付けられたパターンおよび正しくない予測と関連付けられたパターンの経時的な観測に基づいて学習する。いくつかの実施形態において、本開示では、１つまたは複数の正しくない予測を行う時間プーラ１３４に基づいて、異常挙動を識別する。正しくない予測は、入力データの異常挙動を示し得る。代替実施形態において、本開示では、異常挙動を示唆する１つまたは複数の予測（たとえば、既知の異常パターンに一致する予測）を行う時間プーラ１３４に基づいて、異常挙動を識別する。

いくつかの実施形態において、ＨＴＭネットワーク１３０の出力には、ＨＴＭネットワーク１３０の所与の領域の活性セル（または、ノード）を表すアレイを含む。いくつかの実施形態において、ＨＴＭネットワーク１３０の出力には、ＨＴＭネットワーク１３０の各領域における活性セルの予測パターンとＨＴＭネットワーク１３０の各領域における活性セルの観測パターンとの差を表すアレイを含む。いくつかの実施形態において、ＨＴＭネットワーク１３０の出力には、ＨＴＭネットワーク１３０の各領域における活性セルの予測パターンとＨＴＭネットワーク１３０の各領域における活性セルの既知異常パターンとの一致点を表すアレイを含む。

いくつかの実施形態において、ＨＴＭネットワーク１３０は、集積回路（ＩＣ）を用いて実装される。いくつかの実施形態において、ＨＴＭネットワーク１３０は、３次元ＩＣ（３ＤＩＣ）を使用する。たとえば、ＨＴＭネットワーク１３０は、３Ｄウェハ・レベル・パッケージング（３ＤＷＬＰ）、３Ｄインターポーザ・ベース集積、３Ｄ積層ＩＣ（３Ｄ−ＳＩＣ）、モノリシック３Ｄ ＩＣ、３Ｄ不均一集積、３Ｄシステム・イン・パッケージ（３ＤＳｉＰ）、パッケージ・オン・パッケージ（ＰｏＰ）、他の３ＤＩＣ構造、または３ＤＩＣに類似の機能を提供する他の構造、あるいはその組み合わせを用いて実装可能である。上で議論した通り、３ＤＩＣは、その他よりも改善された演算能力および演算速度が提供可能であるため、ＨＴＭネットワーク１３０の生成に有利となり得る。３ＤＩＣはこれまで、（たとえば、製造時の生産拡大のため）通常より高いハードウェア故障に見舞われてきたが、ＨＴＭネットワーク１３０は、動作の特定のインスタンスではなく動作のパターンに基づいて学習するため、ハードウェア故障に耐性を示す。このため、ＨＴＭネットワーク１３０は、当該ＨＴＭネットワーク１３０中の不良ノードにも関わらず、正しい出力を提供可能である。

ＨＴＭネットワーク１３０中のさまざまな領域およびレベルからの出力が特徴抽出システム１２６に入力されて、後処理される。特徴抽出システム１２６は、データベース１２８を使用して、ＨＴＭネットワーク１３０による数値データ出力を使用可能な情報に変換することができる。また、特徴抽出システム１２６は、さまざまなデータ源１３６からデータを収集して、付加的なコンテキストをＨＴＭネットワーク１３０の出力に提供することができる。

実施形態において、データ源１３６としては、履歴データ１３８、インターネット・データ１４０、環境データ１４２、またはグローバル・セキュリティ・データ１４４、あるいはその組み合わせが挙げられるが、これらに限定されない。履歴データ１３８としては、ＨＴＭネットワーク１３０と関連する履歴データ（たとえば、先行入力、先行出力、既知の異常挙動パターン等）が挙げられるが、これに限定されない。インターネット・データ１４０としては、ニュース・データ、ソーシャル・メディア・データ、またはインターネット上で利用可能な他のデータが挙げられるが、これらに限定されない。環境データ１４２としては、サイバーセキュリティ環境１００において機能するハードウェア、ソフトウェア、ファームウェア、オペレーティング・システム、または他の物理的もしくは仮想的コンポーネント、あるいはその組み合わせの数、種類、バージョン、またはモデル、あるいはその組み合わせが挙げられるが、これらに限定されない。環境データ１４２としては、特徴抽出システム１２６またはＨＴＭネットワーク１３０、あるいはその両方にデータを提供するコンポーネントと関連付けられたサイバーセキュリティ・プロトコル、ポリシー、または手順、あるいはその組み合わせがさらに挙げられる。グローバル・セキュリティ・データ１４４としては、サイバーセキュリティの脅威、脆弱性、攻撃、方法、技術、戦略、成功事例、学んだ教訓、またはグローバル・サイバーセキュリティと関連する他のデータ、あるいはその組み合わせが挙げられるが、これらに限定されない。

いくつかの実施形態においては、ＨＴＭネットワーク１３０から受信され、特徴抽出システム１２６により後処理されたデータがユーザ・インターフェース１４６に出力される（たとえば、警告、スコア、確率、情報画像、チャート、レポート等）。いくつかの実施形態においては、ＨＴＭネットワーク１３０から受信され、特徴抽出システム１２６により後処理されたデータがＮＬＰシステム１５２に送られて、さらに処理される。

ＮＬＰシステム１５２は、ユーザ・インターフェース１４６と相互作用する。ＮＬＰシステム１５２は、特徴抽出システム１２６またはデータ源１３６、あるいはその両方により後処理されたデータに基づいて、レポート、情報画像、回答、または警告、あるいはその組み合わせを生成し、ユーザ・インターフェース１４６に提示することができる。ユーザ・インターフェース１４６は、情報をユーザ（たとえば、セキュリティ分析者）に提示可能である。一例として、ＮＬＰシステム１５２は、ユーザ・インターフェース１４６から質問を受け付け、特徴抽出システム１２６を介したＨＴＭネットワーク１３０への問い合わせに適したフォーマットに質問を変換し、適当なデータ分析アルゴリズムを実行してＨＴＭネットワーク１３０の関連部分からＨＴＭ出力を読み出し、読み出した出力を回答に変換し、回答をユーザ・インターフェース１４６に提供することができる。いくつかの実施形態において、回答はさらに、データ源１３６から集められた機械学習の洞察に基づく。いくつかの実施形態において、回答には、（たとえば、文としてフォーマット済みの）テキスト・データまたは数値データ（たとえば、量、範囲、識別子、確率、または信頼性、あるいはその組み合わせ）、あるいはその両方を含む。

ＮＬＰシステム１５２は、特徴抽出システム１２６に関して上述した通り、任意数の機械学習アルゴリズムを実行する。図示はしていないものの、ＮＬＰシステム１５２は、機械学習および自然言語処理機能を含んでおり、見出し語認定、形態学的セグメンテーション、品詞（ＰＯＳ）タグ付け、構文解析、文境界明確化、語幹抽出、セグメンテーション、用語抽出、意味解析、感情分析、光学式文字認識、多義性解消、音声認識、テキスト−音声処理、または他の技術、あるいはその組み合わせが挙げられるが、これらに限定されない。いくつかの実施形態において、ＮＬＰシステム１５２は、ＩＢＭ Ｗａｔｓｏｎである。

ＳＩＥＭシステム１２４、特徴抽出システム１２６、ＨＴＭネットワーク１３０、ＮＬＰシステム１５２、データ源１３６、およびユーザ・インターフェース１４６は、ネットワーク１５０により接続されている。ネットワーク１５０としては、物理ネットワーク、仮想ネットワーク、または、物理ネットワークと仮想ネットワークとの組み合わせが可能である。図示はしていないものの、ネットワーク１５０は、多くの演算装置（たとえば、ＳＩＥＭシステム１２４により収集されるデータを生成する演算装置）をさらに相互接続可能であり、ルータ、ハブ、サーバ、デスクトップ、ラップトップ、データ処理システム、コンピュータ、タブレット、手持ち式デバイス、ウェアラブル・デバイス、スマートフォン、または他の演算装置、あるいはその組み合わせが挙げられるが、これらに限定されない。

図１は、本開示の実施形態に係る、例示的なサイバーセキュリティ環境１００の主要な構成要素を表すことを意図している。ただし、いくつかの実施形態においては、個々の構成要素が図１に示すより複雑であってもよいし、複雑でなくてもよく、図１に示す構成要素以外の構成要素または付加的な構成要素が存在し得る。さらに、いくつかの実施形態においては、図１に示すさまざまな構成要素が図１に示す機能より優れていてもよいし、劣っていてもよいし、異なっていてもよい。

ここで図２を参照して、この図は、本開示のいくつかの実施形態に係る、例示的な異常検出方法のフローチャートである。方法２００は、たとえば１つもしくは複数のプロセッサ、異常検出システム（たとえば、図１の異常検出システム１４８）、特徴抽出システム（たとえば、図１の特徴抽出システム１２６）、または異なる構成のハードウェアにより実行可能である。明瞭化のため、方法２００は以下、異常検出システムにより実行されるものとして説明するが、本開示の態様は、他のハードウェア・コンポーネントまたはハードウェア・コンポーネントの組み合わせにより実行可能である。

動作２０２において、異常検出システムは、サイバーセキュリティ・データを収集する。サイバーセキュリティ・データは、たとえばログ・ファイル（たとえば、シスログ、オペレーティング・システム（ＯＳ）ログ、イベント・ログ、アプリケーション・ログ、ネットワーク・ログ、トランザクション・ログ、通信ログ、または他のログ・ファイル、あるいはその組み合わせ）、ＳＩＥＭシステム、ＳＮＭＰトラップ、ＩＤＰシステム、ネットワーク、ルータ、コンピュータ、ラップトップ、タブレット、手持ち式デバイス、ウェアラブル・デバイス、携帯電話、アプリケーション、オペレーティング・システム、ファイアウォール、スパム・フィルタ、アンチウイルス・アプリケーション、ネットワーク侵入検出システム（ＮＩＤＳ）、ホスト侵入検出システム（ＨＩＤＳ）、またはサイバーセキュリティ環境に関連するデータを生成する他のソース、あるいはその組み合わせから収集可能である。種々実施形態において、異常検出システムは、個々の構成要素または１つもしくは複数のアグリゲーション・ポイント（たとえば、ＳＩＥＭシステム）、あるいはその両方からサイバーセキュリティ・データを収集可能である。

動作２０４において、異常検出システムは、動作２０２において収集されたサイバーセキュリティ・データを前処理する。サイバーセキュリティ・データの前処理としては、サイバーセキュリティ・データのフィルタリング（たとえば、クレンジング）、統合、または構造化が挙げられるが、これらに限定されない。フィルタリングは、破損したデータ、不正確なデータ、あるいは除去しないと問題を生じるデータの除去を表し得るが、これらに限定されない。たとえば、本開示の態様では、重複データをフィルタリング可能である。統合は、異種源からのデータを論理的グループとして組み合わせることを表し得るが、これに限定されない。たとえば、本開示の態様では、同じ内部ネットワーク上で動作する多くのコンピュータから読み出されたデータを、同じ内部ネットワークと関連付けられたデータの論理グループに統合可能である。構造化は、関連データの順序付けまたは簡素化、あるいはその両方を表し得るが、これらに限定されない。たとえば、受信データをサイズ、時間、種類、または異なる基準により順序付けすることができる。別の例においては、受信数値データを所定の精度に丸める（たとえば、小数第１位または第２位に丸める）ことができる。

動作２０６において、異常検出システムは、前処理されたデータを各テンソルに符号化することによって、１つまたは複数のテンソルを生成する。いくつかの実施形態において、テンソル（本明細書においては、空間−時間多次元アレイとも称する）は、１つまたは複数のＶＳＭで構成される。各ＶＳＭは、動作２０４において前処理された数値データおよびテキスト・データに基づいて生成可能である。いくつかの実施形態において、テンソルは、タイムスタンプをＶＳＭと組み合わせて、時系列と関連付けられたテンソルを生成することができる。いくつかの実施形態において、各テンソルは、数値として分類および処理されたクラスタ化ログ特性（ＶＳＭ行列として表される）を含み得る。このため、テンソルは、複数の空間ベースおよび時間ベースにわたって、イベント・データの属性を数値で表すことができる。空間ベースとしては、たとえばサイバーセキュリティ環境中の異なる場所で発生するシステム・イベントの特定の値行列が可能である。サイバーセキュリティ環境中の異なる場所は、たとえば送信元マシンのアドレス（たとえば、ＩＰアドレス）、送信先マシンのアドレス、ポート番号、プロトコル番号、マシン位置（たとえば、データ・センタまたはネットワーク内）、データ・センタ位置（たとえば、地理的位置）等によって識別可能である。時間ベースとしては、たとえば時間、日付、シーケンス（たとえば、動作中のプログラムにおいて問い合わされるスケジュール化されたコンピュータ命令）、プロトコル・シーケンス番号（たとえば、通信プロトコル・メッセージの直列化および配列化）等が可能である。動作２０６は、図３に関してより詳しく説明する。

いくつかの実施形態において、異常検出システムは、テンソルを疎分散表現（ＳＤＲ）に変換する。当業者には当然のことながら、ＳＤＲは、削減された量のデータ中に適当な量の情報を保持する、入力データ部分集合を含む。

動作２０８において、異常検出システムは、異常検出スコア処理のために、テンソル（または、ＳＤＲ）をＨＴＭネットワーク（たとえば、図１のＨＴＭネットワーク１３０）に提供する。ＨＴＭネットワークが多くのレベルを含み、各レベルが１つまたは複数の領域を含み、各領域が複数のノードを含み、各ノードが一列のセルを含み得る。より高いレベルには、より低いレベルよりも少ない領域（少ないノードおよび少ないセル）しか含み得ない。より低いレベルの１つまたは複数の領域がより高いレベルの１つまたは複数の領域への入力として、出力を提供可能である。いくつかの実施形態において、ＨＴＭネットワークは、一意の一組の時間データまたは空間データ、あるいはその両方に基づいて入力をそれぞれ受信する複数のＨＴＭ階層を含むことができ、複数のＨＴＭ階層は、単一の最上位レベルへと収束し得る。たとえば、各ＨＴＭ階層は、特定種類のデータ（たとえば、シスログ・データ）または特定集合のデータ（たとえば、各コンピュータ・システムに収集されたすべてのデータ）を処理するように存在し得る。実施形態において、収集されたデータは、さまざまな間隔（たとえば、連続（受信されるまま）、１分、１時間、または１日間隔、あるいはその組み合わせ）で処理され得る。ＨＴＭネットワークの各領域は、動作２０８におけるデータ処理の結果として出力を生成し得る。出力としては、ＨＴＭネットワークの各領域の活性セルまたはノード、あるいはその両方に基づくアレイが挙げられるが、これに限定されない。適正な後処理により、アレイ出力は、予測、異常点検出、スコア、パターン検出、パターン表現、または信頼性（たとえば、パーセント信頼性、尤度、確率、または信頼性の異なる尺度）、あるいはその組み合わせを示し得る。動作２０８は、図４に関してより詳しく説明する。

動作２１０において、異常検出システムは、動作２０８により生成された出力を後処理する。異常検出システムは、ＨＴＭネットワークの数値出力を使用可能なデータに変換することによって、ＨＴＭ結果を後処理することができる。たとえば、異常検出システムは、ＨＴＭ出力アレイを、サイバーセキュリティ環境の特定の部分（たとえば、コンピュータ上で機能するアプリケーション）と関連付けられた特定の基準（たとえば、ログイン試行、ネットワーク・トラヒック）に変換することができる。いくつかの実施形態において、異常検出システムは、動作２１０において、ＨＴＭ出力が異常を示すかを判定する。いくつかの実施形態において、異常検出システムは、他のデータ源（たとえば、図１のデータ源１３６）から付加的なデータを集める。このようなデータとしては、履歴データ、インターネット・データ、環境データ、またはグローバル・セキュリティ・データ、あるいはその組み合わせが挙げられるが、これらに限定されない。動作２１０は、図５に関して以下により詳しく説明する。

動作２１２において、異常検出システムは、結果をユーザ・インターフェース（たとえば、図１のユーザ・インターフェース１４６）に提示する。いくつかの実施形態において、異常検出システムは、後処理されたＨＴＭ出力をレポート、警告、情報画像、質問への回答等の通知、または別のフォーマットに変換する。動作２１２は、図６に関してより詳しく説明する。

動作２１４において、異常検出システムは、サイバーセキュリティ環境を再構成することによって、異常を自動的に（または、ユーザ入力に応答して）緩和する。本開示において、サイバーセキュリティ環境の再構成は、サイバーセキュリティ環境が再構成の結果として変化した機能性（たとえば、変化した能力、変化した性能）を示すように、サイバーセキュリティ環境を仮想的または物理的に変更することを表し得る。たとえば、再構成の結果として、サイバーセキュリティ環境の機能性が低下するとともにセキュリティが向上する可能性がある。異常は、たとえば異常と関連付けられたサイバーセキュリティ環境の部分を隔離することによって緩和可能である。たとえば、異常検出システムは、コンピュータで発生している異常を識別することに反応して、コンピュータをネットワークから自動的に隔離することができる。

図２は、本開示のいくつかの実施形態に係る、例示的な異常検出方法の主要な動作を表すことを意図している。ただし、いくつかの実施形態においては、個々の動作が図２に示すより複雑であってもよいし、複雑でなくてもよく、図２に示す動作に付加される（または、代替される）動作が存在し得る。さらに、いくつかの実施形態においては、図２に示すさまざまな動作が図２に示す機能より優れていてもよいし、劣っていてもよいし、異なっていてもよい。さらに、いくつかの実施形態においては、図２に示すさまざまな動作が発生する限りは、異なる順序で発生してもよい。

ここで図３を参照して、この図は、本開示のいくつかの実施形態に係る、例示的なテンソル生成方法のフローチャートである。いくつかの実施形態において、方法３００は、図２の動作２０６の下位方法である。方法３００は、たとえば１つもしくは複数のプロセッサ、異常検出システム（たとえば、図１の異常検出システム１４８）、特徴抽出システム（たとえば、図１の特徴抽出システム１２６）、または異なる構成のハードウェアにより実行可能である。明瞭化のため、方法３００は以下、異常検出システムにより実行されるものとして説明するが、本開示の態様は、他のハードウェア・コンポーネントまたはハードウェア・コンポーネントの組み合わせにより実行可能である。

動作３０２において、異常検出システムは、分類データを読み出す。分類データには、意味解析および特徴抽出の補助となる分類知識辞書を含み得る。分類データは、たとえばデータの種類（たとえば、数値データ対テキスト・データ）およびデータのクラス（たとえば、ネットワーク・データ対アンチウイルス・データ）を示し得る。

動作３０４において、異常検出システムは、前処理されたデータの第１の部分を数値データとして分類する。数値データとしては、たとえばプロセッサ（ＣＰＵ）負荷、アドレス（たとえば、ＩＰアドレス）、ポート番号、コマンド・コード、エラー・コード、時間、期間、プロトコル識別子、または他の数値データ、あるいはその組み合わせが可能である。動作３０６において、異常検出システムは、データの第１の部分を１つまたは複数のベクトル空間モデル（ＶＳＭ）にマッピングする。当業者には当然のことながら、ＶＳＭは、物体を多次元ベクトルとして表す。ＶＳＭには、それぞれが値を格納した任意数の成分を含み得る。値および成分の各組み合わせは、データの第１の部分の一部を表し得る。数値データに基づくＶＳＭは、ＶＳＭの選択成分に数値を格納し得る。たとえば、第１の成分が送信元ＩＰアドレスを表し、第２の成分が送信先ＩＰアドレスを表し、第３の成分がパケット・サイズを表し得る、等。例示的なＶＳＭは３つの成分を含むが、本開示の実施形態では、前述の例で議論したよりも多くの成分または少ない成分を有するＶＳＭを生成することができる。

動作３０８において、異常検出システムは、前処理されたデータの第２の部分をテキスト・データとして分類する。テキスト・データとしては、たとえばコマンド、メッセージ、名称、識別子、ログ・データ、エラー、または他のテキスト・データ、あるいはその組み合わせが可能である。たとえば、動作３０８において、異常検出システムは、「https://ssl.google-analytics.com:443 *DENIED* Banned site」をテキスト・データとして分類可能である。

動作３１０において、異常検出システムは、データの第２の部分をＶＳＭにマッピングする。たとえば、異常検出システムは、動作３０８に関して上述した例示的なテキスト・データを「2 193479287 5 43 109820983」等の数字のベクトルに変換可能であり、ベクトルの各成分がスペースにより分離されている。数字のベクトルにおいて、第１の成分「2」は、イベント・カテゴリ・コード（たとえば、ウェブ・プロキシ対象サイトのアクセス通知）を示し得る。第２の成分「193479287」は、対象の統一資源位置指定子（ＵＲＬ）のダイジェスト値（たとえば、「https://ssl.google-analytics.com:443」のダイジェスト値）を表し得る。第３の成分「5」は、状態（たとえば、アクセス拒絶状態）を表し得る。第４の成分「43」は、状態の原因コード（たとえば、禁止サイトの原因コード）を表し得る。第５の成分「109820983」は、禁止サイトのＵＲＬまたはドメイン、あるいはその両方（たとえば、「google-analytics.com」）のダイジェスト値を表し得る。上述の例は、５つの成分（たとえば、５つの次元）を有するＶＳＭを示しているが、任意数の成分が可能である。

動作３１２において、異常検出システムは、ＶＳＭの各成分の各値をそれらが表すデータに相関データベースを生成する。たとえば、データベースは、数字「193479287」と例示的なＶＳＭの第２の成分に対するテキスト「https://ssl.google-analytics.com:443」との相関を格納し得る。

また、いくつかの実施形態において、異常検出システムは、ＶＳＭの成分と数値データのプロパティ属性（たとえば、動作３０６で数値データに基づいて生成されたＶＳＭ）との関連を同じデータベースまたは異なるデータベースに格納することができる。たとえば、異常検出システムは、ＶＳＭの第１の成分が送信元ＩＰアドレスを参照し、ＶＳＭの第２の成分が送信先ＩＰアドレスを参照し、ＶＳＭの第３の成分がパケット・サイズを参照し得るという指示を格納することができる。

動作３１４において、異常検出システムは、少なくとも１つのＶＳＭに基づいて、少なくとも１つのテンソルを生成する。たとえば、サイバーセキュリティ環境中の異なる場所で同じイベントにより生成されたセキュリティ・データを表す複数のＶＳＭがテンソルに収集され得る。別の例においては、同じ一組のセキュリティ・データの時系列を表す複数のＶＳＭがテンソルに収集され得る。別の例においては、すべてのログ・データを表す複数のＶＳＭがテンソルに収集され得る。各テンソルは、各ＶＳＭの次元および各テンソルの生成に用いられる各ＶＳＭの数に基づいて、任意数の次元と関連付け可能である。

図３は、本開示のいくつかの実施形態に係る、例示的なテンソル生成方法の主要な動作を表すことを意図している。ただし、いくつかの実施形態においては、個々の動作が図３に示すより複雑であってもよいし、複雑でなくてもよく、図３に示す動作の付加的な（または、代替的な）動作が存在し得る。さらに、いくつかの実施形態においては、図３に示すさまざまな動作が図３に示す機能より優れていてもよいし、劣っていてもよいし、異なっていてもよい。さらに、いくつかの実施形態においては、図３に示すさまざまな動作が発生する限りは、異なる順序で発生してもよい。

ここで図４を参照して、この図は、本開示のいくつかの実施形態に係る、階層型時間メモリ（ＨＴＭ）ネットワークを用いた例示的な異常スコア処理方法のフローチャートである。いくつかの実施形態において、方法４００は、図２の動作２０８の下位方法である。方法４００は、たとえば１つもしくは複数のプロセッサ、異常検出システム（たとえば、図１の異常検出システム１４８）、ＨＴＭネットワーク（たとえば、図１のＨＴＭネットワーク１３０）、または異なる構成のハードウェアにより実行可能である。明瞭化のため、方法４００は以下、異常検出システムにより実行されるものとして説明するが、本開示の態様は、他のハードウェア・コンポーネントまたはハードウェア・コンポーネントの組み合わせにより実行可能である。

動作４０２において、異常検出システムは、ＨＴＭネットワークが処理する特徴抽出システム（たとえば、図１の特徴抽出システム１２６）からのデータを受信する。いくつかの実施形態において、データには、１つまたは複数のテンソルを含む。１つまたは複数のテンソルは、サイバーセキュリティ環境からの数値データおよびテキスト・データを用いて生成された１つまたは複数のＶＳＭに基づき得る。いくつかの実施形態において、データには、１つまたは複数のテンソルに基づく１つまたは複数のＳＤＲをさらに含む。各テンソルは、空間ベース（たとえば、サイバーセキュリティ環境中の異なる場所）および時間ベース（たとえば、サイバーセキュリティ環境中の異なる時間）全体にわたって特徴抽出システムにより収集されたデータの属性を数値で表すことができる。

動作４０４において、異常検出システムは、受信データをＨＴＭネットワークに入力する。データのＨＴＭネットワークへの入力には、入力データに基づいてＨＴＭネットワークの第１のレイヤの選択セルまたは列（ノードとも称する）、あるいはその両方を活性化することを含み得る。

動作４０６において、異常検出システムは、ＨＴＭネットワークを用いてデータを処理する。いくつかの実施形態において、異常検出システムは、ＨＴＭネットワークの先行レイヤ（たとえば、下位レイヤ）の領域からの出力をＨＴＭネットワークの後続レイヤ（たとえば、上位レイヤ）の領域に適用することができる。当業者には当然のことながら、後続レイヤは、先行レイヤよりも小さいこと（たとえば、より少ない領域、ノード、セル、または列、あるいはその組み合わせ）が可能である。先行レイヤからの出力を入力として後続レイヤに提供することには、先行レイヤの活性セルまたは列、あるいはその両方のパターンに基づいて、後続セルの各セルまたは列、あるいはその両方を活性化することを含み得る。動作４０６には、ＨＴＭネットワークの任意数のレイヤおよび領域に対するデータの処理を含み得る。

動作４０８において、異常検出システムは、ＨＴＭネットワークの各レイヤの各領域からの結果を特徴抽出システムに出力する。出力としては、ＨＴＭネットワークの各領域の活性ノードおよび非活性ノードに基づくアレイが挙げられるが、これに限定されない。出力は、たとえば予測、信頼性、異常検出、パターン検出、パターン表現、ローカル・スコア、またはグローバル・スコア（たとえば、グローバル環境異常スコア）、あるいはその組み合わせを表し得る。

図４は、本開示のいくつかの実施形態に係る、ＨＴＭネットワークを用いた例示的な異常スコア処理方法の主要な動作を表すことを意図している。ただし、いくつかの実施形態においては、個々の動作が図４に示すより複雑であってもよいし、複雑でなくてもよく、図４に示す動作の付加的な（または、代替的な）動作が存在し得る。さらに、いくつかの実施形態においては、図４に示すさまざまな動作が図４に示す機能より優れていてもよいし、劣っていてもよいし、異なっていてもよい。さらに、いくつかの実施形態においては、図４に示すさまざまな動作が発生する限りは、異なる順序で発生してもよい。

ここで図５を参照して、この図は、本開示のいくつかの実施形態に係る、例示的なＨＴＭデータ後処理方法のフローチャートである。いくつかの実施形態において、方法５００は、図２の動作２１０の下位方法である。方法５００は、たとえば１つもしくは複数のプロセッサ、異常検出システム（たとえば、図１の異常検出システム１４８）、特徴抽出システム（たとえば、図１の特徴抽出システム１２６）、または異なる構成のハードウェアにより実行可能である。明瞭化のため、方法５００は以下、異常検出システムにより実行されるものとして説明するが、本開示の態様は、他のハードウェア・コンポーネントまたはハードウェア・コンポーネントの組み合わせにより実行可能である。

動作５０２において、異常検出システムは、ＨＴＭ出力を読み出す。ＨＴＭ出力には、ＨＴＭネットワークの任意の領域またはレベルの予測、信頼性、スコア、またはパターン、あるいはその組み合わせを示す数値出力（たとえば、アレイ）を含み得る。いくつかの実施形態において、ＨＴＭ出力は、ＳＤＲフォーマット、テンソル・フォーマット、またはＶＳＭフォーマット、あるいはその組み合わせにて受信可能である。ＨＴＭ出力は、ＨＴＭネットワークの所与の領域の活性ノードまたは非活性ノード、あるいはその両方、ＨＴＭネットワークの所与の領域の予測活性ノードまたは予測非活性ノード、あるいはその両方、またはＨＴＭネットワークの所与の領域の予測ノード動作と観測ノード動作との差、あるいはその組み合わせに基づくことができる。

動作５０４において、異常検出システムは、履歴情報（たとえば、図１の履歴データ１３８）を読み出す。履歴情報には、たとえばＨＴＭネットワークと関連付けられた過去の入力または出力、あるいはその両方を含み得る。異常検出システムは、内部ストレージまたは外部ストレージに格納されたデータベースから履歴データを読み出すことができる。

動作５０６において、異常検出システムは、インターネット情報（たとえば、図１のインターネット・データ１４０）を読み出す。インターネット情報には、たとえばソーシャル・メディア・ウェブサイト、ニュース・ウェブサイトから読み出されたデータ、またはインターネットから読み出された他の情報を含むことができる。たとえば、異常検出システムは、１つまたは複数のニュース・ウェブサイトからの新たなランサムウェア攻撃に関する情報を読み出すことができる。

動作５０８において、異常検出システムは、環境情報（たとえば、図１の環境データ１４２）を読み出す。環境データとしては、サイバーセキュリティ・プロトコル、サイバーセキュリティ・ポリシー、サイバーセキュリティ手順、既知の脆弱性、既知の脅威、またはサーバ、コンピュータ、ラップトップ、タブレット、手持ち式デバイス、ウェアラブル・デバイス、スマートフォン、ネットワーク、ルータ、ハブ、ソフトウェア、ファームウェア、アプリケーション、オペレーティング・システム、またはサイバーセキュリティ環境において機能する他の構成要素、あるいはその組み合わせの構成、モデル、またはバージョン、あるいはその組み合わせと関連する他の情報が挙げられるが、これらに限定されない。異常検出システムは、内部ストレージまたは外部ストレージ、あるいはその両方から環境データを読み出すことができる。

動作５１０において、異常検出システムは、グローバル・セキュリティ・データ（たとえば、図１のグローバル・セキュリティ・データ１４４）を読み出す。グローバル・セキュリティ・データとしては、サイバーセキュリティの脅威、脆弱性、攻撃、方法、技術、戦略、成功事例、学んだ教訓、またはグローバル・サイバーセキュリティと関連する他のデータが挙げられるが、これらに限定されない。グローバル・セキュリティ・データは、内部ストレージまたは外部ストレージ、あるいはその両方から読み出すことができる。

動作５１２において、異常検出システムは、動作５０２〜５１０において読み出されたデータに機械学習を実行する。機械学習としては、拡張知能、人工知能、またはコグニティブ・コンピューティング、あるいはその組み合わせと関連付けられた技術が挙げられる。たとえば、機械学習としては、決定木学習、相関ルール学習、人工ニューラル・ネットワーク、深層学習、帰納法プログラミング、サポート・ベクター・マシン、クラスタリング、ベイジアン・ネットワーク、強化学習、表現学習、類似性／基準学習、遺伝的アルゴリズム、ルールベース機械学習、自然言語処理、学習分類器システム、またはデータのコーパスから関連する洞察を生成可能な技術、あるいはその組み合わせが挙げられるが、これらに限定されない。

たとえば、いくつかの実施形態において、動作５１２は、Ｋ近傍法（ＫＮＮ）、学習ベクトル量子化（ＬＶＱ）、自己組織化写像（ＳＯＭ）、ロジスティック回帰、最小二乗回帰（ＯＬＳＲ）、線形回帰、ステップワイズ回帰、多変量適応型回帰スプライン（ＭＡＲＳ）、リッジ回帰、最小絶対値縮小選択演算子（ＬＡＳＳＯ）、エラスティック・ネット、最小角度回帰（ＬＡＲＳ）、確率的分類器、単純ベイズ分類器、二項分類器、線形分類器、階層分類器、正準相関分析（ＣＣＡ）、因子分析、独立成分分析（ＩＣＡ）、線形判別分析（ＬＤＡ）、多次元スケーリング（ＭＤＳ）、非負値基準因子分解（ＮＭＦ）、部分的最小二乗回帰（ＰＬＳＲ）、主成分分析（ＰＣＡ）、主成分回帰（ＰＣＲ）、サモン・マッピング、ｔ分布確率的近傍埋め込み法（ｔＳＮＥ）、ブートストラップ・アグリゲーティング、アンサンブル平均化、勾配ブースティング決定木（ＧＢＲＴ）、勾配ブースティング・マシン（ＧＢＭ）、帰納バイアス・アルゴリズム、Ｑ学習、ＳＡＲＳＡ（State-Action-Reward-State-Action）、時間的差分（ＴＤ）学習、アプリオリ・アルゴリズム、等価クラス変換（ＥＣＬＡＴ）アルゴリズム、ガウス過程回帰、遺伝子発現プログラミング、ＧＭＤＨ（Group Method of Data Handling）、帰納法プログラミング、インスタンス・ベース学習、ロジスティック・モデル木、情報ファジー・ネットワーク（ＩＦＮ）、隠れマルコフ・モデル、ガウス単純ベイズ、多項単純ベイズ、平均単依存推定器（ＡＯＤＥ）、ベイジアン・ネットワーク（ＢＮ）、分類・回帰木（ＣＡＲＴ）、カイ二乗自動相互作用検出（ＣＨＡＩＤ）、期待値最大化アルゴリズム、フィードフォワード・ニューラル・ネットワーク、論理学習マシン、自己組織化マップ、シングル・リンケージ・クラスタリング、ファジー・クラスタリング、階層クラスタリング、ボルツマン・マシン、畳み込みニューラル・ネットワーク、再帰ニューラル・ネットワーク、階層型時間メモリ（ＨＴＭ）、または他の機械学習技術、あるいはその組み合わせ等の例示的な技術のうちの１つまたは複数を使用可能である。

動作５１４において、異常検出システムは、動作５１２の出力を提示する。出力には、予測、信頼性、異常検出、パターン、警告、スコア、または別の出力を含み得る。出力は、ユーザ・インターフェース（たとえば、図１のユーザ・インターフェース１４６）に提示すること、メモリ（たとえば、図１の履歴データ１３８等の履歴データ・リポジトリ）に格納すること、または別のコンピュータ・システムに送信することが可能である。

図５は、本開示のいくつかの実施形態に係る、例示的なＨＴＭ出力後処理方法の主要な動作を表すことを意図している。ただし、いくつかの実施形態においては、個々の動作が図５に示すより複雑であってもよいし、複雑でなくてもよく、図５に示す動作の付加的な（または、代替的な）動作が存在し得る。さらに、いくつかの実施形態においては、図５に示すさまざまな動作が図５に示す機能より優れていてもよいし、劣っていてもよいし、異なっていてもよい。さらに、いくつかの実施形態においては、図５に示すさまざまな動作が発生する限りは、異なる順序で発生してもよい。

ここで図６を参照して、この図は、本開示のいくつかの実施形態に係る、例示的な異常検出システム問い合わせ方法のフローチャートである。いくつかの実施形態において、方法６００は、図２の動作２１２の下位方法である。方法６００は、たとえば１つもしくは複数のプロセッサ、異常検出システム（たとえば、図１の異常検出システム１４８）、自然言語処理（ＮＬＰ）システム（たとえば、図１のＮＬＰシステム１５２）、または異なる構成のハードウェアにより実行可能である。明瞭化のため、方法６００は以下、異常検出システムにより実行されるものとして説明するが、本開示の態様は、他のハードウェア・コンポーネントまたはハードウェア・コンポーネントの組み合わせにより実行可能である。

動作６０２において、異常検出システムは、クエリを受け付ける。クエリは、たとえばユーザ・インターフェース（たとえば、図１のユーザ・インターフェース１４６）から受け付け可能である。クエリは、質問の形態も可能であるし、データのリクエストを指定する別の形態も可能である。

動作６０４において、異常検出システムは、クエリに自然言語処理を実行して、クエリをＨＴＭネットワークへの問い合わせに適したフォーマットに変換する。いくつかの実施形態において、異常検出システムは、データベース（たとえば、図１のデータベース１２８）を用いて、クエリの関連テキストを、ＨＴＭネットワークが使用する適当なＶＳＭ、テンソル、またはＳＤＲ、あるいはその組み合わせに変換することができる。いくつかの実施形態において、異常検出システムは、ＨＴＭ出力に実行する１つまたは複数の適当なデータ分析アルゴリズムを識別して、クエリに対する適当な回答を読み出す。

動作６０６において、異常検出システムは、クエリに基づいて、ＨＴＭネットワークの少なくとも１つの関連領域を識別する。異常検出システムは、（たとえば、適当なデータ分析アルゴリズムの実行によって）ＨＴＭネットワークの少なくとも１つの関連領域から、１つまたは複数のＨＴＭ出力を読み出すことができる。ＨＴＭ出力には、予測、信頼性、スコア、パターン、または他のデータを表すＶＳＭ、テンソル、またはＳＤＲ、あるいはその組み合わせを含み得る。

動作６０８において、異常検出システムは、ＨＴＭネットワークから読み出された情報に自然言語処理を実行して、ＨＴＭ出力を提示に適したフォーマット（たとえば、文として構造化された回答）に変換する。いくつかの実施形態において、動作６０８には、たとえばデータベース（たとえば、図１のデータベース１２８）を用いてＨＴＭ出力を後処理することにより、テキスト・データまたは数値データ、あるいはその両方を含む応答へとＶＳＭ、テンソル、またはＳＤＲ、あるいはその組み合わせを変換することを含む。

動作６１０において、異常検出システムは、回答をユーザ・インターフェースに提示する。いくつかの実施形態において、回答は、質問に対する応答、値、レポート、表、情報画像、または別のフォーマットとして提示される。

方法６００の一例として、異常検出システムは、たとえば「今後２０分以内にSECPRX2938.customer.comに対して予想されるログイン試行の数は？」等のクエリを受信することができる（たとえば、動作６０２）。異常検出システムは、ＨＴＭネットワークへの問い合わせに適したフォーマットに受信クエリを変換し（たとえば、動作６０４）、ＨＴＭネットワークの関連領域からＨＴＭ出力を読み出し（たとえば、動作６０６）、読み出したＨＴＭ出力を回答に変換し（たとえば、動作６０８）、回答をユーザ・インターフェースに提示する（たとえば、動作６１０）ことができる。たとえば、異常検出システムは、上述の例示的なクエリに応答して、テキスト「当該ホストは、７５．８％の信頼区間で、今後２０分間に約１５９回のログイン試行を処理することが予想される」を提示することができる。

図６は、本開示のいくつかの実施形態に係る、例示的な異常検出システム問い合わせ方法の主要な動作を表すことを意図している。ただし、いくつかの実施形態においては、個々の動作が図６に示すより複雑であってもよいし、複雑でなくてもよく、図６に示す動作の付加的な（または、代替的な）動作が存在し得る。さらに、いくつかの実施形態においては、図６に示すさまざまな動作が図６に示す機能より優れていてもよいし、劣っていてもよいし、異なっていてもよい。さらに、いくつかの実施形態においては、図６に示すさまざまな動作が発生する限りは、異なる順序で発生してもよい。

図７は、本開示のいくつかの実施形態に係る、異常検出システム７００のブロック図である。いくつかの実施形態において、異常検出システム７００は、図１の異常検出システム１４８と整合する。種々実施形態において、異常検出システム７００は、図２〜図６に記載の方法のいずれかを実行する。いくつかの実施形態において、異常検出システム７００は、図２〜図６に記載の１つまたは複数の方法に関する命令をクライアント・マシンに提供し、その結果、クライアント・マシンは異常検出システム７００により提供された命令に基づいて、その方法またはその方法の一部を実行する。

異常検出システム７００は、メモリ７２５、ストレージ７３０、相互接続（たとえば、バス）７２０、１つまたは複数のＣＰＵ７０５（本明細書においては、プロセッサ７０５とも称する）、入出力装置インターフェース７１０、入出力装置７１２、およびネットワーク・インターフェース７１５を具備する。

各ＣＰＵ７０５は、メモリ７２５またはストレージ７３０に格納されたプログラミング命令を読み出して実行する。相互接続７２０は、プログラミング命令等のデータの、ＣＰＵ７０５、入出力装置インターフェース７１０、ストレージ７３０、ネットワーク・インターフェース７１５、およびメモリ７２５間の移動に用いられる。相互接続７２０は、１つまたは複数のバスを用いて実装可能である。種々実施形態において、ＣＰＵ７０５は、単一のＣＰＵ、複数のＣＰＵ、または複数の処理コアを有する単一のＣＰＵが可能である。いくつかの実施形態において、ＣＰＵ７０５は、デジタル・シグナル・プロセッサ（ＤＳＰ）が可能である。いくつかの実施形態において、ＣＰＵ７０５には、１つまたは複数の３ＤＩＣ（たとえば、３Ｄウェハ・レベル・パッケージング（３ＤＷＬＰ）、３Ｄインターポーザ・ベース集積、３Ｄ積層ＩＣ（３Ｄ−ＳＩＣ）、モノリシック３Ｄ ＩＣ、３Ｄ不均一集積、３Ｄシステム・イン・パッケージ（３ＤＳｉＰ）、またはパッケージ・オン・パッケージ（ＰｏＰ）、あるいはその組み合わせのＣＰＵ構成）を含む。３ＤＩＣを含む実施形態において、当該３ＤＩＣは、ＨＴＭ命令７６４の処理またはＨＴＭデータ７３４の生成、あるいはその両方と関連付け可能である。メモリ７２５は一般的に、代表的なランダム・アクセス・メモリ（たとえば、スタティック・ランダム・アクセス・メモリ（ＳＲＡＭ）、ダイナミック・ランダム・アクセス・メモリ（ＤＲＡＭ）、またはフラッシュ）に含まれる。ストレージ７３０は一般的に、ハード・ディスク・ドライブ、ソリッドステート・デバイス（ＳＳＤ）、リムーバブル・メモリ・カード、光ストレージ、またはフラッシュ・メモリ・デバイスなど、代表的な不揮発性メモリに含まれる。代替実施形態において、ストレージ７３０は、入出力装置インターフェース７１０を介して異常検出システム７００に接続された、または、ネットワーク・インターフェース７１５を介してネットワーク７５０に接続されたストレージ・エリア・ネットワーク（ＳＡＮ）デバイス、クラウド、または他のデバイスにより置き換え可能である。

いくつかの実施形態においては、メモリ７２５が命令７６０を格納し、ストレージ７３０がデータベース７３２、ＨＴＭデータ７３４、およびデータ源７３６を格納する。ただし、種々実施形態において、命令７６０、データベース７３２、ＨＴＭデータ７３４、およびデータ源７３６は、一部がメモリ７２５、一部がストレージ７３０に格納されるか、全体がメモリ７２５もしくはストレージ７３０に格納されるか、または、ネットワーク・インターフェース７１５を介してネットワーク７５０上でアクセスされる。

データベース７３２は、図１のデータベース１２８と整合する。データベース７３２は、各ＶＳＭの各成分の各値にテキスト・データおよび数値データを相関させるデータベースを格納することができる。

ＨＴＭデータ７３４には、ＨＴＭネットワーク（たとえば、図１のＨＴＭネットワーク１３０）に入力されるデータまたはＨＴＭネットワークから出力されるデータを含むことができる。ＨＴＭデータ７３４には、ＶＳＭ、テンソル、またはＳＤＲ、あるいはその組み合わせを含むことができる。いくつかの実施形態において、ＨＴＭデータ７３４には、利用しやすいフォーマットのデータ（たとえば、テキスト、レポート、情報画像、チャート、警告等）を含み得る。ＨＴＭデータ７３４には、ＨＴＭネットワークの任意数の領域またはレイヤ、あるいはその両方に入力されるデータまたはそれらから出力されるデータ、あるいはその両方を含むことができる。

データ源７３６には、履歴データ、インターネット・データ、環境データ、またはグローバル・セキュリティ・データ、あるいはその組み合わせ等、サイバーセキュリティ環境からのデータ（たとえば、図１のＳＩＥＭシステム１２４により収集されたデータ）またはサイバーセキュリティ環境と関連する他のデータ（たとえば、図１のデータ源１３６）、あるいはその両方を収集するデータ源を含むことができる。

命令７６０は、特徴抽出命令７６２、ＨＴＭ命令７６４、および質問・回答（Ｑ＆Ａ）命令７６６を含むプロセッサ実行可能命令である。特徴抽出命令７６２は、異常検出システム７００による実行によって、データの収集、データの変換、ＨＴＭネットワークとの連動、またはユーザ・インターフェースとの連動、あるいはそれらの組み合わせが可能である。特徴抽出命令７６２は、図２、図３、および図５において上述した方法のいずれかを実行するように構成可能である。

特徴抽出命令７６２には、データ分析アルゴリズムの実行、またはデータの機械学習の実行、あるいはその両方の命令を含み得る。特徴抽出命令７６２には、決定木学習、相関ルール学習、人工ニューラル・ネットワーク、深層学習、帰納法プログラミング、サポート・ベクター・マシン、クラスタリング、ベイジアン・ネットワーク、強化学習、表現学習、類似性／基準トレーニング、スパース辞書学習、遺伝的アルゴリズム、ルールベース学習、または他の機械学習技術、あるいはその組み合わせ等、機械学習アルゴリズム用の命令を含むが、これらに限定されない。

特徴抽出命令７６２には、Ｋ近傍法（ＫＮＮ）、学習ベクトル量子化（ＬＶＱ）、自己組織化写像（ＳＯＭ）、ロジスティック回帰、最小二乗回帰（ＯＬＳＲ）、線形回帰、ステップワイズ回帰、多変量適応型回帰スプライン（ＭＡＲＳ）、リッジ回帰、最小絶対値縮小選択演算子（ＬＡＳＳＯ）、エラスティック・ネット、最小角度回帰（ＬＡＲＳ）、確率的分類器、単純ベイズ分類器、二項分類器、線形分類器、階層分類器、正準相関分析（ＣＣＡ）、因子分析、独立成分分析（ＩＣＡ）、線形判別分析（ＬＤＡ）、多次元スケーリング（ＭＤＳ）、非負値基準因子分解（ＮＭＦ）、部分的最小二乗回帰（ＰＬＳＲ）、主成分分析（ＰＣＡ）、主成分回帰（ＰＣＲ）、サモン・マッピング、ｔ分布確率的近傍埋め込み法（ｔ−ＳＮＥ）、ブートストラップ・アグリゲーティング、アンサンブル平均化、勾配ブースティング決定木（ＧＢＲＴ）、勾配ブースティング・マシン（ＧＢＭ）、帰納バイアス・アルゴリズム、Ｑ学習、ＳＡＲＳＡ（State-Action-Reward-State-Action）、時間的差分（ＴＤ）学習、アプリオリ・アルゴリズム、等価クラス変換（ＥＣＬＡＴ）アルゴリズム、ガウス過程回帰、遺伝子発現プログラミング、ＧＭＤＨ（Group Method of Data Handling）、帰納法プログラミング、インスタンス・ベース学習、ロジスティック・モデル木、情報ファジー・ネットワーク（ＩＦＮ）、隠れマルコフ・モデル、ガウス単純ベイズ、多項単純ベイズ、平均単依存推定器（ＡＯＤＥ）、ベイジアン・ネットワーク（ＢＮ）、分類・回帰木（ＣＡＲＴ）、カイ二乗自動相互作用検出（ＣＨＡＩＤ）、期待値最大化アルゴリズム、フィードフォワード・ニューラル・ネットワーク、論理学習マシン、自己組織化マップ、シングル・リンケージ・クラスタリング、ファジー・クラスタリング、階層クラスタリング、ボルツマン・マシン、畳み込みニューラル・ネットワーク、再帰ニューラル・ネットワーク、階層型時間メモリ（ＨＴＭ）、または他の機械学習技術、あるいはその組み合わせ等の例示的な技術のうちの１つまたは複数を用いて機械学習を実行可能なアルゴリズムまたはアルゴリズム集合を含むことができる。

ＨＴＭ命令７６４は、異常検出システム７００による実行によって、サイバーセキュリティ・データをＨＴＭネットワークに適用することにより、ＨＴＭネットワークが処理するデータのパターンに基づいて異常挙動を検出可能である。ＨＴＭ命令７６４は、図４に記載の方法の実行またはＨＴＭデータ７３４の生成、あるいはその両方を行うように構成可能である。いくつかの実施形態において、ＨＴＭ命令７６４は、３ＤＩＣを用いて実装される。

Ｑ＆Ａ命令７６６は、異常検出システム７００による実行によって、利用しやすいフォーマットでＨＴＭデータ７３４を提示可能である。Ｑ＆Ａ命令７６６には、たとえば見出し語認定、形態学的セグメンテーション、品詞（ＰＯＳ）タグ付け、構文解析、文境界明確化、語幹抽出、セグメンテーション、用語抽出、意味解析、感情分析、光学式文字認識、多義性解消、音声認識、テキスト−音声処理、または自然言語処理（ＮＬＰ）の実行に有用な他の技術、あるいはその組み合わせを含むことができる。Ｑ＆Ａ命令７６６は、図６に記載の方法を実行するように構成可能である。

種々実施形態において、入出力装置７１２は、情報の提示および入力の受け付けが可能なインターフェースを具備する。たとえば、入出力装置７１２は、異常検出システム７００と相互作用するユーザに情報（たとえば、異常スコア）を提示するとともに、ユーザから入力（たとえば、選択緩和措置）を受け付けることができる。

異常検出システム７００は、ネットワーク・インターフェース７１５を介してネットワーク７５０に接続されている。いくつかの実施形態において、ネットワーク７５０は、図１のネットワーク１５０と整合する。

図７は、本開示の実施形態に係る、例示的な異常検出システム７００の主要な構成要素を表すことを意図している。ただし、いくつかの実施形態においては、個々の構成要素が図７に示すより複雑であってもよいし、複雑でなくてもよく、図７に示す構成要素以外の構成要素または付加的な構成要素が存在し得る。さらに、いくつかの実施形態においては、図７に示すさまざまな構成要素が図７に示す機能より優れていてもよいし、劣っていてもよいし、異なっていてもよい。

本開示はクラウド・コンピューティングに関する詳細な説明を含むものの、本明細書に列挙の教示内容の実装は、クラウド・コンピューティング環境に限定されないことが了解されるものとする。むしろ、本開示の実施形態は、その他任意の種類の既知のコンピューティング環境または今後開発されるコンピューティング環境と併せて実現可能である。

クラウド・コンピューティングは、最小限の管理労力またはサービス提供者との相互作用で迅速に設定および公開し得る設定可能なコンピューティング・リソース（たとえば、ネットワーク、ネットワーク帯域幅、サーバ、処理、メモリ、ストレージ、アプリケーション、仮想マシン、およびサービス）の共用プールへの便利なオンデマンド・ネットワーク・アクセスを可能にするサービス提供のモデルである。このクラウド・モデルには、少なくとも５つの特性、少なくとも３つのサービス・モデル、および少なくとも４つの配置モデルを含むことができる。

特性は、以下の通りである。
オンデマンド・セルフサービス：クラウド利用者は、サービス提供者との人間の相互作用の必要なく、必要に応じて自動的に、サーバ時間およびネットワーク・ストレージ等のコンピューティング機能を一方的に設定可能である。
広範なネットワーク・アクセス：各機能は、ネットワーク上で利用可能であり、シン／シックを問わず異種クライアント・プラットフォーム（たとえば、携帯電話、ラップトップ、およびＰＤＡ）による使用を促進する標準的な機構を通じてアクセスされる。
リソース・プーリング：提供者のコンピューティング・リソースは、マルチテナント・モデルを用いて、複数の利用者に提供されるようプールされる。その際、要求に応じて、さまざまな物理的リソースおよび仮想的リソースが動的に割り当ておよび再割り当てされる。利用者は一般的に、提供されるリソースの正確な場所を制御も把握もできず、より高い抽象化レベルの場所（たとえば、国、州、またはデータ・センタ）を特定し得る点において、場所の非依存性の感覚が存在する。
迅速な柔軟性：各機能は、場合によっては自動的に、高速スケール・アウトするように迅速かつ柔軟に設定され、高速スケール・インするように迅速に公開され得る。利用者にとって、設定に利用可能な機能は、見かけ上は制限なく、いつでも如何なる量でも購入可能である。
サービス測定：クラウド・システムは、サービスの種類（たとえば、ストレージ、処理、帯域幅、およびアクティブ・ユーザ・アカウント）に適した抽象化レベルでの測定機能を利用することによって、リソースの使用を自動的に制御および最適化する。リソースの使用は、モニタリング、制御、および報告され、利用サービスの提供者および利用者の両者に透明性をもたらし得る。

サービス・モデルは、以下の通りである。
サービスとしてのソフトウェア（ＳａａＳ）：利用者に提供される機能は、クラウド・インフラ上で動作する提供者のアプリケーションを使用する。これらのアプリケーションは、ウェブ・ブラウザ等のシン・クライアント・インターフェースを通じて、さまざまなクライアント・デバイスからアクセス可能である（たとえば、ウェブベースの電子メール）。利用者は、ネットワーク、サーバ、オペレーティング・システム、ストレージ、または個々のアプリケーション機能をも含む、基本的なクラウド・インフラを管理も制御もしない。ただし、ユーザ固有の限定されたアプリケーション構成の設定については、この限りではない。
サービスとしてのプラットフォーム（ＰａａＳ）：利用者に提供される機能は、提供者がサポートするプログラミング言語およびツールを用いて作成された、利用者作成または取得アプリケーションをクラウド・インフラ上に配置することである。利用者は、ネットワーク、サーバ、オペレーティング・システム、またはストレージを含む、基本的なクラウド・インフラを管理も制御もしないが、配置されたアプリケーションと、場合によっては、アプリケーションのホスティング環境の構成を制御する。
サービスとしてのインフラ（ＩａａＳ）：利用者に提供される機能は、処理、ストレージ、ネットワーク、および他の基本的なコンピューティング・リソースを設定することであり、そこで利用者は、オペレーティング・システムおよびアプリケーションを含む、任意のソフトウェアを配置および実行可能である。利用者は、基本的なクラウド・インフラを管理も制御もしない。ただし、オペレーティング・システム、ストレージ、配置されたアプリケーションを制御するとともに、場合によっては、選択されたネットワーク・コンポーネント（たとえば、ホストのファイアウォール）を限定的に制御する。

配置モデルは、以下の通りである。
プライベート・クラウド：このクラウド・インフラは、ある組織のためだけに運用される。また、当該組織またはサード・パーティにより管理され、オンプレミスまたはオフプレミスで存在し得る。
コミュニティ・クラウド：このクラウド・インフラは、複数の組織により共有され、懸案事項（たとえば、ミッション、セキュリティ要件、ポリシー、およびコンプライアンス事項）を共有する特定のコミュニティをサポートする。また、当該組織またはサード・パーティにより管理され、オンプレミスまたはオフプレミスで存在し得る。
パブリック・クラウド：このクラウド・インフラは、一般の人々または大規模な業界団体が利用可能で、クラウド・サービスを販売する組織により所有される。
ハイブリッド・クラウド：このクラウド・インフラは、独自のエンティティを維持する２つ以上のクラウド（プライベート、コミュニティ、またはパブリック）の組み合わせであり、データおよびアプリケーションの移植性（たとえば、クラウド間の負荷分散のためのクラウド・バースティング）を実現する標準または固有の技術により結合されている。

クラウド・コンピューティング環境は、無国籍、低結合、モジュール方式、およびセマンティック相互運用性に焦点を当てたサービス指向型である。クラウド・コンピューティングの中心は、相互接続されたノードのネットワークを含むインフラである。

ここで、図８を参照すると、クラウド・コンピューティング環境５０が示される。図示のように、クラウド・コンピューティング環境５０は、たとえば個人用デジタル補助装置（ＰＤＡ）もしくは携帯電話５４Ａ、デスクトップ・コンピュータ５４Ｂ、ラップトップ・コンピュータ５４Ｃ、または自動車コンピュータ・システム５４Ｎ、あるいはその組み合わせ等、クラウド利用者が使用するローカルのコンピュータ機器が通信できる１つまたは複数のクラウド・コンピューティング・ノード１０を具備する。ノード１０は、互いに通信するようにしてもよい。これらは、上述のプライベート、コミュニティ、パブリック、もしくはハイブリッド・クラウド、またはその組み合わせ等、１つまたは複数のネットワークにおいて物理的または仮想的にグループ化されていてもよい（図示せず）。これにより、クラウド・コンピューティング環境５０は、クラウド利用者がローカルのコンピュータ機器上でリソースを維持する必要のないサービスとしてのインフラ、プラットフォーム、またはソフトウェア、あるいはその組み合わせを提供することができる。図８に示すコンピュータ機器５４Ａ〜５４Ｎの種類は、例示を意図したものに過ぎず、コンピューティング・ノード１０およびクラウド・コンピューティング環境５０は、（たとえば、ウェブ・ブラウザを用いることにより）任意の種類のネットワークまたはネットワークがアドレス可能な接続、あるいはその両方によって、任意の種類のコンピュータ機器と通信可能であることが了解される。

ここで図９を参照すると、クラウド・コンピューティング環境５０（図８）が提供する一組の機能的抽象化レイヤが示されている。図９に示すコンポーネント、レイヤ、および機能は、例示を意図したものに過ぎず、本発明の実施形態はこれらに限定されないことが予め了解されるものとする。図示のように、以下のレイヤおよび対応する機能が提供される。

ハードウェア・ソフトウェア・レイヤ６０は、ハードウェアおよびソフトウェア・コンポーネントを含む。ハードウェア・コンポーネントの例としては、メインフレーム６１、ＲＩＳＣ（縮小命令セット・コンピュータ）アーキテクチャ・ベースのサーバ６２、サーバ６３、ブレード・サーバ６４、記憶装置６５、およびネットワーク／ネットワーキング・コンポーネント６６が挙げられる。いくつかの実施形態において、ソフトウェア・コンポーネントとしては、ネットワーク・アプリケーション・サーバ・ソフトウェア６７およびデータベース・ソフトウェア６８が挙げられる。

仮想化レイヤ７０は、抽象化レイヤを提供し、抽象化レイヤから提供され得る仮想エンティティの例としては、仮想サーバ７１、仮想ストレージ７２、仮想ネットワーク７３（仮想プライベート・ネットワークを含む）、仮想アプリケーション／オペレーティング・システム７４、および仮想クライアント７５が挙げられる。

一例において、管理レイヤ８０は、後述の機能を提供するようにしてもよい。リソース設定８１は、コンピューティング・リソースおよびクラウド・コンピューティング環境内のタスクの実行に利用される他のリソースの動的な調達を提供する。測定・価格設定８２は、クラウド・コンピューティング環境においてリソースが利用される場合のコスト追跡ならびにこれらリソースの消費に対する請求もしくはインボイスを提供する。一例において、これらのリソースは、アプリケーション・ソフトウェア・ライセンスを含み得る。セキュリティは、クラウド利用者およびタスクの識別情報確認、ならびにデータおよび他のリソースの保護を提供する。ユーザ・ポータル８３は、利用者およびシステム管理者に対してクラウド・コンピューティング環境へのアクセスを提供する。サービス・レベル管理８４は、要求されたサービスのレベルを満足させるように、クラウド・コンピューティング・リソースの割り当ておよび管理を提供する。サービス・レベル合意（ＳＬＡ）計画・実行８５は、ＳＬＡに従って将来的に要求が見込まれるクラウド・コンピューティング・リソースの事前の取り決めおよび調達を提供する。

ワークロード・レイヤ９０は、クラウド・コンピューティング環境を利用可能な機能の例を提供する。このレイヤから提供可能なワークロードおよび機能の例としては、マッピングおよびナビゲーション９１、ソフトウェア開発・ライフサイクル管理９２、仮想教室／教育提供９３、データ解析処理９４、トランザクション処理９５、および異常検出９６が挙げられる。

本発明の実施形態は、考え得る任意の技術的詳細統合レベルのシステム、方法、またはコンピュータ・プログラム製品、あるいはその組み合わせであってもよい。コンピュータ・プログラム製品は、本発明の態様をプロセッサに実行させるコンピュータ可読プログラム命令が格納された（１つまたは複数の）コンピュータ可読記憶媒体を具備していてもよい。

コンピュータ可読記憶媒体としては、命令実行デバイスが使用する命令を保持および格納し得る有形デバイスが可能である。コンピュータ可読記憶媒体は、たとえば電子記憶装置、磁気記憶装置、光学記憶装置、電磁記憶装置、半導体記憶装置、またはこれらの任意適当な組み合わせであってもよいが、これらに限定されない。コンピュータ可読記憶媒体のより具体的な例の非網羅的な一覧には、携帯型コンピュータ・ディスケット、ハード・ディスク、ランダム・アクセス・メモリ（ＲＡＭ）、リードオンリー・メモリ（ＲＯＭ）、消去・プログラム可能リードオンリー・メモリ（ＥＰＲＯＭもしくはフラッシュ・メモリ）、スタティック・ランダム・アクセス・メモリ（ＳＲＡＭ）、携帯型コンパクト・ディスク・リードオンリー・メモリ（ＣＤ−ＲＯＭ）、デジタル多用途ディスク（ＤＶＤ）、メモリ・スティック、フロッピー（Ｒ）・ディスク、パンチカードまたは溝に命令が記録された隆起構造等の機械的符号化デバイス、およびこれらの任意適当な組み合わせを含む。本明細書において、コンピュータ可読記憶媒体は、電波等の自由伝搬電磁波、導波路等の送信媒体を伝搬する電磁波（たとえば、光ファイバ・ケーブルを通過する光パルス）、またはワイヤを通じて送信される電気信号等、本質的に一時的な信号としては解釈されないものとする。

本明細書に記載のコンピュータ可読プログラム命令は、コンピュータ可読記憶媒体から各コンピュータ／処理機器にダウンロードすることも可能であるし、たとえばインターネット、ローカル・エリア・ネットワーク、ワイド・エリア・ネットワーク、または無線ネットワーク、あるいはその組み合わせを介して外部コンピュータまたは外部記憶装置にダウンロードすることも可能である。ネットワークは、送信銅ケーブル、送信光ファイバ、無線送信、ルータ、ファイアウォール、スイッチ、ゲートウェイ・コンピュータ、またはエッジ・サーバ、あるいはその組み合わせを含んでいてもよい。各コンピュータ／処理機器のネットワーク・アダプタ・カードまたはネットワーク・インターフェースは、ネットワークからコンピュータ可読プログラム命令を受信し、当該コンピュータ可読プログラム命令を転送して、各コンピュータ機器／処理機器内のコンピュータ可読記憶媒体に格納する。

本発明の動作を実行するコンピュータ可読プログラム命令は、アセンブラ命令、命令セット・アーキテクチャ（ＩＳＡ）命令、マシン命令、マシン依存命令、マイクロコード、ファームウェア命令、状態設定データ、集積回路の設定データ、あるいはＳｍａｌｌｔａｌｋ、Ｃ＋＋等のオブジェクト指向プログラミング言語ならびにＣプログラミング言語もしくは類似のプログラミング言語等の手続き型プログラミング言語を含む１つまたは複数のプログラミング言語の任意の組み合わせで記述されたソース・コードまたはオブジェクト・コードのいずれかであってもよい。コンピュータ可読プログラム命令は、独立型ソフトウェア・パッケージとして全部をユーザのコンピュータ上で実行してもよく、一部をユーザのコンピュータ上で実行してもよく、一部をユーザのコンピュータ上、一部をリモート・コンピュータ上で実行してもよく、全部をリモート・コンピュータまたはサーバ上で実行してもよい。後者のシナリオでは、ローカル・エリア・ネットワーク（ＬＡＮ）またはワイド・エリア・ネットワーク（ＷＡＮ）等、任意の種類のネットワークを通じてリモート・コンピュータがユーザのコンピュータに接続されていてもよいし、（たとえば、インターネット・サービス・プロバイダを用いることによりインターネットを通じて）外部コンピュータに接続されていてもよい。いくつかの実施形態においては、本発明の態様を実行するため、コンピュータ可読プログラム命令の状態情報を利用して電子回路をカスタマイズすることにより、たとえばプログラマブル論理回路、フィールドプログラマブル・ゲート・アレイ（ＦＰＧＡ）、またはプログラマブル・ロジック・アレイ（ＰＬＡ）を含む電子回路がコンピュータ可読プログラム命令を実行するようにしてもよい。

本明細書においては、本発明の実施形態に係る方法、装置（システム）、およびコンピュータ・プログラム製品のフローチャート図またはブロック図あるいはその両方を参照して、本発明の態様を説明している。フローチャート図またはブロック図あるいはその両方の各ブロック、ならびにフローチャート図またはブロック図あるいはその両方のブロックの組み合わせは、コンピュータ可読プログラム命令により実装可能であることが了解される。

これらのコンピュータ可読プログラム命令は、コンピュータまたは他のプログラム可能データ処理装置のプロセッサを介して実行される当該命令が、フローチャート図またはブロック図あるいはその両方の１つまたは複数のブロックに規定の機能／動作を実装する手段を生成するように、汎用コンピュータ、専用コンピュータ、または他のプログラム可能データ処理装置のプロセッサに提供されてマシンを構成するようになっていてもよい。また、これらのコンピュータ可読プログラム命令は、命令が格納されたコンピュータ可読記憶媒体が、フローチャート図またはブロック図あるいはその両方の１つまたは複数のブロックに規定の機能／動作の態様を実装する命令を含む製造品を含むように、コンピュータ、プログラム可能データ処理装置、または他の機器、あるいはその組み合わせに対して特定の様態で機能するように指示し得る当該コンピュータ可読記憶媒体に格納されていてもよい。

また、コンピュータ可読プログラム命令は、コンピュータ、他のプログラム可能装置、または他の機器上での実行によって、フローチャートまたはブロック図あるいはその両方の１つまたは複数のブロックに規定の機能／動作を実装するように、コンピュータ、他のプログラム可能データ処理装置、または他の機器へのロードによって、一連の動作ステップをコンピュータ、他のプログラム可能装置、または他の機器上で実行させることにより、コンピュータ実装プロセスを構成するようにしてもよい。

図中のフローチャートおよびブロック図は、本発明の種々実施形態に係るシステム、方法、およびコンピュータ・プログラム製品の考え得る実施態様のアーキテクチャ、機能、および動作を示している。この点、フローチャートまたはブロック図の各ブロックは、特定の論理機能を実装する１つまたは複数の実行可能命令を含む命令のモジュール、セグメント、または一部を表し得る。いくつかの代替実施態様において、ブロックに記載の機能は、図面に記載の順序から外れて発生するようになっていてもよい。たとえば、連続して示す２つのブロックが実際のところは、関与する機能に応じて、実質的に同時に実行されるようになっていてもよいし、場合により逆の順序で実行されるようになっていてもよい。また、ブロック図またはフローチャート図あるいはその両方の各ブロックならびにブロック図またはフローチャート図あるいはその両方のブロックの組み合わせは、特定の機能または動作を実行する専用ハードウェアベースのシステムにより実装することも可能であるし、専用ハードウェアおよびコンピュータ命令の組み合わせを実行することも可能である。

プロセス・ソフトウェア（たとえば、図７の命令７６０に格納された命令のいずれかまたは図２〜図６に関して上述した方法の任意の部分集合を実行するように構成された任意のソフトウェア、あるいはその組み合わせ）は、ＣＤ、ＤＶＤ等の記憶媒体のロードによってクライアント、サーバ、およびプロキシ・コンピュータに直接手動でロードすることにより配置可能であることが了解されるものの、１つまたは一群の中央サーバへの送信によって、自動的または半自動的にコンピュータ・システムに配置されるようになっていてもよい。そして、プロセス・ソフトウェアは、それを実行するクライアント・コンピュータにダウンロードされる。あるいは、プロセス・ソフトウェアは、電子メールによってクライアント・システムに直接送信される。そして、プロセス・ソフトウェアは、ディレクトリへと分離する一組のプログラム命令の実行によって、ディレクトリに分離またはロードされる。別の選択肢として、プロセス・ソフトウェアは、クライアント・コンピュータのハード・ドライブ上のディレクトリに直接送信される。プロキシ・サーバが存在する場合、このプロセスでは、プロキシ・サーバのコードを選択し、プロキシ・サーバのコードを配置するコンピュータを判定し、プロキシ・サーバのコードを送信し、プロキシ・サーバのコードをプロキシ・コンピュータにインストールすることになる。プロセス・ソフトウェアは、プロキシ・サーバに送信され、当該プロキシ・サーバに格納されることになる。

また、本発明の実施形態は、クライアント企業、非営利組織、政府機関、内部組織構造等とのサービス・エンゲージメントの一部として提供されるようになっていてもよい。これらの実施形態には、実行するコンピュータ・システムの設定と、本明細書に記載の方法の一部または全部を実装するソフトウェア、ハードウェア、およびウェブ・サービスの配置とを含んでいてもよい。また、これらの実施形態には、クライアントの動作の解析、解析に応じた提案の作成、提案の一部を実現するシステムの構築、既存のプロセスおよびインフラへのシステムの組み込み、システムの使用の測定、システムのユーザへの費用の配分、請求、インボイス、あるいはシステムの使用に対する支払いの受け付けを含んでいてもよい。

別の態様によれば、本発明は、コンピュータ可読媒体に格納され、デジタル・コンピュータの内部メモリにロード可能なコンピュータ・プログラムであって、コンピュータ上で実行された場合に、前記コンピュータに対して請求項１ないし１３のいずれかに記載の方法を実行させる、コンピュータ・プログラムを提供する。

Claims (28)

1. セキュリティ異常を判定するコンピュータ実装方法であって、
   一組のサイバーセキュリティ・データの空間属性および前記一組のサーバセキュリティ・データの時間属性に基づいて、複数のテンソルを生成することであって、前記一組のサイバーセキュリティ・データが、数値データおよびテキスト・データを含み、前記一組のサイバーセキュリティ・データが、複数の演算源から収集され、
   前記複数のテンソルを階層型時間メモリ（ＨＴＭ）ネットワークに提供することであって、前記ＨＴＭネットワークが、前記ＨＴＭネットワークの各領域の各ＨＴＭ出力を生成するように構成され、各出力が、前記ＨＴＭネットワークの各領域の活性ノードに基づくものであり、
   少なくとも１つのＨＴＭ出力が異常を示すと判定することと、
   前記少なくとも１つのＨＴＭ出力を通知に変換することと、
   前記通知をユーザ・インターフェースに提供することと
   を含む、コンピュータ実装方法。
2. 前記一組のサイバーセキュリティ・データが、シスログ・データ、ファイアウォール・イベント・ログ・データ、オペレーティング・システム・ログ・データ、アプリケーション・ログ・データ、またはデバイス・ログ・データのうちの少なくとも１つを含む、請求項１に記載の方法。
3. 前記複数の演算源が、セキュリティ情報・イベント管理（ＳＩＥＭ）システム、シンプル・ネットワーク管理プロトコル（ＳＮＭＰ）トラップ、および侵入検出・防止システム（ＩＤＰＳ）を含む、請求項１または２に記載の方法。
4. 複数のテンソルを生成することが、
   前記一組のサイバーセキュリティ・データを数値データ部分集合およびテキスト・データ部分集合に分類することと、
   前記数値データ部分集合に基づいて、少なくとも１つの第１のベクトル空間モデル（ＶＳＭ）を生成することと、
   前記テキスト・データ部分集合に基づいて、少なくとも１つの第２のＶＳＭを生成することと、
   前記第１のＶＳＭと前記テキスト・データ部分集合とのテキスト相関を格納することであって、テキスト相関が、前記第１のＶＳＭの各成分の各値のテキスト値を示し、、
   前記第２のＶＳＭと前記数値データ部分集合との数値相関を格納することであって、数値相関が、前記第２のＶＳＭの各成分のプロパティ属性を示すことと
   をさらに含む、請求項１ないし３のいずれかに記載の方法。
5. 複数のテンソルを生成することが、
   各ＶＳＭに基づいて、各テンソルを生成することと、
   少なくとも１つのテンソルに基づいて、少なくとも１つの疎分散表現（ＳＤＲ）を生成することと
   をさらに含む、請求項４に記載の方法。
6. 前記複数のテンソルを階層型時間メモリ（ＨＴＭ）ネットワークに提供することが、
   少なくとも１つのＳＤＲを前記ＨＴＭネットワークの第１のレイヤの第１の領域に入力することと、
   前記ＨＴＭネットワークの前記第１のレイヤの前記第１の領域の出力を前記ＨＴＭネットワークの第２のレイヤの第２の領域に入力することであり、前記第２のレイヤが、前記第１のレイヤよりも少ないノードを備えた、前記入力することと、
   少なくとも前記ＨＴＭネットワークの前記第２のレイヤの少なくとも前記第２の領域の一組の活性ノードに基づいて、ＨＴＭ出力を生成することと
   をさらに含む、請求項５に記載の方法。
7. 前記通知が、テキスト出力および数値出力を含み、
   前記ＨＴＭ出力を通知に変換することが、
   前記ＨＴＭ出力および前記テキスト相関に少なくとも部分的に基づいて、テキスト出力を生成することと、
   前記ＨＴＭ出力および前記数値相関に少なくとも部分的に基づいて、数値出力を生成することと
   をさらに含む、請求項６に記載の方法。
8. ユーザ・インターフェースから受け付けたクエリに対して自然言語処理を実行することと、
   前記クエリに基づいて、前記ＨＴＭネットワークの関連部分を識別することと、
   前記ＨＴＭネットワークの前記関連部分からの第２の出力に対して自然言語処理を実行して、前記クエリへの回答を生成することと、
   前記回答を前記ユーザ・インターフェースに提示することと
   をさらに含む、請求項１ないし７のいずれかに記載の方法。
9. 前記回答が、テキスト・データ、数値データ、および信頼値を含む、請求項８に記載の方法。
10. セキュリティ異常を判定するコンピュータ実装方法であって、
    特徴抽出システムの機械学習アルゴリズムを用いることにより、セキュリティ・データを複数の空間−時間多次元アレイに変換することであって、前記セキュリティ・データが、複数の演算装置を連通結合するサイバーセキュリティ環境において機能するセキュリティ情報・イベント管理（ＳＩＥＭ）システムから少なくとも部分的に収集され、前記複数の空間−時間多次元アレイが、前記複数の演算装置の少なくとも一部と関連付けられた少なくとも一連続の演算イベントに少なくとも部分的に基づくことと、、
    階層型時間メモリ（ＨＴＭ）ネットワークを実行する３次元集積回路（３ＤＩＣ）に前記複数の空間−時間多次元アレイを提供することと、
    前記特徴抽出システムにおいて、前記ＨＴＭネットワークから、前記ＨＴＭネットワークの各領域の活性ノードに少なくとも部分的に基づいて、少なくとも１つの出力多次元アレイを受信することと、
    前記特徴抽出システムの前記機械学習アルゴリズムを用いることにより、前記少なくとも１つの出力多次元アレイに基づいて、少なくとも１つの異常を識別することと、
    前記特徴抽出システムにより、前記少なくとも１つの異常を識別したことに応答して、前記サイバーセキュリティ環境の少なくとも１つの態様を再構成することと、
    前記特徴抽出システムにより、前記特徴抽出システムに連通結合されたユーザ・インターフェースに対して、前記少なくとも１つの異常の通知を提示することと
    を含む、コンピュータ実装方法。
11. 少なくとも１つの疎分散表現（ＳＤＲ）をＨＴＭネットワークの第１のレイヤの少なくとも１つの第１の領域に入力することであって、前記少なくとも１つのＳＤＲが、前記複数の空間−時間多次元アレイのうちの少なくとも１つに少なくとも部分的に基づくものであり、
    少なくとも１つの出力多次元アレイを前記特徴抽出システムに提供することであって、前記少なくとも１つの出力多次元アレイが、前記ＨＴＭネットワークの少なくとも１つのレイヤの少なくとも１つの領域の活性ノードに基づくこと
    をさらに含む、請求項１０に記載の方法。
12. 前記複数の空間−時間多次元アレイが、複数のベクトル空間モデル（ＶＳＭ）に基づき、前記複数のＶＳＭが、セキュリティ・データに基づいて生成され、前記複数のＶＳＭのうちの少なくとも１つの第１のＶＳＭが、前記セキュリティ・データのテキスト・データに基づき、前記複数のＶＳＭのうちの少なくとも１つの第２のＶＳＭが、前記セキュリティ・データの数値データに基づく、請求項１０または１１に記載の方法。
13. ＨＴＭプロセッサが、３次元集積回路（３ＤＩＣ）を備えた、請求項１０ないし１２のいずれかに記載の方法。
14. セキュリティ異常を判定するコンピュータ・システムであって、
    プロセッサと、
    前記プロセッサにより実行された場合に、
    一組のサイバーセキュリティ・データの空間属性および前記一組のサーバセキュリティ・データの時間属性に基づいて、複数のテンソルを生成することであって、前記一組のサイバーセキュリティ・データが、数値データおよびテキスト・データを含み、前記一組のサイバーセキュリティ・データが、複数の演算源から収集され、
    前記複数のテンソルを階層型時間メモリ（ＨＴＭ）ネットワークに提供することであって、前記ＨＴＭネットワークが、前記ＨＴＭネットワークの各領域の各ＨＴＭ出力を生成するように構成され、各出力が、前記ＨＴＭネットワークの各領域の活性ノードに基づくことと、
    少なくとも１つのＨＴＭ出力が異常を示すものと判定することと、
    前記少なくとも１つのＨＴＭ出力を通知に変換することと、
    前記通知をユーザ・インターフェースに提供することと
    を含む方法を実行するプログラム命令を格納する有形コンピュータ可読メモリと
    を備えた、コンピュータ・システム。
15. 前記一組のサイバーセキュリティ・データが、シスログ・データ、ファイアウォール・イベント・ログ・データ、オペレーティング・システム・ログ・データ、アプリケーション・ログ・データ、またはデバイス・ログ・データのうちの少なくとも１つを含む、請求項１４に記載のシステム。
16. 前記複数の演算源が、セキュリティ情報・イベント管理（ＳＩＥＭ）システム、シンプル・ネットワーク管理プロトコル（ＳＮＭＰ）トラップ、および侵入検出・防止システム（ＩＤＰＳ）を含む、請求項１４または１５に記載のシステム。
17. 複数のテンソルを生成することが、
    前記一組のサイバーセキュリティ・データを数値データ部分集合およびテキスト・データ部分集合に分類することと、
    前記数値データ部分集合に基づいて、少なくとも１つの第１のベクトル空間モデル（ＶＳＭ）を生成することと、
    前記テキスト・データ部分集合に基づいて、少なくとも１つの第２のＶＳＭを生成することと、
    前記第１のＶＳＭと前記テキスト・データ部分集合とのテキスト相関を格納することであって、テキスト相関が、前記第１のＶＳＭの各成分の各値のテキスト値を示すことと、
    前記第２のＶＳＭと前記数値データ部分集合との数値相関を格納することであって、数値相関が、前記第２のＶＳＭの各成分のプロパティ属性を示すことと
    をさらに含む、請求項１４ないし１６のいずれかに記載のシステム。
18. 複数のテンソルを生成することが、
    各ＶＳＭに基づいて、各テンソルを生成することと、
    少なくとも１つのテンソルに基づいて、少なくとも１つの疎分散表現（ＳＤＲ）を生成することと
    をさらに含む、請求項１７に記載のシステム。
19. 前記複数のテンソルを階層型時間メモリ（ＨＴＭ）ネットワークに提供することが、
    少なくとも１つのＳＤＲを前記ＨＴＭネットワークの第１のレイヤの第１の領域に入力することと、
    前記ＨＴＭネットワークの前記第１のレイヤの前記第１の領域の出力を前記ＨＴＭネットワークの第２のレイヤの第２の領域に入力することであり、前記第２のレイヤが、前記第１のレイヤよりも少ないノードを備えた、前記入力することと、
    前記ＨＴＭネットワークの少なくとも１つの領域の一組の活性ノードに基づいて、ＨＴＭ出力を生成することと
    をさらに含む、請求項１８に記載のシステム。
20. 前記通知が、テキスト出力および数値出力を含み、
    前記ＨＴＭ出力を通知に変換することが、
    前記ＨＴＭ出力および前記テキスト相関に少なくとも部分的に基づいて、テキスト出力を生成することと、
    前記ＨＴＭ出力および前記数値相関に少なくとも部分的に基づいて、数値出力を生成することと
    をさらに含む、請求項１９に記載のシステム。
21. 前記方法が、
    ユーザ・インターフェースから受け付けたクエリに対して自然言語処理を実行することと、
    前記クエリに基づいて、前記ＨＴＭネットワークの関連部分を識別することと、
    前記ＨＴＭネットワークの前記関連部分からの第２の出力に対して自然言語処理を実行して、前記クエリへの回答を生成することと、
    前記回答を前記ユーザ・インターフェースに提示することと
    をさらに含む、請求項１４ないし２０のいずれかに記載のシステム。
22. 前記回答が、テキスト・データ、数値データ、および信頼値を含む、請求項２１に記載のシステム。
23. セキュリティ異常を判定するシステムであって、
    セキュリティ・データを受信して、情報技術（ＩＴ）環境中の複数のデバイスのために前記セキュリティ・データを格納するセキュリティ情報・イベント管理（ＳＩＥＭ）システムと、
    階層型時間メモリ（ＨＴＭ）プロセッサおよびＨＴＭメモリを備えたＨＴＭシステムと、
    メモリおよびプロセッサを備えた特徴抽出システムであり、前記メモリが、前記プロセッサにより実行された場合に、
    前記セキュリティ・データを複数の空間−時間多次元アレイに変換することであって、前記複数の空間−時間多次元アレイの局面と前記セキュリティ・データとの相関が相関データベースに格納され、
    前記複数の空間−時間多次元アレイを前記ＨＴＭシステムに入力したことに応答して、前記ＨＴＭシステムから少なくとも１つの出力多次元アレイを受信することと、
    前記特徴抽出システムに連通結合されたユーザ・インターフェースから受け付けたクエリに対して自然言語処理を実行することであり、前記クエリが、前記ＩＴ環境中の前記複数のデバイスのうちの少なくとも１つを識別する、前記実行することと、
    前記クエリ、前記少なくとも１つの出力多次元アレイ、および前記相関データベースに基づいて、回答を生成することと、
    前記回答を前記ユーザ・インターフェースに提示することと
    を含む方法を実行する命令を格納した、前記特徴抽出システムと
    を備えた、システム。
24. 前記ＨＴＭメモリが、前記ＨＴＭプロセッサにより実行された場合に、
    少なくとも１つの疎分散表現（ＳＤＲ）をＨＴＭネットワークの第１のレイヤの少なくとも１つの第１の領域に入力することであって、前記少なくとも１つのＳＤＲが、前記複数の空間−時間多次元アレイのうちの少なくとも１つに少なくとも部分的に基づくことと、
    少なくとも１つの出力多次元アレイを前記特徴抽出システムに提供することであって、、前記少なくとも１つの出力多次元アレイが、前記ＨＴＭネットワークの少なくとも１つのレイヤの少なくとも１つの領域の活性ノードに基づくことと
    を含む方法を実行する命令を格納した、請求項２３に記載のシステム。
25. 前記複数の空間−時間多次元アレイが、複数のベクトル空間モデル（ＶＳＭ）に基づき、前記複数のＶＳＭが、セキュリティ・データに基づいて生成され、前記複数のＶＳＭのうちの少なくとも１つの第１のＶＳＭが、前記セキュリティ・データのテキスト・データに基づき、前記複数のＶＳＭのうちの少なくとも１つの第２のＶＳＭが、前記セキュリティ・データの数値データに基づく、請求項２３または２４に記載のシステム。
26. 前記ＨＴＭプロセッサが、３次元集積回路（３ＤＩＣ）を備えた、請求項２４ないし２５のいずれかに記載のシステム。
27. セキュリティ異常を判定するコンピュータ・プログラム製品であって、
    処理回路により読み出し可能で、請求項１ないし１３のいずれかに記載の方法を実行するための、前記処理回路により実行される命令を格納したコンピュータ可読記憶媒体を備えた、コンピュータ・プログラム製品。
28. コンピュータ可読媒体に格納され、デジタル・コンピュータの内部メモリにロード可能なコンピュータ・プログラムであって、コンピュータ上で実行された場合に、請求項１ないし１３のいずれかに記載の方法を実行するソフトウェア・コード部を含む、コンピュータ・プログラム。