JP2022547485A - サービスとしてのインフラストラクチャの機密保護のためのハニーポット - Google Patents

サービスとしてのインフラストラクチャの機密保護のためのハニーポット Download PDF

Info

Publication number
JP2022547485A
JP2022547485A JP2022514618A JP2022514618A JP2022547485A JP 2022547485 A JP2022547485 A JP 2022547485A JP 2022514618 A JP2022514618 A JP 2022514618A JP 2022514618 A JP2022514618 A JP 2022514618A JP 2022547485 A JP2022547485 A JP 2022547485A
Authority
JP
Japan
Prior art keywords
honeypot
attacker
request
data
server
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2022514618A
Other languages
English (en)
Other versions
JPWO2021046094A5 (ja
Inventor
リース，クリストファー・ジェイムズ
ラボラト，ニッコラス・アンソニー
レイモンド，ケビン
アンドリューズ，フィリップ
スクーラ，クリスタ
Original Assignee
オラクル・インターナショナル・コーポレイション
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by オラクル・インターナショナル・コーポレイション filed Critical オラクル・インターナショナル・コーポレイション
Publication of JP2022547485A publication Critical patent/JP2022547485A/ja
Publication of JPWO2021046094A5 publication Critical patent/JPWO2021046094A5/ja
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1491—Countermeasures against malicious traffic using deception as countermeasure, e.g. honeypots, honeynets, decoys or entrapment
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/14—Session management
    • H04L67/141—Setup of application sessions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

ハニーポットを利用して、攻撃者をおびき寄せて、攻撃者についてのデータおよびＩａａＳ（Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ－ａｓ－ａ－Ｓｅｒｖｉｃｅ）インスタンス上での攻撃パターンを収集するための技術。収集されたデータは、その後、解析され、このような攻撃を未然に防ぐために利用され得る。

Description

関連出願の相互参照
本願は、米国特許法第１１９条（ｅ）の下、２０１９年９月４日に出願され、「ＨＯＮＥＹＰＯＴＳ ＦＯＲ ＩＮＦＲＡＳＴＲＵＣＴＵＲＥ－ＡＳ－Ａ－ＳＥＲＶＩＣＥ ＳＥＣＵＲＩＴＹ（サービスとしてのインフラストラクチャの機密保護のためのハニーポット）」と題された米国出願第６２／８９５，８４７号、および、２０２０年９月１に出願され、「ＨＯＮＥＹＰＯＴＳ ＦＯＲ ＩＮＦＲＡＳＴＲＵＣＴＵＲＥ－ＡＳ－Ａ－ＳＥＲＶＩＣＥ ＳＥＣＵＲＩＴＹ（サービスとしてのインフラストラクチャの機密保護のためのハニーポット）」と題された米国出願第１７／００９，６３４号の利益および優先権を主張するものであり、それらのすべての記載内容を、あらゆる目的のために引用により本明細書に援用する。
技術分野
本開示は、コンピュータセキュリティに関し、特に、ハニーポットを利用して攻撃者をおびき寄せて、ＩａａＳ（Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ－ａｓ－ａ－Ｓｅｒｖｉｃｅ：サービスとしてのインフラストラクチャ）インスタンスに対する攻撃パターンについてのデータを収集するための技術に関する。そして、収集されたデータは、解析され、このような攻撃を未然に防ぐために利用され得る。
背景
クラウドベースのサービス（たとえば、ＳａａＳ（Ｓｏｆｔｗａｒｅ－ａｓ－ａ－Ｓｅｒｖｉｃｅ）、ＰａａＳ（Ｐｌａｔｆｏｒｍ－ａｓ－ａ－Ｓｅｒｖｉｃｅ）、ＩａａＳ（Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ－ａｓ－ａ－Ｓｅｒｖｉｃｅ））が急速に増加して普及し、重要な業務運営を行うためにクラウドサービスプロバイダが提供するクラウドサービスにサブスクライブする団体（たとえば、会社、企業、政府機関、教育機関）が増加している。このようなクラウドが提供する製品が増えているので、クラウドサービスプロバイダは、クラウドサービスを提供するインフラストラクチャに対する悪意のあるユーザによる攻撃からのセキュリティ脅威の増加に直面している。また、クラウドサービスのサブスクライバ（たとえば、団体）も、これらの攻撃による悪影響を受けている。このような攻撃を特定して防げるようになることは、サブスクライバおよびクラウドサービスプロバイダの両者にとって最大の利益に繋がる。
しかしながら、クラウド製品に関して、どのように攻撃が起こるのか、および／またはどのように攻撃を防げばよいのかが不明であることが何度もある。この理由は、クラウドセキュリティが比較的非常に新しい、すなわち、従来のネットワークおよび／またはデバイスレベルのセキュリティとは対照的に、新しいタイプのセキュリティであるためである。既存のクラウドセキュリティソリューションは、レベルがとても低く、本質的に事後対応的である。つまり、攻撃されてからどう対処するかを考える。
初期のクラウド攻撃は、ＳａａＳサービスおよびＰａａＳサービスを提供するインスタンスを対象としていたが、最近では、より多くのコンピューティングネットワーク、ストレージネットワーク、および仮想ネットワークが抽象化されてクラウドにされ、様々なＩａａＳインスタンスを介して公開されると、ＩａａＳインスタンスに対する攻撃が増える。たとえば、ビットコインのような暗号通貨が普及したことにより、大量のコンピューティングリソース、ストレージリソース、およびネットワークリソースを必要とする暗号通貨のマイニング（たとえば、ビットコインのマイニング）を行うためにコンピューティングリソース、メモリリソース、およびネットワークリソースを「盗む」ために、ＩａａＳインスタンスが攻撃される頻度が増えた。ＳａａＳ攻撃およびＰａａＳ攻撃と比較すると、ＩａａＳ攻撃については、まだまだ理解されていない。
概要
本開示は、コンピュータセキュリティに関し、特に、ハニーポットを利用して攻撃者をおびき寄せて、ＩａａＳ（Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ－ａｓ－ａ－Ｓｅｒｖｉｃｅ：サービスとしてのインフラストラクチャ）インスタンスに対する攻撃パターンについてのデータを収集するための技術に関する。そして、収集されたデータは、解析され、このような攻撃を未然に防ぐために利用され得る。方法、システム、１つ以上のプロセッサによって実行可能なプログラム、コード、または命令を格納する非一時的なコンピュータ読み取り可能な記憶媒体などを含む、様々な実施の形態を、本明細書において説明する。
特定の実施の形態では、攻撃者をおびき寄せてハニーポットサーバとのセッションを確立するための技術を提供する。ハニーポットサーバは、ＩａａＳインスタンス（Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ－ａｓ－ａ－Ｓｅｒｖｉｃｅインスタンス）に関する要求を攻撃者から受信する。ハニーポットサーバは、要求に対する応答を生成し、要求に応じてこの応答が攻撃者に通信されるようにする。また、ハニーポットサーバは、攻撃者に関するデータ、および攻撃者によるハニーポットサーバとの１つ以上のやり取りに関するデータを記録する。いくつかの実施の形態では、ハニーポットサーバから構成されるネットワーク（ハニーネットとも称する）が提供され得る。
攻撃者から受信した要求を処理することの一部として、ハニーポットサーバは、要求に対応するアクションを決定する。このアクションは、たとえば、ＩａａＳインスタンスのインスタンス化を要求するアクションであり得る。そして、ハニーポットサーバは、コンピューティングリソース、ストレージリソース、またはネットワークリソース少なくとも１つを使用して、要求されたＩａａＳインスタンスをインスタンス化する。そして、ハニーポットサーバは、ＩａａＳインスタンスが正常にインスタンス化されたことを示す応答を攻撃者に返す。
特定の場合、攻撃者から受信した要求は、予めインスタンス化されたＩａａＳインスタンスを使用して実行されるアクションを要求し得る。そして、ハニーポットサーバは、当該予めインスタンス化されたＩａａＳインスタンスにアクションを適用することにより、要求に対する応答を生成し得る。
特定の実施の形態では、ハニーポットサーバは、ＩａａＳインスタンスをインスタンス化するというアクションが実行されることを要求が求めていると判断し得る。そして、ハニーポットサーバは、実際にＩａａＳインスタンスをインスタンス化しないで、要求されたＩａａＳインスタンスが正常にインスタンス化されたことを示す要求に対する応答を生成し得る。場合によっては、攻撃者からの要求は、ＩａａＳインスタンスを使用してアクションが実行されることを要求し得る。ハニーポットサーバは、実際にアクションを実行することなく、また、ＩａａＳインスタンスがインスタンス化されることなく、要求されたアクションに対して適切な応答を生成するように構成される。このようなシナリオでは、ハニーポットサーバは、適切な応答を生成するために、ルール情報を使用してもよい。たとえば、ルール情報は、複数のアクションを特定する情報と、アクションごとに、当該アクションに対応する少なくとも１つの応答とを含み得る。そして、ハニーポットサーバは、このルール情報を使用して、攻撃者が要求したアクションに対する適切な応答を見つけ得る。一実施の形態において、ハニーポットサーバは、ルール情報を検索して、対応するアクションが攻撃者が要求したアクションと一致する項目をルール情報から見つけ得る。そして、ハニーポットサーバは、項目を使用して、要求されたアクションが正常に実行されたと攻撃者に信じ込ませるように、攻撃者に送信する応答を決定し得る。
様々な技術を用いて攻撃者をハニーポットサーバにおびき寄せることができる。たとえば、ＳＳＨ（シェル）ポート２２またはＦＴＰ（ファイル転送プロトコル）ポート２１など、攻撃を指揮するために攻撃者が一般的に検索する１つ以上のポートで、一連の１つ以上のクレデンシャルを故意に目立たせ得る。クレデンシャルは、ユーザ名とパスワードとのペア、証明書、鍵、識別子（たとえば、テナント識別子）などを含み得る。
攻撃者には、様々なタイプがある。たとえば、攻撃者は、自動ボットであり得る。場合によっては、攻撃者は、ブラウザ、ＧＵＩベースのアプリケーションなどのアプリケーションを利用して攻撃を指揮するユーザであり得る。
上記の特徴および実施の形態は、その他の特徴および実施の形態とともに、下記の明細書、特許請求の範囲、および添付の図面を参照すると、より明らかになるだろう。
特定の実施の形態に係る、ハニーポットを備えるハニーネットの実施態様を示す図である。 特定の実施の形態に係る、ハニーポットを備えるハニーネットの別の実施態様を示す図である。 特定の実施の形態に係る、１つ以上のハニーポットを備えるハニーネットを組み込んだ分散環境の簡略ブロック図である。 特定の実施の形態に係る、ハニーポットサーバの簡略ブロック図である。 特定の実施の形態に係る、ハニーポットサーバの簡略ブロック図である。 特定の実施の形態に係る、ハニーポットサーバの簡略ブロック図である。 特定の実施の形態に係る、ハニーポットの実装例のフロー図である。 特定の実施の形態に係る、サービスシステムとしてのクラウドインフラストラクチャを実装するためのあるパターンを示す簡略ブロック図である。 少なくとも１つの実施の形態に係る、サービスシステムとしてのクラウドインフラストラクチャを実装するための別のパターンを示す簡略ブロック図である。 特定の実施の形態に係る、サービスシステムとしてのクラウドインフラストラクチャを実装するための別のパターンを示す簡略ブロック図である。 特定の実施の形態に係る、サービスシステムとしてのクラウドインフラストラクチャを実装するための別のパターンを示す簡略ブロック図である。 特定の実施の形態に係る、コンピュータシステムの例を示す簡略ブロック図である。
詳細な説明
以下の説明において、説明の便宜上、特定の実施の形態を十分に理解してもらうために、具体的な詳細を記載する。しかしながら、これらの具体的な詳細がなくても、様々な実施の形態を実施することができることが明らかになるだろう。図面および説明は、限定ではない。本明細書において用いる「ｅｘｅｍｐｌａｒｙ」という単語は、「例、具体例、例示としての役割を果たす」ことを意味する。本明細書に「ｅｘｅｍｐｌａｒｙ」として記載される実施の形態や設計のいずれも、その他の実施の形態や設計よりも好ましいまたは有利であると必ずしも解釈されるべきではない。
より多くの業務運営が抽象化されてクラウドになると、平行して、所与の団体が全体的な脅威の標的になることがさらに高まる。何もしていないとクラウド環境がどのように攻撃されてしまうかについて、内製した脅威インテリジェンスフィードがよく理解している必要がある。
本開示は、コンピュータセキュリティに関し、特に、ハニーポットを利用して攻撃者をおびき寄せて、ＩａａＳ（Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ－ａｓ－ａ－Ｓｅｒｖｉｃｅ：サービスとしてのインフラストラクチャ）インスタンスに対する攻撃パターンについてのデータを収集するための技術に関する。そして、収集されたデータは、このような攻撃を未然に防ぐために利用され得る。
特定の実施の形態では、１つ以上のハニーポットサーバ（ハニーポット）を設置する。ここで、各ハニーポットサーバ（ハニーポット）は、攻撃者が極めて悪質な行為を行うためにわざと設置されているエンドポイントノードである。たとえば、偽のバンキングアプリケーション、重要なインフラに関連するアプリケーション（たとえば、決済処理、石油リグの温度）などである。このようなハニーポットは、攻撃者についてのデータを収集するために使われる。
特定の実施の形態では、ハニーポットは、悪意のあるユーザ（本明細書において、攻撃者とも称する）を欺いて、本物のＩａａＳ（Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ－ａｓ－ａ－Ｓｅｒｖｉｃｅ）インスタンスなど、本物のインスタンスを危険に晒したと思わせるようにデプロイされ得る。実際には、攻撃者は、ハニーポットサーバが提供する隔離されたダミーまたは仮想化されたリソースで操作をしており、保護されているリソースには実際に影響はない。ハニーネット、またはこのようなハニーポットから構成されるネットワークは、クラウドサービスプロバイダが提供するＩａａＳサービスまたはサービス製品をエミュレートするようにデプロイされ得る。たとえば、Ｏｒａｃｌｅ Ｃｏｒｐｏｒａｔｉｏｎ（登録商標）が提供するＯＣＩ（Ｏｒａｃｌｅ Ｃｌｏｕｄ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）ＩａａＳサービスをエミュレートするためにハニーネット（または、複数のハニーネット）が提供されてもよい。別の例として、ビットコインをマイニングするための、規制がある一連のコンピューティングリソースを有するハニーネットとして、一連のサーバが設置されてもよい。
ＳＳＨ（セキュアシェル）またはＦＴＰ（ファイル転送プロトコル）のようなプロトコルを使用してハニーポットサーバを設置してもよい。攻撃者がアクセスしてログインできるいくつかのクレデンシャル（たとえば、ユーザ名とパスワードとのペア、鍵など）を有するハニーポットが設置されてもよい。本物のＩａａＳインスタンスにアクセスすることにより、攻撃者は、「大当たり」したと思ってしまう。
攻撃者がダミーＩａａＳインスタンスとやり取りすると、ハニーネットインフラストラクチャは、攻撃者に適切な応答を提供して、ダミーインスタンスではなく本物のＩａａＳインスタンスとやり取りしていると信じ込ませるよう攻撃者をだますように構成される。特定の実施の形態では、仮の攻撃者を用いて、予め用意された／予めでっち上げられたやり取りの流れを設置してもよい。
攻撃者のハニーポット（および、ハニーネット）とのやり取りは、記録またはログが取られる。記録された攻撃者のデータは、攻撃者の行為（たとえば、脅威の行為者のユーザ挙動パターン、ユーザに一意のその他の属性）、特定の攻撃者の接続属性およびデバイスレベルの属性（たとえば、接続情報、攻撃の呼び出しおよび要求を発信するために攻撃者が利用したデバイスのＩＰアドレス、ＡＳＮ（Ａｕｔｏｎｏｍｏｕｓ Ｓｙｓｔｅｍ Ｎｕｍｂｅｒ：自律システム番号）トレースルート情報、ドメイン名など）など攻撃者についての一意の属性、および攻撃に関するその他のデータを含み得る。記録されたデータは、攻撃者の一連の行為についてのデータ、攻撃者がアクセスしたオブジェクト、攻撃者が行ったＡＰＩ呼び出し（たとえば、攻撃者が行ったＲＥＳＴ ＡＰＩ呼び出し）などを含み得る。
そして、ログに記録されたデータを解析して、攻撃パターンについての情報およびアナリティクスを特定できる。たとえば、ログに記録されたデータは、攻撃者がどのように攻撃を指揮したのか、攻撃者が何を攻撃していたのか、攻撃の背後にある目的や意図は何であったのか、攻撃の頻度のどれくらいであったのかなどの質問に答えるために用いられてもよい。
ハニーネットは、本明細書で記載する場合、脅威のベクトルが多くの場合バイナリベクトルではないが、むしろ、いくつかの一連のアクションまたは一意の属性から構成される場合の、クラウドセキュリティのための追加の必要な保護メカニズムを提供する。データレイクおよびその抽出メカニズム、ロードメカニズム、および変換メカニズムに組み込まれると、教師なし機械学習技術を利用して、新しいゼロデイ脅威（たとえば、これまで見たことのない脅威）を特定することが可能になる。
そして、ハニーネットが取り込んだまたは記録したデータを使用して、特定の攻撃者および攻撃者の部類を一意に特定し、攻撃についてのパターンを見つけることができる。ハニーネットを用いて収集されたデータは、攻撃メカニズムを理解するために、および団体が知らないであろうゼロデイ脆弱性を含む、進行中の攻撃を防ぐために重要なデータになる。特定のＩＰアドレスが不正なアドレスであると特定されたときにフラグを立てられて適切な措置が取られるように、ハニーネットサービスをセキュリティサービスとして提供することができる。
ハニーネットが記録またはログを取ったデータを、解析を行うためのアナリティクスプラットフォームに送ることができる。たとえば、記録されたデータは、このような攻撃を特定するための１つ以上のモデルを構築するためのＡＩ（人工知能）ベースのＭＬ（機械学習）プラットフォームに送られ得る。ハニーネットシステムが取り込んだデータは、セキュリティ脅威を特定するために用いられている機械学習技術をさらに向上させるために利用できる有用かつ関連性のある訓練データを提供する。ハニーネットがログを記録したデータを用いて、新しい向上したセキュリティモデルを構築できる。
ハニーネットが記録した１人または複数の攻撃者についてのデータは、様々な目的で使用されてもよい。特定の実施の形態では、１つ以上のハニーネットが収集したデータは、これらのハニーネットから集中ログサーバに転送され得る。そして、ログサーバは、解析するために収集データを転送する、または収集データへのアクセスを提供し得る。たとえば、収集されたデータは、解析のために転送され、攻撃者および同様の脅威を特定するように構成された脅威インテリジェンスツールに利用され得る。たとえば、脅威インテリジェンスツールは、収集したＩＰネットワーク情報および当該ＩＰネットワーク情報と脅威の行為者との関連を使用して、類似した攻撃を特定し得る。収集されたデータ（たとえば、鍵ペアの値、イベント、オブジェクト情報など）を機械学習パイプラインに供給して、脅威攻撃の特徴についての情報を学習し得る。このデータは、現在のユーザについての一連のイベントを理解するために用いられ得、これらのユーザが脅威を与えているかどうかが、当該ユーザのクラウドアクティビティプロファイルから導き出され得る。
特定の実施の形態では、１つ以上のハニーネットが記録したデータを解析するために用いられる機械学習パイプラインは、Ａｐａｃｈｅ Ｋａｆｋａを用いたパイプラインなど、分散ストリーミングプラットフォームを用いて実現され得る。ハニーネットが収集したイベントおよび監査ログは、Ｋａｆｋａを用いたパイプラインに提供される。Ｋａｆｋａを用いたパイプラインは、データをデータレイクに格納する。そして、格納されたデータは、Ｋ－ｍｅａｎｓまたはＫ－ｍｅａｎｓ＋＋アルゴリズムなど、クラスタリングアルゴリズムにかけられて、脅威プロファイルおよび脅威を特定し得る。
そして、特定した脅威に対して、未然に予防する措置が開始され得る。場合によっては、このような脅威を特定して、悪意のある行為が実行される前であっても予防措置を取ることが可能になり得る。たとえば、ユーザのアクティビティプロファイルに含まれる情報が、攻撃者についてハニーネットが収集したデータに基づいて生成された情報またはプロファイルと一致した場合、アラートを生成し得る。いくつかのその他の場合、攻撃者が悪意のある行為を行うための時間が少なくなるように、素早い期間で脅威を特定して予防措置を取り得る。たとえば、攻撃のプロファイルに一致する１つまたは２つのアクションが特定されるとすぐに脅威が特定されてもよい。
特定の実施の形態では、ハニーネットが提供するセキュリティ機能自体をクラウドサービスとして提供できる。このようなクラウドサービスは、サブスクライブしているテナントについて、リソースへのアクセスを特定し、不適切なアクセスにフラグを立て、適切な対応措置を取るように構成され得る（たとえば、特定のＩＰアドレスが不正なアドレスであると特定された場合、フラグが立てられて適切な措置が取られる）。
攻撃者についてのデータを取り込んで収集し、攻撃者の気持ちになってこのような攻撃がどこからどのように発信されて実行されるのか、攻撃されるリソース、このような不正アクセス中の行動パターン、系列情報、動機が何であるのかを理解するためのツールとして、および攻撃者についてのコンテキスト情報（たとえば、どこから攻撃者がやって来るのか、どのような種類のオペレーティングシステムを攻撃者が使用しているのか、何時に攻撃してくるのか、および攻撃に関連するその他の属性）を得るためのツールとして、ハニーネットまたはハニーポットから構成されるネットワークをこのように使用する。ハニーネットを利用して、実際の有用なリソースを危険に晒すことなく、このような攻撃についてより多くのデータを見つけ出すことができる。クラウドサービスプロバイダの場合、１つ以上のハニーポットから各々が構成される１つ以上のハニーネットをプロバイダの１つ以上のデータセンターに設置し得る。ハニーネットにより、新しいタイプの脅威を事前に特定することが可能になり、クラウドセキュリティソフトウェア／クラウドセキュリティの人員が、自律した方法で事前により望ましいデータを得ることによって、攻撃者よりも一歩先に居続けることが可能になる。
例示的な実施の形態＃１
以下に、特定の実施の形態に係る、ワークフローの例を説明する。以下に説明するワークフローは、複数のステップを含む。これらのステップおよびその順序は、限定ではない。
ステップ１：ハニーネットを、攻撃者（たとえば、ダークウェブユーザ）がアクセスできるようにする
第１ステップには、ハニーネットを攻撃者が引き寄せられるように設置するステップを含む。特定の実施の形態では、一連のサーバを設置して、ＨＴＴＰまたはＦＴＰなどのプロトコルでの攻撃者からの要求を傍受し得る。都合よく、ディレクトリ構造にあるＣＳＶファイルまたはデータベースファイルに、攻撃者が見つけられるように、クレデンシャルを都合よく格納し得る。攻撃者は、サービスのインスタンス（たとえば、ＩａａＳインスタンス）に対するダミークレデンシャルを見つけると、当該ダミークレデンシャルを用いてサービスインスタンスにアクセスして、そのサービスインスタンスを介して利用可能なリソースを使用しようと試みる。
たとえば、図１および図２に示すように、（セキュアログイン、ＦＴＰ、ポートフォワーディングなどのために使用される）ポート２２またはポート２１上のＦＴＰ待ち受けモードによって、攻撃者は、おとりノードを傍受し得る。クレデンシャルを一般的な命名規則（すなわち、ルート／パスワード）に設定することができる。攻撃者は、歴代のディレクトリ一覧に目を通して、先頭にテキスト（スーパーユーザ）が付けられる．ｃｓｖ／．ｄｂファイルを見つけるであろう。ダークウェブユーザは、スーパーユーザを指定するこのファイルの一番上部分に置かれているランダムに生成されたクレデンシャルを見つけるであろう。クレデンシャルは、スーパーユーザ名／パスワードの形式であり得る。これらのクレデンシャルは、「攻撃を受ける」ために設置された、ＩａａＳハニーネットが提供するダミーＩａａＳインスタンスに攻撃者をアクセスさせるためのクレデンシャルである。
攻撃者を特定するために、ハニーネットによって様々な技術が用いられてもよい。一般に、通常のユーザは、インターネット上のおとりノードを探すことはないであろう。たとえば、おとりノードがＳＳＨ用のポート２２上で動作していた場合、平均的な一般ユーザ（たとえば、クラウドサービスプロバイダの正規クライアントまたは正規テナント）は、そのおとりノードを見つけようとはしないだろうし、したがって、おとりノードに目を通してクレデンシャルを見つけることはしない。おとりノード自体を、ダミークレデンシャルを分散させるためのメカニズムとして用いてもよい。攻撃者は、ダミークレデンシャルに引き寄せられて、これらのクレデンシャルにアクセスして利用し、悪意のある行為を行う。攻撃者は、ポート上で開放されているおとりノード上にクレデンシャルが不注意で残されていると考えるように導かれる。
攻撃が発生し得る方法がいくつかあるが、以下の２つの方法が最も一般的である。
（１）自動ボットを利用する。ボットは、できるだけ多くのクレデンシャルを学習するように構成され得、その後、スクリプトを用いて、学習したクレデンシャルを利用して悪いことをする。
（２）攻撃者は、たとえば、ブラウザまたはその他のＧＵＩアプリケーションを用いて、自分自身でサービスとやり取りすることに関心を持っている。攻撃者は、ＧＵＩを使用してクラウドサービス（たとえば、ＯｒａｃｌｅのＯＣＩサービス）とやり取りする可能性がある。これは、攻撃者の要求に応じてアクションを実行する機能を有するＡＰＩエンドポイントに向かうＣＬＩ（コマンドラインインターフェース）（たとえば、ＲＥＳＴ ＡＰＩベースの要求）要求によって行われ得る。ＧＵＩは、本質的に、ＣＬＩ要求のラッパーである。ＣＬＩ要求は、コマンドラインモードを用いて、または、ＧＵＩインターフェースを用いて生成され得る。
特定の実施の形態では、本明細書に記載のハニーネットは、ボットベースの攻撃およびＧＵＩベースの攻撃の両方に対処可能である。
ステップ２Ａ：攻撃者が自動ボットである（ＣＬＩモード）
ステップ２Ａの目的のために、ＣＬＩ（コマンドラインインターフェース）モードの自動ボットを用いて攻撃が実行されると想定する。図１は、特定の実施の形態に係る、自動ボットから受信する要求に対処するためのハニーネットシステム１００を示す。ハニーネット１００は、１つ以上のハニーポットから構成され得る。図１では、ハニーネットが提供するＩａａＳインスタンス１０２が点線内に示されている。
図１に示すように、おとりノード１０４は、攻撃者がＲＥＳＴ ＡＰＩノード１０６にアクセスすることを可能にする。ＲＥＳＴ ＡＰＩノード１０６は、ＩａａＳサービスのインスタンス１０２へのゲートウェイであり得る。図１（および図２）では、ＩａａＳインスタンス１０２（図２のインスタンス２０２）は、点線で示されており、コンピューティングリソース、ストレージリソース、およびネットワークリソースを含む。おとりノード１０４は、１つ以上のハニーポットから構成されるハニーネットにアクセスするためのクレデンシャルへのアクセスを攻撃者に提供し得る。ここで、これらのハニーポットは、１つ以上の「ダミー」ＩａａＳインスタンス１０２を提供する。提供されたクレデンシャルにより、攻撃者は、ＩａａＳハニーネットが提供するダミーＩａａＳインスタンスのうち１つに接続可能になる。
ＲＥＳＴ ＡＰＩ（コマンド＆コントロール）ノード１０６（図２の２０６）は、攻撃者と、攻撃者が極めて悪質なことを実行したいリソースまたはオブジェクトとの間を仲介する役割を果たす。たとえば、ＲＥＳＴ ＡＰＩエンドポイント１０６（図２の２０６）は、ボット／攻撃者が生成しているＣＬＩのＧＥＴ要求から作成されたすべてのリソース／アクションを仲介するよう機能する。特定の実施の形態では、ＲＥＳＴ ＡＰＩノード１０６は、攻撃者からＣＬＩ要求を受信し、ＣＬＩ要求を解析して攻撃者が要求したアクションを理解し、要求に対して攻撃者が予想している出力または応答を攻撃者に提供する。
また、ＲＥＳＴ ＡＰＩノード１０６には、実際のダミーではないリソースにアクセスしたまたは何らかのアクションを行ったと思わせるように攻撃者をだますための機能がある。これは、攻撃者から受信した要求（たとえば、ＧＥＴ要求、ＰＯＳＴ要求）に対して正しいダミー応答を提供して攻撃者をだまし、実際に攻撃できた（すなわち、実行するよう攻撃者が要求したアクションが正常に行われた）と思わせることによって行われる。たとえば、応答は、攻撃者をだまして、ＩａａＳインスタンスを設置することができた、当該インスタンスを用いて様々な操作を行うことができたと思わせる。ＲＥＳＴ ＡＰＩノード１０６は、攻撃者に虚偽情報またはダミー情報を供給して、悪意のある行為が正常に行われたと信じ込ませる。すなわち、攻撃者をだまして、攻撃者が要求していることが実際に発生していると信じ込ませる。このノードは、偽りを継続させるためのツールとして用いられる。
ＲＥＳＴ ＡＰＩノード１０６には、攻撃者から受信した要求を処理して、攻撃者が予想する情報を攻撃者に供給して攻撃者をだまして、攻撃を続けさせる機能がある。特定の実施の形態では、ＲＥＳＴ ＡＰＩノード１０６は、次のように構成される。
（１）攻撃者から要求を受信して解釈し、要求されたアクションを実行するまたは実行するフリをする。これらのアクションは、攻撃者が要求するように正しいリソースを設置する（たとえば、データベース、コンピュータ、コンテナなどをスピンアップする）ことを含み得る。
（２）エラー処理の実行を含む、応答を攻撃者に提供し、本物の、ダミーではないインスタンスにアクセスしたと攻撃者に信じ込ませる。
要求を解釈してリソースを設置することに関して、サブスクリプション要求に応じてリソースをプロビジョニングするための技術を用いてインスタンスを設置してもよい。特定の実施の形態では、ＲＥＳＴ ＡＰＩノード１０６は、どのリソースを攻撃者が要求しているのかを、サービスプロバイダが用いるプロビジョニング技術に基づいて判断する。いくつかのその他の実施の形態では、ＲｅｇＥｘ（正規表現）スクリプトおよび／またはＮＬＰ（自然言語処理）をキャッシュした辞書（たとえば、適切なｗｅｂｈｏｏｋの利用）などの技術を用いて攻撃者からのＣＬＩ ＧＥＴ要求に対処してもよい。
攻撃者が本物のＩａａＳインスタンスにアクセスしたと信じ込むように導かれるような適切な応答を提供するために、ハニーネットによって様々な技術が用いられてもよい。場合によっては、要求されたアクション（複数可）を実際に実行することなく、要求に対する適切な応答がハニーネットによって生成されて攻撃者に提供されてもよい。いくつかの実施の形態では、ハニーネットは、攻撃者が選んだＣＬＩツールから通信する、ＰＯＳＴ要求を予めロードしていてもよい。こうする方法の１つに、適切な条件が成立すると攻撃者に自動的に返信される応答と、要求とを有するＮＬＰ辞書を設置して利用するなど、ＮＬＰ（自然言語処理）テクノロジーを用いる方法がある。これに対処できる様々な方法があり、たとえば、文字列解析を用いてどのような要求がされているのかを理解した後に辞書からの適切な応答を決定する方法がある。
特定の実施の形態では、図１および図２に示すように、クライアントから追加情報を手に入れてダミーＶＰＣ（仮想プライベートクラウド）に設置されたサーバに機密保護および匿名性を提供できる流れの一部として、（図１の）リバースプロキシ１１２（図２の２１２）がオプションで設けられてもよい。リバースプロキシ１１２は、攻撃者または攻撃者が用いたクライアントデバイスの属性を記録するように構成され得る。リバースプロキシ１１２は、攻撃者がスピンアップしているリソースのプライバシーと機密保護の壁としても機能する。たとえば、攻撃者は、データベースまたはコンピュータもしくはネットワークリソースをスピンアップする場合があり、これらのリソースの識別情報を匿名化するためにリバースプロキシ１１２が使われてもよい。リバースプロキシノード１１２は、インスタンス１０２の匿名性を保持し、これらのインスタンスの本当の識別情報を攻撃者が絶対に分からないようにする。
攻撃者がやり取りするＩａａＳインスタンス１０２のリソースを、コンピューティングリソース、ストレージリソース、およびメモリリソースに限定してもよく、少数の基本的な機能を提供してもよい。攻撃者がアクセスするＩａａＳサービス／オブジェクトは、ＩａａＳインスタンスの「完全性」を維持するために必要な正しい応答を提供する。
ステップ２Ｂ：攻撃者は、「本物の」ユーザ（ＧＵＩモード）である
場合によっては、攻撃者は、たとえばＩａａＳインスタンスへのアクセスを開始するために他のＧＵＩアプリケーションのブラウザを使用して、たとえば攻撃者のクライアントシステム上で実行されているアプリケーションを介して攻撃を指揮している本物のユーザであり得る。ＧＵＩモードの攻撃に関する要求および応答に対処するためのシステム２００を図２に示す。
ＧＵＩモードのための処理は、ＣＬＩモードのための処理と非常に似ている。ＧＵＩモードでは、攻撃者は、偽のブラウザＧＵＩ２０４を用いて攻撃を開始して、要求を送る場合がある。コンソール（たとえば、クライアントデバイス）およびＧＵＩアプリケーションとの攻撃者のやり取りは、図２のログノード２１０（図１のノード１０８）によって記録できる。たとえば、ユーザ／攻撃者のログイン、ブラウザとの攻撃者のやり取り（たとえば、攻撃者がどのリンクをクリックしたか、一連のクリックなど）についてのデータを記録できる。特定の実施の形態では、攻撃者がどのようにＧＵＩコンソールとやり取りしているかについてのデータを収集するための非同期のＯＮイベントリスナー２１０が利用されてもよい。この収集データを用いて、攻撃者がバックエンドで行っている決定的なアクションがより理解できるだけでなく、コンソール自体の上でどのようなアクションが発生しているのかをより理解できるようになる。
ステップ２Ｃ：エラー処理
特定の実施の形態では、ＩａａＳハニーネットＡＰＩコントロール＆コマンドサーバは、ＡＰＩ ＧＥＴ要求が不正確にフォーマットされない限り、および／または出力型が誤りでない限り、攻撃者にすべてステータス：２００という応答を提供する。フォーマットが不正確であった場合および／またはデータ型が誤りであった場合、ＲＥＳＴ ＡＰＩノード２０６は、攻撃者に適正なエラー処理コードを送る。
ステップ３：Ｖｅｒｂｏｓｅモードでのログ記録
図１および図２に示すように、特定の実施の形態では、別個のログノード（図１の１０８および図２の２０８）を設置して、ハニーネットが提供するハニーネットのＩａａＳインスタンスにおいてアクセスされるすべてのイベント／リソース／オブジェクト、および攻撃者がアクセスするすべてのイベント／リソース／オブジェクトを記録してもよい。ログ記録は、時系列に実行され得る。
ステップ４：ＥＴＬ／機械学習パイプライン、ネイティブ脅威インテリジェンスフィードなど
特定の実施の形態では、ログノード１１０８、２０８またはサーバは、すべての攻撃者のやり取りを格納する。データは、ＲＡＷや．ｃｓｖなど、様々なフォーマットで格納され得る。ログに記録されたデータは、解析のために定期的にアナリティクスプラットフォームにエクスポートされ得る。たとえば、毎日のｃｒｏｎジョブを用いて、ログに記録されたデータを将来の訓練のためにＥＴＬ（抽出、変換、ロード）／機械学習パイプラインにアップロードしてもよい。ログサーバは、セキュリティ監視、検出、および防止プログラムが使用する内部のブラックリストに直接入力されるネイティブ脅威インテリジェンスフィードのために、攻撃者に一意のコア属性を提供して、ＩａａＳハニーネットを以前攻撃したことのある行為者周辺の今後の脅威に備える。
ハニーネットが設置したダミーＩａａＳインスタンスが利用可能になるリソースの量は、攻撃者をおびき寄せて攻撃者のアクティビティ情報を取得するための許容できるコストに基づいて決定され得る。いくつかの実施の形態では、限られた量のコンピューティングリソース、ストレージリソース、およびネットワークリソースが割り当てられてもよい。たとえば、固定の限られた量のコンピューティングリソース、ストレージリソース、およびネットワークリソースを各々が有する、予めでっち上げた特定の数の画像を提供してもよく、これらの予めでっち上げた画像を使用して、攻撃者が要求したＩａａＳインスタンスを設置し、攻撃者が要求したアクションを実行してもよい。これらの予めでっち上げた仮想化された画像またはコンテナ化された画像は、予め設定された制約を超えて展開しないよう、ハードコーディングされてもよい。
ハニーネットは、攻撃者をそそのかして接続を行わせてハニーネットとのセッションを設置させ、本物の／正規リソースを攻撃しており、所望の悪意のある行為を行っていると攻撃者に信じ込ませて、さらに悪い行為を行うようにさらにそそのかす。どこかの時点で、ハニーネットは、攻撃者の行為を止めて攻撃者のハニーネットとのセッションを遮断すると判断してもよい。場合によっては、たとえば、攻撃者ならびに攻撃者のハニーネットおよびダミーインスタンスとのやり取りについての十分なデータが記録されたことをハニーネットが確認したときに、この時点に達し得る。いくつかのその他の場合、この時点は、時間に基づく時点であってもよい。たとえば、攻撃者のダミーインスタンスおよびハニーネットとのセッションの期間が予め設定された時間しきい値を満たすまたは超えた場合、ハニーネットは、この時点に達したと判断してもよい。様々なその他の要因も利用して、攻撃者を「遮断」するタイミングを判断してもよい。別の実施の形態では、前述の要因とその他の要因との組合せも使われてもよい。
例示的な実施の形態＃２
ＩａａＳインスタンスは、コンピューティングサービス、ストレージサービス、およびネットワークサービスを提供するために処理リソース（たとえば、コア、プロセッサ）と、ストレージリソース（たとえば、メモリリソース）と、ネットワークリソースとが束ねられた構成を含む。ＩａａＳクラウドインスタンスは、最下層で（メモリ、コンピューティング、およびリソース層で）クラウドの仮想化を提供する。ＩａａＳクラウドは、ネットワーク機能と絡めて提供されるコンピューティング機能およびストレージ機能に関するサービス製品を提供する。ＳａａＳ／ＰａａＳインスタンスへの攻撃は、コンピューティングリソース／メモリリソース／ネットワークリソースを攻撃するのではなく、ＳａａＳ／ＰａａＳアプリケーションが使用するデータを対象とした攻撃であるため、ＩａａＳインスタンスへの攻撃は、ＳａａＳインスタンスやＰａａＳインスタンスへの攻撃とは非常に異なる。ＩａａＳの場合、いくつかのリソースが関係する可能性があり、これらのリソースの構成は理解するのが難しいため、ＩａａＳ攻撃を防ぐための既存のソリューションが不足している。ＩａａＳリソースを監視してこれらのリソースに対する攻撃を特定することは、非常に難しい。その理由は、非常に多くの移動を伴うパーツがあり、その各々が独自の構成を有しており、色々な事が非常に簡単に見逃されてしまうためである。その結果、いくつかのＩａａＳ攻撃がまったく気づかれないまま進行してしまう。
図３は、特定の実施の形態に係る、１つ以上のハニーポットを備えるハニーネットを組み込んだ分散環境３００の簡略ブロック図である。図３に示すように、分散環境３００は、クラウドサービスプロバイダのデータセンター３０２を備える。ここで、クラウドサービスプロバイダは、ＩａａＳ、ＰａａＳ、ＳａａＳ、およびその他のクラウドサービスのうち１つ以上を提供し得る。これらのサービスは、１つ以上の本物のサービスインスタンス３０４を用いて提供され得る。ここでは、「本物」という用語は、これらのインスタンスを、ハニーネットが提供する「ダミー」インスタンスと区別するために使われている。本物のサービスインスタンスは、１つ以上のＩａａＳサービスを提供する１つ以上の本物のＩａａＳインスタンス（たとえば、Ｒ－ＩａａＳ＃１）と、１つ以上のＰａａＳサービスを提供する１つ以上の本物のＰａａＳインスタンス（たとえば、Ｒ－ＰａａＳ＃１）と、１つ以上のＳａａＳサービスを提供する１つ以上の本物のＳａａＳインスタンス（たとえば、Ｒ－ＳａａＳ＃１）とを含み得る。これらの本物のクラウドサービスを提供するためのインフラストラクチャは、クラウドサービスプロバイダによって提供される。たとえば、インフラストラクチャは、データセンター３０２によって提供されてもよい。顧客またはテナントは、データセンター３０２を利用するクラウドサービスプロバイダが提供するクラウドサービスのうち１つ以上にサブスクライブできる。
図３に示す分散環境３００は、一例に過ぎず、クレームされた実施の形態の範囲を必要以上に限定しない。当業者であれば、数多くのバリエーション、別の選択肢、および変更が可能であることが分かるであろう。たとえば、別の実施の形態では、分散環境３００は、図３に示すシステムまたは構成要素よりも多い数のシステムまたは構成要素を有してもよく、少ない数のシステムまたは構成要素を有してもよく、２つ以上のシステムを組み合わせてもよく、システムの構成または配置が異なってもよい。図３に示すデータセンター３０２の構成は、一例に過ぎず、限定ではない。簡略化のために図３には１つのデータセンター３０２しか示されていないが、一般的な分散環境は、場合によっては、それぞれ異なる地理的な場所に複数のデータセンターを備えることができる。複数のデータセンターは、１つ以上の通信ネットワークを経由して互いに通信可能に連結され得る。通信ネットワークは、インターネット、ＷＡＮ（ワイドエリアネットワーク）、ＬＡＮ（ローカルエリアネットワーク）、Ｅｔｈｅｒｎｅｔ（登録商標）ネットワーク、パブリックもしくはプライベートネットワーク、有線ネットワーク、ワイヤレスネットワークなど、および／またはそれらの組合せなど、様々な種類の通信ネットワークで有り得る。ＩＥＥＥ８０２．ＸＸスイートのプロトコル、ＴＣＰ／ＩＰ、ＩＰＸ、ＳＡＮ、ＡｐｐｌｅＴａｌｋ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、およびその他のプロトコルなど、有線プロトコルならびにワイヤレスプロトコルの両方を含む、それぞれ異なる通信プロトコルを用いて、通信を容易にするであろう。
データセンター３０２が提供するリソースに攻撃を行い、悪意を持って不正利用する攻撃者には、それぞれ異なる特徴がある。正式な認可なくデータセンター３０２に接続しようと試みるまたはデータセンター３０２が提供するリソースを利用しようと試みるエンティティは、攻撃者とみなされる。たとえば、データセンター３０２が提供するリソースにダミークレデンシャルを用いてアクセスして利用するエンティティは、攻撃者とみなされる。
攻撃者には、自動ボットである攻撃者や人間のユーザである攻撃者を含む、様々な形態がある。図３に示す例では、クライアントデバイス３１０上で動作する自動ボット３０８は、データセンター３０２が提供するリソースを攻撃して不正利用するように試み得る。自動ボット３０８は、データセンター３０２内のエンドポイントノードを傍受して接続する方法を探した後、その接続を用いてデータセンター３０２が提供するリソースを利用するように構成され得る。また、攻撃は、クライアントデバイス３１６上で動作しているアプリケーションまたはソフトウェア（たとえば、ＧＵＩブラウザ３１４）を用いて、データセンター３０２が提供するリソースを攻撃して不正利用する人間のユーザ３１２からも発信され得る。攻撃自体は、ＣＬＩ（コマンドラインインターフェース）メカニズム、ＧＵＩベースのメカニズムなど、それぞれ異なるメカニズムを用いて行われ得る。
攻撃者（たとえば、ボットまたは人間のユーザ）がハッキングするまたは悪意を用いて利用するリソースは、データセンター３０２が提供する本物のインスタンス３０４のうち１つ以上を含んでもよい。たとえば、攻撃者は、データセンター３０２が提供する本物のＩａａＳインスタンスに接続してその本物のＩａａＳインスタンスが提供するコンピューティングリソースもしくはサービス、ストレージリソースもしくはサービス、および／またはネットワークリソースもしくはサービスの不正利用を試み得る。たとえば、攻撃者は、本物のＩａａＳインスタンスに接続して、その本物のＩａａＳインスタンスを使用して、大量のコンピューティングリソース、ストレージリソース、およびネットワークリソースを必要とする暗号通貨のマイニング操作（たとえば、ビットコインのマイニング）を行うためにコンピューティングリソース、メモリリソース、およびネットワークリソースを「盗む」可能性がある。
図３に示すように、データセンター３０２は、ハニーネット３０６を提供する。ハニーネット３０６は、このような攻撃者をおびき寄せて、データセンター３０２の本物のリソース（たとえば、本物のインスタンス）を危険に晒すことなく、攻撃者についてのデータを収集するように構成される。ハニーネット３０６は、ハニーポットサーバ（または、ハニーポット）から構成されるネットワークを含む、様々な構成要素を備える。各ハニーポットは、特定の一連のＩａａＳリソースへのアクセスを提供する特定のＩａａＳサービスインスタンスを表し得る。各ハニーポットは、攻撃者をだまして、本物のＩａａＳインスタンスへのアクセスを正常に取得できたと信じ込ませるように構成される。それぞれ異なる種類のＩａａＳサービスにそれぞれ異なるハニーポット３１８、３２０、３２２などが提供されてもよい。図３に示す実施の形態では、１つのハニーネットしか図示されていないが、これは限定ではない。データセンターが１つ以上のハニーネットを提供してもよい。
図３に示す実施の形態では、ハニーネット３０６は、ログサーバ３３０も備える。ログサーバ３３０は、ハニーポットが記録した攻撃についてのデータを受信したり収集したりするように構成される。そして、収集されたデータは、その後の解析のために不揮発性メモリに格納される。図３に示す実施の形態など、いくつかの実施の形態では、ハニーネット３０６自体がアナリティクスプラットフォームまたはサーバ３３２を備える。アナリティクスプラットフォームまたはサーバ３３２は、ハニーポットが収集したデータおよびログサーバ３３０がログに記録したデータを解析するように構成される。いくつかのその他の実施の形態では、データセンター３０２のレベルでアナリティクスプラットフォーム３３２が提供されてもよい。このようなアナリティクスプラットフォームは、データセンター３０２が提供する１つ以上のハニーネットが収集したデータを受信して解析するために用いられ得る。場合によっては、アナリティクスプラットフォームは、データセンター３０２から遠隔の場所に位置してもよい。このような場合、ログサーバ３３０は、データセンター３０２の通信インターフェース３４４を用いて、データセンター３０２のハニーネット３０６が収集したデータを遠隔のアナリティクスプラットフォームに通信するように構成されてもよい。
特定の実施の形態では、ハニーネット３０６のハニーポットが使用するために、特定の一連の利用可能なリソース３２４を取っておいてもよい。利用可能なリソース３２４は、コンピューティングリソース（たとえば、コア、プロセッサ）、ストレージリソース（たとえば、メモリ）、ネットワークリソース、データベースリソース、コンテナなどを含み得る。ハニーポットは、利用可能なリソース３２４に含まれるリソースを用いて、攻撃者をだまして本物のＩａａＳインスタンスに接続して利用していると信じ込ませるダミーＩａａＳインスタンスをスピンアップしてもよい。いくつかの実施の形態では、利用可能なリソース３２４に含まれるリソースは、リソースの束（「ポッド」と呼ばれる）に予めパッケージ化されていてもよく、束の各々は、予め設定された構成の特定のコンピューティングリソース、メモリリソース、およびネットワークリソースから構成される。そして、これらの予めパッケージ化された束またはポッドのうち１つ以上を使用して、ハニーポットがダミーＩａａＳインスタンスをスピンアップしてもよい。
データセンター３０２は、図３に示すデータセンター３０２の様々なサービスおよび構成要素を提供するためのインフラストラクチャを提供する１つ以上のホストマシン（たとえば、コンピュータシステム）を提供してもよい。ホストマシンを用いて、本物のインスタンス３０４、１つ以上のハニーネット３０６およびそれらの構成要素、ならびに図３に示すデータセンター３０２の様々なその他のサーバおよび構成要素が提供されてもよい。たとえば、ハニーネット３０６に含まれるハニーポットがデータセンター３０２の１つ以上のホストマシン間でデプロイされてもよい。
特定の実施の形態では、ハニーネットは、セキュリティ上の理由から、本物のインスタンスから隔離されて分離されている。したがって、ハニーネットを提供するために使われるデータセンター３０２のインフラストラクチャは、本物のインスタンス３０４をサポートするために使われるインフラストラクチャと分けられている。たとえば、ハニーネット３０６を実行およびサポートするために使われるホストマシンは、データセンター３０２にあるその他のホストマシンから分離されてもよい。
ハニーネット３０６に攻撃者をおびき寄せるために様々な異なる技術が用いられる。自動ボットおよび人間の攻撃者を含む攻撃者は、一般的に、ＳＳＨポート２２およびＦＴＰポート２１を探して、これらのポートの脆弱性を利用して攻撃を行う。図３に示す実施の形態では、攻撃者をおびき寄せるためにおとりサーバまたはおとりノード３３６が利用される。おとりサーバ３３６は、ＳＳＨポート２２およびＦＴＰポート２１など、データセンター３０２の１つ以上のポートで公然と情報を同報通信して、攻撃者の注目をこれらのポートに向けるように構成される。攻撃者がこれらのポートのうち１つに接続すると、ダミーまたは偽のクレデンシャル３３８が、攻撃者がアクセスできるよう、都合よく置かれている。いくつかの実施の形態では、おとりサーバ３３６は、クレデンシャルが誤って同報通信されたかのように見せながら、ダミークレデンシャル３３８についての情報を同報通信し得る。ダミークレデンシャル３３８は、ダミーのユーザ名／パスワード情報、ＡＰＩ鍵、ＭＡＣアドレス、証明書、テナント識別子、パスワードなど、ダミーの制限付き情報を含み得る。この目的は、データセンター３０２が提供するリソースを攻撃するために使える本物のクレデンシャルを取得したと攻撃者に信じ込ませることである。特定の実施の形態では、ダミークレデンシャルとして、いくつかのデフォルトクレデンシャルが置かれていてもよい。場合によっては、攻撃者がダミークレデンシャル３３８にアクセスするためにＡＰＩ呼び出し（たとえば、ＧＥＴ ｃｒｅｄ）を送った後、そのＡＰＩ呼び出しに対する応答としてダミークレデンシャルが送られる。ＡＰＩ呼び出しの対処は、ＡＰＩゲートウェイサーバ３４０によって行われ得る。
たとえば、一般的なシナリオでは、データセンター３０２を利用してクラウドサービスプロバイダが提供するサービスに正規にサブスクライブしているエンティティ（テナント）の場合、サブスクリプションの時点で（またはその後）、テナントには、そのテナント用にカスタマイズされた１つ以上のクレデンシャルが提供される。これらのクレデンシャルによって、テナントは、データセンター３０２にログインして、サブスクライブしているサービスを提供している本物のインスタンス（たとえば、特定の種類のＩａａＳサービスを提供している本物のＩａａＳインスタンス）とのセッションを設置することが可能になる。セッションの設置時、テナントは、クレデンシャルを要求される。その後、当該クレデンシャルは、テナントを認証するために使われる。テナントがサブスクライブするサービスを提供する本物のインスタンスが正常に認証されると、テナントのためにセッションが設置される。
また、ダミークレデンシャルは、攻撃者がセッションを設置することを可能にするが、正規テナントのセッションとは異なり、ダミークレデンシャルを用いて攻撃者のためにハニーネット３０６とのセッションを設置する。ハニーネットに含まれるハニーポットとのセッションを設置してもよく、ハニーポットがスピンアップしたダミーＩａａＳインスタンスとのセッションを設置してもよい。
ダミーへのアクセスを得ると、攻撃者は、インスタンスのセッションを設置する要求と、セッション中に１つ以上のアクションを実行する後続する要求とをデータセンター３０２に送ることができる。これらの要求は、攻撃者が行ったＡＰＩ呼び出しの形式であってもよい。図３に示す実施の形態では、これらのＡＰＩ要求は、ＡＰＩゲートウェイサーバ３４０によって受信されて処理される。ＡＰＩゲートウェイサーバ３４０は、要求を読み出し、場合によっては要求を認証し、その後、要求を処理するためにデータセンター３０２のバックエンドコンポーネントに転送するように構成され得る。
たとえば、図３に示す実施の形態では、データセンター３０２の特定のポートに自動ボットをおびき寄せて、当該ポートを用いてダミークレデンシャル３３８にアクセスさせてもよい。そして、自動ボット３０８は、攻撃者のためにセッションを設置するよう要求する、取得したダミークレデンシャルを用いて、データセンター３０２に要求を送信する。要求は、ＡＰＩゲートウェイサーバ３４０によって受信されて処理され、データセンター３０２の正規テナントからの要求ではなく攻撃者からの要求であると判断されると、対処のためにハニーネット３０６に転送される。特定の実施の形態では、攻撃者の要求のＡＰＩ呼び出しにおいて要求される特定の種類のＩａａＳサービスを提供するように構成された、ハニーネット３０６の特定のハニーポットに要求が転送されてもよい。
正規テナントが行うＡＰＩ呼び出しは、攻撃者が行うＡＰＩ呼び出しと同じである。ＡＰＩ呼び出し、およびＡＰＩ呼び出しによって受信した情報に基づいて、要求を対処のために適切なバックエンドコンポーネントに転送できるよう、ＡＰＩゲートウェイサーバ３４０は、正規テナントからの要求であるのか、攻撃者からの要求であるのかを判断しなければならない。ＡＰＩゲートウェイサーバ３４０は、以下のような異なる方法を用いてこの特定を行ってもよい。
（１）セッションを設置するよう要求するＡＰＩ呼び出しの場合、ＡＰＩ呼び出しは、通常、セッションを設置する前に要求側を認証するために使われるクレデンシャル（たとえば、ユーザ名／パスワード）も含んでいる。これらのクレデンシャルがダミークレデンシャルであると判断した場合、ＡＰＩゲートウェイサーバ３４０は、攻撃者または悪質な行為者からの要求であることが分かっている。そして、ＡＰＩゲートウェイサーバ３４０は、その要求をさらなる対処のためにハニーネット３０６の構成要素に転送する。
（２）攻撃者がログインしてダミーＩａａＳインスタンスとのセッションを設置できた後、セッション中の攻撃者および攻撃者の行為に関するデータが収集されて、ログが記録される。このログを記録したデータは、たとえば、攻撃要求を発信するために攻撃者が使用したデバイスについてのデバイスレベルの情報を含み得る。特定の場合、このデバイスレベルの情報は、ＡＰＩ呼び出し自体から特定できる。したがって、ＡＰＩゲートウェイサーバ３４０が受信したＡＰＩ呼び出しの場合、ＡＰＩ呼び出しに関するデバイスレベルの情報が、格納されている攻撃者のデバイスに関するデバイスレベルの情報（この情報は、攻撃者がデータセンター３０２とやり取りしている間に以前記録されたことがある可能性がある）と一致したとＡＰＩゲートウェイサーバ３４０が判断した後、ＡＰＩゲートウェイサーバ３４０が、攻撃者からのＡＰＩ呼び出しであると判断してそのＡＰＩ呼び出しを対処のためにハニーネット３０６の構成要素に転送する。
（３）ＡＰＩゲートウェイサーバ３４０は、要求を受信したポート番号に関する情報も用いて、攻撃者からの要求であるかどうかを判断してもよい。たとえば、先に説明したように、ＳＳＨポート２２およびＦＴＰポート２１などのポートは、一般的に、攻撃を指揮するために利用される。したがって、これらのポートを経由して受信された要求およびＡＰＩ呼び出しは、攻撃者からの要求としてタグ付けされてもよい。たとえば、特定の実施の形態では、接続のポートに基づいて、およびダミークレデンシャルに基づいて、ＡＰＩゲートウェイサーバ３４０は、要求が正規の要求ではなく、悪質な行為者または攻撃者からの要求であると分かる。
（４）攻撃者からの要求を特定するために、上述した様々な情報の組合せを用いてもよい。
攻撃者から発信された要求であると特定すると、ＡＰＩゲートウェイサーバ３４０は、その要求を対処のためにハニーネット３０６の構成要素に転送する。特定の実施の形態では、攻撃者を特定すると、ＡＰＩゲートウェイサーバ３４０は、ハニーネット３０６からの特定のハニーポットサーバとのセッションに攻撃者を接続して当該セッションを開く。たとえば、ＡＰＩゲートウェイサーバ３４０は、要求で求められたＩａａＳサービスを提供するように構成された特定のハニーポットとのセッションを攻撃者のために設置した後、要求をさらなる対処のためにそのハニーポットに転送してもよい。
攻撃者と特定のハニーポットとの間にセッションが確立された後、攻撃者は、ＩａａＳインスタンスをスピンアップするさらなる要求およびＩａａＳインスタンスが提供するリソースを使用するさらなる要求を送信できるようになる。特定の実施の形態では、ハニーポットは、ダミーＩａａＳインスタンスをスピンアップしてもよい。たとえば、図３のＨＰ１３１８がスピンアップしたダミーＩａａＳインスタンスＤ－ＩａａＳ＃１である。そして、ハニーポットは、要求されたＩａａＳインスタンスが設置されて攻撃者が利用できる準備ができたことを示す応答を攻撃者に返してもよい。この応答は、正規の（ダミーではない）ＩａａＳインスタンスがスピンアップされたと攻撃者を信じ込ませるような応答である。
ダミーＩａａＳインスタンスがスピンアップされた後、セッション中、攻撃者は、スピンアップされたＩａａＳインスタンスに対応付けられたリソースを用いて様々なアクションを行う１つ以上の要求を送信する可能性がある。たとえば、攻撃者は、ダミーＩａａＳインスタンスが提供するコンピューティングリソース、ストレージリソース、およびネットワークリソースを利用して、ビットコインのマイニング操作などのアクションを実行する可能性がある。攻撃者がセッションを確立したハニーポットは、これらの要求を受信し、要求ごとに、要求を解釈して要求によって求められている１つ以上のアクションまたは操作を特定し、スピンアップされたダミーＩａａＳインスタンスを使用してこれらのアクションを実行し、アクションおよび要求に対応する応答を生成して攻撃者に送信するように構成される。生成される応答は、本物のＩａａＳインスタンスからの有効な応答である、スピンアップされたＩａａＳインスタンスが提供するサービスおよびリソースを利用できた、と攻撃者が信じ込むように導かれるような応答である。
特定の実施の形態では、ハニーポットは、ダミーＩａａＳインスタンスを実際に設定したりスピンアップしたりしないで、要求されたアクションおよび攻撃者から受信したＡＰＩ呼び出しに対応する適切な応答を生成して攻撃者に送信できる。たとえば、ハニーポットは、応答を生成するために、一連のルールを用いてしてもよい。当該一連のルールは、攻撃者が要求できる一連のあり得るアクションと、アクションごとの適切な１つ以上の応答とを識別するマッピングを含み得る。攻撃者から要求を受信すると、ハニーポットは、要求を１つ以上のアクションに変換した後、このマッピングを用いて、１つ以上のアクションに対する１つ以上の応答を決定し得る。そして、当該１つ以上の応答は、受信した要求に応じて攻撃者に返され得る。ハニーポットによって生成される応答は、ダミーＩａａＳインスタンスでさえスピンアップされていないにも関わらず、ＩａａＳインスタンスをスピンアップできた、そしてスピンアップしたＩａａＳインスタンスが提供するサービスおよびリソースを利用できた、と攻撃者が信じ込むように導かれるような応答である。ルール情報（たとえば、マッピング情報）は、データベース内など、ハニーポットがアクセスできる不揮発性メモリに格納されてもよい。
特定の実施の形態では、攻撃者から受信した要求に対する応答を生成するために、ダミーＩａａＳインスタンスと一連のルールとの組合せがハニーポットによって利用され得る。１つのこのような実施の形態では、ハニーポットは、スピンアップされたダミーＩａａＳインスタンスに基づいて、アクションと応答との新しいマッピングなど、新しいルールを学習可能である。たとえば、ハニーポットは、ダミーＩａａＳインスタンスを使用する攻撃者から受信した特定の要求されたアクションに対する応答を学習した後、新しいアクションと応答とのマッピング項目をルール情報に追加してもよい。その後同じアクションが要求された場合、そのアクションに対する適切な応答を生成するために、ＩａａＳインスタンスではなく、ルール情報を使用する。ルール情報マッピングを学習し、構築し、増やすために、１つ以上の機械学習技術を利用してもよい。
要求を処理することに加えて、ハニーポットは、攻撃者および攻撃者の行為ならびにハニーポットとのやり取りについてのデータを収集および記録するように構成される。記録された攻撃者のデータは、攻撃者の行為（たとえば、脅威の行為者のユーザ挙動パターン、ユーザに一意のその他の属性）、特定の攻撃者の接続属性およびデバイスレベルの属性（たとえば、接続情報、攻撃者が利用したデバイスのＩＰアドレス、ＡＳＮ（Ａｕｔｏｎｏｍｏｕｓ Ｓｙｓｔｅｍ Ｎｕｍｂｅｒ）トレースルート情報、ドメイン名など）など攻撃者についての一意の属性、および攻撃に関するその他のデータを含み得る。記録されたデータは、攻撃者の一連の行為についてのデータ、攻撃者のハニーポットとのセッション中に攻撃者がアクセスしたオブジェクト、攻撃者が行ったＡＰＩ呼び出し（たとえば、攻撃者が行ったＲＥＳＴ ＡＰＩ呼び出し）などを含み得る。ログに記録されたデータは、攻撃者から受信したＡＰＩ要求についての情報、ハニーポットがＡＰＩ要求に応じて生成して送信した応答、要求の送信元のＩＰアドレス、データセンターに接続するために攻撃者が使用したポート番号、ＪａｖａＳｃｒｉｐｔ（登録商標）のｏｎイベント（ＧＵＩベースのやり取りについての。たとえば、クライアントデバイス上のブラウザベースのイベントが監視されてもよい）、デバイスレベルの情報、要求の間隔などを含み得る。
特定の実施の形態では、ハニーネット３０６などのハニーネットは、ログサーバ３３０を備えてもよい。ログサーバ３３０は、ハニーネット３０６に含まれるハニーポットが収集したデータを収集するおよび／または受信するように構成される。このような実施の形態では、個々のハニーポットが収集したデータがログサーバ３３０に転送されてもよい。ログサーバ３３０は、データを正しいフォーマットで格納するように構成される。このデータは、ログサーバ３３０がアクセスできる不揮発性メモリに格納されてもよい。また、ログサーバ３３０は、収集データにアクセスするためのコントローラとして機能してもよい。
特定の実施の形態では、ハニーネット３０６は、アナリティクスサブシステム３３２を備えてもよい。アナリティクスサブシステム３３２は、ハニーネット３０６に含まれるハニーポットが収集したデータを解析するように構成される。収集データを解析して、攻撃者の動機（たとえば、攻撃する目的および意図）、攻撃パターン、攻撃メカニズム、（接続性（たとえば、ＩＰアドレス、ドメインなど）の観点、地理的観点からの）攻撃開始地点、異なるタイプの攻撃、攻撃中に攻撃者がアクセスしたリソースおよびオブジェクト、攻撃者が何を攻撃しているのか、どのリソースが利用されたのか、どのようにリソースが利用されたのか、攻撃中に実行された操作、攻撃の頻度プロファイルなどについての洞察を得ることができるであろう。特定の実施の形態では、解析に基づいて、攻撃者および攻撃を特定するためのプロファイルを生成する。その後、これらのプロファイルは、攻撃が発生する前に未然に防ぐために使われてもよい。
特定の実施の形態では、ハニーネットレベルにアナリティクスプラットフォームを有する代わりに、またはハニーネットレベルのアナリティクスプラットフォームに加えて、データセンター３０２によって解析プラットフォームが提供されてもよい。このような実施の形態では、データセンター３０２において１つ以上のハニーネットが収集したデータを解析のためにこのアナリティクスプラットフォームに転送してもよい。特定の実施の形態では、アナリティクスプラットフォームは、データセンター３０２から遠隔のコンピューティングプラットフォームによって提供されてもよい。このような遠隔のアナリティクスプラットフォームは、１つ以上のデータセンター間に散在する複数のハニーネットが収集したデータを収集および／または受信し、データを集約した後、集約したデータを解析するように構成されてもよい。
ハニーネットが収集したデータを解析するために、様々な異なる技術が用いられてもよい。特定の実施の形態では、ＭＬ（機械学習）技術が用いられてもよい。ハニーネットが収集したデータは、訓練データとして提供されて、収集データに含まれる様々な基準に基づいて攻撃者および攻撃を特定するためのモデルを構築して訓練するために使われてもよい。そして、このようなモデルは、攻撃者および攻撃を事前に特定し、好ましくは、このような攻撃を発生する前に止めるために使用できる。
特定の実施の形態では、収集データを処理するために、ビッグデータパイプラインが設けられてもよい。たとえば、ハニーネットが収集したデータを受信して処理するためのＨａｄｏｏｐまたはデータレイクプラットフォームが設けられてもよい。
図３に示す実施の形態では、プロキシサーバーの背後にあるデータセンター３０２のサーバおよびその他の構成要素の機密保護および匿名性を提供するために、リバースプロキシサーバー３４２が設けられる。リバースプロキシは、クライアントとクライアント（クライアント３１０と３１６など）との間に存在し、プロキシの背後にあるサーバを匿名化する。クライアントは、どのサーバに接続されるかを知らない。リバースプロキシサーバーによって、負荷分散、キャッシュ、内部トラフィックの隔離、ログ記録など、いくつものメリットがもたらされる。また、リバースプロキシサーバー３４２は、攻撃者についての属性または攻撃者が用いたクライアントデバイスについての属性を記録するように構成されてもよい。リバースプロキシサーバー３４２は、攻撃者がスピンアップしているリソースのプライバシーと機密保護の壁として機能する。たとえば、攻撃者は、データベースまたはコンピュータもしくはネットワークリソースをスピンアップする場合があり、これらのリソースの識別情報を匿名化するためにリバースプロキシが使われてもよい。リバースプロキシは、インスタンスの匿名性を保持し、これらのインスタンスの本当の識別情報を攻撃者が絶対に分からないようにする。
上述したように、ハニーポットは、攻撃者および攻撃者の行為についてのデータを収集しながら、攻撃者から受信した要求に応答するように構成される。どこかの時点で、ハニーポットは、攻撃者の行為を止めて攻撃者のセッションを遮断すると判断してもよい。ハニーポットは、様々な異なる要因、およびこれら要因の組合せを用いてこの決定を行ってもよい。要因の一部として、以下が挙げられる。
（１）時間しきい値－攻撃者のセッションの時間が予め設定された時間しきい値を満たすまたは超えた場合、ハニーポットは、ユーザのセッションを停止すると決定してもよい。
（２）間隔－攻撃者がハニーポットとのやり取りを止めた場合、一定の期間待機する。たとえば、攻撃者が関心を持っている間はセッションのアクティビティを続けさせることができる。一般に、ハニーポットによって多くのデータが収集されると、下流の解析に利用可能なデータが増える。
（３）データ基準－場合によっては、攻撃者およびハニーポットとの攻撃者のやり取りについて十分なデータが記録されたと確認した場合、ハニーポットは、攻撃者のセッションを閉じると決定してもよい。
（４）攻撃者を「遮断」するタイミングを判断するために、様々なその他の要因も用いられてもよい。また、別の実施の形態では、前述の要因とその他の要因との組合せも用いられてもよい。
特定の実施の形態では、攻撃者は、ハニーポットとの１つのセッションしか許可されなくてもよい。このような実施の形態では、続く２つ目のセッションを開くという攻撃者の試みは禁止される。いくつかのその他の実施の形態では、複数のセッションが平行して、または連続して許可されてもよい。このような実施の形態では、攻撃者についての情報は、セッション間で残り続けてもよい。
特定の実施の形態では、１つ以上のハニーネットが提供する機能は、サブスクライブしている顧客に、クラウドサービスとして提供されてもよい。このようなサービスにサブスクライブすることによって、顧客は、自身のリソースに対する攻撃を事前に特定できるようになる。
図４は、特定の実施の形態に係る、ハニーポットサーバ４００の簡略ブロック図である。ハニーポットサーバ４００（ハニーポット４００とも称する）は、互いに通信可能に連結された複数のサブシステムを備えてもよい。図４に示す実施の形態では、ハニーポット４００のサブシステムは、要求解釈サブシステム４０６と、応答生成サブシステム４０８と、通信インターフェースサブシステム４１２と、記録サブシステム４１４とを備える。これらのサブシステムは、ソフトウェアのみで実現されてもよく（たとえば、１つ以上のプロセッサによって実行可能なプログラム、コード、または命令）、ハードウェアで実現されてもよく、または、それらの組合せで実現されてもよい。図４に示すハニーポット４００は、一例に過ぎず、クレームされた実施の形態の範囲を必要以上に限定しない。当業者であれば、数多くのバリエーション、別の選択肢、および変更が可能であることが分かるであろう。たとえば、いくつかの実施態様では、ハニーポット４００は、図４に示す構成要素よりも多い数のサブシステムまたは構成要素を有してもよく、少ない数のサブシステムまたは構成要素を有してもよく、２つ以上のシステムを組み合わせてもよく、システムの構成または配置が異なってもよい。
要求解釈サブシステム４０６は、攻撃者から要求を受信して解釈するように構成される。たとえば、特定の実施の形態では、攻撃者からの要求またはＡＰＩ呼び出しであると判断すると、ＡＰＩゲートウェイサーバ３４０は、（たとえば、図３に示すような）ハニーネット３０６から特定のハニーポットを選択し、選択したハニーポットに要求を転送する。ハニーポットでは、要求は、要求解釈サブシステム４０６によって受信される。要求を受信すると、要求解釈サブシステム４０６は、要求を解釈し、要求に対応して実行する一連の１つ以上のアクションを決定するように構成される。当該１つ以上のアクションは、たとえば、ＩａａＳインスタンスを設置またはスピンアップするためのアクション、ＩａａＳインスタンスが提供する１つ以上のリソースを利用するためのアクションなどを含み得る。
アクションにＩａａＳインスタンスのスピンアップが含まれる場合、要求解釈サブシステム４０６は、利用可能なリソース４０４のうち１つ以上のリソースを使用して、ダミーＩａａＳインスタンス４１６を設置してもよい。ダミーＩａａＳインスタンス４１６は、１つ以上のコンピューティングリソース（たとえば、プロセッサ、コアなど、処理リソース）、１つ以上の（たとえば、メモリリソースを提供する）ストレージリソース、１つ以上のネットワークリソース、およびダミーＩａａＳインスタンス４１６が提供するその他のリソースの利用を可能にするサービスを提供してもよい。たとえば、実行されるアクションがダミーＩａａＳインスタンス４１６が提供するリソースの利用に相当する場合、要求解釈サブシステム４０６は、攻撃者の要求を満たすためにこのリソースを攻撃者に使わせてもよい。特定の場合、要求解釈サブシステム４０６は、攻撃者が要求したアクションをダミーＩａａＳインスタンス４１６に適用してもよい。ハニーポット４００は、１つ以上のダミーＩａａＳインスタンスをスピンアップして利用するように構成されてもよい。
応答生成サブシステム４０８は、攻撃者から受信した要求に対するダミー応答を生成するように構成される。応答生成サブシステム４０８が生成するダミー応答は、応答が有効であり、有効なＩａａＳインスタンスによって生成されたと攻撃者が信じ込むように導かれるような応答である。これにより、悪質な行為者または悪意のあるユーザであると検出されていると不安になることなく攻撃者に行為を継続させる。
アクションと応答との間には、１対１の関係、１対多の関係、または多対１の関係が存在し得る。１対１の関係によると、各アクションには、それ自体の応答があり得る。１対多の関係によると、アクションには、複数の関連する応答があり得る。多対１の関係によると、複数のアクションに対して１つの応答が生成および送信され得る。応答生成サブシステム４０８は、受信した攻撃者の要求に対して適切な応答を生成する役割を担う。
応答生成サブシステム４０８は、応答を生成するために、様々な技術を用いてもよい。１つの技術によると、要求解釈サブシステム４０６は、実行されるアクションをダミーＩａａＳインスタンス４１６に適用してもよい。そして、ダミーＩａａＳインスタンス４１６は、対応する応答を応答生成サブシステム４０８に送信してもよい。そして、応答生成サブシステム４０８は、要求に対する応答として、ダミーＩａａＳインスタンス４１６から受信した応答を転送してもよい。場合によっては、応答生成サブシステム４０８は、ダミーＩａａＳインスタンス４１６から受信した応答をフォーマットまたは修正して、攻撃者に通信される応答を生成してもよい。
第２の技術によると、応答生成サブシステム４０８は、攻撃者の要求に対する応答を、一連のルール４１８を用いて、ダミーＩａａＳインスタンス４１６を用いることなく生成してもよい。このような実施の形態では、ダミーＩａａＳインスタンスは、ハニーポット４００によってインスタンス化されることすらなくてもよい。ルール情報４１８は、ハニーポット４００がアクセスできる、データベースなど、不揮発性メモリ４０２に格納されてもよい。一連のルール４１８は、攻撃者が要求できるアクションとそれに対応する応答とのマッピングを指定するマッピング情報を含んでもよい。アクションと応答との間の１対１の関係、１対多の関係、または多対１の関係がマッピング情報に反映されてもよい。
攻撃者から要求を受信すると、要求解釈サブシステム４０６は、要求を解釈して、要求に対応して実行される１つ以上のアクションを特定する。そして、応答生成サブシステム４０８は、ルール４１８を検索して、要求されたアクションに対する適切な応答を特定し得る。そして、ルール４１８に基づいて特定された応答は、攻撃者の要求に対する応答として攻撃者に返され得る。ハニーポットによって生成される応答は、ダミーＩａａＳインスタンスがスピンアップされていないかもしれないにも関わらず、ＩａａＳインスタンスをスピンアップできた、そしてスピンアップされたＩａａＳインスタンスが提供するサービスおよびリソースを利用できた、と攻撃者が信じ込むように導かれるような応答である。たとえば、ハニーポット４００は、要求されたアクションがＩａａＳインスタンスをインスタンス化する（スピンアップする／設置する）ことである要求を攻撃者から受信する可能性がある。そして、応答生成サブシステム４０８は、ルール情報（たとえば、マッピング情報）を検索して、ＩａａＳインスタンスを実際に設置しないで、この要求に対する適切な応答を見つけ得るが、応答は、要求されたＩａａＳインスタンスが設置されたと示しており、これにより、攻撃者をだまして、有効なＩａａＳインスタンスを設置できたと信じ込ませる。
攻撃者から要求を受信すると、要求解釈サブシステム４０６は、その要求を、実行される特定のアクションに変換し得る。そして、応答生成サブシステム４０８は、マッピング情報４１８を検索して、マッピング情報の中に、当該実行される特定のアクションに一致する項目を見つけ得る。応答生成サブシステム４０８は、この一致する項目を用いて、当該一致する項目に対応する応答を特定する、すなわち、アクションに対する応答を特定する。そして、特定された応答は、受信した要求に応じて攻撃者に応答を送るために使われる。
特定の実施の形態では、応答生成サブシステム４０８は、第１の技術（すなわち、ダミーＩａａＳインスタンスを使用すること）と、第２の技術（すなわち、ルール情報４１８を使用すること）との組合せを用いて、攻撃者から受信した要求に対する応答を生成してもよい。要求されたアクションを攻撃者から受信すると、応答生成サブシステム４０８は、第１の応答生成技術を利用するか第２の応答生成技術を利用するかを判断し、決定した技術を用いて、攻撃者に返す応答を生成してもよい。
いくつかの実施の形態では、応答生成サブシステム４０８は、機械学習ルールを用いてアクションと応答との新しいマッピングを学習し、この学習した情報を用いて当該マッピングをルール４１８に追加してもよい。そして、これらの学習したマッピングは、続く攻撃者から受信する要求に対する応答を生成するために使われてもよい。
記録サブシステム４１４は、攻撃者および攻撃者のハニーポット４００とのやり取りに関するデータを記録するように構成される。また、記録サブシステム４１４は、要求に関する情報、および、要求に応じて応答生成サブシステム４０８によって生成されて攻撃者に返される対応する応答に関する情報を追跡および格納してもよい。記録サブシステム４１４は、記録されたデータを記録データ４２０として不揮発性メモリ４０２に格納するように構成されてもよい。また、いくつかの実施の形態では、記録データは、ハニーポット４００からその他のハニーポットなどの外部コンポーネント、ログサーバ３３０、またはデータセンター３０２から遠隔の場所（たとえば、遠隔のアナリティクスプラットフォーム）にも通信されてもよい。また、ハニーポットサーバ４００が収集したデータは、集中収集サーバ（たとえば、ハニーネットログサーバ）に送られてもよい。そして、集中収集サーバは、当該データをその他のアナリティクスサブシステムに送り出してもよい。アナリティクスは、設備内（オンプレミス）に存在してもよく、どこか別の場所に存在してもよい。ハニーネットログサーバは、どのデータをアナリティクスに送信するかを決定でき、または、アナリティクスのためのインターフェースを提供してハニーネットログサーバからデータを引き出してもよい。特定の実施の形態では、通信インターフェース４１２は、ハニーポット４００とのデータの通信を容易にするであろう。
不揮発性メモリ４０２は、ハニーポット４００がその動作を行うために用いるその他の情報４２２も格納してもよい。たとえば、その他の情報４２２は、ダミーＩａａＳインスタンスを設置するためにハニーポット４００が使用できる作成済みのインスタンス（カスタマイズされた、ＩａａＳリソースの「ポッド」の組合せ）に関する情報など、設定情報を含んでもよい。
図５は、特定の実施の形態に係る、クラウドサービスプロバイダインフラストラクチャ５０２に接続されたハニーネット５００の簡略ブロック図である。ハニーネット５００は、仮想コンピューティングインスタンスであってもよく、および／または１つ以上の仮想マシンから構成されるクラスタであってもよい。上述した１つ以上の攻撃者５０１および／またはクラウドサービスプロバイダ５０２がパブリックネットワーク５０４によってハニーネット５００にアクセス可能であってもよい。また、クラウドサービスプロバイダ５０２は、脅威解析システム５０６と通信していてもよい。脅威解析システム５０６は、収集された攻撃者についてのデータを解析して、収集データに基づいて推奨を行う、アラートを行う、および／または脅威を防ぐ決定をするように構成できる。
いくつかの例では、一連のハニーポットエンドポイント（ハニーポットサーバ（または、ハニーポットのみ）Ｓ１～Ｓ３）をハニーネット５００に設置できる。ハニーネット５００では、各ハニーポットは、攻撃者が極めて悪質な行為を行うようにわざと設置されたエンドポイントノードである。ハニーネット５００は、１つ以上のホストマシン上でデプロイされてもよい。セキュリティ上の理由で、（たとえば、図５に示すように）これらのホストマシンを残りのクラウドサービスプロバイダ５０２から隔離することができ、または、（たとえば、ＨＰ１～ＨＰ３がデータセンター３０２内に実装される図３に示すように）ホストマシンをクラウドサービスプロバイダ５０２内で隔離できる。ハニーポットＳ１～Ｓ３をデプロイおよび構成するため、およびローカル処理を実行するためにハニーネット管理システム５０８を設けることができる。３つの異なるハニーポットＳ１～Ｓ３を図５に示したが、ハニーネット５００内に任意の数のハニーポットが実装されてもよい。さらに詳細は後述するが、ハニーポットＳ１～Ｓ３は、様々な形状（たとえば、種別）で実装されてもよい。
ハニーネット５００に異なる種別のハニーポットをデプロイして、異なる種類のサービスをエミュレートしてもよい。例として、ＳＳＨ／ＴｅｌｎｅｔサービスをエミュレートするためのＳＳＨおよび／またはＴｅｌｎｅｔハニーポット、ＳＭＴＰ（たとえば、電子メールサーバ）、ＳＳＬ、およびＴＬＳをエミュレートするためのＳＭＴＰベースのハニーポット、ＨＴＴＰ（たとえば、ウェブサーバ）をエミュレートするためのＨＴＴＰハニーポット、ｆｔｐ、ｒｄｐ、ｈｔｔｐ、ｈｔｔｐｓなどのサービスをエミュレートするための、たとえば、クレデンシャルを収集するためのその他のハニーポット、または、ＯｒａｃｌｅのＷｅｂＬｏｇｉｃサーバ環境をエミュレートするためのＷｅｂ Ｌｏｇｉｃハニーポットなどが挙げられる。このように、各々それぞれ異なるハニーポットが異なる種類のサーバをエミュレートしてもよく、異なる形状を有してもよい。たとえば、サーバの形状が、このサーバにアクセスするために使われるＡＰＩ、ファイル構造などを規定してもよい。（たとえば、クラウドサービスプロバイダ５０２の）顧客５０７は、関心のあるハニーポットの形状／種別に基づいて、ハニーポットをデプロイするように要求した後、利用したい特定のハニーポットを決めて選択できる。この選択は、（たとえば、その種類のサービスに関する攻撃者データを収集するために）顧客が実行するサービスの種類に基づいてもよい。
これらの様々な種別のハニーポットを実装することによって、異なるネットワークベースのＩＯＣ（セキュリティ侵害インジケータ）を収集することが可能になる。攻撃者の要求がハニーネット５００に来ると、攻撃者が要求するアクティビティ、要求を受信したポート、またはその他の基準に基づいて要求を適切なハニーポットに対応付けることができる。複数の攻撃者が同じハニーポットと同時にやり取りする可能性があり、各ハニーポットは、攻撃者をだまして、本物の環境におり、ダミーインスタンスではなく本物のＩａａＳインスタンスとやり取りしていると信じ込ませるために、攻撃者に適切な応答を提供するように構成される。これは、エミュレートを通して行われてもよい。特定の実施の形態では、やり取りにより現実味を持たせるために、ハニーポットは、実際のサーバ（たとえば、ＷｅｂＬｏｇｉｃサーバ）を備えてもよい。このやり取りを通じて、クラウドサービスプロバイダ５０２の環境内に実装されたハニーネットプラットフォーム５０９は、特定の攻撃のタイプに関係する特定のマルウェアのサンプルを含む、ネットワークベースのＩＯＣを収集できるようになる。ハニーネット５００および様々なハニーポットＳ１～Ｓ３を設定する、デプロイするためのハニーネットプラットフォーム５０９を設けることができる。特定の実施の形態では、ハニーポットをデプロイして管理するためのＤｏｃｋｅｒインフラストラクチャが使われ、各ハニーポットは、Ｄｏｃｋｅｒコンテナ（たとえば、隔離され、仮想化されたソフトウェアの束）として実装される。
上記のように、顧客５０７は、関心に基づいて、デプロイする様々な種別のハニーポットを選択できる。異なる標的を攻撃する複数の異なる攻撃タイプが存在するので、顧客５０７は、Ｄｏｃｋｅｒ構成コンテナから、欲しい特定のハニーポットを選択できる。たとえば、支払い情報へのアクセスを提供するＰＯＳ（Ｐｏｉｎｔ Ｏｆ Ｓａｌｅ）システム、保健記録およびその他のＰＩＩ（個人を特定できる情報）へのアクセスを提供するヘルスケアシステムなどが存在し得る。よって、顧客５０７は、異なる種別のハニーポットをパブリックネットワーク（たとえば、インターネット）で公開することによって異なる種類のデータを収集したいであろう。各ハニーポットは、攻撃者の行為／やり取りに関するデータのログをローカル永続ストアに記録できる。ハニーポットは、生（ＲＡＷ）の未加工データのログを記録してもよい。そして、このデータをローカルで加工して、加工ハニーポットデータを生成できる。この加工には、ログローテーション（たとえば、５分ごとまたはその他の間隔でデータをローテーションすること）、ログ検証（たとえば、関心のあるデータが収集されたこと、および正しいフォーマットであることを判断する）、データを匿名化するためのＰＩＩスクラブ、およびデータフォーマッティング（たとえば、中央システムに転送するためにデータを正しいフォーマット（たとえば、ＪＳＯＮ）にすること）が含まれる。その後、ハニーネットプラットフォーム５０９に加工データを送信できる。ハニーネットプラットフォーム５０９は、脅威インテリジェンス解析システム５０６（たとえば、外部サービス）または内部バージョンの脅威解析モジュール５１０にこのデータを提供し得る。いくつかの例では、脅威インテリジェンス解析システム５０６、５１０のいずれかが、（たとえば、世界中に散在するハニーポットから集めて蓄えられたログデータから検出された）既知の攻撃者のＩＰアドレスを特定できる。その後、場合によってはこれらのＩＰアドレスからの特権アクセス要求に対してステップアップ（たとえば、多要素）認証を要求するために、これらのＩＰアドレスは、様々なセキュリティプロダクトによって利用され得る。
ハニーポットを実装することの１つの大きな懸念は、攻撃者がハニーポットからカーネルレベルのアクセス権を取得し、その後（たとえば、悪意のあるバイナリなどを利用して）メインネットワークに入ってしまうかどうかについてである。これは、クラウドサービスプロバイダ５０２に対する修復不可能な損害につながり得る。よって、ハニーポットの隔離は非常に重要である。いくつかの例では、この隔離は、（たとえば、ハニーネットプラットフォーム５０９を実装するクラウドサービスプロバイダ５０２の外部にある）サードパーティサービスプロバイダを使用してハニーネット５００を実装することによって実現できる。このようにすれば、攻撃者がハニーポットを超えて基礎となるシステムに侵入できた場合でも、クラウドサービスプロバイダ５０２にはやはりアクセスできない。しかしながら、ハニーネット５００を隔離する別の方法として、Ｄｏｃｋｅｒコンテナ内および／またはユーザのベアメタルにハニーネットを実装する方法がある（たとえば、その他のサービスによって共有されていない、隔離されたシングルテナントの物理マシン）。
様々な異なる種別のハニーポットを用いてハニーネット５００を構成してもよい。ハニーネット５１２および５１４は、必要に応じて、ハニーネット５００と同じに構成されてもよく、異なるように構成されてもよい。たとえば、ハニーネット５１２および／または５１４によって任意の構成のハニーネット５００も実装できる。しかしながら、クラウドサービスプロバイダ５０２内にハニーネット５１２を実装できるが、ハニーネット５１４は、（たとえば、サードパーティホスト上で実装されるハニーネット５００のように）クラウドサービスプロバイダ５０２によって実装されるその他のハニーネットに過ぎない。ハニーネット５００および５１４と同様の任意の数のさらなるハニーネットが、たとえば、世界中の様々な場所で実装されてもよい。
上記のように、ハニーネット５００は、複数のハニーポットを備えてもよい。一例として、ハニーネット５００は、ポートＰ１によってアクセスできる第１ハニーポットＳ１と、ポートＰ２によってアクセスできる第２ハニーポットＳ２と、ポートＰ３によってアクセスできるハニーポットＳ３とを備える。ポート：Ｐ１、Ｐ２、Ｐ３の各々は、パブリックネットワーク５０４でアクセス可能であってもよい。したがって、開かれたポートを探して攻撃者５０１がインターネットの端から端まで見ていくと、これらのポートが明るみになる。これは、意図的であって、攻撃者５０１をハニーポットにおびき寄せることが可能になる。ハニーネット５００は、１つのホストデバイス（たとえば、クラウドサービスプロバイダ５０２の内部であれ、外部であれ）上でデプロイされてもよい。１つのコンテナに各ハニーポットが含まれた様々なコンテナが存在するように、この１つのホストをコンテナ化できる。必要であれば、（たとえば、ハニーネット５００に対して複数のホストがある、および／または１つのコンテナ内の複数のハニーポットがある）その他の構成が実装されてもよい。エンティティ（たとえば、攻撃者）から要求が来た場合、要求の種類および／または要求に対応付けられているポートを用いて、エンティティと接続するハニーポットをどれにするか決定してもよい。たとえば、ポートＰ１にアクセスするという要求であった場合、ハニーネット管理システム５０８は、ポートＰ１にある要求に基づいて、ポート２２に対応するＳ１ハニーポットにエンティティを接続すると決定できる。
様々な種類のサービスが特定のポートを使用することが知られているであろう。たとえば、ＳＳＨサービスは、一般に、ポート２２を使用し、ＳＭＴＰサービスは、一般に、ポート２５を使用し、ＦＴＰサービスは、一般に、ポート２１を使用するなど。ハニーネット５００内にハニーポットサービスがデプロイされると、ホストに割り当てられているＩＰアドレスを経由してこれらのサービスが手に届くようになる。そして、これらのサービスは、その他のサーバと本質的に同じ機能を有するようになる。攻撃者５０１は、ＩＰアドレスを探してインターネットの端から端まで見て、各ＩＰアドレスのどのポートが開かれた状態であるかを見つけることができる。ポートが開かれたＩＰアドレスは、攻撃者にとって格好の標的であろう。よって、インターネットで利用可能なこれらの特定のポートを用いてハニーポットを構築できる。もちろん、これらのポートは、一般に、たとえ実世界（たとえば、ハニーポットのポートではないポート）であっても、パスワードを必要とする。場合によっては、パスワード／ユーザ名の組合せが公表されている可能性もある。しかしながら、その他の例では、様々な既知のユーザ名／パスワードの組合せ（たとえば、ユーザ名：ａｄｍｉｎ、パスワード：パスワードは一般的な標準／デフォルトパスワード）を用いてハニーポットが構成されてもよい。ここでは図示されていないが、各ハニーポットポート（たとえば、Ｐ１～Ｐ３）は、外部に知られていない対応する内部のポート番号を有してもよい。たとえば、ポート２２は、外部に公開されている（たとえば、ログインを要求する）特権ポートであるが、ハニーポットと通信する実際のポートは、他のポート番号である場合がある。この場合、ハニーネット管理サービス５０８は、各外部／特権ポートとその対応する内部（たとえば、特権なしの）ポート番号とのマッピングを保持できる。
いくつかの例では、ハニーネット管理システム５０８は、他のポート／未知のポートを通じてアクセス可能であってもよい。攻撃者が確認しようと思わないであろうランダムに利用されたポート／ほとんど利用されていないポートの一覧から、ハニーネット管理システム５０８のポートが選択されてもよい。これに加えて、ハニーネット管理サービス５０８により、サービス（たとえば、顧客）は、コンテナをどのように設置するか、環境をどのように設定するか、ハニーポットがどのように動作するかについて管理および／または制御できるようになる。場合によっては、ハニーネット管理システム５０８がハニーポットを管理および／または制御するために使用する構成設定を、クラウドサービスプロバイダ５０２が（たとえば、より直接的には、クラウドサービスプロバイダ５０２のハニーポットプラットフォーム５０９が）制御できる。場合によっては、ハニーポットプラットフォーム５０９のコントローラは、（たとえば、ハニーネット５００を制御するための）コントロールプレーンおよび（たとえば、ハニーネット５００に対応付けられたデータをフェッチするための）データプレーンの両方において動作する。また、ハニーポットプラットフォーム５０９は、ハニーポットから受信したやり取りについてのデータのログ記録を同期させるように構成される同期部を備えてもよい。ハニーポットプラットフォーム５０９は、統計収集部も備えてもよい。統計収集部は、収集されたデータ（たとえば、システムログなど）を集約するように構成できる。
上述したように、代わりに、ハニーネット５００（たとえば、ハニーネット５１２）を制御するクラウドサービスプロバイダ５０２内にハニーネット５００を実装できる。これは、セキュリティの観点から、明らかにさらに危険である。その理由は、ハニーポットがホスティングされているコンテナから攻撃者５０１が脱出できたら、クラウドサービスプロバイダ５０２のその他の個人的情報／セキュリティ保護された情報および／またはリソースにアクセスできてしまう可能性があるためである。ハニーネット５００がサードパーティプロバイダによってホスティングされることによって、そのリスクが軽減されるであろう。しかしながら、クラウドサービスプロバイダ５０２内でハニーネット５１０をホスティングすることには、いくつかのメリットおよび利点がある。たとえば、脅威解析システム５１０は、その特定のサービスプロバイダを悪用しようと試みたいこれらの攻撃者に固有の攻撃者データ。一例は、ＯｒａｃｌｅのＷｅｂＬｏｇｉｃサーバである。ハッキングしてＯｒａｃｌｅのクラウドインフラストラクチャサービスに侵入しようと考える攻撃者は、ポート８０またはポート４４３上のＷｅｂＬｏｇｉｃサーバを探すであろう。エミュレートされたＷｅｂＬｏｇｉｃサーバをハニーポットとして有して攻撃者をおびき寄せることによって、Ｏｒａｃｌｅは、Ｏｒａｃｌｅの既知の脆弱性を意図的にターゲットにしている攻撃者についての有用なデータを収集できようになるであろう。
同様の例を用いると、Ｏｒａｃｌｅは、ＯＣＩ（Ｏｒａｃｌｅ Ｃｌｏｕｄ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）サービス内に存在するハニーネット５１２のようなハニーネットを構築することを選択するであろう。ハニーポットをより本物に見せるために、ハニーポットプラットフォーム５０９は、ハニーネット５１２を、コンテナにあるサーバのエミュレートでしかないのに、むしろ本物のＯｒａｃｌｅサーバに見えるように構成し得る。Ｏｒａｃｌｅにハッキングしようと試みる攻撃者は、ＯＣＩに侵入できた証拠としてＷｅｂＬｏｇｉｃサーバを確認し得るので、これは機能するはずである。よって、ハニーポットを常駐サービスプロバイダ固有のハニーポットにすることによって、（たとえば、攻撃者は内部の具体的な脆弱性に気付いているため）特定のＯＣＩアプリケーションを標的にしている高度な攻撃者を捕まえるのに役立てることができる。
ハニーポットをより本物に見えるように構成すること（たとえば、Ｏｒａｃｌｅの例では、Ｏｒａｃｌｅがホスティングしているのに関わらず、Ｏｒａｃｌｅであるかのように見せること）のその他の例として、Ｆｕｓｉｏｎ Ａｐｐｌｉｃａｔｉｏｎｓフロントエンド（または、その他のアプリケーション開発スイート）に見えるようにハニーポットを設計することが挙げられる。攻撃者がハニーポットとのセッションを開始すると、攻撃者にシミュレーションＦｕｓｉｏｎデータが提示されてもよく、または、攻撃者がシミュレーションＦｕｓｉｏｎデータにアクセスできるようになってもよい。これに加えて、ＯｒａｃｌｅのＩＰアドレスを用いてホスティングされるようにハニーポットを構成できる。そして、ハニーポットプラットフォーム５０９は、攻撃者がマシンと行っているやり取りを追跡してログを記録できるようになり、場合によっては、攻撃者に「印を付けた」データを盗ませる。その後、このデータは、見つかった時／見つかると、特定可能である。すなわち、シミュレーションデータにこのように印をつけることができ、攻撃者にアクセスさせてもよい。その攻撃者がハニーポット以外でそのデータを使おうとした場合、使おうとしたことが発見され、攻撃者も検出され、場合によっては、特定され得る。
別のオプションは、サービスプロバイダのコントロールプレーンＡＰＩ（たとえば、この例では、ＯＣＩ）のように見える疑似コントロールプレーンＡＰＩを設置することであろう。そのサービスプロバイダが利用する従来のＡＰＩのように見せて、攻撃者のアクセスを許す弱いクレデンシャルを有するように構成する。ここでも、サービスプロバイダは、攻撃者がネットワーク上にいる間に何をしているかを追跡する。場合によっては、ハイパーバイザーを共有していると思われる顧客を攻撃者が侵害できないようにするために、ベアメタルハードウェアが用いられてもよい。各セッションはタグ付けされ、そのテナンシにあるすべてのネットワークトラフィックが監視される。このようにすれば、ハニーポットプラットフォーム５０９は、高度な攻撃パターンを追跡して、マシン間を移動するために攻撃者によってどのような手口が使われているかを学習できるであろう。
さらなる詳細は後述するが、ＩａａＳプロバイダは、サービステナンシ、データプレーン、コントロールプレーン、特定のサブネット、ＩＰアドレス、ゲートウェイなどを有して構成されてもよい。図９～図１１に示すパターン（たとえば、アーキテクチャ）である場合、ハニーポットを構成するときにこれらのパターンを可能な限り互いに似せるようにエミュレートすることは有利であろう。これは、ハニーネットがローカル（たとえば、ハニーネット５１２）で動作していようが、外部実装（たとえば、ハニーネット５００）されていようが当てはまる。よって、ハニーポットプラットフォーム５０９は、ハニーポット自体がサードパーティサービスプロバイダのマシン上などサービスプロバイダの外部で動作していても、サービスプロバイダをホスティングしているハニーポットプラットフォーム５０９のインフラストラクチャに見えるようにハニーポットインスタンスを構成しようとするであろう。
これに加えて、ハニーポットプラットフォーム５０９は、他が（たとえば、サブスクライブしている顧客５０７が）使用できる、サービスとしてのハニーポットというツールを提供するように構成されてもよい。この例では、顧客は、計算機能自体には行わせることなく、自身のデータ収集と攻撃者から身を守るためにハニーポットを実行したいと考える。よって、ハニーポットプラットフォーム５０９は、サービスとしてのあらゆる種別のハニーネットをホスティングできるという機能を他に提供できる。一例において、このサービスを、１つ以上のＡＰＩを介しておよび／またはサブスクリプションサービスと通して提供できる。
いくつかの例では、ハニーネットサービスは、複数の異なる顧客がアクセス可能な１つのハニーネットを設けてもよい。しかしながら、その他の例では、個々のハニーネット（たとえば、顧客につき１つのハニーネット）が実装されてもよい。このようなサービスは、顧客５０７に代ってサービスプロバイダ（たとえば、ハニーネット５１２を使用しているクラウドサービスプロバイダ５０２）によってホスティングされ得る、または、顧客５０７の環境内でホスティングされ得る。これに加えて、各顧客５０７は、どのハニーポットインスタンスを実行したいかを含む、どのような種類のハニーネットを構築したいかをカスタマイズできる。様々なハニーネット間、様々な範囲、特定の地理上の領域間などにハニーポットを分散させることが求められるであろう。たとえば、顧客５０７は、特定の地域（たとえば、インド）に特定のハニーポット（たとえば、ＷｏｒｄＰｒｅｓｓサーバ）を実装するよう求めるであろう。そして、この例では、ハニーネットプラットフォーム５０８は、（可能性として、当該１つハニーポットのみを有する）ハニーネットをインドに構築してこの国のＷｏｒｄＰｒｅｓｓサーバを標的にしている攻撃者を追跡する。別の例では、すでに複数のコンテナにある複数のそれぞれ異なるハニーポットを用いて様々なハニーネットが構築され、要求があると、ハニーポットプラットフォーム５０８は、要求された種別のハニーポットコンテナを、適切なハニーネットに自動的にデプロイする。
このように、ハニーポットプラットフォーム５０８は、ハニーネットまたはハニーポットについての要求を顧客から受信するように構成できる。要求は、設定情報を含み得る。設定情報は、ハニーネットの数、ハニーネット（複数可）がデプロイされる場所、ハニーネット（複数可）内にデプロイされるハニーポットの種別および／または数、およびログが記録されるデータの種類を特定する。要求に応じて、ハニーポットプラットフォーム５０８は、設定情報に基づいて１つ以上のハニーネットおよび／または１つ以上のハニーポットを構築する。データは、収集、ログを記録、処理、ならびに／または解析されてから、脅威解析システム（たとえば、脅威解析システム５０６および／もしくは脅威解析システム５１２）ならびに／または顧客自身の元に送信できる。一定時間が経過するまでまたは顧客がサービスの終了を要求するまで、ハニーポットプラットフォーム５０８は、顧客に代わって、サービスとしてのこれらのハニーネットおよび／またはハニーポットを実装し続ける。
図６は、ハニーポットプラットフォームシステム６０２に代わってハニーネット６００をホスティングできる、および／または、ハニーポットプラットフォームシステム６０２によって制御されるハニーネット６００をホスティングできる、コンピューティングシステムの簡略ブロック図である。いくつかの実施の形態では、ハニーネット６００をホスティングしているコンピューティングシステムは、（たとえば、ハニーポットプラットフォームシステム６０２をホスティングしているコンピュータとは異なる）サードパーティサービスプロバイダであってもよい。しかしながら、その他の例では、同じコンピューティングシステムであってもよい。
いくつかの例では、ハニーネット６００をホスティングするコンピューティングシステムは、ベースオペレーティングシステムを有することができ、１つ以上のハニーポット（たとえば、ハニーポットＳ１、Ｓ２、Ｓ３、…、ＳＮ；まとめてハニーポットＳ１～Ｎ）をエミュレートできるコンテナ６０４を実装できる。ハニーポットＳ１～ＳＮは、任意の種別のハニーポット（上述したように）で有り得、コンテナ化（たとえば、コンテナ６０４に実装）でき、（たとえば、永続ストア６０８のＲＡＷのＨＰデータ６０６にデータのログを記録することによって）データをディスクに書き出すことができる。ハニーポットＳ１～ＳＮのうち１つに攻撃者がアクセスすると、ＲＡＷのＨＰデータ６０６にあるファイルに書き込むことによってそのアクティビティをログに記録できる。このデータは、ＪＳＯＮフォーマットなどで書き込むことができる。場合によっては、各ＨＰ Ｓ１～ＳＮは、各ＨＰ Ｓ１～ＳＮがエミュレートしているサーバの種類に基づいて異なる種類のデータを送り出してもよい。たとえば、各種類のサーバは、異なる種類のデータを利用および／または処理してもよい。この一例として、ＳＳＨデータは、メールサーバデータ（たとえば、ＳＭＴＰ）とはかなり違う。
いくつかの例では、データ処理システム６１２のログローテーション部６１０にこのデータを送信できる。データ処理システム６１２は、ハニーポットＳ１～ＳＮを可視化システム６１６と共に管理するように構成されたハニーポット管理システム６１４の一部に過ぎない。ログローテーション部６１０は、一定間隔で（たとえば、５分ごとに、または必要に応じて）ログデータをローテーションできる。場合によっては、コンピューティングシステム６００は、ハニーポットがデータのログをどのように記録するか（たとえば、毎日１つのファイルにログを記録するか、異なるファイルにログを記録するか）を操作できなくてもよい。そのため、ログローテーション部６１０は、一般的に、データ処理システム６１２またはホストシステム６００にとって望ましい特定の期間でログをローテーションするように構成される。ログデータは、ＨＰデータ同期部６１８と同期できるよう、期間ごとに細かく分割されてもよい。しかしながら、ＨＰデータ同期部６１８にデータを送信する前に、データ処理システム６１２は、先ず、（たとえば、ログ検証部６２０を用いて）データを検証し、（たとえば、ＰＩＩスクラブ部６２２を用いて）データをスクラブし、（たとえば、データフォーマット部６２４を用いて）データをフォーマットしてもよい。データ検証部６２０は、取り込んだデータの種類を確認し、下流にいる消費者６２６（たとえば、顧客）が関心を持っているフィールドの種類として正しい種類であることを確認してもよい（たとえば、データがＩＰアドレスである場合、実際に３２ビットアドレスであるかどうかなど）。ＰＩＩスクラブ部６２２は、個人を特定できる情報をスクラブして、スクラブしなければ発見され得る身元を難読化するように構成できる。データフォーマット部６２４は、ＪＳＯＮフォーマット（など）にデータをフォーマットするように構成され、そのフォーマットを理解できるプラットフォーム（たとえば、ＨＰデータ同期部６１８）と（たとえば、後にパイプラインで）共有できるようにする。処理後、データは、永続ストア６０８の加工済ＨＰデータ６２８に格納できる。
場合によっては、永続ストア６０８は、（たとえば、節約するために）ブロックストレージとして構成される。ハニーポットＳ１～ＳＮが動作しており（たとえば、並行して動作してもよい）データのログをブロックストレージに常に記録し、先ずはＲＡＷのＨＰデータ６０６に記録され、加工されると、加工されたＨＰデータ６２８に記録される。いくつかの例では、１つのハニーポットに複数の攻撃者が接続する場合がある。これは、各ハニーポットがエミュレートサーバであるのであり得ることである。そのため、（たとえば、種別ごとに）同じハニーポットインスタンスが複数の攻撃者と同時に通信できるが、当該１つのハニーポットは、各攻撃者には個々のインスタンスであるかのように見える。しかしながら、エミュレートされたハニーポットインスタンスは、各攻撃者との所与のセッションに限ってステートフルである。よって、攻撃者がログアウトすると、新しいログインがあると、同じインスタンスの新しいエミュレートができる。しかし、同じインスタンス上のすべての攻撃者のログを平行して書き込むことができる。
上述したように、攻撃者に本物のサーバであるようにエミュレートサーバを見せることは、有利である。こうすることによって、攻撃者をより長い時間ログインさせることができるので、より多くのデータを収集できるようになる。また、こうすることによって、攻撃者をだましてより高度なテクニックに挑戦させることができる。当該高度なテクニックをログに記録して解析し、攻撃者から学習することができる。エミュレート環境を本物に見せるための技術として、ＵＩ（ユーザインターフェース）を提供すること、攻撃者がアクセスできる偽のアカウントを作成すること、ならびに／または、ベアメタルマシン上でインスタンスおよび／もしくはセッション実行することなどが挙げられる。上記のように、ハニーポットＳ１～ＳＮは、Ｄｏｃｋｅｒコンテナ（またはその他の種類のコンテナ）に実装される。このようなコンテナは、要求されている各種類のサーバまたはサービスをエミュレートする仮想環境である。各ハニーポットＳ１～ＳＮは、環境をエミュレートしている仮想コンテナである。ハッカーがファイルシステムの一覧を要求した場合、エミュレート環境を本物のように見せる適切な応答で返信することは有利である。たとえば、ウェブサーバの場合、サーバがポート８０上でＡｐａｃｈｅを実行していることを攻撃者に応答で示してもよい。また、ハニーポットは、Ａｐａｃｈｅを実際に実行していたシステム上に格納された標準ファイルであると思われるファイルのリストを作成できる。
簡単に上記したように、攻撃者のセッションは、攻撃者がハニーポットにログインしている間はステートフルであってもよい。いくつかの例では、セッションを特定の期間（たとえば、５分程度）で更新してもよい。ほとんどの攻撃は自動化されており、わずか数秒しか続かないので、１つのセッションにとって５分は十分な時間である。しかしながら、いくつかの例では、攻撃者がログインしてハニーポットを操作している（たとえば、要求を行っている）間はセッションが動作していてもよい。
データがログ記録および処理されると、ハニーポットプラットフォームシステム６０２、たとえば、ＨＰデータ同期部６１８に直接返すことができる。同期部６１８は、一定間隔（たとえば、５分）で加工済ＨＰデータ６２８からデータをフェッチするように構成できる。同期部は、一定間隔のデータ送りの同期を取るのに役立つので、データを失うことがない。そして、同期部６１８は、下流にいる消費者６２６および／または脅威解析システムにデータを送ることができる。いくつかの例では、ハニーポットプラットフォームシステム６０２のコントローラ６３０は、ハニーポットＳ１～ＳＮのいずれも追加、分割、再構築、改良、または制御するように構成できる。コントローラ６３０は、ＳＳＨタイプ接続および／またはセキュアシェルアプリケーションを介してハニーポット管理システム６１４と通信してもよい。これに加えて、システム統計収集部６３２は、システムログについての情報またはその他のログ情報を収集するように構成される。システム統計収集部６３２は、ハニーポットプラットフォームシステム６０２のコントロールプレーンの一部として実装されてもよく、ＳＳＨを経由してハニーポット管理システム６１４の可視化システム６１６とも通信してもよい。いくつかの例では、監視およびアラートシステム６３４は、監視するよう定められているファイルおよびファイルシステムをチェックするように構成できる。監視およびアラートシステム６３４は、データにチェックサムを実行して、一致しないデータがあるかどうかを確認でき、場合によっては、ファイルを復元できる。これは、攻撃者がハニーポットプラットフォームシステム６０２に実際に侵入し（たとえば、ハニーネット６００をホスティングしているコンピューティングシステムがハニーポットプラットフォームシステム６０２をホスティングしているコンピュータと同じコンピュータであった場合）何か変更を行った場合に有利である。その後、監視およびアラートシステム６３４は、下流にいる顧客、サードパーティサービス（たとえば、ハニーネット６００および／またはハニーポットプラットフォームシステム６０２をホスティングしているコンピューティングシステム）にアラートを出すことができる。ロガー６３２は、ログが記録されたデータをＵＩ提示する、または当該データを可視化する準備を行うためのその他のアプリケーションに提示するように構成できる。
図７は、本明細書に記載の技術を実行するための例示的な方法７００を説明するフロー図である。方法７００の一部もしくはすべて（または、本明細書に記載のその他の処理もしくはそれらの変形例および／もしくは組合せ）は、実行可能な命令を有して構成される１つ以上のコンピュータシステムの制御のもとで実行されてもよく、ソフトウェア、ハードウェア、またはそれらの組合せによって１つ以上のプロセッサ上でまとめて動作するコード（たとえば、実行可能な命令、１つ以上のコンピュータプログラム、または１つ以上のアプリケーション）として実現されてもよい。コードは、たとえば、１つ以上のプロセッサによって実行可能な複数の命令を含むコンピュータプログラムの形でコンピュータ読み取り可能な記憶媒体上に格納されてもよい。コンピュータ読み取り可能な記憶媒体は、非一時的な記憶媒体である。方法７００は、図３のデータセンター３０２、図４のハニーポットサーバ４００、図５のハニーネット５００および／もしくはハニーポットプラットフォーム５０９、または、図６のハニーネット６００および／もしくはハニーポットプラットフォームシステム６０２をホスティングしているコンピューティングシステム、のうち１つ以上もしくはそれらの組合せによって実行されてもよい。
方法７００は、ブロック７０２から開始し得る。ブロック７０２では、ＩａａＳサービスのコンピューティングインスタンスが複数のハニーポットサーバを提供（たとえば、実装／実行）し得る。各ハニーポットサーバは、コンテナに実装されてもよく、物理サーバのエミュレートであってもよい。これに加えて、各ハニーポットサーバは、ハニーポット種別で識別され得る。たとえば、ハニーポット種別として、ＳＭＴＰハニーポット、ＷｅｂＬｏｇｉｃハニーポット、ＨＴＴＰハニーポット、ＦＴＰハニーポット、ＳＳＨハニーポットなどが挙げられる。種別に基づいて、各ハニーポットは、ユーザと異なる方法でやり取りする、異なるデータを処理するなどしてもよい。これに加えて、複数のハニーポットは、１つのハニーネットとして考えられてもよい。このハニーネットは、ＩａａＳサービス内でローカルに動作するまたは外部で（たとえば、サードパーティサービスプロバイダによって）動作する１つのコンピューティングインスタンスによって実装され得る。
ブロック７０４では、方法７００は、コンピューティングインスタンスが、攻撃者をおびき寄せて、ハニーポットサーバのうち少なくとも１つとセッションを確立させ得る。おびき寄せるステップは、パブリックネットワーク（たとえば、インターネット）で公開されているハニーポットに割り当てられたＩＰに対応付けられた１つ以上のポートに基づいてもよい。また、おびき寄せるステップは、ハニーポットのログインクレデンシャルを公開することを含み得るが、ほとんどの場合、攻撃者をおびき寄せるには、ポートを公開することで十分であろう。その理由は、攻撃者および一般社会で広くに知られている様々なユーザ名／パスワードの組合せがあるためである。
ブロック７０６では、方法７００は、コンピューティングインスタンスが、攻撃者から第１の要求を受信し得る。場合によっては、第１の要求は、インスタンスに関する要求であり得、および／または要求特性を含み得る。第１の要求は、通常、攻撃者が関心のあるポートの向こう側に存在するサービスにログインするという要求である。第１の要求特性は、要求が送られたポート、要求されているサービスの種類、要求されているアクションの種類などを識別し得る。
ブロック７０８では、方法７００は、コンピューティングインスタンスが、要求特性およびハニーポット種別の少なくとも一部に基づいて、複数のハニーポットサーバのうち特定のハニーポットサーバを特定し得る。たとえば、攻撃者がポート２５へのアクセスを要求しており、ポート２５がＳＭＴＰサーバに対応する場合、コンピューティングインスタンスは、その攻撃者のためにＳＭＴＰサーバをエミュレートしているハニーポットを特定し得る。この例では、要求特性とは、ポート２５、またはＳＭＴＰ（メール）サーバにログインするという要求のいずれかを特定する情報である。この情報を利用して、コンピューティングインスタンスは、この生じ得る接続のためのＳＭＴＰハニーポットを（たとえば、種別に対する特性のマッピングに基づいて）特定できる。この例で特定される特定のハニーポットは、ＳＭＴＰハニーポットである。
ブロック７１０では、方法７００は、コンピューティングインスタンスが、特定のハニーポットと接続するためのセッションを攻撃者と確立し得る。このように、短期間（たとえば、５分）状態のセッションが確立され得る。セッション中、攻撃者は、特定された特定のハニーポットサーバへの特権アクセスを有する。攻撃者がログオフすると、同じハニーポットサーバまたは別の種別のハニーポットサーバとの新しいセッションが確立される必要がある。
ブロック７１２では、方法７００は、攻撃者に接続される特定のハニーポットサーバが、攻撃者からの第２の要求に対する応答を生成し得る。第２の要求は、セッションが確立された後に行われ得るので、ログインしている攻撃者から受信するであろう。第２の要求は、仮想コンピューティングインスタンスをスピンアップする要求や、セキュリティ保護されたリソースにアクセスする要求などであり得る。本質的に、第２の要求は、ログインしているハニーポットサーバに要求するために攻撃者が選択し得る任意の種類の要求であり得る。生成される応答は、その要求に対して適切な応答でなければならない。たとえば、データにアクセスするという要求であった場合、応答は、そのデータまたはそのデータのダミーを提供しなければならない。仮想コンピューティングインスタンスをスピンアップするという要求であった場合、応答は、そのインスタンス化が確認されたという応答でなければならない。
ブロック７１４では、方法７００は、特定のハニーポットサーバが、第２の要求に応じて応答を攻撃者まで通信させ得る。上述したように、本物のサーバに接続していると攻撃者に信じ込ませ続けるために、応答は、与えられた要求に対して適切な応答でなければならない。
ブロック７１６では、方法７００は、終了し得る。ブロック７１６では、コンピューティングインスタンスは、攻撃者に関するデータ、または攻撃者による特定のハニーポットとの１つ以上のやり取りに関するデータを記録し得る。このデータを加工および／または解析されて、将来の攻撃を防ぐのに役立てられ得る。
例示的な実施態様
上述したように、ＩａａＳ（Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ Ａｓ Ａ Ｓｅｒｖｉｃｅ）は、１つの特殊な種類のクラウドコンピューティングである。仮想化されたコンピューティングリソースをパブリックネットワーク（たとえば、インターネット）で提供するようにＩａａＳを構成できる。ＩａａＳモデルでは、クラウドコンピューティングプロバイダは、インフラストラクチャの構成要素（たとえば、サーバ、記憶装置、ネットワークノード（たとえば、ハードウェア）、導入ソフトウェア、プラットフォームの仮想化（たとえば、ハイパーバイザー層）など）をホスティングできる。場合によっては、ＩａａＳプロバイダは、これらのインフラストラクチャの構成要素に付随する多種多様なサービス（たとえば、請求、監視、ログ記録、セキュリティ、負荷分散およびクラスタリングなど）も供給してもよい。よって、これらのサービスはポリシーベースのサービスであり得るので、ＩａａＳユーザは、負荷分散を駆動するポリシーを実施して、アプリケーションの可用性および性能を維持できるようになるであろう。
場合によっては、ＩａａＳ顧客は、インターネットなどのＷＡＮ（ワイドエリアネットワーク）を通じてリソースおよびサービスにアクセスしてもよく、クラウドプロバイダのサービスを利用してアプリケーションスタックの残りの要素をインストールできる。たとえば、ユーザは、ＩａａＳプラットフォームにログインして、ＶＭ（仮想マシン）を作成、各ＶＭ上にＯＳ（オペレーティングシステム）をインストール、データベースなどのミドルウェアをデプロイ、ワークロードやバックアップ用のストレージバケットを作成、さらにはそのＶＭに企業向けソフトウェアをインストールすることができる。そして、顧客は、プロバイダのサービスを利用して、ネットワークトラフィックの負荷分散、アプリケーションの問題のトラブルシューティング、パフォーマンスの監視、ディザスタリカバリの管理などを含む様々な機能を実行できる。
ほとんどの場合、クラウドコンピューティングモデルは、クラウドプロバイダの参加を必要とする。クラウドプロバイダは、ＩａａＳを提供（たとえば、オファー、レンタル、販売）することに特化したサードパーティサービスであってもよいが、そうである必要はない。また、エンティティがプライベートクラウドをデプロイすることを選択して、エンティティ自体のインフラストラクチャサービスのプロバイダになってもよい。
いくつかの例では、ＩａａＳのデプロイメント（導入）とは、準備したアプリケーションサーバなどに新しいアプリケーションまたは新しいバージョンのアプリケーションを載せる処理である。サーバを準備する処理も含み得る（たとえば、ライブラリ、デーモンなどをインストールすること）。これは、ハイパーバイザー層（たとえば、サーバ、ストレージ、ネットワークハードウェア、および仮想化）よりも下の層でクラウドプロバイダによって管理されることが多い。よって、顧客には、（（たとえば、要求に基づいてスピンアップされ得る）セルフサービス仮想マシンなどの上の）（ＯＳ）、ミドルウェア、および／またはアプリケーションの導入に対処する責任があるであろう。
いくつかの例では、ＩａａＳプロビジョニングとは、使用するためのコンピュータまたは仮想ホストを取得すること、さらには、それらの上に必要なライブラリまたはサービスをインストールすることを指し得る。ほとんどの場合、導入にはプロビジョニングは含まれず、プロビジョニングは最初に行われる必要があり得る。
場合によっては、ＩａａＳプロビジョニングには２つの異なる課題がある。先ず、何かを実行する前に初期のインフラストラクチャ一式をプロビジョニングするという初期段階の課題である。次に、すべてがプロビジョニングされてから既存のインフラストラクチャを進化させていく（たとえば、新しいサービスを追加する、サービスを変更する、サービスを削除するなど）という課題がある。場合によっては、インフラストラクチャの構成を宣言的に定義することを可能にすることによってこれらの２つの課題に対処してもよい。すなわち、１つ以上の設定ファイルでインフラストラクチャ（たとえば、どの構成要素が必要で、それらがどのようにやり取りするか）を定義できる。よって、インフラストラクチャのトポロジー全体（たとえば、どのリソースがどのリソースに依存しているのか、それらのリソースがどのように連携するのか）を宣言的に定義できる。場合によっては、トポロジーが定義されると、設定ファイルに記述されている異なる構成要素を作成および／または管理するワークフローを生成できる。
いくつかの例では、インフラストラクチャには、互いに接続された多くの要素があり得る。たとえば、コアネットワークとしても知られる１つ以上のＶＰＣ（仮想プライベートクラウド）（たとえば、コンフィギャラブルなコンピューティングリソースおよび／または共有コンピューティングリソースの、おそらくオンデマンドのプール）があってもよい。いくつかの例では、ネットワークのセキュリティをどのように設置するか、および１つ以上のＶＭ（仮想マシン）を定義する１つ以上のセキュリティグループルールもプロビジョニングされてもよい。ロードバランサ、データベースなど、その他のインフラストラクチャの要素もプロビジョニングされてもよい。求められるおよび／または追加されるインフラストラクチャの要素が増えると、インフラストラクチャは漸進的に進化するであろう。
場合によっては、様々な仮想コンピューティング環境間でインフラストラクチャのコードをデプロイすることを可能にするための断続的デプロイ技術が採用されてもよい。これに加えて、説明した技術によって、これらの環境内でのインフラストラクチャの管理が可能になる。いくつかの例では、サービスチームは、１つ以上の、多くの場合、多くの異なる本番環境（たとえば、様々な異なる地理的位置にまたがる、時として、全世界に及ぶ）にデプロイされることが求められるコードを書くことができる。しかしながら、いくつかの例では、コードがデプロイされるインフラストラクチャを最初に設置しなければならない。場合によっては、プロビジョニングは手作業で行われ得、インフラストラクチャがプロビジョニングされると、プロビジョニングツールを利用してリソースがプロビジョニングされてもよく、および／または開発ツールを利用してコードがデプロイされてもよい。
図８は、少なくとも１つの実施の形態に係る、ＩａａＳアーキテクチャのパターンの例を示すブロック図８００である。サービスオペレータ８０２は、セキュリティ保護されたホストテナンシ８０４に通信可能に連結される。セキュリティ保護されたホストテナンシ８０４は、ＶＣＮ（仮想クラウドネットワーク）８０６と、セキュリティ保護されたホストサブネット８０８とを備え得る。いくつかの例では、サービスオペレータ８０２は、１つ以上のクライアントコンピューティングデバイスを使用していてもよい。クライアントコンピューティングデバイスは、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ Ｍｏｂｉｌｅ（登録商標）などのソフトウェアおよび／またはｉＯＳ、Ｗｉｎｄｏｗｓ Ｐｈｏｎｅ、Ａｎｄｒｏｉｄ、ＢｌａｃｋＢｅｒｒｙ１０、ＰａｌｍＯＳなどのいろいろなモバイルオペレーティングシステムを実行し、かつ、インターネット、電子メール、ＳＭＳ（Ｓｈｏｒｔ Ｍｅｓｓａｇｅ Ｓｅｒｖｉｃｅ）、Ｂｌａｃｋｂｅｒｒｙ（登録商標）、または他の通信プロトコルに対応する手のひらサイズのポータブルデバイス（たとえば、ｉＰｈｏｎｅ（登録商標）、携帯電話、ｉＰａｄ（登録商標）、コンピューティングタブレット、ＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔ））またはウェアラブルデバイス（たとえば、Ｇｏｏｇｌｅ Ｇｌａｓｓ（登録商標）ヘッドマウントディスプレイ）であってもよい。あるいは、クライアントコンピューティングデバイスは、様々なバージョンのＭｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）、Ａｐｐｌｅ Ｍａｃｉｎｔｏｓｈ（登録商標）、および／もしくはＬｉｎｕｘ（登録商標）オペレーティングシステムを実行するパーソナルコンピュータならびに／またはラップトップコンピュータを含む、汎用パーソナルコンピュータであり得る。クライアントコンピューティングデバイスは、たとえば、Ｇｏｏｇｌｅ Ｃｈｒｏｍｅ ＯＳなどいろいろなＧＮＵ／Ｌｉｎｕｘオペレーティングシステムを含む各種市販のＵＮＩＸ（登録商標）またはＵＮＩＸに似たオペレーティングシステムを実行するワークステーションコンピュータであり得るが、これに限定されない。これに代えて、またはこれに加えて、クライアントコンピューティングデバイスは、シンクライアントコンピュータ、インターネット対応のゲーミングシステム（たとえば、Ｋｉｎｅｃｔ（登録商標）ジェスチャ入力装置付きまたは無しのＭｉｃｒｏｓｏｆｔ Ｘｂｏｘのゲーミングコンソール）、および／もしくはパーソナルメッセージングデバイスなど、ＶＣＮ８０６にアクセスできるネットワークならびに／またはインターネットで通信可能なその他の電子機器であってもよい。
ＶＣＮ８０６は、ＬＰＧ（ローカルピアリングゲートウェイ）８１０を含み得る。ＬＰＧ８１０は、ＳＳＨ ＶＣＮ８１２に含まれるＬＰＧ８１０を介してＳＳＨ（セキュアシェル）ＶＣＮ８１２に通信可能に連結できる。ＳＳＨ ＶＣＮ８１２は、ＳＳＨサブネット８１４を含み得、ＳＳＨ ＶＣＮ８１２は、コントロールプレーンＶＣＮ８１６に含まれるＬＰＧ８１０を介してコントロールプレーンＶＣＮ８１６に通信可能に連結できる。また、ＳＳＨ ＶＣＮ８１２は、ＬＰＧ８１０を介してデータプレーンＶＣＮ８１８に通信可能に連結できる。コントロールプレーンＶＣＮ８１６およびデータプレーンＶＣＮ８１８は、サービステナンシ８１９に含まれ得る。サービステナンシ８１９は、ＩａａＳプロバイダに所有および／または操作され得る。
コントロールプレーンＶＣＮ８１６は、境界ネットワーク（たとえば、企業のイントラネットと外部ネットワークとの間の企業ネットワークの一部）として機能するコントロールプレーンＤＭＺ（Ｄｅｍｉｌｉｔａｒｉｚｅｄ Ｚｏｎｅ）ティア８２０を含み得る。ＤＭＺベースのサーバの仕事には制限があり得、セキュリティ侵害を抑えるのに役立ち得る。これに加えて、ＤＭＺティア８２０は、１つ以上のＬＢ（ロードバランサ）サブネット（複数可）８２２を含み得、コントロールプレーンアプリティア（Ａｐｐ Ｔｉｅｒ）８２４は、アプリサブネット（複数可）８２６を含み得、コントロールプレーンデータティア８２８は、ＤＢ（データベース）サブネット（複数可）８３０を含み得る（たとえば、フロントエンドＤＢサブネット（複数可）および／またはバックエンドＤＢサブネット（複数可））。コントロールプレーンＤＭＺティア８２０に含まれるＬＢサブネット（複数可）８２２は、コントロールプレーンアプリティア８２４に含まれるアプリサブネット（複数可）８２６と、コントロールプレーンＶＣＮ８１６に含まれ得るインターネットゲートウェイ８３４とに通信可能に連結でき、アプリサブネット（複数可）８２６は、コントロールプレーンデータティア８２８に含まれるＤＢサブネット（複数可）８３０と、サービスゲートウェイ８３６およびＮＡＴ（ネットワークアドレス変換）ゲートウェイ８３８とに通信可能に連結できる。コントロールプレーンＶＣＮ８１６は、サービスゲートウェイ８３６と、ＮＡＴゲートウェイ８３８とを含み得る。
コントロールプレーンＶＣＮ８１６は、データプレーンミラーアプリティア８４０を含み得る。データプレーンミラーアプリティア８４０は、アプリサブネット（複数可）８２６を含み得る。データプレーンミラーアプリティア８４０に含まれるアプリサブネット（複数可）８２６は、ＶＮＩＣ（仮想ネットワークインターフェースコントローラ）８４２を含み得る。ＶＮＩＣ８４２は、コンピューティングインスタンス８４４を実行できる。コンピューティングインスタンス８４４は、データプレーンミラーアプリティア８４０のアプリサブネット（複数可）８２６をアプリサブネット（複数可）８２６に通信可能に連結できる。アプリサブネット８２６は、データプレーンアプリティア８４６に含まれ得る。
データプレーンＶＣＮ８１８は、データプレーンアプリティア８４６と、データプレーンＤＭＺティア８４８と、データプレーンデータティア８５０とを含み得る。データプレーンＤＭＺティア８４８は、ＬＢサブネット（複数可）８２２を含み得る。ＬＢサブネット８２２は、データプレーンアプリティア８４６のアプリサブネット（複数可）８２６と、データプレーンＶＣＮ８１８のインターネットゲートウェイ８３４とに通信可能に連結できる。アプリサブネット（複数可）８２６は、データプレーンＶＣＮ８１８のサービスゲートウェイ８３６およびデータプレーンＶＣＮ８１８のＮＡＴゲートウェイ８３８に通信可能に連結され得る。また、データプレーンデータティア８５０は、ＤＢサブネット（複数可）８３０も備える。ＤＢサブネット８３０は、データプレーンアプリティア８４６のアプリサブネット（複数可）８２６に通信可能に連結できる。
コントロールプレーンＶＣＮ８１６のインターネットゲートウェイ８３４およびデータプレーンＶＣＮ８１８のインターネットゲートウェイ８３４は、メタデータ管理サービス８５２に通信可能に連結できる。メタデータ管理サービス８５２は、パブリックインターネット８５４に通信可能に連結できる。パブリックインターネット８５４は、コントロールプレーンＶＣＮ８１６のＮＡＴゲートウェイ８３８およびデータプレーンＶＣＮ８１８のＮＡＴゲートウェイ８３８に通信可能に連結できる。コントロールプレーンＶＣＮ８１６のサービスゲートウェイ８３６およびデータプレーンＶＣＮ８１８のサービスゲートウェイ８３６は、クラウドサービス８５６に通信可能に連結できる。
いくつかの例では、コントロールプレーンＶＣＮ８１６のサービスゲートウェイ８３６またはデータプランＶＣＮ８１８のサービスゲートウェイ８３６は、パブリックインターネット８５４を通過せずにクラウドサービス８５６にＡＰＩ（アプリケーションプログラミングインターフェース）呼び出しを行うことができる。サービスゲートウェイ８３６からクラウドサービス８５６へのＡＰＩ呼び出しは、一方通行であり得る。すなわち、サービスゲートウェイ８３６はクラウドサービス８５６にＡＰＩ呼び出しを行うことができ、クラウドサービス８５６はサービスゲートウェイ８３６に要求されたデータを送信できる。しかし、クラウドサービス８５６は、サービスゲートウェイ８３６に対するＡＰＩ呼び出しを開始しないであろう。
いくつかの例では、さもなければ隔離されているであろうサービステナンシ８１９に、セキュリティ保護されたホストテナンシ８０４を直接接続できる。セキュリティ保護されたホストサブネット８０８は、ＬＰＧ８１０を通じてＳＳＨサブネット８１４と通信できる。ＬＰＧ８１０は、さもなければ隔離されているシステムを通した双方向通信を可能にし得る。セキュリティ保護されたホストサブネット８０８をＳＳＨサブネット８１４に接続することにより、セキュリティ保護されたホストサブネット８０８には、サービステナンシ８１９内のその他のエンティティへのアクセスが与えられ得る。
コントロールプレーンＶＣＮ８１６により、サービステナンシ８１９のユーザは、所望のリソースを設置またはプロビジョニングできるようになり得る。コントロールプレーンＶＣＮ８１６においてプロビジョニングされた所望のリソースは、データプレーンＶＣＮ８１８においてデプロイまたは使用され得る。いくつかの例では、データプレーンＶＣＮ８１８からコントロールプレーンＶＣＮ８１６を隔離でき、コントロールプレーンＶＣＮ８１６のデータプレーンミラーアプリティア８４０は、データプレーンミラーアプリティア８４０に含まれ得るＶＮＩＣ８４２およびデータプレーンアプリティア８４６に含まれ得るＶＮＩＣ８４２を介して、データプレーンＶＣＮ８１８のデータプレーンアプリティア８４６と通信できる。
いくつかの例では、システムのユーザ、または顧客は、パブリックインターネット８５４を通して要求を行うことができる、たとえば、ＣＲＵＤ（生成、読み取り、更新、および削除））操作を行うことができる。パブリックインターネット８５４は、メタデータ管理サービス８５２に要求を通信できる。メタデータ管理サービス８５２は、インターネットゲートウェイ８３４を通してコントロールプレーンＶＣＮ８１６に要求を通信できる。要求は、コントロールプレーンＤＭＺティア８２０に含まれるＬＢサブネット（複数可）８２２によって受信され得る。ＬＢサブネット（複数可）８２２は、有効な要求であると判断し得、この判断に応じて、ＬＢサブネット（複数可）８２２は、コントロールプレーンアプリティア８２４に含まれるアプリサブネット（複数可）８２６に要求を送信できる。要求が検証され、パブリックインターネット８５４への呼び出しを必要とする場合、パブリックインターネット８５４への呼び出しは、パブリックインターネット８５４への呼び出しを行うことができるＮＡＴゲートウェイ８３８に送信され得る。格納されるのが望ましいと要求によって求められているメモリを、ＤＢサブネット（複数可）８３０に格納できる。
いくつかの例では、データプレーンミラーアプリティア８４０は、コントロールプレーンＶＣＮ８１６とデータプレーンＶＣＮ８１８との直接通信を容易にできる。たとえば、構成に対する変更、更新、またはその他の適した修正を、データプレーンＶＣＮ８１８に含まれるリソースに適用することが望まれる場合がある。ＶＮＩＣ８４２を介して、コントロールプレーンＶＣＮ８１６は、データプレーンＶＣＮ８１８に含まれるリソースに直接通信することにより、当該リソースに対する構成に対してこれらの変更、更新、またはその他の適した修正を行うことができる。
いくつかの実施の形態では、コントロールプレーンＶＣＮ８１６およびデータプレーンＶＣＮ８１８をサービステナンシ８１９に含めることができる。この場合、ユーザまたはシステムの顧客は、コントロールプレーンＶＣＮ８１６もデータプレーンＶＣＮ８１８も所有または操作しなくてもよい。その代わりに、ＩａａＳプロバイダは、サービステナンシ８１９に含まれ得るコントロールプレーンＶＣＮ８１６およびデータプレーンＶＣＮ８１８の両方を所有または操作し得る。本実施の形態によって、ネットワークの隔離が可能になり、ユーザまたは顧客がその他のユーザのリソースまたはその他の顧客のリソースとやり取りさせないようにする。また、本実施の形態によって、ユーザまたはシステムの顧客は、希望するレベルのストレージセキュリティではない可能性のあるパブリックインターネット８５４に頼る必要なく、データベースを内密に格納できるようになる。
その他の実施の形態では、コントロールプレーンＶＣＮ８１６に含まれるＬＢサブネット（複数可）８２２を、サービスゲートウェイ８３６からの信号を受信するように構成できる。本実施の形態では、コントロールプレーンＶＣＮ８１６およびデータプレーンＶＣＮ８１８は、ＩａａＳプロバイダの顧客によって、パブリックインターネット８５４を呼び出すことなく呼び出されるように構成され得る。パブリックインターネット８５４から隔離されて、顧客が利用するデータベース（複数可）がＩａａＳプロバイダによって制御され得、サービステナンシ８１９に格納され得るので、ＩａａＳプロバイダの顧客は、本実施の形態を望むであろう。
図９は、少なくとも１つの実施の形態に係る、ＩａａＳアーキテクチャの別の例示的なパターンを示すブロック図９００である。サービスオペレータ９０２（たとえば、図８のサービスオペレータ８０２）は、セキュリティ保護されたホストテナンシ９０４（たとえば、図８のセキュリティ保護されたホストテナンシ８０４）に通信可能に連結できる。セキュリティ保護されたホストテナンシ９０４は、ＶＣＮ（仮想クラウドネットワーク）９０６（たとえば、図８のＶＣＮ８０６）と、セキュリティ保護されたホストサブネット９０８（たとえば、図８のセキュリティ保護されたホストサブネット８０８）とを備えることができる。ＶＣＮ９０６は、ＬＰＧ（ローカルピアリングゲートウェイ）９１０（たとえば、図８のＬＰＧ８１０）を備えることができる。ＬＰＧ９１０は、ＳＳＨ ＶＣＮ９１２に含まれるＬＰＧ８１０を介してＳＳＨ（セキュアシェル）ＶＣＮ９１２（たとえば、図８のＳＳＨ ＶＣＮ８１２）に通信可能に連結できる。ＳＳＨ ＶＣＮ９１２は、ＳＳＨサブネット９１４（たとえば、図８のＳＳＨサブネット８１４）を備えることができ、ＳＳＨ ＶＣＮ９１２は、コントロールプレーンＶＣＮ９１６に含まれるＬＰＧ９１０を介してコントロールプレーンＶＣＮ９１６（たとえば、図８のコントロールプレーンＶＣＮ８１６）に通信可能に連結できる。コントロールプレーンＶＣＮ９１６は、サービステナンシ９１９（たとえば、図８のサービステナンシ８１９）に含めることができ、データプレーンＶＣＮ９１８（たとえば、図８のデータプレーンＶＣＮ８１８）は、ユーザまたはシステムの顧客が所有または操作し得る顧客テナンシ９２１に含めることができる。
コントロールプレーンＶＣＮ９１６は、ＬＢサブネット（複数可）９２２（たとえば、図８のＬＢサブネット（複数可）８２２）を含み得るコントロールプレーンＤＭＺティア９２０（たとえば、図８のコントロールプレーンＤＭＺティア８２０）と、アプリサブネット（複数可）９２６（たとえば、図８のアプリサブネット（複数可）８２６）を含み得るコントロールプレーンアプリティア９２４（たとえば、図８のコントロールプレーンアプリティア８２４）と、（たとえば、図８のＤＢサブネット（複数可）８３０と同様の）ＤＢ（データベース）サブネット（複数可）９３０を含み得るコントロールプレーンデータティア９２８（たとえば、図８のコントロールプレーンデータティア８２８）とを備えることができる。コントロールプレーンＤＭＺティア９２０に含まれるＬＢサブネット（複数可）９２２は、コントロールプレーンアプリティア９２４に含まれるアプリサブネット（複数可）９２６と、コントロールプレーンＶＣＮ９１６に含めることができるインターネットゲートウェイ９３４（たとえば、図８のインターネットゲートウェイ８３４）とに通信可能に連結でき、アプリサブネット（複数可）９２６は、コントロールプレーンデータティア９２８に含まれるＤＢサブネット（複数可）９３０と、サービスゲートウェイ９３６（たとえば、図８のサービスゲートウェイ）と、ＮＡＴ（ネットワークアドレス変換）ゲートウェイ９３８（たとえば、図８のＮＡＴゲートウェイ８３８）とに通信可能に連結できる。コントロールプレーンＶＣＮ９１６は、サービスゲートウェイ９３６と、ＮＡＴゲートウェイ９３８とを備えることができる。
コントロールプレーンＶＣＮ９１６は、データプレーンミラーアプリティア９４０（たとえば、図８のデータプレーンミラーアプリティア８４０）を備えることができる。データプレーンミラーアプリティア９４０は、アプリサブネット（複数可）９２６を備えることができる。データプレーンミラーアプリティア９４０に含まれるアプリサブネット（複数可）９２６は、コンピューティングインスタンス９４４を実行できる（たとえば、図８のコンピューティングインスタンス８４４と同様の）ＶＮＩＣ（仮想ネットワークインターフェースコントローラ）９４２（たとえば、８４２のＶＮＩＣ）を備えることができる。コンピューティングインスタンス９４４は、データプレーンミラーアプリティア９４０のアプリサブネット（複数可）９２６と、データプレーンアプリティア９４６（たとえば、図８のデータプレーンアプリティア８４６）に含めることができるアプリサブネット（複数可）９２６との、データプレーンミラーアプリティア９４０に含まれるＶＮＩＣ９４２およびデータプレーンアプリティア９４６に含まれるＶＮＩＣ９４２を介した通信を容易にできる。
コントロールプレーンＶＣＮ９１６に含まれるインターネットゲートウェイ９３４は、メタデータ管理サービス９５２（たとえば、図８のメタデータ管理サービス８５２）に通信可能に連結できる。メタデータ管理サービス９５２は、パブリックインターネット９５４（たとえば、図８のパブリックインターネット８５４）に通信可能に連結できる。パブリックインターネット９５４は、コントロールプレーンＶＣＮ９１６に含まれるＮＡＴゲートウェイ９３８に通信可能に連結できる。コントロールプレーンＶＣＮ９１６に含まれるサービスゲートウェイ９３６は、クラウドサービス９５６（たとえば、図８のクラウドサービス８５６）に通信可能に連結できる。
いくつかの例では、データプレーンＶＣＮ９１８は、顧客テナンシ９２１に含めることができる。この場合、ＩａａＳプロバイダは、顧客ごとにコントロールプレーンＶＣＮ９１６を提供してもよく、ＩａａＳプロバイダは、顧客ごとに、サービステナンシ９１９に含まれる一意のコンピューティングインスタンス９４４を設置してもよい。各コンピューティングインスタンス９４４は、サービステナンシ９１９に含まれるコントロールプレーンＶＣＮ９１６と、顧客テナンシ９２１に含まれるデータプレーンＶＣＮ９１８との通信を可能にし得る。コンピューティングインスタンス９４４によって、サービステナンシ９１９に含まれるコントロールプレーンＶＣＮ９１６においてプロビジョニングされるリソースを、顧客テナンシ９２１に含まれるデータプレーンＶＣＮ９１８においてデプロイまたは使用できるようになる。
その他の例では、ＩａａＳプロバイダの顧客は、顧客テナンシ９２１に収められているデータベースを有してもよい。この例では、コントロールプレーンＶＣＮ９１６は、アプリサブネット（複数可）９２６を備えることができるデータプレーンミラーアプリティア９４０を備えることができる。データプレーンミラーアプリティア９４０は、データプレーンＶＣＮ９１８に存在できるが、データプレーンミラーアプリティア９４０は、データプレーンＶＣＮ９１８に収められていなくてもよい。すなわち、データプレーンミラーアプリティア９４０は、顧客テナンシ９２１へのアクセスを有してもよいが、データプレーンミラーアプリティア９４０は、データプレーンＶＣＮ９１８に存在していなくてもよく、または、ＩａａＳプロバイダの顧客によって所有または操作されなくてもよい。データプレーンミラーアプリティア９４０は、データプレーンＶＣＮ９１８を呼び出すように構成されていればよく、コントロールプレーンＶＣＮ９１６に含まれるエンティティを呼び出すように構成されなくてもよい。顧客は、コントロールプレーンＶＣＮ９１６にプロビジョニングされたデータプレーンＶＣＮ９１８にあるリソースをデプロイまたは使用することを望み得、データプレーンミラーアプリティア９４０は、顧客がリソースを所望にデプロイまたは利用することを容易にできる。
いくつかの実施の形態では、ＩａａＳプロバイダの顧客は、データプレーンＶＣＮ９１８にフィルタを適用できる。本実施の形態では、顧客は、どのデータプレーンＶＣＮ９１８にアクセスできるかを決定でき、顧客は、データプレーンＶＣＮ９１８からパブリックインターネット９５４へのアクセスを制限し得る。ＩａａＳプロバイダは、任意の外部ネットワークまたはデータベースへのデータプレーンＶＣＮ９１８のアクセスにフィルタを適用できなくてもよく、または制御できなくてもよい。顧客テナンシ９２１に含まれるデータプレーンＶＣＮ９１８に顧客がフィルタを適用することおよび制御することで、データプレーンＶＣＮ９１８をその他の顧客およびパブリックインターネット９５４から隔離するのに役立てることができる。
いくつかの実施の形態では、パブリックインターネット９５４、コントロールプレーンＶＣＮ９１６、またはデータプレーンＶＣＮ９１８上に存在しない可能性のあるサービスにアクセスするために、サービスゲートウェイ９３６によってクラウドサービス９５６を呼び出すことができる。クラウドサービス９５６とコントロールプレーンＶＣＮ９１６またはデータプレーンＶＣＮ９１８との接続は、繋がっていなかったり、継続していなかったりしてもよい。クラウドサービス９５６は、ＩａａＳプロバイダが所有または操作する異なるネットワーク上に存在していてもよい。クラウドサービス９５６は、サービスゲートウェイ９３６からの呼び出しを受信するように構成されてもよく、パブリックインターネット９５４からの呼び出しを受信しないように構成されてもよい。クラウドサービス９５６は、その他のクラウドサービス９５６から隔離されていてもよく、コントロールプレーンＶＣＮ９１６は、コントロールプレーンＶＣＮ９１６と同じリージョンにないクラウドサービス９５６から隔離されていてもよい。たとえば、コントロールプレーンＶＣＮ９１６が「リージョン１」に位置し、クラウドサービス「デプロイメント８」が、リージョン１および「リージョン２」に位置してもよい。リージョン１に位置するコントロールプレーンＶＣＮ９１６に含まれるサービスゲートウェイ９３６によってデプロイメント８の呼び出しが行われた場合、この呼び出しは、リージョン１にあるデプロイメント８に送信され得る。この例では、コントロールプレーンＶＣＮ９１６、またはリージョン１にあるデプロイメント８は、リージョン２にあるデプロイメント８に通信可能に連結または通信していなくてもよい。
図１０は、少なくとも１つの実施の形態に係る、ＩａａＳアーキテクチャの別の例示的なパターンを示すブロック図１０００である。サービスオペレータ１００２（たとえば、図８のサービスオペレータ８０２）は、セキュリティ保護されたホストテナンシ１００４（たとえば、図８のセキュリティ保護されたホストテナンシ８０４）に通信可能に連結できる。セキュリティ保護されたホストテナンシ１００４は、ＶＣＮ（仮想クラウドネットワーク）１００６（たとえば、図８のＶＣＮ８０６）と、セキュリティ保護されたホストサブネット１００８（たとえば、図８のセキュリティ保護されたホストサブネット８０８）とを備えることができる。ＶＣＮ１００６は、ＳＳＨ ＶＣＮ１０１２に含まれるＬＰＧ１０１０を介してＳＳＨ ＶＣＮ１０１２（たとえば、図８のＳＳＨ ＶＣＮ８１２）に通信可能に連結できるＬＰＧ１０１０（たとえば、図８のＬＰＧ８１０）を備えることができる。ＳＳＨ ＶＣＮ１０１２は、ＳＳＨサブネット１０１４（たとえば、図８のＳＳＨサブネット８１４）を備えることができ、ＳＳＨ ＶＣＮ１０１２は、コントロールプレーンＶＣＮ１０１６に含まれるＬＰＧ１０１０を介してコントロールプレーンＶＣＮ１０１６（たとえば、図８のコントロールプレーンＶＣＮ８１６）に通信可能に連結でき、データプレーンＶＣＮ１０１８に含まれるＬＰＧ１０１０を介してデータプレーンＶＣＮ１０１８（たとえば、図８のデータプレーン８１８）に通信可能に連結できる。コントロールプレーンＶＣＮ１０１６およびデータプレーンＶＣＮ１０１８は、サービステナンシ１０１９（たとえば、図８のサービステナンシ８１９）に含めることができる。
コントロールプレーンＶＣＮ１０１６は、ＬＢ（ロードバランサ）サブネット（複数可）１０２２（たとえば、図８のＬＢサブネット（複数可）８２２）を含めることができるコントロールプレーンＤＭＺティア１０２０（たとえば、図８のコントロールプレーンＤＭＺティア８２０）と、（たとえば、図８のアプリサブネット（複数可）８２６と同様の）アプリサブネット（複数可）１０２６を含めることができるコントロールプレーンアプリティア１０２４（たとえば、図８のコントロールプレーンアプリティア８２４）と、ＤＢサブネット（複数可）１０３０を含めることができるコントロールプレーンデータティア１０２８（たとえば、図８のコントロールプレーンデータティア８２８）とを備えることができる。コントロールプレーンＤＭＺティア１０２０に含まれるＬＢサブネット（複数可）１０２２は、コントロールプレーンアプリティア１０２４に含まれるアプリサブネット（複数可）１０２６と通信可能に連結でき、コントロールプレーンＶＣＮ１０１６に含めることができるインターネットゲートウェイ１０３４（たとえば、図８のインターネットゲートウェイ８３４）と通信可能に連結でき、アプリサブネット（複数可）１０２６は、コントロールプレーンデータティア１０２８に含まれるＤＢサブネット（複数可）１０３０と通信可能に連結でき、サービスゲートウェイ１０３６（たとえば、図８のサービスゲートウェイ）およびＮＡＴ（ネットワークアドレス変換）ゲートウェイ１０３８（たとえば、図８のＮＡＴゲートウェイ８３８）と通信可能に連結できる。コントロールプレーンＶＣＮ１０１６は、サービスゲートウェイ１０３６およびＮＡＴゲートウェイ１０３８を備えることができる。
データプレーンＶＣＮ１０１８は、データプレーンアプリティア１０４６（たとえば、図８のデータプレーンアプリティア８４６）と、データプレーンＤＭＺティア１０４８（たとえば、図８のデータプレーンＤＭＺティア８４８）と、データプレーンデータティア１０５０（たとえば、図８のデータプレーンデータティア８５０）とを備えることができる。データプレーンＤＭＺティア１０４８は、ＬＢサブネット（複数可）１０２２を備えることができる。ＬＢサブネット１０２２は、データプレーンアプリティア１０４６の信頼できるアプリサブネット（複数可）１０６０および信頼できないアプリサブネット（複数可）１０６２に通信可能に連結でき、データプレーンＶＣＮ１０１８に含まれるインターネットゲートウェイ１０３４に通信可能に連結できる。信頼できるアプリサブネット（複数可）１０６０は、データプレーンＶＣＮ１０１８に含まれるサービスゲートウェイ１０３６と、データプレーンＶＣＮ１０１８に含まれるＮＡＴゲートウェイ１０３８と、データプレーンデータティア１０５０に含まれるＤＢサブネット（複数可）１０３０とに通信可能に連結できる。信頼できないアプリサブネット（複数可）１０６２は、データプレーンＶＣＮ１０１８に含まれるサービスゲートウェイ１０３６と、データプレーンデータティア１０５０に含まれるＤＢサブネット（複数可）１０３０に通信可能に連結できる。データプレーンデータティア１０５０は、ＤＢサブネット（複数可）１０３０を含み得る。ＤＢサブネット１０３０は、データプレーンＶＣＮ１０１８に含まれるサービスゲートウェイ１０３６に通信可能に連結できる。
信頼できないアプリサブネット（複数可）１０６２は、１つ以上の主要ＶＮＩＣ１０６４（１）～（Ｎ）を備えることができる。ＶＮＩＣ１０６４（１）～（Ｎ）は、テナントＶＭ（仮想マシン）１０６６（１）～（Ｎ）に通信可能に連結できる。各テナントＶＭ１０６６（１）～（Ｎ）は、各アプリサブネット１０６７（１）～（Ｎ）に通信可能に連結できる。アプリサブネット１０６７（１）～（Ｎ）は、それぞれのコンテナエグレスＶＣＮ１０６８（１）～（Ｎ）に含めることができる。コンテナエグレスＶＣＮ１０６８（１）～（Ｎ）は、それぞれの顧客テナンシ１０７０（１）～（Ｎ）に含めることができる。それぞれの補助ＶＮＩＣ１０７２（１）～（Ｎ）は、データプレーンＶＣＮ１０１８に含まれる信頼できないアプリサブネット（複数可）１０６２とコンテナエグレスＶＣＮ１０６８（１）～（Ｎ）に含まれるアプリサブネットとの通信を容易にできる。各コンテナエグレスＶＣＮ１０６８（１）～（Ｎ）は、パブリックインターネット１０５４（たとえば、図８のパブリックインターネット８５４）に通信可能に連結できるＮＡＴゲートウェイ１０３８を備えることができる。
コントロールプレーンＶＣＮ１０１６に含まれるインターネットゲートウェイ１０３４およびデータプレーンＶＣＮ１０１８に含まれるインターネットゲートウェイ１０３４は、メタデータ管理サービス１０５２（たとえば、図８のメタデータ管理システム８５２）に通信可能に連結できる。メタデータ管理サービス１０５２は、パブリックインターネット１０５４に通信可能に連結できる。パブリックインターネット１０５４は、コントロールプレーンＶＣＮ１０１６に含まれるＮＡＴゲートウェイ１０３８およびデータプレーンＶＣＮ１０１８に含まれるＮＡＴゲートウェイ１０３８に通信可能に連結できる。コントロールプレーンＶＣＮ１０１６に含まれるサービスゲートウェイ１０３６およびデータプレーンＶＣＮ１０１８に含まれるサービスゲートウェイ１０３６は、クラウドサービス１０５６に通信可能に連結できる。
いくつかの実施の形態では、データプレーンＶＣＮ１０１８を顧客テナンシ１０７０と一体化することができる。この一体化は、コードを実行する場合にサポートを希望する場合など、場合によっては、ＩａａＳプロバイダの顧客にとって有用または望ましいであろう。顧客は、破壊的であるかもしれない実行用コードを提供する可能性があり、その他の顧客リソースと通信する可能性があり、または、望ましくない作用効果を生じさせル可能性がある。これに応じて、ＩａａＳプロバイダは、顧客がＩａａＳプロバイダに提供したコードを実行するかどうかを判断してもよい。
いくつかの例では、ＩａａＳプロバイダの顧客は、ＩａａＳプロバイダに一時的なネットワークアクセスを付与して、データプレーンティアアプリ１０４６にアタッチする機能を要求してもよい。この機能を実行するためのコードは、ＶＭ１０６６（１）～（Ｎ）において実行され得、コードは、データプレーンＶＣＮ１０１８上のその他の場所で動作するように構成されなくてもよい。各ＶＭ１０６６（１）～（Ｎ）は、１つの顧客テナンシ１０７０に接続され得る。ＶＭ１０６６（１）～（Ｎ）に含まれるそれぞれのコンテナ１０７１（１）～（Ｎ）は、このコードを実行するように構成され得る。この場合、２つの隔離がある可能性がある（たとえば、信頼できないアプリサブネット（複数可）１０６２に含まれる少なくともＶＭ１０６６（１）～（Ｎ）に含まれ得るコンテナ１０７１（１）～（Ｎ）がコードを実行している。）。隔離が２つあることで、誤ったコードもしくは望ましくないコードがＩａａＳプロバイダのネットワークに損害を与えないように、または、異なる顧客のネットワークに損害を与えないようにすることに役立つであろう。コンテナ１０７１（１）～（Ｎ）は、顧客テナンシ１０７０に通信可能に連結され得、顧客テナンシ１０７０からデータを送信または受信するように構成され得る。コンテナ１０７１（１）～（Ｎ）は、データプレーンＶＣＮ１０１８にあるその他のエンティティからデータを送信または受信するように構成されなくてもよい。コードの実行が完了すると、ＩａａＳプロバイダは、コンテナ１０７１（１）～（Ｎ）を強制終了または廃棄し得る。
いくつかの実施の形態では、信頼できるアプリサブネット（複数可）１０６０は、ＩａａＳプロバイダが所有または操作し得るコードを実行し得る。本実施の形態では、信頼できるアプリサブネット（複数可）１０６０は、ＤＢサブネット（複数可）１０３０に通信可能に連結され得、ＤＢサブネット（複数可）１０３０においてＣＲＵＤ操作を行うように構成され得る。信頼できないアプリサブネット（複数可）１０６２は、ＤＢサブネット（複数可）１０３０に通信可能に連結され得るが、本実施の形態では、信頼できないアプリサブネット（複数可）は、ＤＢサブネット（複数可）１０３０において読み取り操作を行うように構成され得る。各顧客のＶＭ１０６６（１）～（Ｎ）に含めることができ、顧客からのコードを実行し得るコンテナ１０７１（１）～（Ｎ）は、ＤＢサブネット（複数可）１０３０に通信可能に連結されなくてもよい。
その他の実施の形態では、コントロールプレーンＶＣＮ１０１６とデータプレーンＶＣＮ１０１８とは、直接通信可能に連結されなくてもよい。本実施の形態では、コントロールプレーンＶＣＮ１０１６とデータプレーンＶＣＮ１０１８との間に直接の通信がなくてもよい。しかしながら、通信は、少なくとも１つの方法を通して間接的に発生し得る。ＬＰＧ１０１０は、コントロールプレーンＶＣＮ１０１６とデータプレーンＶＣＮ１０１８との通信を容易にできるＩａａＳプロバイダによって確立され得る。別の例では、コントロールプレーンＶＣＮ１０１６またはデータプレーンＶＣＮ１０１８は、サービスゲートウェイ１０３６を経由してクラウドサービス１０５６を呼び出すことができる。たとえば、コントロールプレーンＶＣＮ１０１６からクラウドサービス１０５６に対する呼び出しは、データプレーンＶＣＮ１０１８と通信できるサービスを求める要求を含めることができる。
図１１は、少なくとも１つの実施の形態に係る、ＩａａＳアーキテクチャの別の例示的なパターンを示すブロック図１１００である。サービスオペレータ１１０２（たとえば、図８のサービスオペレータ８０２）は、セキュリティ保護されたホストテナンシ１１０４（たとえば、図８のセキュリティ保護されたホストテナンシ８０４）に通信可能に連結できる。セキュリティ保護されたホストテナンシ１１０４は、ＶＣＮ（仮想クラウドネットワーク）１１０６（たとえば、図８のＶＣＮ８０６）と、セキュリティ保護されたホストサブネット１１０８（たとえば、図８のセキュリティ保護されたホストサブネット８０８）とを備えることができる。ＶＣＮ１１０６は、ＳＳＨ ＶＣＮ１１１２に含まれるＬＰＧ１１１０を介してＳＳＨ ＶＣＮ１１１２（たとえば、図８のＳＳＨ ＶＣＮ８１２）に通信可能に連結できるＬＰＧ１１１０（たとえば、図８のＬＰＧ８１０）を備えることができる。ＳＳＨ ＶＣＮ１１１２は、ＳＳＨサブネット１１１４（たとえば、図８のＳＳＨサブネット８１４）を備えることができ、ＳＳＨ ＶＣＮ１１１２は、コントロールプレーンＶＣＮ１１１６に含まれるＬＰＧ１１１０を介してコントロールプレーンＶＣＮ１１１６（たとえば、図８のコントロールプレーンＶＣＮ８１６）に通信可能に連結でき、データプレーンＶＣＮ１１１８に含まれるＬＰＧ１１１０を介してデータプレーンＶＣＮ１１１８（たとえば、図８のデータプレーン８１８）に通信可能に連結できる。コントロールプレーンＶＣＮ１１１６およびデータプレーンＶＣＮ１１１８は、サービステナンシ１１１９（たとえば、図８のサービステナンシ８１９）に含めることができる。
コントロールプレーンＶＣＮ１１１６は、ＬＢサブネット（複数可）１１２２（たとえば、図８のＬＢサブネット（複数可）８２２）を含めることができるコントロールプレーンＤＭＺティア１１２０（たとえば、図８のコントロールプレーンＤＭＺティア８２０）と、アプリサブネット（複数可）１１２６（たとえば、図８のアプリサブネット（複数可）８２６）を含めることができるコントロールプレーンアプリティア１１２４（たとえば、図８のコントロールプレーンアプリティア８２４）と、ＤＢサブネット（複数可）１１３０（たとえば、図１０のＤＢサブネット（複数可）１０３０）を含めることができるコントロールプレーンデータティア１１２８（たとえば、図８のコントロールプレーンデータティア８２８）とを備えることができる。コントロールプレーンＤＭＺティア１１２０に含まれるＬＢサブネット（複数可）１１２２は、コントロールプレーンアプリティア１１２４に含まれるアプリサブネット（複数可）１１２６と通信可能に連結でき、コントロールプレーンＶＣＮ１１１６に含めることができるインターネットゲートウェイ１１３４（たとえば、図８のインターネットゲートウェイ８３４）と通信可能に連結でき、アプリサブネット（複数可）１１２６は、コントロールプレーンデータティア１１２８に含まれるＤＢサブネット（複数可）１１３０と通信可能に連結でき、サービスゲートウェイ１１３６（たとえば、図８のサービスゲートウェイ）およびＮＡＴ（ネットワークアドレス変換）ゲートウェイ１１３８（たとえば、図８のＮＡＴゲートウェイ８３８）と通信可能に連結できる。コントロールプレーンＶＣＮ１１１６は、サービスゲートウェイ１１３６およびＮＡＴゲートウェイ１１３８を備えることができる。
データプレーンＶＣＮ１１１８は、データプレーンアプリティア１１４６（たとえば、図８のデータプレーンアプリティア８４６）と、データプレーンＤＭＺティア１１４８（たとえば、図８のデータプレーンＤＭＺティア８４８）と、データプレーンデータティア１１５０（たとえば、図８のデータプレーンデータティア８５０）とを備えることができる。データプレーンＤＭＺティア１１４８は、ＬＢサブネット（複数可）１１２２を備えることができる。ＬＢサブネット１１２２は、データプレーンアプリティア１１４６の信頼できるアプリサブネット（複数可）１１６０（たとえば、図１０の信頼できるアプリサブネット（複数可）１０６０）および信頼できないアプリサブネット（複数可）１１６２（たとえば、図１０の信頼できないアプリサブネット（複数可）１０６２）に通信可能に連結でき、データプレーンＶＣＮ１１１８に含まれるインターネットゲートウェイ１１３４に通信可能に連結できる。信頼できるアプリサブネット（複数可）１１６０は、データプレーンＶＣＮ１１１８に含まれるサービスゲートウェイ１１３６と、データプレーンＶＣＮ１１１８に含まれるＮＡＴゲートウェイ１１３８と、データプレーンデータティア１１５０に含まれるＤＢサブネット（複数可）１１３０とに通信可能に連結できる。信頼できないアプリサブネット（複数可）１１６２は、データプレーンＶＣＮ１１１８に含まれるサービスゲートウェイ１１３６と、データプレーンデータティア１１５０に含まれるＤＢサブネット（複数可）１１３０とに通信可能に連結できる。データプレーンデータティア１１５０は、ＤＢサブネット（複数可）１１３０を含み得る。ＤＢサブネット１１３０は、データプレーンＶＣＮ１１１８に含まれるサービスゲートウェイ１１３６に通信可能に連結できる。
信頼できないアプリサブネット（複数可）１１６２は、主要ＶＮＩＣ１１６４（１）～（Ｎ）を備えることができる。ＶＮＩＣ１１６４（１）～（Ｎ）は、信頼できないアプリサブネット（複数可）１１６２に存在するテナントＶＭ（仮想マシン）１１６６（１）～（Ｎ）に通信可能に連結できる。各テナントＶＭ１１６６（１）～（Ｎ）は、それぞれのコンテナ１１６７（１）～（Ｎ）においてコードを実行でき、アプリサブネット１１２６に通信可能に連結できる。アプリサブネット１１２６は、データプレーンアプリティア１１４６に含めることができる。データプレーンアプリティア１１４６は、コンテナエグレスＶＣＮ１１６８に含めることができる。それぞれの補助ＶＮＩＣ１１７２（１）～（Ｎ）は、データプレーンＶＣＮ１１１８に含まれる信頼できないアプリサブネット（複数可）１１６２とコンテナエグレスＶＣＮ１１６８に含まれるアプリサブネットとの通信を容易にできる。コンテナエグレスＶＣＮ１１６８は、パブリックインターネット１１５４（たとえば、図８のパブリックインターネット８５４）に通信可能に連結できるＮＡＴゲートウェイ１１３８を備えることができる。
コントロールプレーンＶＣＮ１１１６に含まれるインターネットゲートウェイ１１３４およびデータプレーンＶＣＮ１１１８に含まれるインターネットゲートウェイ１１３４は、メタデータ管理サービス１１５２（たとえば、図８のメタデータ管理システム８５２）に通信可能に連結できる。メタデータ管理サービス１１５２は、パブリックインターネット１１５４に通信可能に連結できる。パブリックインターネット１１５４は、コントロールプレーンＶＣＮ１１１６に含まれるＮＡＴゲートウェイ１１３８およびデータプレーンＶＣＮ１１１８に含まれるＮＡＴゲートウェイ１１３８に通信可能に連結できる。コントロールプレーンＶＣＮ１１１６に含まれるサービスゲートウェイ１１３６およびデータプレーンＶＣＮ１１１８に含まれるサービスゲートウェイ１１３６は、クラウドサービス１１５６に通信可能に連結できる。
いくつかの例では、図１１のブロック図１１００のアーキテクチャが示すパターンは、図１０のブロック図１０００のアーキテクチャが示すパターンに対する例外であると考えら得、ＩａａＳプロバイダが顧客と直接通信できない（たとえば、リージョンが切り離されている）場合、ＩａａＳプロバイダの顧客にとってブロック図１１００のアーキテクチャが示すパターンは望ましいであろう。顧客ごとにＶＭ１１６６（１）～（Ｎ）に含まれるそれぞれのコンテナ１１６７（１）～（Ｎ）には、顧客はリアルタイムにアクセスできる。コンテナ１１６７（１）～（Ｎ）は、コンテナエグレスＶＣＮ１１６８に含めることができるデータプレーンアプリティア１１４６のアプリサブネット（複数可）１１２６に含まれるそれぞれの補助ＶＮＩＣ１１７２（１）～（Ｎ）を呼び出すように構成され得る。補助ＶＮＩＣ１１７２（１）～（Ｎ）は、ＮＡＴゲートウェイ１１３８に呼び出しを送信できる。ＮＡＴゲートウェイ１１３８は、当該呼び出しをパブリックインターネット１１５４に送信し得る。この例では、顧客がリアルタイムでアクセスできるコンテナ１１６７（１）～（Ｎ）をコントロールプレーンＶＣＮ１１１６から隔離でき、データプレーンＶＣＮ１１１８に含まれるその他のエンティティから隔離できる。また、コンテナ１１６７（１）～（Ｎ）は、その他の顧客のリソースから隔離され得る。
その他の例では、顧客は、コンテナ１１６７（１）～（Ｎ）を使用してクラウドサービス１１５６を呼び出すことができる。この例では、顧客は、クラウドサービス１１５６にサービスを要求するコードをコンテナ１１６７（１）～（Ｎ）において実行し得る。コンテナ１１６７（１）～（Ｎ）は、この要求を補助ＶＮＩＣ１１７２（１）～（Ｎ）に送信できる。補助ＶＮＩＣ１１７２（１）～（Ｎ）は、ＮＡＴゲートウェイに要求を送信できる。ＮＡＴゲートウェイは、パブリックインターネット１１５４に要求を送信できる。パブリックインターネット１１５４は、コントロールプレーンＶＣＮ１１１６に含まれるＬＢサブネット（複数可）１１２２にインターネットゲートウェイ１１３４を介して要求を送信できる。要求が有効であると判断されたことに応答して、ＬＢサブネット（複数可）は、アプリサブネット（複数可）１１２６に要求を送信できる。アプリサブネット（複数可）１１２６は、サービスゲートウェイ１１３６を介してクラウドサービス１１５６に要求を送信できる。
図示したＩａａＳアーキテクチャ８００、９００、１０００、１１００が、図示された構成要素以外の構成要素を有し得ることを理解されたい。さらに、図示した実施の形態は、本開示の実施の形態を組み込み得るクラウドインフラストラクチャシステムのいくつかの例に過ぎない。いくつかのその他の実施の形態では、ＩａａＳシステムは、図示した構成要素よりも多い数の構成要素を有してもよく、図示した構成要素よりも少ない数の構成要素を有してもよく、２つ以上の構成要素を組み合わせてもよく、または構成要素の構成もしくは配置が異なっていてもよい。
特定の実施の形態では、セルフサービスの、サブスクリプション方式で伸縮自在にスケーラブルであり信頼性があり、かつ高い可用性を有するセキュアな方法で顧客に届けられるアプリケーション一式、ミドルウェア、およびデータベースサービス提供物を含んでもよい。このようなＩａａＳシステムの例として、本願の譲受人が提供するＯＣＩ（Ｏｒａｃｌｅ Ｃｌｏｕｄ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）がある。
図１２は、本開示の様々な実施の形態が実施され得るコンピュータシステム１２００の例を示す図である。システム１２００を使用して、上述したコンピュータシステムのいずれかを実現してもよい。図に示すように、コンピュータシステム１２００は、バス・サブシステム１２０２を介していくつかの周辺サブシステムと通信する処理装置１２０４を備える。これらの周辺サブシステムは、処理高速化装置１２０６と、Ｉ／Ｏサブシステム１２０８と、ストレージサブシステム１２１８と、通信サブシステム１２２４とを含んでもよい。ストレージサブシステム１２１８は、有形のコンピュータ読み取り可能な記憶媒体１２２２と、システムメモリ１２１０とを含む。
バス・サブシステム１２０２は、コンピュータシステム１２００の様々な構成要素およびサブシステムを互いに意図した通りに通信させるためのメカニズムを提供する。バス・サブシステム１２０２は、１つのバスとして図示されているが、バス・サブシステムの別の実施の形態は、複数のバスを利用してもよい。バス・サブシステム１２０２は、各種のバスアーキテクチャを使用するメモリバスまたはメモリコントローラ、周辺バス、およびローカルバスを含むいくつかの種類のバス構造のうちのいずれかであってもよい。たとえば、このようなアーキテクチャは、ＩＳＡ（Ｉｎｄｕｓｔｒｙ Ｓｔａｎｄａｒｄ Ａｒｃｈｉｔｅｃｔｕｒｅ）バス、ＭＣＡ（Ｍｉｃｒｏ Ｃｈａｎｎｅｌ Ａｒｃｈｉｔｅｃｔｕｒｅ）バス、ＥＩＳＡ（Ｅｎｈａｎｃｅｄ ＩＳＡ）バス、ＶＥＳＡ（Ｖｉｄｅｏ Ｅｌｅｃｔｒｏｎｉｃｓ Ｓｔａｎｄａｒｄｓ Ａｓｓｏｃｉａｔｉｏｎ）ローカルバス、およびＰＣＩ（Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ）バスを含んでもよく、これらは、ＩＥＥＥ Ｐ１３８６．１標準規格に準拠して製造されるＭｅｚｚａｎｉｎｅバスとして実現され得る。
１つ以上の集積回路（たとえば、従来のマイクロプロセッサまたはマイクロコントローラ）として実現され得る処理装置１２０４は、コンピュータシステム１２００の動作を制御する。処理装置１２０４には、１つ以上のプロセッサが含まれてもよい。これらのプロセッサは、シングルコアプロセッサまたはマルチコアプロセッサを含んでもよい。特定の実施の形態では、処理装置１２０４は、シングルコアプロセッサまたはマルチコアプロセッサを各々が含んだ１つ以上の独立した処理装置１２３２および／または１２３４として実現されてもよい。また、その他の実施の形態では、処理装置１２０４は、２つのデュアルコアプロセッサを１つのチップに組み込むことによって形成されるクアッドコア処理装置として実現されてもよい。
様々な実施の形態では、処理装置１２０４は、プログラムコードに応答していろいろなプログラムを実行でき、複数の同時に実行しているプログラムまたはプロセスを維持することができる。いつでも、実行されるプログラムコードの一部またはすべては、プロセッサ（複数可）１２０４に、および／またはストレージサブシステム１２１８に存在し得る。適したプログラミングによって、プロセッサ（複数可）１２０４は、上述した様々な機能を提供できる。コンピュータシステム１２００は、処理高速化装置１２０６をさらに備えてもよい。処理高速化装置１２０６は、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）および／または専用プロセッサなどを含み得る。
Ｉ／Ｏサブシステム１２０８は、ユーザインタフェース入力装置と、ユーザインタフェース出力装置とを含んでもよい。ユーザインタフェース入力装置は、キーボード、マウスもしくはトラックボールなどのポインティングデバイス、タッチパッドもしくはディスプレイに組み込まれたタッチスクリーン、スクロールホイール、クリックホイール、ダイヤル、ボタン、スイッチ、キーパッド、ボイスコマンド認識システムを有する音声入力装置、マイクロホン、および他の種類の入力装置を含んでもよい。また、ユーザインタフェース入力装置は、たとえば、ジェスチャコマンドおよび音声コマンドを用いた自然なユーザインタフェースによってユーザがＭｉｃｒｏｓｏｆｔ Ｘｂｏｘ（登録商標）３６０ゲームコントローラなどの入力装置を制御およびそれとやり取りすることを可能にするＭｉｃｒｏｓｏｆｔ Ｋｉｎｅｃｔ（登録商標）モーションセンサなどの動き検知デバイスおよび／またはジェスチャ認識デバイスを含んでもよい。また、ユーザインタフェース入力装置は、ユーザの目の行動（たとえば、写真を撮影しているおよび／またはメニュー選択を行っている間の「まばたき」）を検出し、目の仕草（ｅｙｅ ｇｅｓｔｕｒｅ）を変換して入力装置（たとえば、Ｇｏｏｇｌｅ Ｇｌａｓｓ（登録商標））への入力とするＧｏｏｇｌｅ Ｇｌａｓｓ（登録商標）まばたき検出装置などのアイジェスチャ認識デバイスを含んでもよい。これに加えて、ユーザインタフェース入力装置は、ユーザがボイスコマンドによって音声認識システム（たとえば、Ｓｉｒｉ（登録商標）ナビゲータ）とやり取りすることを可能にする音声認識検知デバイスを含んでもよい。
また、ユーザインタフェース入力装置は、３Ｄ（３次元）マウス、ジョイスティックもしくはポインティングスティック、ゲームパッドおよびグラフィックタブレット、ならびに、スピーカ、デジタルカメラ、デジタルカムコーダー、ポータブルメディアプレーヤ、ウェブカム、イメージスキャナ、指紋スキャナ、バーコードリーダー３Ｄスキャナ、３Ｄプリンタ、レーザー測距器、および視線追跡装置などのオーディオ／ビジュアル装置を含むが、これに限定されない。これに加えて、ユーザインタフェース入力装置は、たとえば、コンピュータ断層撮影法、磁気共鳴画像、陽電子放出断層撮影装置、超音波検査デバイスなど、医用画像入力装置を含んでもよい。また、ユーザインタフェース入力装置は、たとえば、ＭＩＤＩキーボード、デジタル楽器などのオーディオ入力装置を含んでもよい。
ユーザインタフェース出力装置は、表示サブシステム、インジケーターライト、または音声出力装置などの非視覚的表示装置などを含んでもよい。表示サブシステムは、ＣＲＴ（ブラウン管）、ＬＣＤ（液晶ディスプレイ）またはプラズマディスプレイを使用するものなどのフラットパネル表示装置、投影装置、タッチスクリーンなどであってもよい。一般に、「出力装置」という用語の使用は、コンピュータシステム１２００からユーザまたは他のコンピュータに情報を出力するためのあらゆる種類のデバイスおよびメカニズムを含むことを意図する。たとえば、ユーザインタフェース出力装置は、モニタ、プリンタ、スピーカ、ヘッドホン、自動車ナビゲーションシステム、作図装置、音声出力装置、およびモデムなど、文字、図形、および音声／映像情報を視覚的に伝えるいろいろな表示装置を含み得るが、これに限定されない。
コンピュータシステム１２００は、システムメモリ１２１０内に現在位置していると図示されているソフトウェア要素を含むストレージサブシステム１２１８から構成されてもよい。システムメモリ１２１０は、処理装置１２０４上でロード可能かつ実行可能なプログラム命令、およびこれらのプログラムの実行中に生成されるデータを格納してもよい。
コンピュータシステム１２００の構成および種類によっては、システムメモリ１２１０は、揮発性メモリであってもよく（ＲＡＭ（ランダムアクセスメモリ）など）、および／または不揮発性メモリ（ＲＯＭ（読み出し専用メモリ）、フラッシュメモリなど）であってもよい。ＲＡＭは、通常、処理装置１２０４がすぐにアクセスできる、ならびに／または現在操作および実行しているデータおよび／もしくはプログラムモジュールを含む。いくつかの実装形態において、システムメモリ１２１０は、ＳＲＡＭ（スタティックＲＡＭ）またはＤＲＡＭ（ダイナミックＲＡＭ）など、複数の異なる種類のメモリを含んでもよい。いくつかの実装形態において、起動中などで、コンピュータシステム１２００内の要素間で情報を転送することを助ける基本ルーチンを含むＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ／Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）は、通常、ＲＯＭに格納されてもよい。また、一例として、システムメモリ１２１０は、クライアントアプリケーション、ウェブブラウザ、ミッドティア・アプリケーション、ＲＤＢＭＳ（リレーショナルデータベース管理システム）などを含み得るアプリケーションプログラム１２１２と、プログラムデータ１２１４と、オペレーティングシステム１２１６とを含む。一例として、オペレーティングシステム１２１６は、様々なバージョンのＭｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）、Ａｐｐｌｅ Ｍａｃｉｎｔｏｓｈ（登録商標）、および／もしくはＬｉｎｕｘオペレーティングシステム、いろいろな市販のＵＮＩＸ（登録商標）もしくはＵＮＩＸに似たオペレーティングシステム（いろいろなＧＮＵ／Ｌｉｎｕｘオペレーティングシステム、Ｇｏｏｇｌｅ Ｃｈｒｏｍｅ（登録商標）ＯＳなどを含むが、これに限定されない）、ならびに／またはｉＯＳ、Ｗｉｎｄｏｗｓ（登録商標）Ｐｈｏｎｅ、Ａｎｄｒｏｉｄ（登録商標）ＯＳ、ＢｌａｃｋＢｅｒｒｙ（登録商標）１２ＯＳ、およびＰａｌｍ（登録商標）ＯＳオペレーティングシステムなど、モバイルオペレーティングシステムを含んでもよい。
また、ストレージサブシステム１２１８は、いくつかの実施の形態の機能を提供する基本プログラミング構成およびデータ構成を格納するための有形のコンピュータ読み取り可能な記憶媒体を提供してもよい。プロセッサによって実行されると上述の機能を提供するソフトウェア（プログラム、コードモジュール、命令）がストレージサブシステム１２１８に格納されてもよい。これらのソフトウェアモジュールまたは命令は、処理装置１２０４によって実行されてもよい。また、ストレージサブシステム１２１８は、本開示に従って使用されるデータを格納するためのリポジトリを提供してもよい。
また、ストレージサブシステム１２００は、コンピュータ読み取り可能な記憶媒体１２２２にさらに接続され得るコンピュータ読み取り可能な記憶媒体リーダー１２２０を含んでもよい。システムメモリ１２１０と合わせて、必要に応じてシステムメモリ１２１０と組み合わせて、コンピュータ読み取り可能な記憶媒体１２２２は、遠隔の記憶装置、ローカル記憶装置、固定記憶装置、および／またはリムーバブル記憶装置、ならびにコンピュータ読み取り可能な情報を一時的におよび／またはさらに永続して含み、格納し、送信し、および取り出すための記憶媒体を包括的に表してもよい。
コードまたはコードの一部を含んだコンピュータ読み取り可能な記憶媒体１２２２は、情報の格納および／または伝送のための任意の方法および技術で実現される揮発性媒体および不揮発性媒体、取り外し可能な媒体および固定型媒体などの記憶媒体および通信媒体を含む、当技術分野で知られているまたは使われている任意の適切な媒体も含んでもよいが、これに限定されない。これは、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｏｎｉｃａｌｌｙ Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ ＲＯＭ）、フラッシュメモリ、もしくは他のメモリテクノロジー、ＣＤ－ＲＯＭ、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）、もしくは他の光記憶装置、磁気カセット、磁気テープ、磁気ディスク記憶装置、もしくは他の磁気記憶装置などの有形のコンピュータ読み取り可能な記憶媒体、またはその他の有形のコンピュータ読み取り可能な媒体を含み得る。これは、データ信号、データ伝送など無形のコンピュータ読み取り可能な媒体、または所望の情報を伝送するために使用され得るその他の媒体、およびコンピューティングシステム１２００によってアクセスされ得るその他の媒体なども含み得る。
一例として、コンピュータ読み取り可能な記憶媒体１２２２は、固定型不揮発性磁気媒体から読み出しまたは書き込みを行うハードディスクドライブ、取外し可能な不揮発性磁気ディスクから読み出しまたは書き込みを行う磁気ディスクドライブ、ならびに、ＣＤ ＲＯＭ、ＤＶＤ、およびＢｌｕ－Ｒａｙ（登録商標）ディスクなどの取外し可能な不揮発性光ディスクもしくは他の光学媒体から読み出しまたは書き込みを行う光ディスクドライブを含んでもよい。コンピュータ読み取り可能な記憶媒体１２２２は、Ｚｉｐ（登録商標）ドライブ、フラッシュメモリーカード、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）フラッシュドライブ、ＳＤ（Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌ）カード、ＤＶＤディスク、デジタルビデオテープなどを含み得るが、これに限定されない。また、コンピュータ読み取り可能な記憶媒体１２２２は、フラッシュメモリベースのＳＳＤ（Ｓｏｌｉｄ－Ｓｔａｔｅ Ｄｒｉｖｅｓ）、エンタープライズフラッシュドライブ、ソリッドステートＲＯＭなど、不揮発性メモリに基づくＳＳＤ（Ｓｏｌｉｄ－Ｓｔａｔｅ Ｄｒｉｖｅｓ）と、ソリッドステートＲＡＭ、動的ＲＡＭ、静的ＲＡＭ、ＤＲＡＭベースのＳＳＤなど、揮発性メモリに基づくＳＳＤと、ＭＲＡＭ（Ｍａｇｎｅｔｏｒｅｓｉｓｔｉｖｅ ＲＡＭ）ＳＳＤと、ＤＲＡＭとフラッシュメモリとの組合せベースのＳＳＤを使用するハイブリッドＳＳＤとを含んでもよい。これらのディスクドライブおよびそれらの関連するコンピュータ読み取り可能な媒体は、コンピュータ読み取り可能な命令、データ構造、プログラムモジュール、およびその他のコンピュータシステム１２００用データの不揮発性ストレージを提供してもよい。
通信サブシステム１２２４は、他のコンピュータシステムおよびネットワークへのインターフェースを提供する。通信サブシステム１２２４は、コンピュータシステム１２００からデータを受信し、コンピュータシステム１２００から他のシステムにデータを送信するためのインターフェースとして機能する。たとえば、通信サブシステム１２２４は、コンピュータシステム１２００がインターネットを介して１つ以上のデバイスに接続することを可能にしてもよい。いくつかの実施の形態では、通信サブシステム１２２４は、（たとえば、携帯電話技術、３Ｇ、４Ｇ、もしくはＥＤＧＥ（Ｅｎｈａｎｃｅｄ Ｄａｔａ Ｒａｔｅｓ Ｆｏｒ Ｇｌｏｂａｌ Ｅｖｏｌｕｔｉｏｎ）などの次世代データネットワークテクノロジー、ＷｉＦｉ（ＩＥＥＥ８０２．２８ファミリー標準規格）、他の移動体通信技術、またはそれらの任意の組合せを使用する）ワイヤレス音声ネットワークもしくは／またはデータネットワークにアクセスするためのＲＦ（Ｒａｄｉｏ Ｆｒｅｑｕｅｎｃｙ）トランシーバコンポーネント、ＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）レシーバコンポーネント、および／または他の構成要素を含み得る。いくつかの実施の形態では、通信サブシステム１２２４は、ワイヤレスインタフェースに加えて、またはワイヤレスインタフェースの代わりに、有線ネットワーク接続性（たとえば、Ｅｔｈｅｒｎｅｔ）を提供できる。
いくつかの実施の形態では、通信サブシステム１２２４は、コンピュータシステム１２００を利用し得る１人以上のユーザに代わって、構造化データフィードおよび／または非構造化データフィード１２２６、イベントストリーム１２２８、イベントアップデート１２３０などの形で入力通信文を受信してもよい。
一例として、通信サブシステム１２２４は、Ｔｗｉｔｔｅｒ（登録商標）フィード、Ｆａｃｅｂｏｏｋ（登録商標）の更新、ＲＳＳ（Ｒｉｃｈ Ｓｉｔｅ Ｓｕｍｍａｒｙ）フィードなどのｗｅｂフィード、および／もしくは１つ以上のサードパーティ情報ソースからのリアルタイム更新など、ソーシャルネットワークならびに／または他のコミュニケーションサービスのユーザからデータフィード１２２６をリアルタイムで受信するように構成されてもよい。
また、これに加えて、通信サブシステム１２２４は、連続したデータストリームの形でデータを受信するように構成されてもよく、連続したデータストリームは、本質的にはっきりとした終端がない、連続または無限の、リアルタイムイベントおよび／またはイベントアップデート１２３０のイベントストリーム１２２８を含んでもよい。連続データを生成するアプリケーションとして、たとえば、センサーデータアプリケーション、チッカー、ネットワークパフォーマンス測定ツール（たとえば、ネットワーク監視およびトラフィック管理アプリケーション）、クリックストリーム解析ツール、自動車交通量監視などが挙げられてもよい。
また、通信サブシステム１２２４は、コンピュータシステム１２００に接続された１つ以上のストリーミングデータソースコンピュータと通信中であり得る１つ以上のデータベースに、構造化データフィードおよび／または非構造化データフィード１２２６、イベントストリーム１２２８、イベントアップデート１２３０などを出力するように構成されてもよい。
コンピュータシステム１２００は、手のひらサイズのポータブルデバイス（たとえば、ｉＰｈｏｎｅ（登録商標）携帯電話、ＩＰａｄ（登録商標）コンピューティングタブレット、ＰＤＡ）、ウェアラブルデバイス（たとえば、Ｇｏｏｇｌｅ Ｇｌａｓｓ（登録商標）ヘッドマウントディスプレイ）、ＰＣ、ワークステーション、メインフレーム、キオスク、サーバーラック、またはその他のデータ処理システムを含む、様々な種類のうちの１つであり得る。
変わり続けるというコンピュータおよびネットワークの性質のため、図に示すコンピュータシステム１２００の説明は、具体例にすぎない。図に示すシステムよりも多いまたは少ない数の構成要素を有する多くの他の構成が可能である。たとえば、カスタマイズされたハードウェアが使用されてもよく、および／または、ハードウェア、ファームウェア、ソフトウェア（アプレットを含む）、もしくはそれらの組合せで特定の要素が実現されてもよい。さらに、ネットワーク入出力装置など、他のコンピューティングデバイスへの接続を採用してもよい。本明細書に記載の開示および教示に基づいて、当業者であれば、様々な実施の形態を実現するための他のやり方および／または方法が分かるだろう。
具体的な本開示の実施の形態を説明したが、様々な変更例、代替例、代替的な構成、および均等物も本開示の範囲内に包含される。本開示の実施の形態は、ある特定のデータ処理環境内の動作に制限されず、複数のデータ処理環境内で自由に動作することができる。これに加えて、特定の一続きのトランザクションおよびステップを使用して本開示の実施の形態を説明したが、本開示の範囲は、記載の一続きのトランザクションおよびステップに限られないことは、当業者に明らかであるはずである。上述の実施の形態の様々な特徴および態様は、個々に、または共同で使用されてもよい。
さらに、ハードウェアとソフトウェアとの特定の組合せを用いて本開示の実施の形態を説明したが、ハードウェアとソフトウェアとの他の組合せも、本開示の範囲内であることを認識されたい。本開示の実施の形態は、ハードウェアのみ、もしくは、ソフトウェアのみで実現されてもよく、またはそれらの組合せを用いて実現されてもよい。本明細書に記載の様々なプロセスは、同じプロセッサまたは任意の組合せのそれぞれ異なるプロセッサ上で実現できる。よって、コンポーネントまたはモジュールが特定の動作を実行するように構成されると説明されている箇所では、このような構成は、たとえば、この動作を実行するように電子回路を設計することによって、この動作を実行するようにプログラム可能な電子回路（マイクロプロセッサなど）をプログラムすることによって、またはそれらの任意の組合せによって達成できる。プロセスは、プロセス間通信のための従来技術を含む、いろいろな技術を使用して通信できるが、これに限定されず、それぞれ異なるペアプロセスは、異なる技術を使用してもよく、プロセスの同じペアは、異なる技術を別々のタイミングで使用してもよい。
明細書および図面は、厳密ではなく一例にすぎないと適宜みなされるべきである。しかしながら、添付の特許請求の範囲に記載された広義の趣旨および範囲から逸脱することなく、追加したり、減らしたり、削除したり、他の変更ならびに変形をそれらに対して行ってもよいことは明白であろう。したがって、具体的な本開示の実施の形態を説明したが、これらは限定ではない。様々な変更例および均等物も、添付の特許請求の範囲に含まれる。
開示した実施の形態を説明する文脈（特に、添付の特許請求の範囲での文脈）における「ａ」、「ａｎ」および「ｔｈｅ」という用語、ならびに同様の指示対象の用語の使用は、矛盾のない限り、単数および複数の両方を含むと解釈されるべきである。「ｃｏｍｐｒｉｓｉｎｇ」、「ｈａｖｉｎｇ」、「ｉｎｃｌｕｄｉｎｇ」、および「ｃｏｎｔａｉｎｉｎｇ」という用語は、特に記されていない限り、非限定的な用語であると解釈されるべきである（すなわち、「ｉｎｃｌｕｄｉｎｇ、ｂｕｔ ｎｏｔ ｌｉｍｉｔｅｄ ｔｏ（これらを含むが、これらに限定されない）」ことを意味する）。「ｃｏｎｎｅｃｔｅｄ」という用語は、何かが介在している場合であっても、一部または全体が含まれている、取り付けられている、つなぎ合わされていると解釈されるべきである。本明細書において値を範囲で記載していることは、本明細書に特に示されていない限り、その範囲内の個別の各値を個々に参照することを省く手段に過ぎず、個別の各値は、個々に記載されているかの如く明細書に含まれる。本明細書に記載の方法は、すべて、矛盾のない限り、任意の適切な順序で実行できる。本明細書に設けた如何なる例、または例示的な言い回し（たとえば、「ｓｕｃｈ ａｓ」）は、本開示の実施の形態により良く光を当てるために過ぎず、特にクレームされていない限り、本開示の範囲を限定しない。本明細書におけるすべての言い回しは、クレームされていない要素が本開示を実施するために必須な要素であることを示す言い回しである、と解釈されるべきでない。
「Ｘ、Ｙ、またはＺのうち少なくとも１つ」というフレーズなど、離接的な言い回しは、特に具体的に明示されていない限り、項目や用語などが、Ｘ、Ｙ、もしくはＺのいずれか、または任意のそれらの組合せ（たとえば、Ｘ、Ｙ、および／またはＺ）であり得ることを提示するために一般的に使われる範囲内の言い回しであると理解されたい。よって、このような離接的な言い回しは、通常、Ｘのうち少なくとも１つ、Ｙのうち少なくとも１つ、またはＺのうち少なくとも１つを特定の実施の形態が提示する必要があると、意味する意図はなく、そのように提示する必要はない。
本開示を実施するために最良であると知られている実施の形態を含む、本開示の好ましい実施の形態を本明細書において説明している。当業者には、上記の説明を読むと、これらの好ましい実施の形態の変形例が明らかになるであろう。当業者であれば、このような変形例を適宜用いることができるはずであり、本開示は、本明細書に具体的に説明した以外の方法で実施されてもよい。したがって、本開示は、適用法によって認められている本明細書に添付の特許請求の範囲に記載の主題の変更例および均等物のすべてを含む。また、それらの想定される変形例における上述した要素の任意の組合せも、本明細書に特に示されていない限り、本開示に含まれる。
本明細書において引用する刊行物、特許出願文書、および特許文書を含むすべての参考文献は、各参考文献が個々に具体的に引用により本明細書に援用されると示されてその全体が本明細書に記載された場合と同程度に、引用により本明細書に援用する。
上記の明細書において、本開示の態様をその具体的な実施の形態を参照しながら説明したが、当業者であれば、本開示がこれに限定されないことが分かるだろう。上述した開示のさまざまな特徴および態様は、個々に、または共同で用いられてもよい。さらに、実施の形態は、本明細書のより広義の趣旨および範囲から逸脱することなく、本明細書において記載した環境およびアプリケーションの数を上回る任意の数の環境およびアプリケーションにおいて利用され得る。明細書および添付の図面は、したがって、限定ではなく例示とみなされるべきである。

Claims (20)

  1. 方法であって、
    コンピューティングインスタンスが、複数のハニーポットサーバを提供するステップを含み、前記複数のハニーポットサーバに含まれる各ハニーポットサーバは、ハニーポット種別を含み、前記方法は、さらに、
    前記コンピューティングインスタンスが、攻撃者をおびき寄せて、前記複数のハニーポットサーバのうち少なくとも１つのハニーポットサーバとセッションを確立させるステップと、
    前記コンピューティングインスタンスが、前記攻撃者から第１の要求を受信するステップとを含み、前記第１の要求は、前記インスタンスに関する要求であり、要求特性を含み、前記方法は、さらに、
    前記コンピューティングインスタンスが、前記要求特性および前記ハニーポット種別の少なくとも一部に基づいて、前記複数のハニーポットサーバのうち特定のハニーポットサーバを特定するステップと、
    前記コンピューティングインスタンスが、前記特定のハニーポットサーバと接続するためのセッションを前記攻撃者と確立するステップと、
    前記コンピューティングインスタンスの前記特定のハニーポットサーバが、前記攻撃者からの第２の要求に対する応答を生成するステップと、
    前記コンピューティングインスタンスの前記特定のハニーポットサーバが、前記第２の要求に応じて前記応答を前記攻撃者まで通信させるステップと、
    前記コンピューティングインスタンスが、前記攻撃者に関するデータまたは前記攻撃者による前記特定のハニーポットサーバとの１つ以上のやり取りに関するデータを記録するステップとを含む、方法。
  2. 前記コンピューティングインスタンスは、ＩａａＳ（Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ－ａｓ－ａ－Ｓｅｒｖｉｃｅ）コンピューティングインスタンスを含む、請求項１に記載の方法。
  3. 前記ＩａａＳコンピューティングインスタンスは、ＩａａＳサービスプロバイダ環境に対応するＩａａＳサービスプロバイダのコントローラによって実行される、請求項２に記載の方法。
  4. 前記ＩａａＳコンピューティングインスタンスは、前記ＩａａＳサービスプロバイダ環境の外部にあるサードパーティサービスプロバイダによって実行される、請求項３に記載の方法。
  5. 前記第２の要求に対する前記応答は、前記ＩａａＳサービスプロバイダからの応答であるように見えるよう構成される、請求項４に記載の方法。
  6. 前記複数のハニーポットサーバは、前記コンピューティングインスタンスのそれぞれのコンテナに実現される、請求項１に記載の方法。
  7. 前記それぞれのコンテナの各コンテナは、前記複数のハニーポットサーバの各ハニーポットサーバをエミュレートするように構成される、請求項１に記載の方法。
  8. 前記応答を生成するステップは、前記応答を生成するためにルール情報を使用するステップを含む、請求項１に記載の方法。
  9. 前記おびき寄せるステップは、パブリックネットワークで１つ以上のポートを公開するステップを含む、請求項１に記載の方法。
  10. 前記１つ以上のポートは、ＳＳＨ（セキュアシェル）ポート２１、ＦＴＰ（ファイル転送プロトコル）ポート２２、またはＳＭＴＰ（Ｓｉｍｐｌｅ Ｍａｉｌ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）ポート２５、のうち少なくとも１つを含む、請求項９に記載の方法。
  11. 前記１つ以上のポートは、ユーザ名とパスワードとのペア、証明書、鍵、またはテナント識別子、のうち少なくとも１つを含む１つ以上のクレデンシャルを必要とする、請求項９に記載の方法。
  12. 前記攻撃者は、自動ボットである、請求項１に記載の方法。
  13. 前記攻撃者は、前記第１の要求または前記第２の要求のうち少なくとも１つを生成するためのアプリケーションを使用しているユーザである、請求項１に記載の方法。
  14. 前記第１の要求または前記第２の要求を受信するステップは、ＧＵＩ（グラフィカルユーザインターフェース）ベースのアプリケーションから前記第１の要求または前記第２の要求を受信するステップを含む、請求項１に記載の方法。
  15. コンピュータ実行可能な命令を含むコンピュータ読み取り可能な記憶媒体であって、前記命令は、コンピューティングインスタンスの１つ以上のプロセッサによって実行された場合、前記１つ以上のプロセッサに動作を実行させ、前記動作は、
    複数のハニーポットサーバを提供することを含み、前記複数のハニーポットサーバに含まれる各ハニーポットサーバは、ハニーポット種別を含み、前記動作は、さらに、
    攻撃者をおびき寄せて、前記複数のハニーポットサーバのうち少なくとも１つのハニーポットサーバとセッションを確立させることと、
    前記攻撃者から第１の要求を受信することとを含み、前記第１の要求は、前記インスタンスに関する要求であり、要求特性を含み、前記動作は、さらに、
    前記第１の要求特性および前記ハニーポット種別の少なくとも一部に基づいて、前記複数のハニーポットサーバのうち特定のハニーポットサーバを特定することと、
    前記特定のハニーポットサーバと接続するためのセッションを前記攻撃者と確立することと、
    前記コンピューティングインスタンスの前記特定のハニーポットサーバが、前記攻撃者からの第２の要求に対する応答を生成することと、
    前記コンピューティングインスタンスの前記特定のハニーポットサーバが、前記第２の要求に応じて前記応答を前記攻撃者まで通信させることと、
    前記攻撃者に関するデータまたは前記攻撃者による前記特定のハニーポットサーバとの１つ以上のやり取りに関するデータを記録することとを含む、コンピュータ読み取り可能な記憶媒体。
  16. 前記動作は、さらに、
    前記特定のハニーポットサーバが、前記第２の要求に対応するアクションを決定することを含み、前記アクションは、仮想コンピューティングインスタンスのインスタンス化を要求するアクションであり、前記動作は、さらに、
    前記特定のハニーポットサーバが、コンピューティングリソース、ストレージリソース、またはネットワークリソース、のうち少なくとも１つを使用して、前記仮想コンピューティングインスタンスをインスタンス化することを含み、前記応答は、前記仮想コンピューティングインスタンスが正常にインスタンス化されたことを示す、請求項１５に記載の１つ以上のコンピュータ読み取り可能な記憶媒体。
  17. 前記動作は、さらに、前記第２の要求は仮想コンピューティングインスタンスを使用してアクションが実行されることを要求していると前記特定のハニーポットサーバが判断することをさらに含み、
    前記仮想コンピューティングインスタンスは、前記第２の要求を受信する動作よりも前にインスタンス化され、
    前記応答を生成することは、前記仮想コンピューティングインスタンスに前記アクションを適用することによって前記応答を生成することを含む、請求項１５に記載の１つ以上のコンピュータ読み取り可能な記憶媒体。
  18. コンピューティングシステムであって、
    メモリと、
    １つ以上のプロセッサとを備え、前記１つ以上のプロセッサは、
    コンピューティングインスタンスによって、複数のハニーポットサーバを提供するように構成され、前記複数のハニーポットサーバに含まれる各ハニーポットサーバは、ハニーポット種別を含み、前記１つ以上のプロセッサは、さらに、
    前記コンピューティングインスタンスによって、攻撃者をおびき寄せて、前記複数のハニーポットサーバのうち少なくとも１つのハニーポットサーバとセッションを確立させ、
    前記コンピューティングインスタンスによって、前記攻撃者から第１の要求を受信するように構成され、前記第１の要求は、前記インスタンスに関する要求であり、要求特性を含み、前記１つ以上のプロセッサは、さらに、
    前記コンピューティングインスタンスによって、前記要求特性および前記ハニーポット種別の少なくとも一部に基づいて、前記複数のハニーポットサーバのうち特定のハニーポットサーバを特定し、
    前記コンピューティングインスタンスによって、前記特定のハニーポットサーバと接続するためのセッションを前記攻撃者と確立し、
    前記コンピューティングインスタンスの前記特定のハニーポットサーバによって、前記攻撃者からの第２の要求に対する応答を生成し、
    前記コンピューティングインスタンスの前記特定のハニーポットサーバによって、前記第２の要求に応じて前記応答を前記攻撃者まで通信させ、
    前記コンピューティングインスタンスによって、前記攻撃者に関するデータまたは前記攻撃者による前記特定のハニーポットサーバとの１つ以上のやり取りに関するデータを記録するように構成される、コンピューティングシステム。
  19. 前記ルール情報は、複数のアクションと、前記複数のアクションに含まれるアクションごとに、前記第２の要求において特定されたアクションに対応する少なくとも１つの応答とを含み、
    前記ルール情報を用いて前記応答を特定することをさらに含む、請求項１８に記載のコンピューティングシステム。
  20. 前記ルール情報を用いて前記応答を特定することは、
    前記ルール情報を検索して、対応するアクションが前記アクションに一致する項目を前記ルール情報から見つけることと、
    前記応答を決定するために前記項目を使用することとを含む、請求項１８に記載のコンピューティングシステム。
JP2022514618A 2019-09-04 2020-09-02 サービスとしてのインフラストラクチャの機密保護のためのハニーポット Pending JP2022547485A (ja)

Applications Claiming Priority (5)

Application Number Priority Date Filing Date Title
US201962895847P 2019-09-04 2019-09-04
US62/895,847 2019-09-04
US17/009,634 2020-09-01
US17/009,634 US11750651B2 (en) 2019-09-04 2020-09-01 Honeypots for infrastructure-as-a-service security
PCT/US2020/049013 WO2021046094A1 (en) 2019-09-04 2020-09-02 Honeypots for infrastructure-as-a-service security

Publications (2)

Publication Number Publication Date
JP2022547485A true JP2022547485A (ja) 2022-11-14
JPWO2021046094A5 JPWO2021046094A5 (ja) 2023-04-12

Family

ID=74681952

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2022514618A Pending JP2022547485A (ja) 2019-09-04 2020-09-02 サービスとしてのインフラストラクチャの機密保護のためのハニーポット

Country Status (5)

Country Link
US (2) US11750651B2 (ja)
EP (1) EP4026297B1 (ja)
JP (1) JP2022547485A (ja)
CN (1) CN114342319A (ja)
WO (1) WO2021046094A1 (ja)

Families Citing this family (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10938854B2 (en) * 2017-09-22 2021-03-02 Acronis International Gmbh Systems and methods for preventive ransomware detection using file honeypots
US11336528B2 (en) 2019-11-29 2022-05-17 Amazon Technologies, Inc. Configuration and management of scalable global private networks
US11729077B2 (en) * 2019-11-29 2023-08-15 Amazon Technologies, Inc. Configuration and management of scalable global private networks
US11533231B2 (en) * 2019-11-29 2022-12-20 Amazon Technologies, Inc. Configuration and management of scalable global private networks
US20210344690A1 (en) * 2020-05-01 2021-11-04 Amazon Technologies, Inc. Distributed threat sensor analysis and correlation
US20220129541A1 (en) * 2020-10-23 2022-04-28 Red Hat, Inc. Containers system auditing through system call emulation
US11960625B2 (en) * 2021-05-06 2024-04-16 Jpmorgan Chase Bank, N.A. Systems and methods for protecting sensitive data in user online activities
CN114679292B (zh) * 2021-06-10 2023-03-21 腾讯云计算（北京）有限责任公司 基于网络空间测绘的蜜罐识别方法、装置、设备及介质
US11818172B1 (en) 2021-08-24 2023-11-14 Amdocs Development Limited System, method, and computer program for a computer attack response service
CN113645253B (zh) * 2021-08-27 2023-05-26 杭州安恒信息技术股份有限公司 一种攻击信息获取方法、装置、设备及存储介质
CN114465747B (zh) * 2021-09-28 2022-10-11 北京卫达信息技术有限公司 基于动态端口伪装的主动欺骗防御方法及系统
WO2023058026A1 (en) * 2021-10-08 2023-04-13 Cymotive Technologies Ltd. Methods and systems of correlating network attacks with network element behavior
CN114024728B (zh) * 2021-10-28 2024-04-02 杭州默安科技有限公司 一种蜜罐搭建方法以及应用方法
US20230179606A1 (en) * 2021-12-03 2023-06-08 International Business Machines Corporation Tracking a potential attacker on an external computer system
CN114285660B (zh) * 2021-12-28 2023-11-07 赛尔网络有限公司 蜜网部署方法、装置、设备及介质
US20230421562A1 (en) * 2022-05-19 2023-12-28 Capital One Services, Llc Method and system for protection of cloud-based infrastructure
CN114915493B (zh) * 2022-06-22 2024-05-28 云南电网有限责任公司 一种基于电力监控系统网络攻击的诱捕部署方法

Family Cites Families (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7725937B1 (en) * 2004-02-09 2010-05-25 Symantec Corporation Capturing a security breach
US7992204B2 (en) * 2004-05-02 2011-08-02 Markmonitor, Inc. Enhanced responses to online fraud
US10491628B2 (en) 2014-09-17 2019-11-26 Mitsubishi Electric Corporation Attack observation apparatus and attack observation method
CN105376210B (zh) * 2014-12-08 2018-09-07 哈尔滨安天科技股份有限公司 一种账户威胁识别和防御方法及系统
US9923908B2 (en) * 2015-04-29 2018-03-20 International Business Machines Corporation Data protection in a networked computing environment
US10205803B1 (en) * 2015-08-27 2019-02-12 Amazon Technologies, Inc. System for determining improper port configurations
US10050999B1 (en) * 2015-09-22 2018-08-14 Amazon Technologies, Inc. Security threat based auto scaling
US10193809B1 (en) * 2015-09-30 2019-01-29 Cisco Technology, Inc. Load balancing methods based on transport layer port numbers for a network switch
WO2017087964A1 (en) * 2015-11-20 2017-05-26 Acalvio Technologies, Inc. Modification of a server to mimic a deception mechanism
SG11201805986TA (en) 2016-02-10 2018-08-30 Level 3 Communications Llc Automated honeypot provisioning system
US10021131B2 (en) * 2016-02-15 2018-07-10 Verizon Digital Media Services Inc. Origin controlled attack protections in a distributed platform
CN107819731B (zh) * 2016-09-13 2021-02-12 北京长亭未来科技有限公司 一种网络安全防护系统及相关方法
US10402090B1 (en) * 2016-09-30 2019-09-03 EMC IP Holding Company LLC Data service protection for cloud management platforms
US10986126B2 (en) 2017-07-25 2021-04-20 Palo Alto Networks, Inc. Intelligent-interaction honeypot for IoT devices
US10637888B2 (en) 2017-08-09 2020-04-28 Sap Se Automated lifecycle system operations for threat mitigation
CN107809425A (zh) * 2017-10-20 2018-03-16 杭州默安科技有限公司 一种蜜罐部署系统
US10785258B2 (en) * 2017-12-01 2020-09-22 At&T Intellectual Property I, L.P. Counter intelligence bot
CN107872467A (zh) * 2017-12-26 2018-04-03 中国联合网络通信集团有限公司 基于Serverless架构的蜜罐主动防御方法和蜜罐主动防御系统
US11086685B1 (en) * 2018-04-25 2021-08-10 Amazon Technologies, Inc. Deployment of virtual computing resources with repeatable configuration as a resource set
US10972503B1 (en) * 2018-08-08 2021-04-06 Acalvio Technologies, Inc. Deception mechanisms in containerized environments
US10986128B1 (en) * 2019-03-29 2021-04-20 Rapid7, Inc. Honeypot opaque credential recovery
US20200326963A1 (en) * 2019-04-10 2020-10-15 Dell Products L.P. System and Method of Provisioning Virtualization Instances with One or More Hardware Attributes
US20220038447A1 (en) * 2020-07-31 2022-02-03 Citrix Systems, Inc. Systems and methods for autonomous program detection and management

Also Published As

Publication number Publication date
US11750651B2 (en) 2023-09-05
WO2021046094A1 (en) 2021-03-11
EP4026297A1 (en) 2022-07-13
US20230379362A1 (en) 2023-11-23
EP4026297B1 (en) 2024-01-17
CN114342319A (zh) 2022-04-12
US20210067553A1 (en) 2021-03-04
EP4026297A4 (en) 2023-01-25

Similar Documents

Publication Publication Date Title
EP4026297B1 (en) Honeypots for infrastructure-as-a-service security
US9985989B2 (en) Managing dynamic deceptive environments
US9762599B2 (en) Multi-node affinity-based examination for computer network security remediation
US10382467B2 (en) Recursive multi-layer examination for computer network security remediation
JP7418611B2 (ja) ＩｏＴデバイスの検出および識別
US10560434B2 (en) Automated honeypot provisioning system
Fernandes et al. Security issues in cloud environments: a survey
US9294442B1 (en) System and method for threat-driven security policy controls
US10009381B2 (en) System and method for threat-driven security policy controls
US9225730B1 (en) Graph based detection of anomalous activity
KR102146034B1 (ko) 네트워크 종점들의 보안 보호와 원격 관리를 위한 사용자 인터페이스
US20170374032A1 (en) Autonomic Protection of Critical Network Applications Using Deception Techniques
US10432658B2 (en) Systems and methods for identifying and performing an action in response to identified malicious network traffic
US8782796B2 (en) Data exfiltration attack simulation technology
IL228003A (en) Application system and method
US20230370439A1 (en) Network action classification and analysis using widely distributed honeypot sensor nodes
US20240022547A1 (en) System and method for midserver facilitation of mass scanning network traffic detection and analysis
US11803635B2 (en) Passing local credentials to a secure browser session
JP2024514480A (ja) ＩｏＴデバイスのアプリケーションワークロードキャプチャ
Hawasli azureLang: a probabilistic modeling and simulation language for cyber attacks in Microsoft Azure cloud infrastructure
US11902298B2 (en) Dynamic remote browsing
US20230370495A1 (en) Breach prediction via machine learning
Olurin Intrusions Detection in a Cloud Environment
Wheeler et al. Securing the loT Cloud
MUHAMMAD An Investigation into the Security and Privacy Issues of Cloud Computing

Legal Events

Date Code Title Description
A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20230404

A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20230404

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20240327

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20240402