JP2021507375A - コンテキストリスク監視 - Google Patents

Abstract

デバイス監視及びデバイスリスク監視のためのシステム、方法、及び関連技術について記載される。特定の態様では、セキュリティリスクに関連するインジケータは、関連する高いセキュリティリスクを有する第１のデバイスと第２のデバイスとの間の通信に基づいて設定される。インジケータは保存することができ、セキュリティアクションを実行するための基準として使用することができる。【選択図】図４

Description

関連出願の相互参照
本出願は、２０１７年１２月１４日出願の米国特許出願第１５／８４１，９５６号の利益を主張するものであり、その内容全体は、引用により本明細書に組み込まれる。

本開示の態様及び実施構成は、デバイス監視に関し、より具体的には、通信ネットワーク経由で通信可能に結合されたデバイスのリスクを監視することに関する。

技術の進歩に伴って、通信ネットワークに接続されるデバイスの数及び多様性が急激に増加している。各デバイスは、それ自体がそれぞれの脆弱性を有する場合があり、これによって、ネットワークが不正侵入又は他のリスクに晒される可能性がある。ネットワーク上の各デバイスの脆弱性を理解することは、通信ネットワークを監視又はセキュアにして、認可されていないデバイス又は不正なデバイスがネットワークリソースにアクセスするのを防止するのに有用とすることができる。

本開示の態様及び実施構成は、以下に与えられる詳細な説明及び本開示の様々な態様及び実施構成についての添付図面からより完全に理解されることになるが、これらは、本開示を特定の態様又は実施構成に限定するものと解釈すべきではなく、単に説明及び理解のためのものである。

本開示の１つの実施構成による例示的な通信ネットワークを示す。 本開示の態様及び実施構成による、ネットワーク上のデバイスの監視及びデバイスリスクの追跡に使用される例示的なネットワークグラフを示す。 本開示の一実施構成による、ネットワークに通信可能に結合されたデバイスの様々なリスクレベルを示すネットワークグラフを含む例示的なグラフィカルユーザインタフェースを示す。 本開示の一実施構成による、デバイス監視のための方法の態様のフローチャートを示す。 本開示の一実施構成による、デバイスリスク監視のためのシステムの例示的なコンポーネントを示す。 本開示の一実施構成による、例示的なコンピュータシステムを示すブロック図である。

本開示の態様及び実施構成は、デバイス監視に関する。開示されるシステム及び方法は、その他の分野のなかでも、ネットワークセキュリティに関して利用することができる。より具体的には、認可されていないデバイス又はユーザによるネットワークリソースへのアクセスは、高まりつつある重大な問題であることは理解できる。同時に、ネットワーク接続デバイス（スマートフォン、タブレット、テレビ、セキュリティカメラ、ウェアラブルデバイスなど）の急増により、認可されたユーザ又はデバイスにとってネットワークリソースへのアクセスを効果的に管理することが困難になる可能性がある。従って、本明細書では、コンテキスト（デバイス間通信、帯域幅利用、プロトコル使用、及び挙動プロファイルを含む）に基づくデバイスの継続中の監視及び場合によっては、デバイスコンテキストに基づいて１又は２以上の措置（例えば、ネットワークアクセスの変更）を講じることを可能にする、システム、方法、及び技法が、様々な実施構成で記載される。

既存の方法論は、ネットワーク構造を考慮することなくデバイスを個別に監視する場合がある。すなわち、ネットワーク上のデバイスは、各デバイスがネットワーク内でどのように接続されているかに基づいて解析されていない。従って、この情報は、デバイスとネットワークとの間の異なる関係を表していない基本的なセグメント化情報を含む。

ネットワークに対する多くの攻撃は、ネットワークのデバイスにわたって横断的に進む場合があり、従って、デバイスは、分離状態で解析されるべきでないことは理解される。デバイスがどのようにネットワークに接続されているか、及びデバイスが他のどのデバイスに接続されているかは、攻撃（例えば、ネットワークにわたって移動する場合がある攻撃など）から保護するため又は攻撃を遅延させるのに極めて重要とすることができる。従って、実施形態は、リスクをより正確に評価するためにデバイスがどのように通信可能に結合されるかを含むコンテキストを決定する。これにより、実施形態は、デバイスがどのように通信可能に結合されるかに基づいて、コンテキストネットワークアクセス制御を提供することができる。

実施形態は、デバイスが通信するか又は接続されている他のデバイスに基づいて、デバイスに関する情報を収集し、これによってデバイスに関するネットワークコンテキストを決定するように動作可能なネットワーク監視デバイスを含むことができる。ネットワークコンテキストは、様々な情報を相互に関連付けて、ネットワークトポロジ及びデバイス機能の理解を可能にし、アクション（例えば、ネットワークアクセスの変更を含む１又は２以上のセキュリティアクション）を実行することを可能にするのに使用することができる。

従って、実施形態は、デバイスのネットワークコンテキストを学習して、ネットワークプロファイルを含む情報を決定し、この情報を各デバイスの挙動と組み合わせて、デバイスをより効果的に監視する。ネットワーク接続及びネットワーク上のデバイス間の通信、並びに接続特性（例えば、プロトコル、帯域幅利用など）の使用は、デバイス及びネットワークの挙動に関する情報を収集するのに使用することができる。このことは、デバイスのセキュリティ状態（例えば、オペレーティングシステム（ＯＳ）、存在するアプリケーション、実行中のアプリケーション、又はこれら両方、脆弱性、パッチレベル、通信、挙動などを含む）のより完全な評価を可能にする。１又は２以上の他のデバイスとのデバイスの通信接続を考慮することにより、デバイスコンテキストに基づいて正確なアクセス及びコンプライアンス決定を行うことを可能にする多層情報が提供される。これによって、セキュリティオペレータ又は管理者は、膨大な量のネットワーク情報を取捨選択して、重要なデバイス（例えば、低リスクレベルを上回るデバイス）、又は脆弱である可能性がありネットワークを侵害するのに使用される可能性のあるデバイスに集中させることができるようになる。

幾つかの実施形態では、ネットワークグラフは、ネットワーク上の様々なデバイスがどのようにして互いに通信するかに基づいて決定される。ネットワークグラフは、デバイスがどのようにして通信するかに基づいて生成でき、このネットワークグラフの各ノードは、最初は低リスクに設定される。次に、ネットワーク上の各デバイスに対してスキャンを実行して、リスクレベルを決定することができる。高リスクとしてのデバイスの決定は、１又は２以上のセキュリティ特性又はセキュリティ体制に基づくことができる。例えば、スキャンは、デバイスがポリシーの１又は２以上の条件（例えば、旧式のアンチウイルス定義又は存在するマルウェア）を満たしている場合に、このデバイスが高リスクであるとみなされるというポリシーに基づくことができる。ポリシーの１又は２以上の条件を満たさないデバイスは、低リスクとみなすことができる。

また、高リスクとしてのデバイスの決定は、セキュリティ侵害インジケータ（ＩＯＣ）に基づいて決定することもできる。ＩＯＣは、高信頼度でコンピュータ侵入を示すアーティファクト（例えば、ネットワーク上で又はオペレーティングシステムにおいて観測される）である。ＩＯＣは、ウイルスシグネチャ、インターネットプロトコル（ＩＰ）アドレス、マルウェアファイルのＭＤ５ハッシュ、ユニフォームリソースロケータ（ＵＲＬ）（例えば、悪意のあるウェブサイトとの通信要求）、ボットネットコマンド及び制御サーバのドメイン名、異常なネットワークトラフィック、異常な特権ユーザアカウントアクティビティ、ログイン異常、データベース読み取り量の増加、疑わしいレジストリ又はシステムファイル変更、異常なドメインネームシステム（ＤＮＳ）要求、及び人間以外の挙動を示すＷｅｂトラフィックを含み、又はこれらの組み合わせとすることができる。ＩＯＣは更に、時間依存とすることができる（例えば、ＩＯＣが誤検出であると判定された場合、又は監視されるＩＯＣに関するユーザ構成基準をＩＯＣが満たさない場合、又は１又は２以上のパケット又はイベントの特定のシーケンスが、ネットワーク上で観測される場合、ＩＯＣは削除することができる）。

ネットワークグラフは、各デバイスのリスクレベル、例えば、どのデバイスのリスクが変化する（例えば、将来）可能性が高いかを判定するのに使用することができる。例えば、デバイスＡがマルウェアに感染していると判定されたときに、デバイスＡとの通信接続をデバイスＢが有することに基づいて、このデバイスＢは、マルウェアに感染しているというリスクがあり、従って高くなったリスクレベルにあるとみなすことができる。このような情報は、デバイスＢとの接続を使用してデバイスＢがマルウェアに感染する前に、危険に晒されるデバイスＡのネットワークアクセスをブロックすることによって、ネットワークへの攻撃を封じ込めるか又は制限するのに使用することができる。

ネットワークグラフは更に、どのデバイスが低リスクになったか（例えば、パッチが適用されたデバイス、脅威に対して効果的に予防しているデバイス、又は危険にさらされたコンポーネントを再インストールによって置き換えたデバイス）を決定するのに使用することができる。別の実施例として、デバイスＡがパッチ管理システムであり、デバイスＢがデバイスＡとの通信接続を有する場合、この通信接続を用いて、デバイスＡがデバイスＢにパッチを適用することを示唆することができる。このことは、パッチが適用される可能性が高く（例えば、迅速にパッチが適用され）、これによって脅威から保護される可能性がより高いデバイスを決定するのに使用することができる。

従って、実施形態は、高リスクレベルと低リスクレベルとの間に第３のリスクレベルを追加することができる。第３のリスクレベルは、中リスクと呼ばれ、高リスクとみなされるデバイスと隣接するか又はそれとの通信接続（例えば、過去の又は開放された通信接続）を有する１又は２以上のデバイスを含むことができる。このことは、中リスク及び高リスクのデバイスに集中させることができるため、ネットワーク上でより集中した監視及びアクションを実行することを可能にする。実施形態は更に、高、中、及び低リスクレベルに加えて、追加のリスクレベルをサポートすることができる。

「ホットゾーン」と呼ばれるグループは、高リスクデバイスと、高リスクデバイスの近隣デバイス（例えば、すぐ隣のデバイス）とを含み、この近隣デバイスは、セキュリティ解析を追跡して集中させることできる中リスクデバイスある。従って、ホットゾーンは、１又は２以上の高リスクデバイス及びこれらに隣接する中リスクデバイスのセットの論理和集合とすることができる。直近のデバイスは、高リスクデバイスと通信した（例えば、直接又は間接的に、例えば、ネットワークスイッチ又は他の通信デバイスを介して）デバイスとすることができる。近隣デバイスは更に、１又は２以上の他のデバイス（例えば、或るデバイスとそのデバイスの隣デバイスとの間に存在できる１又は２以上のネットワークスイッチ又は他のデバイス）経由で特定のデバイスと通信したデバイスとすることができる。幾つかの実施形態では、近隣デバイスは、ポリシーによって規定することができる。例えば、高リスクデバイスとの通信情報を受信又は送信したデバイスは、近隣デバイスである可能性がある。近隣デバイスはまた、事前に選択された１又は２以上のプロトコル（例えば、リモートデスクトッププロトコル（ＲＤＰ）、サーバメッセージブロック（ＳＭＢ）プロトコル、Ｗｉｎｄｏｗｓ（商標）マネジメントインスツルメンテーション（ＷＭＩ）プロトコル、Ｗｉｎｄｏｗｓ（商標）リモート管理（ＷｉｎＲＭ）、又はセキュアシェル（ＳＳＨ））を使用して高リスクデバイスと通信することによって規定することもできる。

リスクレベル（例えば、ポリシーに準拠していない）に応じたデバイスのグループ化、及びグループからの又はグループへの接続を表示できるようにすることは、デバイスのよりスマートな検出及び監視を可能にする。よりスマートな制御は、ホットゾーン内のデバイス又はセグメント上でアクションを開始できるという理由から可能になり、これにより高リスクデバイスに限定されない。例えば、高リスクデバイスと通信した各デバイスは、スキャン又はブロック（例えば、ネットワークリソースから）することができる。このことは、リスクが増大する特定のピンポイントのネットワーク領域に対してより頻繁なチェック及びより厳密な制御を可能にする。また、ネットワークグラフの視覚化は、異なるレベルの表示及びフィルタリングを用いてサポートされる。

幾つかの実施形態では、デバイスリスクのグレード又はスコアは、１又は２以上の因子の組み合わせを使用して計算される。これらの因子は、本明細書で説明する様々な情報要素（例えば、デバイス及び通信情報）と、デバイスから高リスクデバイスまでの通信経路の長さと、通信の性質に関連する追加情報（例えば、使用プロトコル、転送データ、帯域幅）とを含むことができる。

本明細書で説明される様々な通信は、クライアント特性としてのセッション又はサーバ特性としてのセッションに関して説明することができる。クライアントの特性としてのセッションは、デバイスが、別のデバイスからネットワークトラフィック（例えば、１又は２以上のパケット）を受け取り、このネットワークトラフィックがフィルタの条件を満たすことを示す。サーバとしてのセッションは、デバイスが、別のデバイスに送られたネットワークトラフィックを生成し、このネットワークトラフィックが、フィルタの条件を満たすことを示す。フィルタは、送信元ＩＰアドレス、送信先ＩＰアドレス、サーバポート、プロトコル、帯域幅、ペイロードなどに基づくことができる。実施形態は、他の方法又は特性での通信に基づいて（例えば、ネットワークトラフィックのスニッフィングによって、ネットワークトラフィックを監視することに基づいて）、処理、解析、利用、及び決定を行うことができることが理解される。

幾つかの実施形態では、近隣デバイスは、非準拠デバイス又は高リスクデバイスに対するクライアントとしてのセッションの特性（例えば、ＮｅｔＦｌｏｗ情報）、又は高リスクデバイスからのサーバとしてのセッションの特性の何れかを有するデバイスである。また、近隣デバイスは、非準拠デバイス又は高リスクデバイス（例えば、ネットワークトラフィックの監視又はスニッフィングに基づいて決定された）との間で１又は２以上のパケットを送信又は受信したデバイスとすることができる。言い換えると、デバイスが、高リスクとして識別されたデバイスにデータを送ったか、又は高リスクと識別されたデバイスからデータを受け取った場合、該デバイスはホットゾーン内に存在する。特性としてのセッションは、監視されている通信の方向のフィルタリングを可能にするために、データ転送が、高リスクデバイスへのものであるか又は高リスクデバイスからのものであるかを判定するのに使用することができる。使用される通信は更に、ｊＦｌｏｗ、ｓＦｌｏｗ、ＦｌｏｗＬｏｇｓ、ファイアウォールイベントなどを含むことができる。

従って、近隣デバイスは、別のデバイスから通信情報を受け取ること又は他のデバイスに通信情報を送ることに基づくことができる。第１のデバイスが高リスクとみなされる場合に、第１のデバイスと通信した第２のデバイスは、中リスク又は疑わしいとみなすことができる。従って、第２のデバイスは、低リスクであると判定される前に、より厳密にスキャン又は検査することができる。高リスクデバイスである（例えば、ポリシーに基づいて）デバイスと通信（例えば、クライアントとしてのセッション又はサーバとしてのセッション）しているデバイスは、侵入されていない、感染していないなどの可能性があるが、将来のセキュリティ侵害のリスクが高まることに起因して、疑わしいとみなされてより厳密に又は完全に監視又は検査される必要がある。各デバイスのリスクレベルは、時間と共に変化する可能性があり、各デバイスの近隣デバイスは、時間と共に変化する可能性があることは理解される。

従って、実施形態は、何れかの方向の通信を使用して、デバイスが高リスクデバイスの近隣デバイスであるか否かを判定することができる。例えば、高リスクデバイスから別のデバイスへの通信は、デバイスが近隣デバイスであると判定するのに使用することができる。デバイスから高リスクデバイスへの通信は、デバイスが近隣デバイスであることを判定するのに使用することができる。実施形態は、１つのデバイスから複数のデバイスへの通信（例えば、マルチキャスト）に基づいて近隣デバイスを決定することをサポートすることができる。

実施形態は更に、クライアントの特性としてのセッションに基づく１又は２以上のデバイスのリストの決定をサポートすることができる。例えば、クライアントの特性としてセッションの使用は、高リスクデバイス、中リスクデバイス、又は１又は２以上のリスクレベルの１又は２以上の特定のデバイスから通信を受け取った近隣デバイスを決定するのに使用することができる。これは、クライアント特性としてのセッション及びサーバ特性としてのセッションの両方の特性に基づいて近隣デバイスを決定するよりも短い時間で、中リスクデバイス又は疑わしいデバイスを決定するのに使用することができる。

実施形態は更に、ファイアウォール及びＳＩＥＭシステムを含む外部（例えば、サードパーティ）システムからの情報を収集することができる。例えば、デバイスに関連するセキュリティ侵害インジケータ（ＩＯＣ）は、デバイスを高リスクであると判定するための基準とすることができる。デバイスは更に、脆弱性又は他のリスクに関連する挙動について検査又は探索することができる。別の実施例として、デバイスに関連するＩＯＣが存在し、１又は２以上のパケットが異常な接続（例えば、疑わしい外部サーバとの接続）と共に観測された場合、このことは、デバイスが高リスクであると判定するのに使用することができる。

従って、本明細書で様々な実施構成で説明されるのは、リスクレベル及びデバイス間通信に基づくデバイス及び通信監視及びアクション（例えば、１又は２以上の通知アクション又はセキュリティアクション）の実行を可能にするシステム、方法、技法、及び関連技術である。本明細書で説明するように、様々な情報要素が、ネットワークデバイス及びネットワークトラフィックから収集されて、デバイスを監視してリスクレベルを決定するためコンテキスト情報を提供することができる。

記載される技術は、限定されるものではないが、ネットワークセキュリティ、監視、及びポリシー施行を含む複数の技術分野における特定の技術的課題及び長年にわたる障害に関し、これらに対処することは理解できる。更に、記載される技術は、言及される技術的課題及びこれら言及される技術分野における満たされていない要求に対する特定の技術的解決策を提供することは理解できる。

幾つかの実施形態では、追加のデバイス情報源が、デバイスのリスクレベルを監視及び決定するのに使用することができる。エージェントが、デバイス（例えば、パーソナルコンピュータ（ＰＣ）又はサーバ）上に存在する場合には、エージェントは、詳細なデバイス情報（例えば、開放通信接続、実行中のサービス、その他）を収集し提供することができる。エージェントが、例えば、モバイルデバイス上に存在しない場合には、例えば、脆弱性評価（ＶＡ）システム、高度脅威検出（ＡＴＤ）システム、モバイルデバイス管理（ＭＤＭ）システム、ファイアウォール（ＦＷ）システム、スイッチシステム、及びアクセスポイント（ＡＰ）システムなどの他システムからのデータを用いて、追加情報を収集することができる。

図１は、本開示の１つの実施構成による例示的な通信ネットワーク１００を示す。通信ネットワーク１００は、ネットワーク監視デバイス１０２と、ネットワークデバイス１０４と、集約デバイス１０６と、システム１５０と、デバイス１２０及び１３０と、ネットワーク結合デバイス１２２ａ及び１２２ｂと、を含む。デバイス１２０及び１３０、並びにネットワーク結合デバイス１２２ａ及び１２２ｂは、限定されるものではないが、コンピューティングシステム、ラップトップ、スマートフォン、サーバ、モノのインターネット（ＩｏＴ）デバイス、監視制御及びデータ取得（ＳＣＡＤＡ）デバイス、オペレーショナルテクノロジー（ＯＴ）デバイス、キャンパスデバイス、データセンタデバイス、エッジデバイスなどを含む様々なデバイスの何れかとすることができる。通信ネットワーク１００のデバイスは、有線及び無線接続を含む様々な方法で通信することができ、様々なプロトコルのうちの１又は２以上を使用できる店に留意されたい。

ネットワークデバイス１０４は、集約デバイス１０６、システム１５０、ネットワーク監視デバイス１０２、デバイス１２０及び１３０、並びにネットワーク結合デバイス１２２ａ−１２２ｂの間の通信を促進するように構成された１又は２以上のネットワークデバイスとすることができる。ネットワークデバイス１０４は、１又は２以上のネットワークスイッチ、アクセスポイント、ルータ、ファイアウォール、ハブ、その他とすることができる。

ネットワーク監視デバイス１０２は、高リスクデバイス（例えば、存在するマルウェア、ウイルス感染、旧式のウイルス定義、旧式のマルウェア定義など）を決定すること、中リスクデバイスを決定すること、及び低リスクデバイスを決定することを含む、様々なタスクで動作可能とすることができる。中リスクデバイスは、１又は２以上の高リスクデバイスと通信するデバイスである。低リスクデバイスは、高リスクデバイスと通信しておらず、脆弱性を有しない（例えば、ポリシー又はその他の脆弱性情報に基づく）デバイスである。ネットワーク監視デバイス１０２は、中リスク又は高リスクであると決定されている１又は２以上のデバイスに基づいて、本明細書で説明する１又は２以上のアクションを開始することができる。

ネットワーク監視デバイス１０２は、コンピューティングシステム、ネットワークデバイス（例えば、ルータ、ファイアウォール、アクセスポイント）、ネットワークアクセス制御（ＮＡＣ）デバイス、侵入防止システム（ＩＰＳ）、侵入検知システム（ＩＤＳ）、詐欺デバイス、クラウドベースのデバイス、仮想マシンベースのシステム、その他とすることができる。ネットワーク監視デバイス１０２は、ネットワークデバイス１０４を通って流れるネットワークトラフィック（例えば、ポートミラーリング、ＮｅｔＦｌｏｗなど）を受信するようにネットワークデバイス１０４に通信可能に結合することができる。幾つかの実施形態では、ネットワーク監視デバイス１０２は、前述のデバイスのうちの１又は２以上を含むことができる。様々な実施形態では、ネットワーク監視デバイス１０２は更に、高可用性及び障害回復をサポートすることができる（例えば、１又は２以上の冗長デバイスを介して）。

幾つかの実施形態では、中リスクとしてのデバイスの決定は、特定のプロトコル（例えば、Ｓａｍｂａ、ハイパーテキスト転送プロトコル（ＨＴＴＰ）、ＳＳＨ、ファイル転送プロトコル（ＦＴＰ）、伝送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）、ユーザデータグラムプロトコル（ＵＤＰ）、Ｔｅｌｎｅｔ、セキュアソケットレイヤ／トランスポートレイヤセキュリティ上のＨＴＴＰ、サーバメッセージブロック（ＳＭＢ）、ポイントツーポイントプロトコル（ＰＰＰ）、リモートデスクトッププロトコル（ＲＤＰ）、ｗｉｎｄｏｗｓマネジメントインスツルメンテーション（ＷＭＩ）、Ｗｉｎｄｏｗｓリモート管理（ＷｉｎＲＭ）など）を使用して、デバイスが高リスクデバイスと通信していることに基づくことができる。例えば、ファイル共有プロトコルを介して高リスクデバイス（旧式のウイルス定義を有するデバイス）と低リスクデバイスとの間に通信がある場合に、低リスクデバイスは、中リスクデバイスであると判定することができる。幾つかの実施形態では、通信に使用されるプロトコルは、ポリシーによって指定でき、これによって、特定のプロトコルを使用しているデバイスが中リスクであると判定されることが可能になる。また、追跡されるプロトコルは、中リスクのデバイスを決定するための特定のプロトコルを通じた通信を監視するためのフィルタとして使用することもできる。従って、プロトコルの選択は、リスクを伴う（例えば、マシンをリスクにさらす）又は感染の可能性がある種類の通信を選択する際の細粒性を可能にする。このことは、デバイスが使用する各プロトコルの通信を解析するよりも、中リスクデバイスの決定をより効率的にすることができる。

デバイスのリスクレベルの決定は、リスクに従ってデバイスをグループ化するためのグループ（例えば、高リスク、中リスク、低リスクグループ）の生成と、ネットワーク上のアクティビティの集中的検出（例えば、ネットワークに散在するリスク増加アクティビティの監視を可能にすること）、及び非準拠又は高リスクデバイス及び他のタイプのリスクの識別のより高度な細粒性を可能にする。中リスクレベルは更に、危険に晒される次のデバイスである可能性がある１又は２以上のデバイスに集中させることを可能にする。従って、セキュリティを確保するために制御アクション（例えば、ネットワークアクセスの変更、アクセスのブロック、新しいパッチ又はアップデートのインストール、デバイスのフォーマットなど）に集中させることができるので、より効率的又はよりスマートな制御が可能になる。グループの生成、ネットワーク上のアクティビティのより適切な検出、及び非準拠又は高リスクデバイスの識別は、中リスクデバイスを決定することなく行うことができることが理解される。

ホットゾーン（例えば、高リスクデバイス及び中リスクデバイス）では、より頻繁なチェックを行うことができる。従って、追加のチェックリソースは、低リスクを超えたレベルを有するデバイスに集中させることができる。例えば、ネットワーク上のデバイスの全体的なチェック又は掃引は、低リスクレベルを上回るリスクレベルを有するデバイスのよりターゲットを絞ったチェックの方を選択して回避することができる。

実施形態は、様々なリスクレベルを視覚的に描写又は表示することができる。例えば、デバイス及びリスクレベルは、リスト又はネットワークグラフとして表示することができる。幾つかの実施形態では、それぞれの色が各リスクレベルに関連付けられる。例えば、灰色又は緑色は、低リスクデバイスに関連し、黄色は、中リスクデバイスに関連付けられ、赤色は、高リスクデバイスに関連付けることができる。赤色に関連付けられるデバイスは、デバイスが条件（例えば、ウイルス感染）を満たすこと又はポリシーの条件（例えば、最新のアンチウイルス定義を有しないこと）を満たさないことに基づいて決定することができる。

ネットワーク監視デバイス１０２によるデバイスの監視は、トラフィック解析、外部システム又はリモートシステム（例えば、システム１５０）からの情報、エージェント（例えば、エージェント１４０）からの情報、集約デバイス（例えば、集約デバイス１０６）との通信（例えば、問い合わせ）、及びデバイス自体への問い合わせを含む１又は２以上の情報要素の組み合わせに基づくことができ、これらは、本明細書において更に説明される。ネットワーク監視デバイス１０２は、１又は２以上のアプリケーションプログラミングインタフェース（ＡＰＩ）を使用して、集約デバイス１０６、デバイス１２０、デバイス１３０、又はシステム１５０と通信するように動作可能とすることができる。

１又は２以上の外部又はサードパーティシステム（例えば、システム１５０）からの情報は更に、デバイスのリスクレベル及びアクション（例えば、通知アクション又はセキュリティアクション）を実行するか否かを決定することに使用することができる。例えば、システムログ又はフロー制御情報源が、高リスクデバイスと通信した１又は２以上のデバイスを決定するのに使用することができる。外部又はサードパーティシステムは、デバイス上でスキャン又はチェックを実行して、リスクレベル（例えば、高リスクレベル又は低リスクレベル）を決定するのに使用することもできる。

ネットワーク監視デバイス１０２は、通信する（例えば、ネットワーク設計又は管理者に従って）ことにはなっていないが通信しているデバイスを決定することができ、これによって、ネットワークトポロジがリスクを伴うか否かを示すことができる。例えば、ネットワークの多くのデバイス又は大部分のデバイスが、単一のデバイスと通信していると判定された場合、このことは、この単一のデバイスが他の極めて多くのデバイスと通信できる（又はこれに接続できる）ことを示すことができ、従って、このデバイスが不正侵入を受けた場合には重大なリスクを与える。このことは、ネットワークが適切にセグメント化されておらず、従って、ネットワークの異なる部分間の適切なブロック及び保護を受けられないことを反映することができる。別の実施例として、単一のデバイスが高リスクであると判定され、ネットワークの他のデバイスが中リスクであると判定された場合、このことは、単一のウイルス感染がネットワークの残りの部分に広がることがネットワークアーキテクチャによって防止されないので、このネットワークアーキテクチャが極めてリスクを伴うことを示すことができる。

幾つかの実施形態では、１又は２以上のデバイスは、互いに通信するものとして視覚的に描写され、これによって、ネットワーク全体にわたる通信接続を示すことができる。このことを利用して、分離されていると考えられるネットワークが分離されていないことを示すことができる。例えば、実施形態は、複数のネットワークに関連するネットワークグラフを受け取り、次いで、図示のデバイス間の通信を用いたグラフを出力するように動作可能とすることができ、これによって、これらのネットワークが分離されている（例えば、ネットワーク設計によって離隔されている）と考えられるにもかかわらず、ネットワークが互いに通信することができることが示される。

ネットワーク監視デバイス１０２は更に、どのデバイスが重大なリスクをもたらす可能性があるかを判定することで動作可能とすることができる。例えば、プリンタは、ＵＳＢデバイスを悪意のあるソフトウェアプログラムに結合することなどによって攻撃される場合があり、プリンタは、高リスクであると判定でき、ネットワーク上のデバイスの大部分が、このプリンタと通信していることに基づいて危険に晒されている可能性がある。

ネットワークモニタ１０２は更に、デバイス間で試みられた通信を可視化することができる。例えば、デバイスＡがデバイスＢと通信できないように、ネットワークが設計されている場合に、実施形態は、デバイスＡがデバイスＢと通信する試みを監視することができる（例えば、通信がブロックされたことを示すルータファイアウォールアクセス制御リスト（ＡＣＬ）のログに基づいて））。次に、デバイスＡのネットワークアクセスは、デバイスＢと通信する多数の試みに基づいて制限する（例えば、ポリシーに基づいて）ことができ、このことは、デバイスＡ危険にさらされた又は増加したリスクを示すことができる。幾つかの実施形態では、ポリシーは、監視される試行通信に基づいて、ますます攻撃的又は制限的なアクションを規定するのに使用することができる。様々な実施形態では、１又は２以上のアクションは、デバイスＢとの通信を何度も試みているデバイスＡと通信した（例えば、それと隣接する）デバイスに対して行うことができる。試みられた通信は、例えばネットワークグラフ又はリストで、視覚的に描写することができ、これによって、設計されたように機能し、ネットワーク構成の検証として機能するネットワーク構成の視覚的確認が可能になる。従って、実施形態は、デバイス間の通信に関して本明細書で説明したものと同様の方法で、試みられた通信の監視及び試みられた通信に対する応答をサポートする。

ネットワークモニタ１０２は更に、クラウド内のデバイスのリスクレベルを決定することができる。例えば、クラウド内のデバイスのログ又はその他のネットワーク情報（例えば、ネットワークトラフィック）は、高リスクレベルを有するデバイスと通信した１又は２以上のデバイスを決定するのに使用することができる。

ネットワーク監視デバイス１０２は、１又は２以上の情報源を使用してデバイスリスクレベルを決定することができる。ネットワーク監視デバイス１０２は、ネットワークトラフィックのスニッフィング又は受動的観測及びその解析に基づいて通信情報にアクセスすることができる。ネットワークモニタ１０２はまた、ネットワークインタフェースを介したネットワークトラフィックの追跡を可能にするフロープロトコル（例えば、当初カリフォルニア州サンノゼのシスコシステムズ（Ｃｉｓｃｏ Ｓｙｓｔｅｍｓ）からのＮｅｔＦｌｏｗ、ｓ−Ｆｌｏｗ、Ｊｆｌｏｗ、Ｎｅｔｓｔｒｅａｍ、Ｃｆｌｏｗ、及びＲｆｌｏｗ）に基づいて通信情報にアクセスすることもできる。幾つかの実施形態では、アプリケーションプログラミングインタフェース（ＡＰＩ）は、フロープロトコルプラグインと共に使用されて、フロープロトコルデータにアクセスすることができる。ネットワーク監視デバイス１０２は更に、デバイス間の通信を決定するために、ネットワークトラフィックの１又は２以上のログを使用することができる。

幾つかの実施形態では、ネットワーク監視デバイス１０２は、近隣グループ内の高リスクデバイスと通信した１又は２以上のデバイスをグループ化することができる。アクション（例えば、通知、例えば、ＨＴＴＰ通知、ポータル制限アクセス、ＩＴチケット、電子メール、ＳＭＳなど、又はネットワークアクセスの変更）は、高リスクと通信したことに基づいて近隣グループに適用することができる。グループは動的に決定されて、時間と共に変化することができる。グループは、１又は２以上のポリシーを適用するのに使用することができる。例えば、ネットワーク監視デバイス１０２が、非準拠デバイスの近隣グループを決定することができ、ポリシーは、グループのメンバーである各デバイスに適用することができる。

ネットワーク監視デバイス１０２は、通信を動的に、周期的に、又はこれらの組み合わせで監視することができる。従って、ネットワーク監視デバイス１０２は、高リスク、中リスク、及び低リスクであるデバイスを動的に決定することができる。従って、１又は２以上のデバイスが、時間と共にリスクレベルを変化させ、ホットゾーングループに出入りする可能性がある。例えば、アンチウイルスソフトウェアがデバイスからアンインストールされたときに、そのデバイスは、高リスクであると判定され、もはやアンチウイルスソフトウェアを有しないデバイスと通信した近隣デバイスは、中リスクであると判定されることになる。アンチウイルスソフトウェアが削除されたデバイスからアンチウイルスソフトウェアをインストールすると、そのデバイスは、低リスクであると判定され、アンチウイルスソフトウェアが削除されたデバイスと通信するデバイスは、低リスクであると判定されることになる。別の実施例として、デバイスＡが、高リスクデバイスとして分類されなかった最初の期間、及びこの最初の期間の後の２番目の期間中、デバイスＡがデバイスＢと通信した場合には、デバイスＡは、高リスクに分類され、デバイスＢは、高リスクとして分類することができる。デバイスＢの増加リスク分類は、たとえデバイスＡ及びデバイスＢが或る期間（例えば、しばらくの間、又は場合によっては更に長期間）通信していないとしても、決定することができる。デバイスＢの増加リスク分類は、デバイスＡからデバイスＢへの通信の１又は２以上が、デバイスＢのセキュリティを危険にさらした可能性に基づいて監視される必要があるデバイスとして、デバイスＢをマーク付け又はフラグ付けすることができる。

幾つかの実施形態では、ネットワーク監視デバイス１０２は、高リスク（又は他のリスクレベル）であると判定されたデバイスから離れた複数の分離度であるデバイスのリスクを評価することができる。例えば、デバイスＡが、高リスクであると判定され、デバイスＢと通信した場合に、デバイスＢは、中リスクであると判定でき、デバイスＢと通信したデバイス（デバイスＡを含まない）は、中リスクであると判定される。例えば、デバイスＢと通信したがデバイスＡとは通信しなかったデバイスＣは、高リスクデバイスＡから２分離度であることに基づいて、中リスクであると判定することができる。言い換えると、高リスクデバイス（例えば、デバイスＡ）の近隣デバイス（例えば、デバイスＢ）の近隣デバイス（例えば、デバイスＣ）は、中リスクであると判定することができる。

幾つかの実施形態では、異なる色は、高リスクデバイスからより離れた分離度であるデバイスに関連することができる。例えば、ピンク色又は緑色は、高リスクデバイスから離れた１又は２以上のデバイスであるデバイスを視覚的に描写するのに使用することができる。

ネットワーク監視デバイス１０２は、デバイスのリスクレベルを決定することにおいてデバイス間のトラフィックの帯域幅を解析することができる。このトラフィック帯域幅は、或る期間追跡された帯域幅利用のベースラインに基づいて決定することができる。例えば、２つのデバイスが、通常、これらのデバイス間の低トラフィック量を有するが、次に、通信帯域幅利用における大きなスパイクが観測された場合には、これら２つのデバイスは、中リスクであるか又は疑わしいと判定され、更なる監視を必要とする。別の実施例として、プリンタが、通常大量のデータを受け取り、比較的少量のデータを送ることが観測された場合、及び、プリンタが、現在大量のデータを送っていることが観測されたときに、プリンタは、高リスク又は中リスク又は疑わしいと判定することができ、更なる解析を必要とする。１つの実施形態では、ネットワーク監視デバイス１０２のオペレータは、１又は２以上のデバイスに割り当てられたリスクレベルを無効にすることができる（例えば、リスクレベルが誤検出に基づいている場合）。

ネットワーク監視デバイス１０２は更に、通信のパターンに基づいてデバイスのリスクを決定することができる。例えば、ネットワーク監視デバイス１０２は、モバイルデバイス及び特定のポートを識別するのに使用される特定のＨＴＴＰユーザエージェント文字列に基づいてネットワークトラフィックを監視して、特定のプロトコル及びデバイスタイプからのトラフィックを監視することができる。特定のＨＴＴＰユーザエージェント文字列及び特定のポートを使用するデバイスは、監視され、比較的少量のデータを送り、次に、わずかな時間待った後で別の比較的少量のデータを送るパターンで送信していることを見つけることができる。この通信パターンが、既知のウイルス又はボットネットに類似している場合には、デバイスは、中リスクであるか又は疑わしいと判断され、更なる解析を必要とする。別の実施例として、新しいプロキシデバイスがネットワークに追加され、多くのデバイスが、突然この新しいプロキシデバイスと通信している場合には、このデバイスは、中リスクがあると判定され、更なる解析を必要とする。例えば、プロキシデバイスに関する情報を含む通知は、ＩＴ管理者に送ることができる。

また、デバイス間の定期的な通信に関連するプロトコルは、デバイス間の通信が疑わしいか、又は更なる解析を必要とするかを判定するのに使用することもできる。例えば、２つのデバイスが、通常、第１のプロトコルを使用して通信し（例えば、観測されたネットワークトラフィックに基づいて）、別のプロトコルでの通信に切り替わる場合に、これらのデバイスは、中リスクであると判定されるか、又は更なる解析を必要とすることができる。

幾つかの実施形態では、閾値は、デバイスが中リスクであるか否かを判定するのに使用することができる。例えば、２つのデバイス間の異常な帯域幅利用に関する閾値が存在することができる。別の実施例として、ネットワーク上の５つのデバイスが、特定のプロトコルに関連する帯域幅閾値又はトラフィック閾値を超過する場合には、これら５つのデバイスは、高リスクであると判定され、赤色の点で描写することができる。次に、これら５つのデバイスは、ネットワークアクセスを変更すること（例えば、５つのデバイスのＶＬＡＮを変更すること）に基づいて、ネットワークから切断することができる。

幾つかの実施形態では、ネットワーク監視デバイス１０２は、本明細書で言及される複数の基準に基づいてデバイスリスクスコアを決定することができる。例えば、これらの基準は、デバイスが高リスクデバイスと直接通信したか否か、デバイスからのトラフィック帯域幅が、予期されるトラフィック帯域幅から逸脱しているか否か、デバイスのプロトコル使用が、予期されるプロトコルから逸脱しているか否かなどを含むことができる。様々な実施形態では、ネットワークデバイスモニタ１０２のオペレータは、様々なリスクグループにデバイスを追加すること、移動すること、又はこれらのリスクグループからデバイスを削除することができる。実施形態は、複数のリスクグループ又はホットゾーンをサポートすることができる。

幾つかの実施形態では、ネットワーク監視デバイス１０２は、高リスクデバイスに隣接するホットゾーン又はデバイスグループから特定のデバイスを除外するように動作可能とすることができる。例えば、ネットワーク監視デバイス１０２は、中リスクであるとみなされるものから、ネットワークアクセス制御（ＮＡＣ）デバイス、ＮＡＣ管理デバイス、ルータ、又はその他のネットワーキングデバイスを除外するように動作可能とすることができる。ポート及びプロトコルは、特定のネットワークトラフィックを、高リスクデバイスと通信したデバイスを決定することにおいて考慮から除外するのに使用することができる。ネットワーク監視デバイス１０２は、デバイスを静的又は動的に除外することができる（例えば、ホットゾーンにあることから医療デバイスを除外することができる）。

ネットワーク監視デバイス１０２はまた、ネットワーク１００全体にわたってデバイスの様々な状態を監視するように動作することができる。例えば、ネットワーク監視デバイス１０２は、各デバイスのパッチ状態を監視することができ、これによって、パッチサーバ上にインストールされたパッチが、ネットワーク上の各デバイスに伝わるに従って追跡してそれを視覚的に描写することができる。パッチのないデバイスは、赤色で表示され、その一方、パッチが適用されたデバイスは、緑色で描写することができる。従って、実施形態は、アップデート、パッチなどがネットワーク全体に伝わることを追跡して保証するのに使用することができる。

ネットワーク監視デバイス１０２は更に、様々なデバイス間の接続の追跡に基づいて、管理、機密データ、企業、非武装地帯（ＤＭＺ）システム又はデバイス間に分離又はエアギャップが存在するか否かを判定するように動作することができる。例えば、企業は、ＯＴシステムとＩＴシステムとを完全に分離することを望むこと場合がある。ネットワーク監視デバイス１０２は、ＯＴデバイスと通信する各デバイス及びＩＴデバイスと通信する各デバイスを監視して、ＩＴデバイス及びＯＴデバイスが分離されていること（例えば、ＯＴデバイスとのＩＴデバイスの通信がないこと、及びその逆）を検証することができる。

ネットワークモニタデバイスは、デバイスの挙動プロファイルを使用してデバイスのリスクの決定を決定することもできる。例えば、デバイスがサーモスタット又は照明システムであり、デバイスが、通常、比較的少量のデータを一定間隔で送る場合である。デバイスが比較的大量のデータを不規則な間隔で別のデバイスに送るものとして検出されると、このデバイスは、中リスク又は高リスクであると判定され、更なる解析を受ける。従って、デバイスは、挙動プロファイル、プロトコル、ネットワークアクティビティ、トラフィック量を含むネットワークコンテキストに基づいて分類することができる。

ネットワーク監視デバイス１０２は、法医学分析に使用できるデバイスの挙動を保存することができる。保存されたデータは、攻撃がネットワークを通じてどのように広がるかを決定するのに使用することができる。データはまた、別のシステム（例えば、システム１５０）に送ることができる。データは、別のシステムによる解析分析の準備が整ったシステムに保存することができる。

デバイス１３０は、エージェント１４０を含むことができる。エージェント１４０は、デバイス１３０に関連する情報を収集して、この情報をネットワーク監視デバイス１０２に送るように構成されたハードウェアコンポーネント、ソフトウェアコンポーネント、又はこれらの幾つかの組み合わせとすることができる。これらの情報は、オペレーティングシステム、バージョン、パッチレベル、ファームウェアバージョン、シリアル番号、ベンダ（例えば、製造業者）、型式、資産タグ、デバイスで実行されるソフトウェア（アンチウイルスソフトウェア、マルウェア検出ソフトウェア、オフィスアプリケーション、ウェブブラウザ、通信アプリケーションなど）、デバイス上でアクティブであるか又は構成されているサービス、開放ポート、又はデバイスが通信するように構成された（例えば、デバイス上で実行されるサービスに関連する）ポート、媒体アクセス制御（ＭＡＣ）アドレス、プロセッサ使用率、一意の識別子、コンピュータ名、アカウントアクセスアクティビティなどを含むことができる。エージェント１４０は、デバイス１３０と、エージェント１４０がデバイス１３０から利用できる情報とに基づいて、異なるレベル及び情報要素を提供するように構成することができる。エージェント１４０は、デバイス１３０に関連する情報のログを保存することができる。ネットワーク監視デバイス１０２は、エージェント１４０からのエージェント情報を利用することができる。

システム１５０は、ネットワーク監視デバイス１０２からの（例えば、それから分離された）１又は２以上の外部、リモート、又はサードパーティシステムとすることができ、デバイス１２０及び１３０並びにネットワーク結合デバイス１２２ａ及び１２２ｂに関する情報を有することができる。システム１５０は、脆弱性評価（ＶＡ）システム、脅威検出（ＴＤ）システム、モバイルデバイス管理（ＭＤＭ）システム、ファイアウォール（ＦＷ）システム、スイッチシステム、アクセスポイントシステムなどを含むことができる。ネットワーク監視デバイス１０２は、本明細書で説明するように、システム１５０と通信して、デバイス１２０及び１３０並びにネットワーク結合デバイス１２２ａ及び１２２ｂに関する情報を周期的に得るように構成することができる。例えば、システム１５０は、デバイス１２０がコンピュータウイルス又は他のＩＯＣを有するか否かを判定するように構成された脆弱性評価システムとすることができる。

脆弱性評価（ＶＡ）システムは、デバイスの脆弱性を識別、定量化、及び優先順位付け（ランク付けなど）するように構成することができる。ＶＡシステムは、デバイスの資産及び能力又はリソースを分類して、定量化可能な値（又は少なくともランク順序）及び重要度をリソースに割り当てて、各リソースの脆弱性又は可能性のある脅威を識別することができる。ＶＡシステムは、ネットワークモニタ１０２によって使用される前述の情報を提供することができる。

高度脅威検出（ＡＴＤ）又は脅威検出（ＴＤ）システムは、他のセキュリティ制御が通過を許可した通信を検査するように構成することができる。ＡＴＤシステムは、限定されるものではないが、ソースレピュテーション、実行可能な解析、脅威レベルプロトコル解析などのデバイスに関する情報を提供することができる。従って、ＡＴＤシステムは、疑わしいファイルが、ネットワーク監視デバイス１０２によって監視されているデバイスにダウンロードされたか否かを報告することができる。

モバイルデバイス管理（ＭＤＭ）システムは、モバイルデバイス、例えば、スマートフォン、タブレットコンピュータ、ラップトップ、及びデスクトップコンピュータを管理するように構成することができる。ＭＤＭシステムは、オペレーティングシステム、アプリケーション（例えば、実行中、存在、又はこれら両方）、データ、モバイルデバイスの構成設定値、及びアクティビティ監視を含む、ＭＤＭシステムによって管理されるモバイルデバイスに関する情報を提供することができる。ＭＤＭシステムは、詳細なモバイルデバイス情報を得るのに使用でき、この情報は、次に、ネットワーク監視デバイス１０２によるデバイス監視（例えば、デバイス通信を含む）に使用することができる。

ファイアウォール（ＦＷ）システムは、セキュリティルールに基づいて着信及び発信ネットワークトラフィックを監視及び制御するように構成することができる。ＦＷシステムは、セキュリティルールに違反する試み（例えば、セグメントにわたって許可されていないアカウントアクセス）及び監視されるデバイスのネットワークトラフィックを含む、監視されるデバイスに関する情報を提供することができる。

スイッチ又はアクセスポイント（ＡＰ）システムは、ネットワークスイッチ又はアクセスポイント、例えば、ワイヤレスアクセスポイント、又はこれらの組み合わせを含む、様々なネットワークデバイス（例えば、ネットワークデバイス１０４又は集約デバイス１０６）の何れかとすることができ、ネットワークへのデバイスアクセスを提供するように構成される。例えば、スイッチ又はＡＰシステムは、ＭＡＣアドレス情報、アドレス解決プロトコル（ＡＲＰ）テーブル情報、デバイス命名情報、トラフィックデータなどをネットワーク監視デバイス１０２に提供することができ、これらの情報は、デバイスを監視すること及び１又は２以上のデバイスのネットワークアクセスを制御することに使用できる。スイッチ又はＡＰシステムは、本明細書で説明するように、ＩｏＴデバイス又は他のデバイス（例えば、ＺｉｇＢｅｅ（商標）、Ｂｌｕｅｔｏｏｔｈ（商標）など）と通信するための１又は２以上のインタフェースを有することができる。従って、ＶＡシステム、ＡＴＤシステム、及びＦＷシステムは、アクセスされて、リアルタイムで監視されているデバイスの脆弱性、脅威、及びユーザ情報を得ることができ、これらの情報は、次に、デバイスのリスクレベルを判定するのに使用することができる。

集約デバイス１０６は、ネットワーク結合デバイス１２２ａ及び１２２ｂと通信して、ネットワーク結合デバイス１２２ａ及び１２２ｂへのネットワークアクセスを提供するように構成することができる。集約デバイス１０６は更に、ネットワーク結合デバイス１２２ａ及び１２２ｂに関する情報（例えば、オペレーティングシステム、デバイス名、存在するアプリケーション、実行中のアプリケーション、又はこれら両方、脆弱性、パッチレベルなど）をネットワーク監視デバイス１０２に提供するように構成することができる。集約デバイス１０６は、限定されるものではないが、Ｂｌｕｅｔｏｏｔｈ（商標）、Ｗｉ−Ｆｉ（商標）、ＺｉｇＢｅｅ（商標）、無線周波数識別（ＲＦＩＤ）、ライトフィデリティ（Ｌｉ−Ｆｉ）、Ｚ−Ｗａｖｅ、スレッド、ロングタームエボリューション（ＬＴＥ）、Ｗｉ−Ｆｉ（商標）ＨａＬｏｗ、ＨｏｍｅＰｌｕｇ、Ｍｕｌｔｉｍｅｄｉａ ｏｖｅｒ Ｃｏａｘ Ａｌｌｉａｎｃｅ （ＭｏＣＡ）、及びイーサネットを含む複数の技術規格又はプロトコルを通じて多種多様のデバイスと通信するように構成されたワイヤレスアクセスポイントとすることができる。例えば、集約デバイス１０６は、イーサネット接続経由でネットワークデバイス１０４に結合されて、無線接続経由でネットワーク結合デバイス１２２ａ及び１２２ｂに結合することができる。集約デバイス１０６は、独自の拡張又は変更を伴う標準プロトコルを使用してネットワーク結合デバイス１２２ａ及び１２２ｂと通信するように構成することができる。

集約デバイス１０６は更に、ネットワーク結合デバイス１２２ａ及び１２２ｂのアクティビティ及び特性についてのログ情報をネットワーク監視デバイス１０２に提供することができる。ログ情報は、特に、安定したネットワーク環境（例えば、ネットワーク上のデバイスのタイプが頻繁に変化しない場合）に信頼性のあるものとすることができる。

図２は、本開示の態様及び実施構成による、ネットワーク上のデバイスの監視及びデバイスリスクの追跡に使用される例示的なネットワークグラフ２００を示す。例示的なネットワークグラフ２００は、ネットワーク（例えば、ネットワーク１００）上のデバイス（例えば、デバイス１２０から１３０）を表す交点又はノード２０２から２４６を含む。ノード間のエッジ又は線は、デバイス間の通信に関連する。各ノードのリスクレベル及びノードのグループ化を含むネットワークグラフ２００は、ネットワークに通信可能に結合されたデバイスを監視するように動作可能なデバイス（例えば、ネットワーク監視デバイス１０２）によって決定することができる。

ノード２４６及び２０２は、ポリシーの要件を満たしているデバイスを表す。例えば、ノード２４６及び２０２で表されるデバイスは、旧式の（例えば、１日以上経過した）ウイルス定義を有する場合、又はアンチスパイウェアソフトウェアをインストールさせていない場合がある。ポリシーに基づいて、これらのデバイスは、本明細書で説明するように、高リスクであると決定することができる（例えば、ネットワーク監視デバイス１０２によって）。ノード２０２及び２４６は、高リスクであることに基づいて、グラフィカルユーザインタフェースに赤色で表示することができる。

ノード２０４から２１０に関連するデバイスは、ノード２０２に関連するデバイスと通信したと判定され、ノード２０２に関連するデバイスと通信したことに基づいて、中リスクであるか又は疑わしいと判定される。ノード２０２から２１０は、ノード２０２に関連するデバイスと通信したことに基づいて、本明細書で説明するようにホットゾーン又はグループ２６０にグループ化される。

ノード２４０から２４４に関連するデバイスは、ノード２４６に関連するデバイスと通信したと判定され、ノード２４６に関連するデバイスと通信したことに基づいて、中リスクであるか又は疑わしいと判定される。ノード２４０から２４４は、ノード２４６に関連するデバイスと通信したことに基づいて、本明細書で説明するようにホットゾーン又はグループ２５０にグループ化される。ノード２０４から２０１及び２４０から２４４は、中リスクであることに基づいて、グラフィカルユーザインタフェースに黄色で表示することができる。

図３は、本開示の一実施構成による、ネットワークに通信可能に結合されたデバイスの様々なリスクレベルを示すネットワークグラフを含む例示的なグラフィカルユーザインタフェース３００を示す。例示的なグラフィカルユーザインタフェース３００は、ネットワーク（例えば、ネットワーク１００）における通信を監視するデバイス（例えば、ネットワーク監視デバイス１０２）によって決定されるデバイス通信（例えば、デバイス１２０から１３０）を表すネットワークグラフを含む。例示的なグラフィカルユーザインタフェース３００は、高リスク及び中リスクデバイスを有し選択されたホットゾーン又はグループを表す。

例示的なグラフィカルユーザインタフェース３００は、デバイスを表す様々なノードを含む。例示的なグラフィカルユーザインタフェース３００は、各ノードに関連するＩＰアドレスを含み、このＩＰアドレスは、そのノードに関連するデバイスのＩＰアドレスである。例えば、ノード３０２は、１０．４２．１．４３のＩＰアドレスを有するデバイスを表し、ノード３０６は、１０．４２．１．１５２のＩＰアドレスを有するデバイスを表し、ノード３０８は、１０．４２．１．８１のＩＰアドレスを有するデバイスを表す。ノード３１０は、２１６．８９．５１．３のＩＰアドレスを有するデバイスを表し、ノード３１２は、２１６．８９．５１．２のＩＰアドレスを有するデバイスを表す。例示的なグラフィカルユーザインタフェース３００は、独立したネットワーク内に存在するデバイス及び単にこれら自身の間で通信しているデバイスを表すことができる。例えば、１０．４１．ｘ．ｘアドレス範囲と２１６．ｘ．ｘ．ｘアドレス範囲内にあるデバイスは、独立したネットワーク上に存在すること、これらのデバイスのそれぞれのＩＰアドレス範囲内にあるデバイスと通信しているデバイスとすることができる。

例示的なグラフィカルユーザインタフェース３００のネットワークグラフの線又はエッジは、２つのノード間のトラフィックの方向を矢印で示し、トラフィックの量を線の太さで示す。例えば、２つのノード間のトラフィックの大部分は、１つのノードから別のノードに向かう線上の矢印で示すことができる。線３０４は、ノード３０２とノード３０６とのの間の通信トラフィックの大部分がノード３０２からノード３０６に向かうことを表す。幾つかの実施形態では、線の太さはまた、帯域幅を示すのに使用することもでき、２つのデバイス間のより太い線は、より多くのトラフィックを示す。

幾つかの実施形態では、例示的なグラフィカルユーザインタフェース３００におけるノードの大きさは、ノードが受け取るネットワークトラフィックの相対量を表す。例えば、このノード３０６は、比較的より小さいノード３０２又はノード３０８と比較して複数のノードからより多くのトラフィックを受け取ったため、ノード３０６は、より大きい。

例示的なグラフィカルユーザインタフェース３００のネットワークグラフのノードは更に、リスクレベルに従って色付けすることができる。例えば、ノード３０６は、本明細書で説明するように、ポリシーに基づいて高リスクであると判定され、赤色に色付けすることができる。ノード３０２及び３０８は、本明細書で説明するように、ノード３０６との通信に基づいて中リスクであると判定され、黄色に色付けすることができる。線の太さ、ノードの大きさ、色、及び例示的なグラフィカルユーザインタフェース３００の他の視覚的態様は、通信及びノードの様々な態様を区別するように様々な方法でカスタマイズできことが理解される。

幾つかの実施形態では、グラフィカルユーザインタフェースの要素は、グループ、ＩＰ範囲、トラフィックフィルタリング、セグメント、ポート、帯域幅（例えば、ビット毎秒（ｂｐｓ）単位）、パケット転送速度（例えば、パケット毎秒（ｐｐｓ）単位）、マッチしたポリシー、及び開始時刻から終了時刻に基づく、グループ（例えば、ポリシーに関連）の選択及びホットゾーン表示のフィルタリングを可能にすることができる。様々な実施形態では、１又は２以上のチェックボックス又はセレクタは、グラフのエッジ上のポート又はプロトコルの表示を可能にするように動作可能とすることができる。より多くのデータがグラフのエッジ上に示されるので、ズーム機能が、ズームインして、ネットワークの特定の部分及び関連データを閲覧するのに使用することができる。

図４を参照すると、フローチャート４００は、様々な実施形態によって使用される例示的な機能を示している。特定の機能ブロック（「ブロック」）がフローチャート４００に開示されているが、このようなブロックは一例である。すなわち、実施形態は、様々な他のブロック、又はフローチャート４００に列挙されたブロックの変形例を実行するのによく適している。フローチャート４００におけるブロックは、提示されたものと異なる順序で実行でき、フローチャート４００におけるブロックのすべてが実行されなくてもよいことが理解される。

図４は、本開示の一実施構成による、デバイス監視のための方法の態様のフローチャートを示す。フローチャート４００の様々な部分は、デバイス（例えば、ネットワーク監視デバイス１０２）の異なるコンポーネント（例えば、システム５００のコンポーネント）によって実行することができる。フローチャート４００は、デバイスを監視し、リスクレベルを決定し、任意選択で（例えば、ポリシーに従って）セキュリティアクションを実行する処理を示している。

ブロック４０２において、ネットワークに通信可能に結合された１又は２以上のデバイスが評価される。この評価は、受動的方法（例えば、ネットワークトラフィック監視）又は能動的方法（例えば、インストールされたソフトウェア又は他の特性についてデバイス自体に問い合わせること、又は他のシステム（例えば、システム１５０）に問い合わせること）を含むことができる。デバイスは、ポリシーの１又は２以上の条件を満たす又は満足させるデバイスが、高リスクレベルにあると判定されるポリシーに従って評価することができる。例えば、ポリシーは、アンチウイルス定義が１日以上経過しているという条件、又はアンチスパイウェアがインストールされていないという条件を有することができる。

ブロック４０４において、第１のデバイスに関連する第１のインジケータがアクセスされる。デバイスの評価の結果にアクセスでき、デバイスが高リスクであるというインジケータにアクセスすることができる。高リスクであると判定されたデバイスが存在しい場合には、ブロック４０２が実行され得る。

ブロック４０６において、第１のデバイスに関連する通信情報がアクセスされる。本明細書で説明するように、高リスクデバイスに関連する通信情報にアクセスすることができる。通信情報は、高リスクデバイスとの間の通信の詳細を含むことができる。

ブロック４０８において、第２のデバイスが、第１のデバイスと通信していると判定される。本明細書で説明するように、高リスクデバイスと通信したデバイスは、通信情報の解析に基づいて識別される。

ブロック４１０において、第２のデバイスに関連する第２のインジケータが設定される。本明細書で説明するように、高リスクデバイスと通信したデバイスに関連するリスクインジケータ又はリスクレベルは、中リスクレベルに設定することができる。

ブロック４１２において、第２のデバイスに関連する第２のインジケータが保存される。本明細書で説明するように、第２のデバイスが中リスクレベルであることを示す第２のインジケータは、後でアクセスされるように（例えば、ネットワークグラフで、例えばグラフィカルユーザインタフェース３００の一部分として表示するために）保存することができる。

ブロック４１４において、１又は２以上のセキュリティアクションが、任意選択で実行される。セキュリティアクションは、通知（例えば、ＨＴＴＰ通知、アクセスを制限できるポータル経由での通知、ＩＴチケット、電子メール、ＳＭＳ、又はこれらの組み合わせ）、ネットワークアクセスの変更、アップデート又はパッチシステムの開始などを含むことができる。セキュリティアクションは、高リスクデバイス及び中リスクデバイスに対して実行することができる。幾つかの実施形態では、１つのセキュリティアクションが、高リスクデバイスに適用でき、別のセキュリティアクションが、中リスクデバイスに適用できる。

また、セキュリティアクションは、マルウェアが、デバイス、又はデバイスに関連する他のＩＯＣで検出された場合、又は何らかの未知プロセスがデバイス上で実行されている場合に、高リスクデバイスで実行することもできる。次に、セキュリティアクションが開始して、ＩＴ部門に通知することができる。従って、ポリシーは、幾つかのイベント又は条件（例えば、ポリシーに対する違反、予期しない帯域幅利用、予期しないプロトコル使用など）に基づいて、通知（例えば、ＨＴＴＰ通知、アクセスを制限できるポータル経由での通知、ＩＴチケット、電子メール、ＳＭＳ、又はこれらの組み合わせ）、セキュリティアクション、又はこれらの組み合わせをトリガーすることができる。

幾つかの実施形態では、セキュリティアクションは、様々な機能を実行するために他のシステムに信号を送ることを含むことができる。例えば、ネットワークの１又は２以上の部分へのデバイスのアクセスを制限するようにファイアウォールに信号を送ることができる。アンチマルウェアスキャン又はアンチウイルススキャンは、通知を送る前に、デバイス上で開始することができる（例えば、通知は、マルウェア又はウイルスを見つけるスキャンの何れかを条件とすることができる）。

ブロック４１６において、第１及び第２のインジケータを表示することができる。本明細書で説明するように、第１及び第２のインジケータに関連するリスクレベルは、グラフィカルユーザインタフェース（例えば、グラフィカルユーザインタフェース３００）の一部分として表示することができる（例えば、ネットワークグラフ内の赤色又は黄色のノードとして）。

ブロック４１８において、例えば、高リスクレベルを有する、解析される追加のデバイスが存在するか否かを判定する。追加の高リスクデバイスが存在する場合には、この追加のデバイスと通信した（例えば、中リスクであると判定できる）デバイスが存在するか否かを判定することができる。追加の高リスクデバイスが存在する場合に、ブロック４０８が実行され得る。追加の高リスクデバイスが存在しない場合には、ブロック４０２が実行され得る。

図５は、様々な実施形態によって使用される例示的なコンポーネントを示す。システム５００内の特定のコンポーネントが開示されているが、このようなコンポーネントは一例であることを理解されたい。すなわち、本発明の実施形態は、様々な他のコンポーネント、又はシステム５００に列挙されたコンポーネントの変形例を有するのによく適している。システム５００内のコンポーネントは、提示されたもの以外の他のコンポーネントと共に動作することができ、システム５００のコンポーネントのすべてが、システム５００の目標を達成するために必要であるは限らないとすることができる。

図５は、本開示の一実施構成による、デバイスリスク監視のためのシステムの例示的なコンポーネントを示す。例示的なシステム５００は、ネットワーク通信インタフェース５０２、外部システムインタフェース５０４、エージェントインタフェース５０６、トラフィックアナライザ５０８、リスク決定コンポーネント５１０、表示コンポーネント５１２、通知コンポーネント５１６、及びポリシーコンポーネント５１８を含む。システム５００のコンポーネントは、コンピューティングシステム又は他の電子デバイス（例えば、ネットワーク監視デバイス１０２）又は仮想マシンの一部分とすることができ、ネットワークに通信可能に結合された１又は２以上のデバイスのリスクを監視するように動作することができる。例えば、システム５００は更に、メモリと、このメモリに動作可能に結合された処理デバイスとを含むことができ、この処理デバイスは、システム５００のコンポーネントの機能を実行すること、又はそのコンポーネントを実行することができる。システム５００のコンポーネントは、監視されているデバイスに関連する様々なデータにアクセスして、デバイスに関連するリスクレベルを決定することができる。システム５００のモジュール性は、コンポーネントが独立していることを可能にし、他のコンポーネントに影響を与えることなく、個々のコンポーネントをイネーブル又はディスエーブルするか、又はコンポーネントを拡張／アップグレードする柔軟性を可能にし、これによって、スケーラビリティ及び拡張性が提供されることが理解される。システム５００は、フローチャート４００の１又は２以上のブロックを実行することができる。

通信インタフェース５０２は、本明細書において説明するように、ネットワークに結合された１又は２以上のデバイス（例えば、ネットワークデバイス１０４）と通信するように動作することができ、これらのデバイスは、システム５００に結合されており、ネットワークに結合されたデバイスに関する情報（例えば、１又は２以上のデバイスの通信に関連する情報）を受け取るか又はそれにアクセスする。通信インタフェース５０２は、デバイスがネットワークに結合されると、１又は２以上のコンポーネントと協働して、デバイスの監視、及びデバイスに関連するリスクの決定を開始するように動作可能とすることができる。

外部システムインタフェース５０４は、１又は２以上のサードパーティ、リモート、又は外部システムと通信して、解析又は評価されるデバイスに関する情報にアクセスするように動作可能である。外部システムインタフェース５０４は更に、アクセスされた情報をデータストアに保存することができる。例えば、外部システムインタフェース５０４は、１又は２以上のサードパーティシステムからのＩＯＣ情報にアクセスして、アクセスされた情報をデータストアに保存することができる。外部システムインタフェース５０４は、脆弱性評価（ＶＡ）システム、高度脅威検出（ＡＴＤ）システム、モバイルデバイス管理（ＭＤＭ）システム、ファイアウォール（ＦＷ）システム、スイッチシステム、アクセスポイント（ＡＰ）システムと通信するように動作可能とすることができる。外部システムインタフェース５０４は、ＡＰＩを使用してサードパーティシステムに問い合わせを行うことができる。例えば、外部システムインタフェース５０４は、デバイスに関する情報について、又はファイアウォールに通信可能に結合されたデバイスのリストについて、ファイアウォールに問い合わせを行うことができる。幾つかの実施形態では、外部システムインタフェース５０４は、デバイス（例えば、高リスクデバイス）に関連する通信の情報についてファイアウォール又は他のシステムに問い合わせを行うことができる。

エージェントインタフェース５０６は、デバイスに関する情報を収集することができるデバイスのエージェント（例えば、エージェント１４０）と通信するように動作可能とすることができる。エージェントインタフェース５０６は、本明細書で説明するように、エージェントによって収集された情報（例えば、ローカルにインストールされたソフトウェアに関する情報、パッチ又はアップデートに関する情報など）を受け取ること又はそれにアクセスすることができる。

トラフィックアナライザ５０８は、監視されているデバイスとの間のネットワークトラフィックの解析を実行する（例えば、リアルタイムで）ように構成される。トラフィックアナライザ５０８は、ネットワークトラフィックのパケットにアクセスし（例えば、受動的に）、ネットワークトラフィックを解析するように動作可能なパケットエンジンを有することができる。例えば、通信要求に関連するパケットは、アクセスされ解析されて、デバイスが別のデバイスとの通信を開始しているか、又は別のデバイスから通信要求を受け取っているかを判定することができる。トラフィックアナライザ５０８は、能動的又は受動的なトラフィック解析又はこれらの組み合わせを実行するように構成することができる。トラフィックアナライザ５０８は更に、１又は２以上のデバイス（例えば、ネットワークデバイス１０４、システム１５０、又は集約デバイス１０６）から、又は監視されているデバイスからのトラフィックログにアクセスしてそれを解析することができる。トラフィックアナライザ５０８は更に、例えば、トラフィック解析がサードパーティシステムによって実行される場合に、監視されているデバイスに関連するトラフィック解析データにアクセスすることができる。

リスク決定コンポーネント５１０は、本明細書で説明するように、ネットワークに結合された１又は２以上のデバイスに関連するリスク情報にアクセスしてそれを管理（例えば、保存及び更新）するように構成される。リスク決定コンポーネント５１０は更に、本明細書で説明するように、１又は２以上のデバイスに関連する通信情報を使用して、高リスクデバイスと通信し、従って、中リスクであるか又は疑わしいと判定されるデバイスを決定するように構成される。

表示コンポーネント５１２は、本明細書で説明するように、任意選択で、様々なリスクレベル（例えば、リスク決定コンポーネント５１０によって決定される）を表すためのグラフィカルユーザインタフェース又は他のインタフェース（例えば、コマンドラインインタフェース）を表示するように構成される。幾つかの実施形態では、表示コンポーネント５１２は、グラフィカルユーザインタフェース（例えば、グラフィカルユーザインタフェース３００）の一部分として表示するためのネットワークグラフを決定することができる。

通知コンポーネント５１６は、本明細書で説明するように、デバイスが高リスクもしくは中リスクであると判定されたか、又はポリシーの１又は２以上の条件を満たすことに基づいて通知を開始するように動作可能である。この通知は、本明細書で説明するように、様々な通知、例えば、ＩＴチケット、電子メール、ＳＭＳ、ＨＴＴＰ通知、アクセスを制限できるポータル経由での通知などの何れかとすることができる。

ポリシーコンポーネント５１８は、本明細書で説明するように、１又は２以上の修復アクション又はセキュリティアクションを開始又はトリガーするように動作可能である。ポリシーコンポーネント５１８は更に、コンプライアンス状態をチェックすること、開放ポートを見つけることなどを含む他の機能を実行するように構成することができる。ポリシーコンポーネント５１８は、本明細書で説明するように、ネットワークアクセスを制限し、パッチシステム又はサービスに信号を送り、更新システム又はサービスに信号を送り、１又は２以上のコンプライアンス問題に対処するためのアクションを開始することができる。従って、ポリシーコンポーネント５１８は、とりわけ、デバイスのネットワークアクセスを自動的にパッチ適用し、自動的に更新し、自動的に制限することができる。

アクションは、ネットワークアクセスを特定のレベルに制限すること（例えば、完全、制限、又はネットワークアクセスなし）と、修復アクション（例えば、パッチシステム又はサービスのトリガー、更新システム又はサービスのトリガー、サードパーティ製品のアクションのトリガーなど）と、情報アクション（例えば、ユーザ又はＩＴ管理者への電子メール通知の送信、又はコンプライアンスのレベルを反映するＩＴチケットの生成）と、ログアクション（例えば、コンプライアンスレベルのロギング又は保存）とを含むことができる。

システム５００は、命令が符号化された非一時的コンピュータ可読媒体に保存されたソフトウェアとすることができ、この命令は、処理デバイスによって実行されたときに、この処理デバイスに、第１のデバイスに関連する第１のインジケータにアクセスさせ、第１のデバイスに関連する通信情報にアクセスさせる。第１のインジケータは、高くなったセキュリティリスクを示す。命令は更に、処理デバイスに、通信情報に基づいて第１のデバイスと通信している第２のデバイスを決定させることができる。通信情報は、第２のデバイスから第１のデバイスへの通信に関連する情報を含むことができる。命令は更に、処理デバイスに、第１のデバイスに関連する情報に基づいて、第２のデバイスに関連する第２のインジケータを設定させ、第２のデバイスに関連する第２のインジケータを保存させることができる。

幾つかの実施形態では、命令は更に、処理デバイスに、第２のインジケータに基づいてセキュリティアクションを実行させることができる。様々な実施形態では、第２のデバイスから第１のデバイスへの通信は、第２のデバイスから第１のデバイスへの試みられた通信を含む。幾つかの実施形態では、第２のインジケータは、選択されたプロトコルに関連する通信に基づいて決定される。

図６は、マシンに、本明細書で説明する方法のうちの任意の１又は２以上を実行させるための命令セットを実行できるコンピュータシステム６００の例示的な形態でのマシンの図式表現を示す。代替実施形態では、マシンは、ローカルエリアネットワーク（ＬＡＮ）、イントラネット、エクストラネット、又はインターネット内の他のマシンに接続（例えば、ネットワーク接続）することができる。マシンは、クライアントサーバネットワーク環境ではサーバもしくはクライアントマシンの能力で、又はピアツーピア（又は分散型）ネットワーク環境ではピアマシンとして動作することができる。マシンは、パーソナルコンピュータ（ＰＣ）、タブレットＰＣ、セットトップボックス（ＳＴＢ）、携帯情報端末（ＰＤＡ）、携帯電話、Ｗｅｂアプライアンス、サーバ、ネットワークルータ、スイッチもしくはブリッジ、ハブ、アクセスポイント、ネットワークアクセス制御デバイス、又はそのマシンによって行われるアクションを指定する一連の命令を実行できる（順次又はそれ以外の方法で）任意のマシンとすることができる。更に、単一のマシンのみが示されているが、「マシン」という用語はまた、本明細書で説明する方法のうちの１又は２以上を実行するための命令のセット（複数のセット）を個別に又は共同で実行するマシンの任意の集合体を含むものと解釈されたい。１つの実施形態では、コンピュータシステム６００は、１又は２以上のデバイスを監視し、デバイスリスクを決定するように構成されたネットワーク監視デバイス１０２などのサーバを表すことができる。

例示的なコンピュータシステム６００は、処理デバイス６０２と、メインメモリ６０４（例えば、読み出し専用メモリ（ＲＯＭ）、フラッシュメモリ、ダイナミックランダムアクセスメモリ（ＤＲＡＭ））と、スタティックメモリ６０６（例えば、フラッシュメモリ、スタティックランダムアクセスメモリ（ＳＲＡＭ）など）と、バス６３０経由で互いに通信するデータストレージデバイス６１８とを含む。本明細書で説明する様々なバスを介して提供される信号の何れかは、他の信号と時分割多重化され、１又は２以上の共通バスを介して提供することができる。更に、回路コンポーネント又はブロック間の相互接続は、バス又は単一信号線として示すことができる。代替的に、バスの各々は、１又は２以上の単一信号線とすることができ、代替的に、単一信号線の各々は、バスとすることができる。

処理デバイス６０２は、マイクロプロセッサ、中央処理装置、又は同様のものなどの１又は２以上の汎用処理デバイスを表す。より具体的には、処理デバイスは、複雑命令セットコンピューティング（ＣＩＳＣ）マイクロプロセッサ、縮小命令セットコンピュータ（ＲＩＳＣ）マイクロプロセッサ、超長命令語（ＶＬＩＷ）マイクロプロセッサ、他の命令セットを実装するプロセッサ、又は命令セットの組み合わせを実装するプロセッサでとすることができる。処理デバイス６０２はまた、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、デジタル信号プロセッサ（ＤＳＰ）、ネットワークプロセッサ、又は同様のものなどの１又は２以上の専用処理デバイスとすることもできる。処理デバイス６０２は、本明細書で説明する動作及びステップを実行するために、図５に示されているシステム５００の一例であり得る処理ロジック６２６を実行するように構成される。

データストレージデバイス６１８は、機械可読記憶媒体６２８を含むことができ、本明細書に記載の機能の方法の何れか１又は２以上を具体化する命令６２２（例えば、ソフトウェア）の１又は２以上のセットが、この機械可読記憶媒体上に保存され、この命令は、処理デバイス６０２にデバイスモニタ５００を実行させる命令を含む。命令６２２はまた、コンピュータシステム６００によるその実行中に、完全に又は少なくとも部分的に、メインメモリ６０４内又は処理デバイス６０２内に常駐することができ、メインメモリ６０４及び処理デバイス６０２はまた、機械可読記憶媒体を構成する。命令６２２は更に、ネットワークインタフェースデバイス６０８経由でネットワーク６２０を介して送信又は受信することができる。

機械可読記憶媒体６２８はまた、本明細書で説明するように、デバイス監視のための方法を実行するための命令を保存するのに使用することもできる。機械可読記憶媒体６２８は、例示的な実施形態では単一の媒体であるように示されているが、「機械可読記憶媒体」という用語は、１又は２以上の命令セットを保存する単一の媒体又は複数の媒体（例えば、集中型又は分散型データベース、又は、関連するキャッシュ及びサーバ）を含むものと解釈されたい。機械可読媒体は、機械（例えば、コンピュータ）によって読み取り可能な形式（例えば、ソフトウェア、処理アプリケーション）で情報を保存するための任意の機構を含む。機械可読媒体は、限定されるものではないが、磁気記憶媒体（例えば、フロッピーディスケット）、光記憶媒体（例えば、ＣＤ−ＲＯＭ）、光磁気記憶媒体、読み出し専用メモリ（ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）、消去可能プログラム可能メモリ（例えば、ＥＰＲＯＭ及びＥＥＰＲＯＭ）、フラッシュメモリ、又は電子命令を保存するのに適した別のタイプの媒体を含むことができる。

前述の説明は、本開示の幾つかの実施形態の十分な理解をもたらすように特定のシステム、コンポーネント、方法などの例などの多数の具体的な詳細を説明している。しかしながら、当業者であれば、本開示の少なくとも幾つかの実施形態は、これらの具体的な詳細なしに実施できることが明らかであろう。他の例では、本開示を不必要に不明確にしないように、公知のコンポーネント又は方法は、詳細に説明されないか、又は単純なブロック図の形式で提示される。従って、説明する具体的な詳細は、単なる例示である。特定の実施形態は、これらの例示的な詳細と異なるものとすることができ、依然として、本開示の範囲内であることが意図されている。

本明細書全体にわたる「１つの実施形態」又は「一実施形態」への言及は、これらの実施形態に関連して説明する特定の特徴、構造、又は特性が少なくとも１つの実施形態に含まれることを意味する。従って、本明細書全体にわたる様々な場所での「１つの実施形態において」又は「一実施形態において」という語句の出現は、必ずしもすべてが同じ実施形態を指しているとは限らない。加えて、「又は」という用語は、排他的な「又は」ではなく、包含的な「又は」を意味することが意図されている。

更に、幾つかの実施形態は、機械可読媒体が１つより多いコンピュータシステムに保存され、及び／又はこれによって実行される分散型コンピューティング環境で実施することができる。加えて、コンピュータシステム間で転送される情報は、これらのコンピュータシステムを接続する通信媒体を介して引き出すこと又は送り出すことができる。

特許請求される主題の実施形態は、限定されるものではないが、本明細書で説明する様々な動作を含む。これらの動作は、ハードウェアコンポーネント、ソフトウェア、ファームウェア、又はこれらの組み合わせによって実行することができる。

本明細書における方法の動作は、特定の順序で示され説明されているが、各方法の動作の順序は、特定の動作が逆の順序で実行できるように、又は特定の動作が、少なくとも部分的に、他の動作と同時に実行できるように変更することができる。別の実施形態では、別個の動作の命令又は下位動作は、断続的に又は交互に行うことができる。

要約書に記載されているものを含む、本発明の例示された実施構成についての上記の説明は、網羅的であること、又は本発明を開示された厳密な形態に限定することを意図するものではない。本発明の特定の実施構成及び実施例は、本明細書では例示目的で説明されているが、当業者が認識するように、本発明の範囲内で様々な同等の変更が可能である。「例」又は「例示的」という用語は、本明細書では、一例、事例、又は例証としての役割を果たすことを意味するために使用される。本明細書において「例」又は「例示的」として説明される任意の態様又は設計は、必ずしも、他の態様又は設計よりも好ましい又は好都合であると解釈されてはならない。そうではなく、「例」又は「例示的」という用語の使用は、概念を具体的に提示することを意図している。本出願で使用されている「又は」という用語は、排他的な「又は」ではなく、包含的な「又は」を意味することを意図している。すなわち、別段の指定のない限り、又は文脈から明らかでない限り、「Ｘは、Ａ又はＢを含む」は、自然な網羅的置換の何れかを意味することが意図されている。すなわち、ＸがＡを含む、ＸがＢを含む、又はＸがＡ及びＢの両方を含む場合に、前述の例の何れの条件下でも、「Ｘは、Ａ又はＢを含む」は満たされる。加えて、本出願及び特許請求の範囲で使用される冠詞「ａ」及び「ａｎ」は、別段の指定のない限り、又は文脈から明らかに単数形と指示されない限り、一般に「１又は２以上」を意味するように解釈されたい。本明細書を通した「一実施形態」又は「１つの実施形態」或いは「一実施構成」又は「１つの実施構成」という用語の使用は、そのようなものとして記載されていない限り、同じ実施形態又は実施構成を意味することを意図するものではない。更に、本明細書で使用される「第１」、「第２」、「第３」、「第４」などの用語は、異なる要素を区別するためのラベルを意味するものであり、必ずしもこれらの数値指定による順序を表す意味を有しない場合がある。

Claims (20)

1. 第１のデバイスに関連し且つセキュリティリスクレベルを示す第１のインジケータにアクセスするステップと、
   前記第１のデバイスに関連する通信情報にアクセスするステップと、
   処理デバイスによって、前記通信情報に基づいて前記第１のデバイスと通信している第２のデバイスを決定するステップと、
   前記第１のデバイスに関連する情報に基づいて、前記第２のデバイスに関連する第２のインジケータを設定するステップと、
   前記第２のデバイスに関連する前記第２のインジケータを保存するステップと、
   を含む方法。
2. 前記第２のインジケータに基づいて前記第２のデバイス上でアクションを実行するステップを更に含む、請求項１に記載の方法。
3. 前記第１のデバイスとの前記第２のデバイスの通信は、前記第１のデバイスから前記第２のデバイスに送られる通信を含む、請求項１に記載の方法。
4. 前記第１のデバイスとの前記第２のデバイスの通信は、前記第２のデバイスから前記第１のデバイスに送られる通信を含む、請求項１に記載の方法。
5. 前記第１のデバイスとの前記第２のデバイスの通信は、前記第１のデバイスから前記第２のデバイスへの試みられた通信を含む、請求項１に記載の方法。
6. 前記第２のデバイスに関連する第２のインジケータは、中リスクレベルを示す、請求項１に記載の方法。
7. 前記第２のデバイスに関連する前記第２のインジケータを表示するステップを更に含む、請求項１に記載の方法。
8. 前記第２のインジケータは、前記第１のデバイスと前記第２のデバイスとの間の通信に関連する帯域幅利用に基づいて設定される、請求項１に記載の方法。
9. 前記第１のデバイスと前記第２のデバイスとの通信は、プロトコルに関連する、請求項１に記載の方法。
10. メモリと、
    前記メモリに動作可能に結合された処理デバイスと、
    を備えるシステムであって、
    前記処理デバイスは、
    第１のデバイスに関連し且つ高いセキュリティリスクを示す第１のインジケータにアクセスし、
    前記第１のデバイスに関連する通信情報にアクセスし、
    前記処理デバイスによって、前記第１のデバイスから該第１のデバイスと通信している第２のデバイスへの通信に関連する情報を含む前記通信情報に基づいて、前記第２のデバイスを決定し、
    前記第１のデバイスに関連する情報に基づいて、前記第２のデバイスに関連する第２のインジケータを設定し、
    前記第２のデバイスに関連する前記第２のインジケータを保存する、
    ことを特徴とするシステム。
11. 前記処理デバイスは更に、前記第２のインジケータに基づいてセキュリティアクションを実行する、請求項１０に記載のシステム。
12. 前記第１のデバイスから前記第２のデバイスへの通信は、前記第１のデバイスから前記第２のデバイスへの試みられた通信を含む、請求項１０に記載のシステム。
13. 前記第２のデバイスに関連する前記第２のインジケータは、中リスクレベルを示す、請求項１０に記載のシステム。
14. 前記処理デバイスは更に、第１の色に関連する前記第１のインジケータと第２の色に関連する前記第２のインジケータとを表示する、請求項１０に記載のシステム。
15. 前記第２のインジケータは、前記第１のデバイスと前記第２のデバイスとの間の通信に関連する帯域幅利用に基づいて設定される、請求項１０に記載のシステム。
16. 前記第２のインジケータは、前記プロトコルに関連する通信に基づいて決定される、請求項１０に記載のシステム。
17. 命令が符号化された非一時的コンピュータ可読媒体であって、前記命令は、処理デバイスによって実行されたときに、前記処理デバイスに対して、
    第１のデバイスに関連し且つ高いセキュリティリスクを示す第１のインジケータにアクセスし、
    前記第１のデバイスに関連する通信情報にアクセスし、
    前記処理デバイスによって、前記第１のデバイスと通信している第２のデバイスから前記第１のデバイスへの通信に関連する情報を含む前記通信情報に基づいて、前記第２のデバイスを決定し、
    前記第１のデバイスに関連する情報に基づいて、前記第２のデバイスに関連する第２のインジケータを設定し、
    前記第２のデバイスに関連する前記第２のインジケータを保存する、
    ようにする、ことを特徴とする非一時的コンピュータ可読媒体。
18. 前記処理デバイスは更に、前記第２のインジケータに基づいてセキュリティアクションを実行する、請求項１７に記載の非一時的コンピュータ可読媒体。
19. 前記第２のデバイスから前記第１のデバイスへの通信は、前記第２のデバイスから前記第１のデバイスへの試みられた通信を含む、請求項１７に記載の非一時的コンピュータ可読媒体。
20. 前記第２のインジケータは、選択されたプロトコルに関連する通信に基づいて決定される、請求項１７に記載の非一時的コンピュータ可読媒体。

Images