JP2023177336A - 脅威検出ネットワーク - Google Patents

Abstract

【課題】コンピュータネットワークに関連するセキュリティ脅威を監視するための脅威検出ネットワーク及び係る脅威を監視する方法を提供する。【解決手段】方法は、脅威検出ネットワークに備わる各センサが、コンピュータネットワークの複数のノードにおいて予め定義されたイベントの各々の発生を記述するデータを収集する。イベントの各々は対応するノードで動作するサブジェクトエンティティと対応するノードに関連するオブジェクトエンティティとの各々の相互作用を含む。方法はまた、１つ以上の予め定義された異常検出モデルを適用して、収集されたデータにおいて取得された複数の相互作用に対する各々の異常検出スコアを決定し、決定した異常検出スコアに応じて、ローカルアクティビティグラフの１つ以上の部分をバックエンドシステムに選択的に送信し、バックエンドシステムが、セキュリティ脅威を記述する１つ以上のセキュリティパラメータを導出する。【選択図】図２

Description

本発明の例示的かつ非限定的な実施形態は、コンピュータシステム又はコンピュータネットワークに関連するセキュリティ脅威を監視するための、エンドポイントの検出及び応答（ＥＤＲ：endpoint detection and response）システム、又は拡張された検出及び応答（ＸＤＲ：extended detection and response）システムなどの脅威検出ネットワークに関する。

脅威検出ネットワークソリューションは、監視対象のコンピュータネットワークの１つ以上のエンドポイントにおいて実行されるセンサソフトウェアの使用を介して、コンピュータシステム又はコンピュータネットワークに関連するセキュリティ脅威を検出するために適用可能である。センサソフトウェアは、各々のエンドポイントからデータを収集し、バックエンドシステムへ送信することで、監視対象のコンピュータシステムのセキュリティ状態をリアルタイムで分析できるように構成される。このようなアプローチは、高品質の攻撃検出、説明、及び応答サービスを可能にする。このような脅威検出ネットワークソリューションの例としては、エンドポイントの検出及び応答（ＥＤＲ）及び拡張された検出及び応答（ＸＤＲ）ソリューションがある。

有意義な脅威検出ネットワークを提供するためには、バックエンドシステムは、監視対象のコンピュータシステムのエンドポイントにおいてセンサソフトウェアによって収集されたデータをリアルタイムで処理することを可能にする計算リソースを有していなければならない。しかしながら、継続的に進化するサイバー脅威を確実に検出する能力を維持するためには、監視対象のコンピュータネットワークのエンドポイントにおいて増え続ける大量のデータを収集し、処理する必要がある。その一方で、収集されるデータの量の増加及び／又は監視対象のコンピュータネットワークのサイズの増加は、継続的な及び／又はリアルタイムの監視を可能にし、これにより脅威検出ネットワーク内のデータを収集・処理するためのソリューションを強化するために、バックエンドシステムの計算リソースに対して実現不可能なほど高い要求をもたらす可能性がある。

本発明の目的は、コンピュータネットワークの各ノードの動作を記述するデータを収集するように構成された複数のセンサと、収集されたデータの分析を介した脅威検出のためのバックエンドシステムであって、監視対象のコンピュータネットワークに関連するセキュリティ脅威を識別及び／又は検査するロバストで柔軟かつ信頼性の高い方法を提供するバックエンドシステムと、を含む脅威検出ネットワークを提供することである。

例示的な実施形態によれば、コンピュータネットワークに関連するセキュリティ脅威を監視するための脅威検出ネットワークが提供され、前記脅威検出ネットワークは、バックエンドシステムと、通信ネットワークを介して前記バックエンドシステムに接続された複数のセンサと、を備え、
各センサは、
前記コンピュータネットワークの複数のノードの対応する１つにおける１つ以上の予め定義されたイベントの各々の発生を記述するデータを収集し、前記イベントの各々は、対応するノードで動作するサブジェクトエンティティと、前記対応するノードに関連するオブジェクトエンティティとの各々の相互作用を含み、
１つ以上の予め定義された異常検出モデルを適用して、前記収集されたデータにおいて取得された複数の相互作用に対する各々の異常検出スコアを決定し、
前記収集されたデータにおいて取得された前記複数の相互作用の少なくとも一部を、前記対応するノードにおいて動作する１つ以上のサブジェクトエンティティと前記対応するノードに関連する１つ以上のオブジェクトエンティティとの相互作用を記述するローカルアクティビティグラフに構成し、
前記ローカルアクティビティグラフに取り込まれた各々の相互作用に対して決定された前記異常検出スコアに応じて、前記ローカルアクティビティグラフの１つ以上の部分を、対応するノード状態データとして前記バックエンドシステム（１６）に選択的に送信し、
前記バックエンドシステムは、前記複数のセンサの１つ以上から受信した各々のノード状態データに基づいて 、前記コンピュータネットワークに関連する前記セキュリティ脅威を記述する１つ以上のセキュリティパラメータを導出するように構成される。

別の例示的な実施形態によれば、コンピュータネットワークに関連するセキュリティ脅威を監視するための方法が提供され、脅威検出ネットワークは、バックエンドシステムと、通信ネットワークを介して前記バックエンドシステムに接続された複数のセンサと、を備え、
前記方法は、前記複数のセンサにおいて、
各々のセンサにおいて、前記コンピュータネットワークの複数のノードの対応する１つにおける１つ以上の予め定義されたイベントの各々の発生を記述するデータを収集することであって、前記イベントの各々が、対応するノードにおいて動作するサブジェクトエンティティと前記対応するノードに関連するオブジェクトエンティティとの各々の相互作用を含む、データを収集することと、
前記各々のセンサにおいて、１つ以上の予め定義された異常検出モデルを適用して、前記収集されたデータにおいて取得された複数の相互作用に対する各々の異常検出スコアを決定することと、
前記各々のセンサにおいて、前記収集されたデータにおいて取得された前記複数の相互作用の少なくとも一部を、前記対応するノードにおいて動作する１つ以上のサブジェクトエンティティと前記対応するノードに関連する１つ以上のオブジェクトエンティティとの相互作用を記述するローカルアクティビティグラフに構成することと、
前記ローカルアクティビティグラフに取り込まれた各々の相互作用に対して決定された前記異常検出スコアに応じて、前記各々のセンサから、前記ローカルアクティビティグラフの１つ以上の部分を、対応するノード状態データとして前記バックエンドシステムに選択的に送信することと、を含み、
前記方法は、前記バックエンドシステムにおいて、前記複数のセンサのうちの１つ以上から受信した各々のノード状態データに基づいて、前記コンピュータネットワークに関連する前記セキュリティ脅威を記述する１つ以上のセキュリティパラメータを導出することをさらに含む。

別の例示的な実施形態によれば、コンピュータネットワークに関連するセキュリティ脅威を監視するためのコンピュータプログラムが提供され、脅威検出ネットワークは、バックエンドシステムと、通信ネットワークを介して前記バックエンドシステムに接続された複数のセンサと、を備え、コンピュータプログラムは、１つ以上のコンピュータ装置上で実行されたときに、１つ以上の装置に、少なくとも上述の例示的な実施形態による方法を実行させるためのコンピュータ命令を含む。

上記の例示的な実施形態によるコンピュータプログラムは、揮発性又は不揮発性のコンピュータ読み取り可能な記録媒体上で、例えば、１つ以上のコンピューティング装置によって実行されたときに、前記コンピューティング装置に、少なくとも上述の例示的な実施形態による方法を実行させるプログラムコードが格納された少なくとも１つのコンピュータ読み取り可能な非一時的媒体を含むコンピュータプログラム製品として具現化することができる。

本特許出願に提示される本発明の例示的な実施形態は、添付の特許請求の範囲の適用可能性を限定するものと解釈されるべきではない。動詞「備える(to comprise)」及びその派生語は、本特許出願において、記載されていない特徴の存在を排除しないオープンな限定として使用される。以下に記載される特徴は、明示的に別段の記載がない限り、相互に自由に組み合わせることができる。

本発明のいくつかの特徴は、添付の特許請求の範囲に記載されている。しかしながら、本発明の態様は、その構造及びその動作方法の両方に関して、そのさらなる目的及び利点とともに、添付の図面と関連して読まれるとき、いくつかの例示的な実施形態の以下の説明から最も良く理解されるであろう。

本発明の実施形態は、添付の図面の各図に例示的に示されているが、これらに限定されるものではない。

図１は、一例に係る脅威検出ネットワークの一部のコンポーネンントを示すブロック図である。 図２は、一例に係る方法を示す図である。 図３は、一例に係る集約ノード状態データの視覚的表示を示す図である。 図４は、一例に係る集約ノード状態データの視覚的表示を示す図である。 図５は、一例に係る装置の一部のコンポーネンントを示すブロック図である。

図１は、一例に係る脅威検出ネットワーク１０の一部コンポーネンントを示すブロック図である。これに関して、図１に示す例は、センサ１２－１、１２－２、…、１２－Ｋと、バックエンドシステム１６と、を含む。ここで、センサ１２－１、１２－２、…、１２－Ｋは、参照番号１２を使用してまとめて参照され得る複数のセンサを表し、任意の個々のセンサは参照番号１２－ｋを使用して参照され得る。複数のセンサ１２は、通信ネットワーク１４を介してバックエンドシステム１６に通信可能に接続されている。脅威検出ネットワーク１０は、例えば、エンドポイントの検出及び応答（ＥＤＲ）システム、又は拡張された検出及び応答（ＸＤＲ）システムを備えていてもよい。

センサ１２－ｋの各々は、対応するノードの動作の１つ以上の予め定義された態様を記述する情報を取得することによって、コンピュータネットワークの対応するノードの動作を監視する。センサ１２－ｋは、コンピュータネットワークの対応するノードの動作を記述する取得された情報の一部を、バックエンドシステム１６に選択的に送信して、バックエンドシステム１６においてさらに処理及び分析を行うことができる。センサ１２－ｋからバックエンドシステム１６に送信される情報は、監視対象のコンピュータネットワークの対応するノードに関するノード状態データ（node status data）と呼ばれることがある。センサ１２－ｋによって監視されるノードは、通信ネットワーク、例えば通信ネットワーク１４を介して他のデバイスに接続されるか又は接続可能な任意のコンピュータ装置を備えることができる。これに関する非限定的な例として、ノードは、デスクトップコンピュータ、ラップトップコンピュータ、タブレットコンピュータ、携帯電話などのエンドポイント装置、ゲートウェイ装置、サーバ装置、又はサーバシステムなどを含むことができる。センサ１２－ｋは、センサ１２－ｋが監視する対応するノードのコンピュータ装置において実行可能な及び／又は実行されるソフトウェアとして実現されてもよい。したがって、一般に、センサ１２－ｋは、プロセッサとメモリとを備える装置の動作を通して提供されてもよい。その場合、メモリは、プロセッサによって実行されたときに、センサ１２－ｋについて本開示において説明される動作を装置に実装させるコンピュータプログラムコードを記憶するように構成される。センサ１２－ｋを実装するためにプロセッサ及びメモリを使用するより詳細な例については、図５を参照して本明細書で後述する。

バックエンドシステム１６は、複数のセンサ１２から各々のノード状態データを受信することができ、複数のセンサ１２から受信した各々のノード状態データの分析を実行することができる。これに関して、バックエンドシステム１６は、複数のセンサ１２によって監視されるコンピュータネットワークが受ける脅威レベルを記述する１つ以上のセキュリティパラメータを導出することができ、及び／又は、バックエンドシステム１６は、複数のセンサ１２から受信したノード状態データ又はそこから導出された情報の少なくとも一部を、人間が操作して検査するために提供することもできる。バックエンドシステム１６は、バックエンドシステム１６について本開示で説明される動作を実装するように構成された、１台のコンピュータ装置、又は１つ以上のコンピュータ装置の組合せ（arrangement）を備えていてもよい。

したがって、一般に、バックエンドシステム１６は、各々が対応するプロセッサ及び対応するメモリを備える１つ以上の装置の動作を介して提供されてもよい。この場合、１つ以上の装置の対応するメモリは、１つ以上の装置の対応するプロセッサによって実行されたときに、１つ以上の装置に、バックエンドシステム１６について本開示で説明される動作を共同で実装させるコンピュータプログラムコードの対応する部分を記憶するように構成される。バックエンドシステム１６を提供するために適用される１つ以上のコンピュータ装置のいずれかを実装するためにプロセッサ及びメモリを使用するより詳細な例については、図５を参照して本明細書で後述する。

高いレベルでは、複数のセンサ１２及びバックエンドシステム１６は、複数のセンサ１２の各々が、各々のセンサ１２－ｋが監視するコンピュータネットワークの対応するノードの動作の１つ以上の予め定義された態様を記述する情報を継続的に取得し、取得された情報の一部をノード状態データとしてバックエンドシステム１６に選択的に送信することと、バックエンドシステム１６が、複数のセンサ１２によって監視されるコンピュータネットワークが受ける脅威レベルを記述する１つ以上のセキュリティパラメータを導出することと、を通して、脅威検出手順を実行することができる。脅威検出ネットワーク１０の動作は、バックエンドシステム１６が、１つ以上のセキュリティパラメータに基づいてさらなる分析を実行すること、バックエンドシステム１６が、複数のセンサ１２から受信したノード状態データ及び／又はそれから導出された情報（１つ以上のセキュリティパラメータなど）の少なくとも一部を、検出エンジン又は別の意思決定エンティティによる自動分析のために提供すること、又は、バックエンドシステム１６が、複数のセンサ１２から受信したノード状態データ及び／又はそれから導出された情報（１つ以上のセキュリティパラメータなど）の少なくとも一部を、人間のオペレータによる検査のために提供することを、さらに含むことができる。

脅威検出ネットワーク１０の動作の例として、各センサ１２－ｋ及びバックエンドシステム１６は、図２に例示され、以下に概説される方法１００を実施することに関与することができる。

－ センサ１２－ｋにおいて、センサ１２－ｋが監視するコンピュータネットワークのノードにおける１つ以上の予め定義されたイベントの各々の発生を記述するデータを収集することであって、前記イベントの各々は、対応するノードにおいて動作するサブジェクトエンティティと、対応するノードに関連するオブジェクトエンティティとの各々の相互作用を含む、データを収集すること（ブロック１０２）。

－ センサ１２－ｋにおいて、１つ以上の予め定義された異常検出（ＡＤ：anomaly detection）モデルを適用して、収集されたデータにおいて取得された相互作用について各々の異常検出スコアを決定すること（ブロック１０４）。

－ センサ１２－ｋにおいて、収集されたデータにおいて取得された相互作用の少なくとも一部を、１つ以上のサブジェクトエンティティと１つ以上のオブジェクトエンティティとの各々の相互作用を記述するローカルアクティビティグラフに構成すること（ブロック１０６）。

－ センサ１２－ｋから、ローカルアクティビティグラフに取り込まれた各々の相互作用について決定された異常検出スコアに応じて、対応するノード状態データとして、ローカルアクティビティグラフの１つ以上の部分をバックエンドシステム１６に選択的に送信すること（ブロック１０８）

－ バックエンドシステム１６において、複数のセンサ１２の１つ以上から受信した各々のノード状態データに基づいて、監視対象のコンピュータネットワークが受けるセキュリティ脅威を記述する１つ以上のセキュリティパラメータを導出すること（ブロック１１０）。

したがって、方法１００は、分析対象のコンピュータネットワークに関連するセキュリティ脅威をリアルタイムで継続的に監視するために、及び／又は監視対象のコンピュータネットワークが受けるセキュリティ脅威を事後的に分析するために、複数のセンサ１２及びバックエンドシステム１６によって共同で実装することができる。ブロック１０２～１１０によって表される方法ステップを参照して説明される各々の動作は、例えば、本開示に係る脅威検出ネットワークの要素として機能する複数のセンサ１２及びバックエンドシステム１６の動作の各々の特徴を説明する文脈において、上記の及び／又は以下で提供される例に従って、いくつかのやり方で変更又は補完されてもよい。さらに、方法１００は、１つ以上の追加のステップで補完されてもよく、方法ステップのうちの少なくとも一部を実行する順序は、図２に示される順序とは異なっていてもよく、及び／又はステップの一部は、本開示で説明する脅威検出ネットワークの動作の範囲から逸脱することなく省略されてもよい。

ここで１つ以上の予め定義されたイベント（図２のブロック１０２参照）の説明に戻ると、センサ１２－ｋによって監視される１つ以上の予め定義されたイベントには、監視対象のコンピュータネットワークの対応するノードで動作する第１のエンティティが、対応するノードに関連する第２のエンティティと相互作用するイベントが含まれ、第１のエンティティは「サブジェクトエンティティ」と見なされ、第２のエンティティは「オブジェクトエンティティ」と見なされる。１つ以上の予め定義されたイベントは、サブジェクトエンティティ、オブジェクトエンティティ、又はそれらの間の相互作用が、センサ１２－ｋによって監視されるノードの動作を介して監視するために重要である又は重要ではないが関連すると考えられるイベントを含むことができる。一例では、１つ以上の予め定義されたイベントは、以下のうちの１つ以上を含むことができる。

－ （任意の）対応するノードで動作する１つ以上の予め定義されたサブジェクトエンティティによって実行される１つ以上の相互作用
－ （任意の）対応するノードに関連する１つ以上の予め定義されたオブジェクトエンティティに与えられる相互作用
－ サブジェクトエンティティとオブジェクトエンティティの（任意の）ペアの間の１つ以上の予め定義された相互作用、例えば、センサ１２－ｋの動作を通して監視するために、重要である又は重要ではないが関連すると考えられる相互作用

１つ以上の予め定義されたイベントにおいて考慮されるサブジェクトエンティティの非限定的な例には、対応するノードで実行されるプロセス又はプログラム、対応するノードで動作するシステム又はサービス、対応するノードのユーザアカウントなどが含まれる。一方、１つ以上の予め定義されたイベントにおいて考慮されるオブジェクトエンティティの非限定的な例には、対応するノードの（他の）プロセス又はプログラム、対応するノードで実行される（他の）プロセス又はプログラム、対応するノードのファイルシステムのエンティティ、システムレジストリ又はシステムログなどの対応するノードのオペレーティングシステムのエンティティ、ダイナミックリンクライブラリ（ＤＬＬ）などの対応するノードのライブラリエンティティ、対応するノードに通信可能に結合されたネットワークホストなどが含まれる。

１つ以上の予め定義されたイベントにおいて考慮される相互作用の非限定的な例には、対応するノードで実行されるプロセス又はプログラムとオブジェクトエンティティとの間の各々の相互作用が含まれ、例えば、以下のうちの１つ以上が含まれる。

－ １つ以上のプロセス間イベントであって、プロセス間イベントは、対応するノードで実行されているプロセス又はプログラムが、対応するノードの別のプロセス又はプログラムと相互作用することを含む、１つ以上のプロセス間イベント

－ １つ以上のファイルシステムイベントであって、ファイルシステムイベントは、対応するノードで実行されるプロセス又はプログラムが、対応するノードのファイルシステムの要素と相互作用することを含む、１つ以上のファイルシステムイベント

－ １つ以上のネットワークイベントであって、ネットワークイベントは、対応するノードのプロセス又はプログラムが、ネットワークホストと相互作用することを含む、１つ以上のネットワークイベント

上述した例示的なプロセス関連イベントのより詳細な例として、プロセス間イベントは、対応するノードにおける第１のプロセスが、対応するノードで実行するための第２のプロセスを生成すること、又は、対応するノードにおける第１のプロセスが、対応するノードで実行されている第２のプロセスの動作を変更すること、を含む場合がある。ファイルシステムイベントは、対応するノードのプロセスが、対応するノードのファイルシステムのファイル又はフォルダと相互作用すること、例えば、各々のプロセスが、対応するノードのファイルシステムのファイル又はフォルダからの読み出し、又はファイル又はフォルダへの書き込みを行うことを含むことができる。ネットワークイベントは、対応するノードのプロセスが、監視対象のコンピュータネットワークの別のノードと相互作用すること、又は対応するノードのプロセスが、監視対象のネットワークの外部にあるノードと相互作用することを含むことができ、ここでの相互作用は、各々のプロセスがネットワークホストに情報を送信すること、及び／又はネットワークホストから情報を受信することを含むことができる。

１つ以上の予め定義されたイベントにおいて考慮される相互作用のさらなる非限定的な例には、サブジェクトエンティティが対応するノードのオペレーティングシステムエンティティ（システムレジストリやシステムログなど）のコンテンツを変更するオペレーティングシステム操作イベント、サブジェクトエンティティが対応するノードのオペレーティングシステムエンティティ（システムレジストリやシステムログなど）にアクセスするオペレーティングシステムアクセスイベント、各ノードで実行されているシステム又はサービスがオブジェクトエンティティと相互作用するシステムイベント、オブジェクトエンティティと相互作用する対応するノードのユーザアカウントに関連するユーザ開始イベント（user-initiated events）などが含まれる。

したがって、１つ以上の予め定義されたイベントのそれぞれは、サブジェクトエンティティがオブジェクトエンティティとの各々の相互作用を実行することを含むものと考えることができ、その結果、監視対象ノードにおける１つ以上の予め定義されたイベントのいずれかの発生を観察することに応答してセンサ１２－ｋによって収集されたデータに記録される情報は、各々の相互作用のサブジェクトエンティティの識別、各々の相互作用のオブジェクトエンティティの識別、およびサブジェクトエンティティとオブジェクトエンティティとの間の相互作用の特徴付けを含むことができる。
上述のラインに沿って、必ずしもそうではないが、典型的には、相互作用のサブジェクトエンティティは、対応するノードで実行されているユーザ開始プロセスまたはオペレーティングシステム（ＯＳ）プロセス（対応するノードで実行されているプログラム又はそのようなプログラムのスレッドなど）、対応するノードで実行されているシステム又はサービス、対応するノードのユーザアカウントなどを含むことができる。
一方、相互作用のオブジェクトエンティティは、対応するノードで実行されている別のプロセス又はプログラム、対応するノードで実行されている別のシステム又はサービス、対応するノードのファイルシステム内のファイル又はフォルダ、対応するノードのオペレーティングシステムエンティティ、対応するノードのライブラリオブジェクト、監視対象のネットワークの内側又は外側にあるネットワークホストなどを含むことができる。

ここで、図２のブロック１０４で記述された動作に戻って説明すると、１つ以上の予め定義されたＡＤモデルの各々は、各々のセンサ１２－ｋの動作を介して、分析中の１つ以上の予め定義されたイベントのうちの少なくとも１つについて、例えば、以下のうちの１つ以上を直接的又は間接的に定義することができる。

－ サブジェクトエンティティとオブジェクトエンティティの特定のペアの間で実行される１つ以上の予想される相互作用
－ 特定のサブジェクトエンティティによって実行される１つ以上の予想される相互作用
－ 特定のオブジェクトエンティティが対象になる１つ以上の予想される相互作用
－ 特定の相互作用についてサブジェクトエンティティとオブジェクトエンティティの１つ以上の予想されるペア
－ 特定の相互作用の実行についての１つ以上の予想されるサブジェクトエンティティ
－ 特定の相互作用についての１つ以上の予想されるオブジェクトエンティティ

したがって、１つ以上の予め定義されたＡＤモデルは、対応するノードで動作するサブジェクトエンティティと、対応するノードに関連するオブジェクトエンティティとの間の予期しない又は異常な相互作用を検出するために適用されてもよい。ここで、異常性（anomalousness）は、各々の相互作用のサブジェクトエンティティ、各々の相互作用のオブジェクトエンティティ、及び／又は各々の相互作用の特徴に関連する可能性がある。

１つ以上の予め定義されたＡＤモデルは、監視対象のコンピュータネットワークの各々のノードにおいて、監視対象のコンピュータネットワークの対応するノードにおいて、又はセキュリティ脅威がないことが知られている制御された動作環境における対応するコンピュータネットワークの対応するノードにおいて収集されたデータに基づいて決定されてもよく、それによって、１つ以上の予め定義ＡＤモデルは、各々のノードの各々のエンティティ間の予想される（例えば、正常な）相互作用を表す。異常な事象の検出のための予め定義されたＡＤモデルの適用は、当該技術分野において公知であり、本開示の文脈において適用される１つ以上の予め定義されたＡＤモデルを、当該技術分野において公知の任意の適切な技術を用いて導出することができる。これに関する非限定的な例として、例えば、様々なＡＤ技術の概説が以下の文献により提供されている。Aggarwal, C.C. (2017)、An introduction to Outlier Analysis、In: Outlier Analysis、Springer, Cham、ISBN 978-3-319-47577-6, whereas an example of specific technique applicable for detecting anomalous events is found in Das, K., Schneider, J. (2007, August)、Detecting anomalous records in categorical datasets、Proceedings of the 13th ACM SIGKDD international conference on Knowledge discovery and data mining; pp. 220-229.

収集されたデータにおいて取得された１つ以上の予め定義されたイベントの発生が観察された場合にＡＤモデルを適用することにより（ブロック１０２を参照）、対応するノードで動作するサブジェクトエンティティと、対応するノードに関連するオブジェクトエンティティとの１つ以上のペアの間の各々の相互作用について、各々の異常検出スコアを取得することができる。これに関して、異常検出スコアは、予め定義された尺度（scale）において、分析中の各々の相互作用の異常性の程度を記述することができる。一例では、異常検出スコアは分析中の相互作用の異常性が増加するにつれて増加する場合があり、別の例では、異常検出スコアは分析中の相互作用の異常性が増加するにつれて減少する場合がある。

ここで、図２のブロック１０６で記述された動作に戻って説明すると、収集されたデータ（ブロック１０２を参照）において取得された相互作用の少なくとも一部を、ローカルアクティビティグラフを定義する情報に構成すること(arrangement)は、収集されたデータにおいて取得された１つ以上の予め定義されたイベントの発生に基づいて記録された情報を、ローカルアクティビティグラフの頂点及びエッジに結合及び／又は変換することを含むことができる。ローカルアクティビティグラフの２つの頂点を接続するエッジは、これら２つの頂点によって表される各々のエンティティを含む相互作用を表すことができ、エッジは、各々の相互作用のサブジェクトエンティティを表す頂点から、各々の相互作用のオブジェクトエンティティを表す頂点に向けられている。一例では、ローカルアクティビティグラフの各々のエッジによって表される相互作用について決定された各々の異常検出スコアは、例えば、ローカルアクティビティグラフの各々のエッジに割り当てられた重みとしてローカルアクティビティグラフに導入されてもよい。

ある相互作用のサブジェクトエンティティを表す頂点は、別の相互作用のオブジェクトエンティティを表すこともできる。その逆も同様であり、ある相互作用のオブジェクトエンティティを表す頂点は、別の相互作用のサブジェクトエンティティを表すこともできる。したがって、ローカルアクティビティグラフは、監視対象のコンピュータネットワークの対応するノードで動作する複数のサブジェクトエンティティと、対応するノードに関連する複数のオブジェクトエンティティとの各々の相互作用をモデル化する役割を果たすことができる。

これに関して、本開示では「ノード」という用語が、監視対象のコンピュータネットワークの要素を指すために適用されるのに対し、「頂点」という用語は、ローカルアクティビティグラフのエッジによって互いにリンクされるローカルアクティビティグラフの要素を表すために選択されることは、注目に値する。したがって、アクティビティグラフの要素を指すために「ノード」という用語を適用する文献もあるが、上述の用語の選択は本開示全体を通して適用される。

ここで、図２のブロック１０８で記述された動作に戻って説明すると、ローカルアクティビティグラフの１つ以上の部分を、対応するノード状態データとしてセンサ１２－ｋからバックエンドシステム１６に選択的に送信する態様は、センサ１２－ｋが、ローカルアクティビティグラフに取り込まれた各々の相互作用について決定された異常検出スコアを考慮して選択されたローカルアクティビティグラフの１つ以上のサブグラフを送信することを含んでいてもよい。これに関して、センサ１２－ｋは、各々の相互作用について決定された異常検出スコアに基づいて、ローカルアクティビティグラフに記録される１つ以上の相互作用を選択し、ローカルアクティビティグラフの選択された部分を定義するノード状態データをバックエンドシステム１６に送信することができる。逆に、バックエンドシステム１６は、複数のセンサ１２から各々のノード状態データを受信することができる。

異常検出スコアに基づくノード状態データの選択には、各々の異常検出スコアが予め定義された異常閾値を超える異常性の程度を示す相互作用の選択が含まれる場合がある。異常検出スコアは分析中の相互作用の異常性が増加するにつれて増加するシナリオでは、これは異常閾値を超える異常検出スコアを有するローカルアクティビティグラフの相互作用を選択することを含むことができる。一方、異常検出スコアは検討中の相互作用の異常性が増加するにつれて減少するシナリオでは、これは異常閾値よりも小さい異常検出スコアを有するローカルアクティビティグラフの相互作用を選択することを含むことができる。

センサ１２－ｋからバックエンドシステム１６に送信されるノード状態データは、ノード状態データに含めるために選択された各相互作用について、以下を識別又は定義する情報を含むことができる。
－ 各々の相互作用のサブジェクトエンティティ
－ 各々の相互作用のオブジェクトエンティティ
－ 各々の相互作用の特徴

一例では、センサ１２－ｋからバックエンドシステム１６に送信されるノード状態データは、ローカルアクティビティグラフの１つ以上の選択された部分、例えば、ローカルアクティビティグラフの１つ以上のサブグラフを、それに対して導出された異常検出スコア無しで含むことができる。一方、別の例では、センサ１２－ｋからバックエンドシステム１６に送信されるノード状態データは、ローカルアクティビティグラフの１つ以上の選択された部分、例えば、ローカルアクティビティグラフの１つ以上のサブグラフを、ノード状態データの一部としてバックエンドシステム１６に送信するために選択された相互作用について決定された異常検出スコアと共に含むことができる。

センサ１２－ｋは、決定された異常検出スコアが閾値を超える異常性の程度を示すローカルアクティビティグラフの１つ以上の部分（例えば、１つ以上のサブグラフ）を識別することに応答して、ノード状態データを実質的に継続的に送信する必要性を評価し、ノード状態データを実質的に遅延なく送信することができる。一例では、これは、決定された異常検出スコアが閾値を超える異常性の程度を示すローカルアクティビティグラフの１つ以上の部分を識別するために、センサ１２－ｋが、予め定義されたスケジュールに従って（例えば、予め定義された時間隔で）、直近に導出された異常検出スコアを考慮して、ローカルアクティビティグラフを走査することによって達成されてもよい。一方、別の例では、センサ１２－ｋは、直近の前回の走査以降に、予め定義された数（例えば、１つ）の新たな相互作用を記録したことに応答して、このような走査を実行してもよい。

ここで、図２のブロック１１０で記述された動作に戻って説明すると、一例によれば、監視対象のコンピュータネットワークが受ける（可能性がある）セキュリティ脅威を記述する１つ以上のセキュリティパラメータの導出は、監視対象のコンピュータネットワークの対応するノードを監視するように構成された１つ以上のセンサ１２－ｋから受信した各々のノード状態データに基づいて、監視対象のコンピュータネットワークに関連するセキュリティ脅威の存在及び不存在の一方の指標（indication）を少なくとも導出することを含むことができる。これに関して、バックエンドシステム１６は、センサ１２－ｋで検出された異常な相互作用を報告する１つ以上のセンサ１２－ｋに基づいて、及び／又は１つ以上のセンサ１２－ｋによって報告された異常な相互作用の各々の特徴に基づいて、セキュリティ脅威の存在及び不存在の一方を決定することができる。これにより、監視対象のコンピュータネットワークのノード全体にわたって検出される異常なアクティビティの量、及び／又は監視対象のコンピュータネットワーク内で検出される異常なアクティビティの種類を考慮した決定が可能になる。このようなアプローチの利点は、異常なアクティビティ検出するために必要な大量の計算がコンピュータネットワークの各々のノードを監視するように構成された複数のセンサ１２で実行される一方で、バックエンドシステム１６の計算要件の設定が、監視対象のコンピュータネットワークのセキュリティ脅威の可能性を検出する能力を実質的に損なうことなく、緩和されることである。

バックエンドシステム１６は、任意選択で、１つ以上のセンサ１２－ｋから受信した各々のノード状態データに基づいて、バックエンドシステム１６で導出された１つ以上のセキュリティパラメータに応じてさらなるアクションをとることができる。１つ以上のセキュリティパラメータが、監視対象のコンピュータネットワークにおけるセキュリティ脅威の存在及び不存在の一方の指標を含む例では、バックエンドシステム１６は、セキュリティ脅威の存在の検出に応答して、警告を発する、及び／又はセキュリティ脅威を緩和又は除去するための予め定義されたアクションをとることができ、及び／又はバックエンドシステム１６は、セキュリティ脅威の不存在の検出に応答して、さらなる特定のアクションをとることなく、監視を継続することができる。

図２に戻ると、方法１００は、任意選択で、複数のセンサ１２から受信した各々のノード状態データの少なくとも一部を、ユーザに視覚的に提示するための集約ノード状態データに構成することをさらに含むことができる（ブロック１１２）。これに関して、バックエンドシステム１６は、複数のセンサ１２から受信した各々のノード状態データを、集約ノード状態データのその後の決定のために、及び集約ノード状態データをユーザに視覚的に提示するために、バックエンドシステム１６によってアクセス可能なメモリに格納することができる。バックエンドシステム１６において複数のセンサ１２から受信した各々のノード状態データは、各々のセンサ１２－ｋにおける対応するノード状態データの導出時刻及び／又はバックエンドシステム１６における対応するノード状態データの受信時刻を示すタイミング情報と共に格納されてもよい。これに関して、タイミング情報は、予め定義された基準時刻との関係で各々のタイミングを示す各々のタイムスタンプを含んでいてもよい。

バックエンドシステム１６は、要求に応答して集約ノード状態データを決定することができ、バックエンドシステム１６内に設けられた又はバックエンドシステム１６に接続されたディスプレイデバイスを介して、集約ノード状態データをユーザに提示することができる。代替的に又は追加的に、集約ノード状態データは、別の装置に設けられたディスプレイデバイスを介してユーザに視覚的に提示するために、別の装置に送信されてもよい。一例では、要求は、例えば、バックエンドシステム１６が監視対象のコンピュータネットワークに関連するセキュリティ脅威の存在を決定することに応じて、及び／又はバックエンドシステム１６がセキュリティ脅威の存在及び不存在の一方を決定できないことに応じて、自動的に生成されてもよい。一方、別の例では、要求は、例えば、バックエンドシステム１６のユーザインターフェース（ＵＩ）を介して、又はバックエンドシステム１６内に設けられた通信インターフェースを介して、ユーザから受け付けてもよい。ユーザへの視覚的提示のために集約ノード状態データを導出する要求は、時間インスタンス又は時間ウィンドウを指定することができる。バックエンドシステム１６は、記憶された各々のノード状態データと、要求において指定された時間インスタンス又は時間ウィンドウに一致するタイミング情報とを組み合わせることによって、集約ノード状態データを導出することができ、これによって、監視対象のコンピュータネットワーク内の異常なアクティビティの可能性を示すノード状態データの時間的なスナップショットを提供することができる。

集約ノード状態データは、集約アクティビティグラフの形式で構成されてもよく、集約アクティビティグラフは、１つ以上のセンサ１２－ｋから各々のノード状態データとして受信した各々のサブグラフを組み合わせることによって取得されてもよい。これに関して、集約アクティビティグラフの各頂点は、監視対象のコンピュータネットワークのノードの１つで動作するサブジェクトエンティティ及び／又は監視対象のコンピュータネットワークのノードの１つに関連するオブジェクトエンティティを表すことができる。一方、集約アクティビティグラフの２つの頂点を接続する各エッジは、これらの２つの頂点によって表される各々のサブジェクトエンティティ及びオブジェクトエンティティを含む相互作用を表すことができ、各々のエッジは、各々の相互作用のサブジェクトエンティティから各々の相互作用のオブジェクトエンティティに向けられる。したがって、集約アクティビティグラフは、監視対象のコンピュータネットワークのノードの１つを操作する１つ以上のサブジェクトエンティティと、監視対象のコンピュータネットワークのノードの１つに関連する１つ以上のオブジェクトエンティティとの各々の相互作用をモデル化することができる。

図３は、集約アクティビティグラフの形式での集約ノード状態データの視覚的提示の例示的かつ非限定的な例を示す図である。ここで、円として示される頂点は、監視対象のコンピュータネットワークのノードの１つで実行されている各々のプロセス又はプログラムを表す。矩形として示される頂点は、監視対象のコンピュータネットワークのノードの１つにおけるファイルシステムの要素を表す。菱形として示される頂点は、監視対象のコンピュータネットワークのノードの少なくとも１つに通信可能に接続されたネットワークホストを表す。さらに、円として示される１つの頂点から別の頂点に向かうエッジは、プロセス間イベントを表し、実線がプロセス作成イベントを表し、破線がプロセス変更又は操作イベントを表す。円として示される頂点から矩形として示される頂点に向かうエッジは、ファイルシステムイベントを表す。円として示される頂点から菱形として示される頂点に向かうエッジは、ネットワークイベントを表す。一例では、集約アクティビティグラフの視覚的提示は、頂点の少なくとも一部について、各々の頂点によって表される各々のサブジェクトエンティティ及び／又はオブジェクトエンティティを識別する情報（例えば、テキスト及び／又は記号）をさらに備えていてもよい。

さらに図３の例を参照すると、図３に示す集約アクティビティグラフによって表される相互作用はすべて、各々のセンサ１２－ｋの動作を介した監視対象のコンピュータネットワークの対応するノードにおけるアクティビティを表す可能性がある。一方、図３の例による集約アクティビティグラフは、集約アクティビティグラフで取得された相互作用の互いに対する異常性の相対的な程度を示すいかなる指標も提供しない可能性がある。それにもかかわらず、図３の例による集約アクティビティグラフは、監視対象のコンピュータネットワークの１つ以上のノードで観測された相互作用のさらなる知見（insight）を提供し、これは、監視対象のコンピュータネットワークに関連するセキュリティ脅威の可能性の分析を容易にする。

さらなる例では、バックエンドシステム１６においてセンサ１２－ｋから受信したノード状態データが、各々のセンサ１２－ｋにおけるローカルアクティビティグラフの対応する１つ以上の部分（例えば、１つ以上のサブグラフ）について決定された異常検出スコアも含み得ると仮定した場合、集約ノード状態データの視覚的提示は、集約ノード状態データで取得された相互作用によって表される各々の異常性の程度を記述する視覚情報をさらに含むことができる。ここで、視覚的表現において示される相互作用の異常性に関連する視覚情報は、センサ１２－ｋから発信された対応するノード状態データで受信された異常検出スコアに基づいて導出されてもよい。

図４は、集約アクティビティグラフに取り込まれた相互作用によって表される各々の異常性の程度を記述する視覚情報を伴う、集約アクティビティグラフの形式の集約ノード状態データの視覚的提示の例示的かつ非限定的な例を示す。ここでは、集約アクティビティグラフに取り込まれた相互作用は、各々の相互作用について得られた異常検出スコアを記述する少なくとも１つの視覚的特徴を有する背景上に示されている。これに関して、異常検出スコアは２つ以上の範囲に分割することができ、各範囲には、他の範囲の各々の背景特徴とは異なる各々の背景特徴が割り当てられる。図４の例では、視覚的な背景特徴には異なる濃度の灰色が含まれ、最低の脅威レベル（例えば、レベル０）での相互作用は背景色なしの白色背景上に示され、レベル２からレベル５へと増加する脅威レベルは、濃度が増加する灰色の背景色を用いて示される。他の例では、異なる脅威レベルを示すために、例えば、異なる色や異なるパターンの背景を適用することができる。

集約アクティビティグラフにおいて取得された相互作用の異常性の程度を視覚的に提示する別のアプローチでは、集約アクティビティグラフの少なくとも一部の頂点及び／又はエッジの各々の外観を、それらが表すべき相互作用の異常性の程度の視覚的指標（visual indication）として適用することができる。これに関する一例として、集約アクティビティグラフの少なくとも一部の頂点は、各々の頂点が表すべき相互作用について導出された異常検出スコアを説明するサイズ及び／又は色で描かれてもよい。一方、別の例では、集約アクティビティグラフの少なくとも一部のエッジは、各々のエッジが表すべき相互作用について導出された異常検出スコアを記述する太さ及び／又は色で描かれてもよい。集約アクティビティグラフにおいて取得された相互作用の異常性の程度を視覚的に提示するさらなるアプローチでは、集約アクティビティグラフの少なくとも一部のエッジは、各々のエッジが表すべき相互作用について導出された異常検出スコアを記述する数字、記号、及び／又はテキストを備えていてもよい。

監視対象のコンピュータネットワーク内の相互作用の異常性の程度をこのように選択的に視覚化することにより、特定の異常性の程度の相互作用を強調することが可能になり、これは、異常検出スコアの視覚化に適用された方法に拘わらず、監視対象のコンピュータネットワークに関連する可能性のあるセキュリティ脅威の信頼できるタイムリーな分析を容易にすることができる。

図３及び図４を参照する上記の例では、集約ノード状態データの視覚的提示として機能する集約アクティビティグラフが、バックエンドシステム１６に送信される各々のノード状態データにおいてセンサ１２－ｋによって報告されるすべての相互作用の各々の図を含むという、暗黙の前提がある。他の例では、集約アクティビティグラフ（又は集約ノード状態データの視覚的提示の別の形態）は、各々の異常検出スコアが１つ以上のイベント視覚化基準（event visualization criteria）を満たす相互作用のみを含むことができる。これに関して、１つ以上のイベント視覚化基準は、各々の異常検出スコアがイベント視覚化下限閾値を超える、及び／又はイベント視覚化上限閾値よりも小さい異常性の程度を示す相互作用のみの視覚化を定義することができる。本明細書では、１つ以上のイベント視覚化基準（例えば、イベント視覚化下限閾値及び／又はイベント視覚化上限閾値）は予め定義されたもの又は使用時に定義されたものであってもよく、及び／又はユーザへの視覚的提示のために集約ノード状態データを導出するための要求において指定されてもよい。監視対象のコンピュータネットワーク内の相互作用のこのような選択的な視覚化により、ある程度以上の異常性を有する相互作用の分析に集中することが可能になり、監視対象のコンピュータネットワークに関連するセキュリティ脅威の可能性について、信頼性のあるタイムリーな分析を容易にすることができる。

集約アクティビティグラフに取り込まれた相互作用の各々の異常性の程度を記述する視覚情報を含む上記の例では、このような視覚情報は、集約アクティビティグラフに示された相互作用に対して、そのために導出された各々の異常検出スコアに関係なく提供されてもよい。他の例では、集約アクティビティグラフに取り込まれた相互作用の各々の異常性の程度を記述する視覚情報は、各々の異常検出スコアが１つ以上の異常スコア視覚化基準（anomaly score visualization criteria）を満たす相互作用に対してのみ提供されてもよい。これに関して、１つ以上の異常スコア視覚化基準は、各々の異常検出スコアが異常スコア視覚化下限閾値を超える、及び／又は異常スコア視覚化上限閾値よりも小さい異常性の程度を示す相互作用のみに対して、各々の異常検出スコアの視覚化を定義することができる。ここで、１つ以上の異常スコア視覚化基準（例えば、異常スコア視覚化下限閾値及び／又は異常スコア視覚化上限閾値）は、予め定義されたもの又は使用時に定義されたものであってもよく、及び／又はユーザへの視覚的提示のために集約ノード状態データを導出するための要求において指定されてもよい。このような異常検出スコアの選択的な視覚化により、ある程度以上の異常性を有する相互作用を強調することが可能になり、監視対象のコンピュータネットワークに関連するセキュリティ脅威の可能性について、信頼性のあるタイムリーな分析を容易にすることができる。

図５は、センサ１２－ｋ又はバックエンドシステム１６を参照して上述した動作の少なくとも一部を実装するために採用され得る装置２００の一部のコンポーネンントのブロック図を示す。各々の例では、装置２００は、センサ１２－ｋ又はバックエンドシステム１６を実装するために使用されてもよく、又は装置２００はバックエンドシステム１６を実装するために機能する装置のうちの１つとして使用されてもよい。装置２００は、プロセッサ２１０及びメモリ２２０を備える。メモリ２２０は、データ及びコンピュータプログラムコード２２５を記憶することができる。装置２００は、他の装置との有線又は無線により通信するための通信手段２３０、及び／又はユーザＩ／Ｏ（入力／出力）コンポーネンント２４０をさらに含んでいてもよく、ユーザＩ／Ｏコンポーネンント２４０は、プロセッサ２１０及びコンピュータプログラムコード２２５の一部と共に、ユーザからの入力を受け付け、及び／又はユーザに出力を提供するためのユーザインターフェースを提供するように構成されてもよい。特に、ユーザＩ／Ｏコンポーネンントは、１つ以上のキー又はボタン、キーボード、タッチスクリーン、又はタッチパッドなどのユーザ入力手段を含むことができる。ユーザＩ／Ｏコンポーネンントは、ディスプレイ又はタッチスクリーンなどの出力手段を含むことができる。装置２００のコンポーネンントは、コンポーネンント間のデータ及び制御情報の転送を可能にするバス２５０を介して互いに通信可能に結合される。

メモリ２２０及びその中に記憶されたコンピュータプログラムコード２２５の一部は、プロセッサ２１０とともに、装置２００にセンサ１２－ｋ又はバックエンドシステム１６の動作の少なくとも一部の態様を実行させるようにさらに構成されてもよい。プロセッサ２１０は、メモリ２２０からの読み出しとメモリ２２０への書き込みを行うように構成される。プロセッサ２１０は、それぞれ単一のコンポーネンントとして図示されているが、それぞれ１つ以上の別個の処理コンポーネンントとして実装されてもよい。同様に、メモリ２２０は、それぞれ単一のコンポーネンントとして図示されているが、それぞれ１つ以上の別個のコンポーネンントとして実装されてもよく、そのうちの一部又は全部は、一体／取り外し可能であってもよく、及び／又は永続的／半永続的／動的／キャッシュされた記憶装置を提供してもよい。

コンピュータプログラムコード２２５は、プロセッサ２１０にロードされたときに、センサ１２－ｋ又はバックエンドシステム１６の動作の少なくとも一部の態様を実装するコンピュータ実行可能な命令を含むことができる。一例として、コンピュータプログラムコード２２５は、１つ以上の命令の１つ以上のシーケンスからなるコンピュータプログラムを含むことができる。プロセッサ２１０は、その中に含まれる１つ以上の命令の１つ以上のシーケンスをメモリ２２０から読み出すことによって、コンピュータプログラムをロードして実行することができる。１つ以上の命令の１つ以上のシーケンスは、プロセッサ２１０によって実行されたときに、装置２００に、センサ１２－ｋ又はバックエンドシステム１６の動作の少なくとも一部の態様を実行させるように構成されてもよい。したがって、装置２００は、少なくとも１つのプロセッサ２１０と、１つ以上のプログラムのためのコンピュータプログラムコード２２５を含む少なくとも１つのメモリ２２０とを含むことができ、少なくとも１つのメモリ２２０及びコンピュータプログラムコード２２５は、少なくとも１つのプロセッサ２１０と共に、装置２００に、センサ１２－ｋ又はバックエンドシステム１６の動作の少なくとも一部の態様を実行させるように構成される。

コンピュータプログラムコード２２５は、例えば、コンピュータプログラムコード２２５が記憶された少なくとも１つのコンピュータ読み取り可能な非一時的な媒体を含むコンピュータプログラム製品として提供されてもよく、このコンピュータプログラムコード２２５は、プロセッサ２１０によって実行されると、装置２００に、センサ１２－ｋ又はバックエンドシステム１６の動作の少なくとも一部の態様を実行させる。コンピュータ読み取り可能な非一時的な媒体は、メモリデバイス、記録媒体、又はコンピュータプログラムを有形的に実現する別の製品を含んでいてもよい。別の例として、コンピュータプログラムは、コンピュータプログラムを確実に転送するように構成された信号として提供されてもよい。

本明細書におけるプロセッサへの言及は、プログラマブルプロセッサだけでなく、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、特定用途向け集積回路（ＡＳＩＣ）、及び信号プロセッサなどの専用回路も包含するものと理解されるべきである。上述した説明で説明された特徴は、明示的に説明された組合せ以外の組合せで使用されてもよい。

Claims (15)

1. コンピュータネットワークに関連するセキュリティ脅威を監視するための脅威検出ネットワーク（１０）であって、前記脅威検出ネットワーク（１０）は、バックエンドシステム（１６）と、通信ネットワーク（１４）を介して前記バックエンドシステム（１６）に接続された複数のセンサ（１２）と、を備え、
   各センサ（１２－ｋ）が、
   前記コンピュータネットワークの複数のノードの対応する１つにおける１つ以上の予め定義されたイベントの各々の発生を記述するデータを収集し、前記イベントの各々は、対応するノードで動作するサブジェクトエンティティと、前記対応するノードに関連するオブジェクトエンティティとの各々の相互作用を含み、
   １つ以上の予め定義された異常検出（ＡＤ）モデルを適用して、前記収集されたデータにおいて取得された複数の相互作用に対する各々の異常検出スコアを決定し、
   前記収集されたデータにおいて取得された前記複数の相互作用の少なくとも一部を、前記対応するノードにおいて動作する１つ以上のサブジェクトエンティティと前記対応するノードに関連する１つ以上のオブジェクトエンティティとの相互作用を記述するローカルアクティビティグラフに構成し、
   前記ローカルアクティビティグラフに取り込まれた各々の相互作用に対して決定された前記異常検出スコアに応じて、前記ローカルアクティビティグラフの１つ以上の部分を、対応するノード状態データとして前記バックエンドシステム（１６）に選択的に送信し、
   前記バックエンドシステム（１６）は、前記複数のセンサ（１２）のうちの１つ以上から受信した各々のノード状態データに基づいて 、前記コンピュータネットワークに関連する前記セキュリティ脅威を記述する１つ以上のセキュリティパラメータを導出するように構成される、
   脅威検出ネットワーク（１０）。
2. 前記１つ以上の予め定義されたイベントは、
   前記対応するノードで動作する各々の予め定義されたサブジェクトエンティティによって実行される相互作用を含む１つ以上のイベント、
   前記対応するノードに関連する各々の予め定義されたオブジェクトエンティティに与えられる相互作用を含む１つ以上のイベント、及び、
   前記対応するノードで動作するサブジェクトエンティティによって実行され、かつ前記対応するノードに関連する各々の予め定義されたオブジェクトエンティティに与えられる、各々の予め定義された相互作用を含む１つ以上のイベント、
   のうちの１つ以上を含む、請求項１に記載の脅威検出ネットワーク（１０）。
3. 前記センサ（１２－ｋ）は、前記１つ以上の予め定義されたイベントの検出された発生を、前記ローカルアクティビティグラフを定義する情報に結合するように構成され、
   前記ローカルアクティビティグラフは、
   各々が、前記対応するノードで動作するサブジェクトエンティティ及び／又は前記対応するノードに関連するオブジェクトエンティティを表す複数の頂点と、
   各々が、第１の頂点を第２の頂点に接続し、前記第１の頂点によって表される前記サブジェクトエンティティにより、前記第２の頂点によって表されるオブジェクトエンティティに与えられる相互作用を表す複数のエッジと、を含む、
   請求項１又は請求項２に記載の脅威検出ネットワーク（１０）。
4. 特定の相互作用について決定された前記異常検出スコアは、前記各々の相互作用の異常性の程度を記述する、請求項１から請求項３までのいずれか１項に記載の脅威検出ネットワーク（１０）。
5. 前記各々の相互作用の異常性は、前記各々の相互作用のサブジェクトエンティティ、前記各々の相互作用のオブジェクトエンティティ、及び／又は前記各々の相互作用の特徴に関連し得る、請求項４に記載の脅威検出ネットワーク（１０）。
6. 前記ノード状態データは、前記各々の異常検出スコアが予め定義された異常閾値を超える異常性の程度を示す前記ローカルアクティビティグラフの１つ以上の部分を定義する情報を含む、請求項１から請求項５までのいずれか１項に記載の脅威検出ネットワーク（１０）。
7. 前記ノード状態データは、前記ローカルアクティビティグラフの１つ以上のサブグラフを定義する情報を含む、請求項１から請求項６までのいずれか１項に記載の脅威検出ネットワーク（１０）。
8. 前記ノード状態データは、前記ローカルアクティビティグラフの前記１つ以上の部分について導出された異常検出スコアをさらに含む、請求項１から請求項７までのいずれか１項に記載の脅威検出ネットワーク（１０）。
9. 前記バックエンドシステム（１６）は、前記複数のセンサ（１２）のうちの前記１つ以上から受信した前記各々のノード状態データに基づいて、前記コンピュータネットワークに関連する前記セキュリティ脅威の存在及び不存在の一方を示すセキュリティパラメータを決定するように構成されている、請求項１から請求項８までのいずれか１項に記載の脅威検出ネットワーク（１０）。
10. 前記バックエンドシステム（１６）は、前記複数のセンサ（１２）のうちの前記１つ以上から受信した前記各々のノード状態データを、ユーザに視覚的に提示するための集約ノード状態データに結合するように構成されている、請求項１から請求項９までのいずれか１項に記載の脅威検出ネットワーク（１０）。
11. 前記集約ノード状態データは、前記コンピュータネットワークの前記複数のノードの１つにおいて実行される複数のプロセスによる相互作用を記述する集約アクティビティグラフを含む、請求項１０に記載の脅威検出ネットワーク（１０）。
12. 前記集約アクティビティグラフは、
    各々が、前記コンピュータネットワークの前記複数のノードの１つで動作するサブジェクトエンティティ及び／又は前記コンピュータネットワークの前記複数のノードの１つに関連するオブジェクトエンティティを表す複数の頂点と、
    各々が、第１の頂点を第２の頂点に接続し、前記第１の頂点によって表されるエンティティにより、前記第２の頂点によって表されるエンティティに与えられる相互作用を表す複数のエッジと、を含む、
    請求項１１に記載の脅威検出ネットワーク（１０）。
13. 前記集約アクティビティグラフは、前記集約アクティビティグラフで定義される前記相互作用の少なくとも一部の異常性の程度の各々の視覚的提示を含む、請求項１１又は請求項１２に記載の脅威検出ネットワーク（１０）。
14. 前記集約アクティビティグラフは、前記コンピュータネットワークの前記複数のノードにわたる相互作用の各々の表現を含み、前記各々の異常検出スコアは、１つ以上のイベント視覚化基準を満たす異常性の程度を示す、請求項１１から請求項１３までのいずれか１項に記載の脅威検出ネットワーク（１０）。
15. コンピュータネットワークに係るセキュリティ脅威を監視するための方法（１００）であって、脅威検出ネットワーク（１０）は、バックエンドシステム（１６）と、通信ネットワーク（１４）を介して前記バックエンドシステム（１６）に接続された複数のセンサ（１２）と、を備え、
    前記方法（１００）は、前記複数のセンサ（１２）において、
    各々のセンサ（１２－ｋ）において、前記コンピュータネットワークの複数のノードの対応する１つにおける１つ以上の予め定義されたイベントの各々の発生を記述するデータを収集すること（１０２）であって、前記イベントの各々が、対応するノードにおいて動作するサブジェクトエンティティと前記対応するノードに関連するオブジェクトエンティティとの各々の相互作用を含む、データを収集すること（１０２）と、
    前記各々のセンサ（１２－ｋ）において、１つ以上の予め定義された異常検出（ＡＤ）モデルを適用して、前記収集されたデータにおいて取得された複数の相互作用に対する各々の異常検出スコアを決定すること（１０４）と、
    各々のセンサ（１２－ｋ）において、 前記収集されたデータにおいて取得された前記複数の相互作用の少なくとも一部を、前記対応するノードにおいて動作する１つ以上のサブジェクトエンティティと前記対応するノードに関連する１つ以上のオブジェクトエンティティとの相互作用を記述するローカルアクティビティグラフに構成すること（１０６）と、
    前記ローカルアクティビティグラフに取り込まれた各々の相互作用に対して決定された前記異常検出スコアに応じて、前記各々のセンサ（１２－ｋ）から、前記ローカルアクティビティグラフの１つ以上の部分を、対応するノード状態データとして前記バックエンドシステム（１６）に選択的に送信すること（１０８）と、を含み、
    前記方法（１００）が、前記バックエンドシステム（１６）において、前記複数のセンサ（１２）のうちの１つ以上から受信した各々のノード状態データに基づいて、前記コンピュータネットワークに関連する前記セキュリティ脅威を記述する１つ以上のセキュリティパラメータを導出すること（１１０）をさらに含む、
    方法。