JP4501280B2 - ネットワークおよびコンピュータシステムセキュリティを提供する方法および装置 - Google Patents

Description

【０００１】
（優先権）
本出願は、１２／９／９８に出願された米国仮出願第６０／１１１，６３８号の利益を主張する。
【０００２】
（発明の背景）
（発明の分野）
本発明は、データネットワーク管理に関する。より詳細には、本発明は、データネットワークリソースの非認証の使用を検出し、それを防止する改良されたシステムおよび方法に関する。
【０００３】
（関連技術の説明）
会社および民間の団体の両方によるデータネットワークの急速な使用の増加により、改良されたセキュリティおよびネットワーク管理技術の必要性が生じている。今日、団体は、業務上の秘密、販売戦略、金融書類、および機密技術情報を含む相当量の秘密情報をネットワークサーバおよびワークステーションに格納する。このような情報の一般への露見は、多くの場合、その団体へ深刻なダメージをもたらすことになる。
【０００４】
機密の情報がネットワークから読み出される危険性に加え、好ましくない情報がネットワークに記載される危険性もある。例えば、現在利用可能なセキュリティシステムを回避する方法の実務上の知識をもった、コンピューターハッカー（例えば、権限のないユーザー）は、ネットワークサーバーおよびワークステーションをクラッシュさせたり、価値のあるデータを破壊したり、ネットワークにコンピュータウィルスをアップロードしたりできる。従って、この種のデータネットワーク侵入を防ぐために、企業は年を追って、数百万ドルも費やすことを強いられる。
【０００５】
ある種のネットワークの誤用に対処する、ひとつのシステムは、一般に「ファイアウォール（ｆｉｒｅｗａｌｌ）」といわれる。一般に、ファイアウォールはローカルエリアネットワーク（以後「ＬＡＮ」）と他の外部のネットワークすべて（例えば、インターネット）との間に置かれる。ファイアウォールは、内部および外部からのデジタル情報すべてを分析し、その情報を、通過させるべきか捨てるべきかを判断する。ファイアウォールは、この分析を行うネットワーク管理者によって用意された一つ以上のアルゴリズムを使用する。例えば、ネットワーク管理者は受け入れ可能なソースおよびネットワークトラフィックの目的アドレスをリストアップしたテーブルを構成してもよい。リストアップされないソースまたは目的地までをアドレス化されたトラフィックは、ファイアウォールによってフィルタリングされ、捨てられる。
【０００６】
ファイアウォールは種々の理由のために、コンピュータハッカーに対して防御が十分ではない。一つの主な理由は、コンピュータハッカーによって起こされる脅威は、単に外部のみではないが、ファイアウォールは外部の世界から複数のＬＡＮのみを防御するということである。実際、潜在的なコンピュータハッカーの大多数は、内部のコンピュータユーザである。彼らの大半は、すでにＬＡＮへのアクセス権を持っている。個人ユーザは、通常、ＬＡＮリソースへの限定されたアクセス権のみ提供されるが、ユーザーは他のユーザーのパスワードを流用すること（または他の公知のコンピューターハッキング技術を使用すること）により、さらなるリソースへのアクセス権を不正に得ることができる。
【０００７】
ファイアーウォールに関連する２番目の問題は、それらは、本質的に静止しているということであり、適切に動作するために、ネットワーク管理者による継続的なアップデートが必要である。もし、コンピューターハッカーがファイアーウォールを突破するのに必要な情報（すなわち、合法的なソースから生じたデータとしてハッカーのデータを偽るのに必要とされる情報）を得るなら、コンピュータハッカーは、ＬＡＮのリソースへのアクセス権を得る。ファイアーウォールの持つ、もうひとつの重大な問題は、それらは、あまりにも単純化した様式でデータを排除するということである。データは通過するまたは破棄されるかのどちらかである。入ってくるまたは出て行くデータについては、データの作成者−ファイアーウォールに対し偽っている可能性のある者−がＬＡＮへのリソースを誤用しようと試みているかどうかを決定するためのさらなる分析は実行されない。
【０００８】
ファイアーウォールによって提供される限られた防御範囲を増強するために使用されてきた一つの技術は、「誤用検出（ｍｉｓｕｓｅ ｄｅｔｅｃｔｉｏｎ）」と呼ばれている。誤用検出はネットワークコンピュータ上の非認証または不適切な動きをモニターし、レポートするプロセスである。例えば、米国特許Ｎｏ．５，５５７，７４２のＳｍａｈａ（以後「Ｓｍａｈａ」と呼ぶ）は、所定の（誤用サイン「ｍｉｓｕｓｅ ｓｉｇｎａｔｕｒｅｓ」）を適用することにより、誤用条件を検出し、ネットワークにつながれたコンピュータの既知の誤用を識別プロセスを開示する。誤用サインの一例は、ネットワークコンピュータへ、４回ログインを失敗した後、ログインに成功する（Ｓｍａｈａのコラム１２の１２−１３行を参照）というものである。
【０００９】
この種のシステムの一つの限界は、それ（ファイアウォールのような）は、本質的に静止しており、連続的なアップデートを必要とするということである。したがって、新たな「誤用サイン」が発見されると、プログラマーまたはネットワーク管理者が、頻繁に検出システムにそれらを組み込まなけれなければならない。新たな「誤用サイン」の手動的な組込みを必要とするということは、非効率であり、経験を積んだコンピュータハッカーに、ハッカー特有の「誤用サイン」が判断されるまでネットワークリソースへのアクセスを許すことになる。
【００１０】
例えば、Ｓｍａｈａのような従来技術の誤用検出システムが持つさらなる問題は、一度潜在的な誤用条件が認められると、ネットワークは、その条件に応じるように性能が限られるということである。例えば、上記に記載されたように、一度潜在的なハッカーが４回、ネットワークに繋がれたコンピュータにログインしようとして失敗すると、ネットワークに繋がれたコンピュータは、そのハッカーに、そのリソースへのアクセス権を単純に拒否するだけで、むしろ、そのハッカーについてのさらなる情報を取得する行動を取り、そのハッカーについてネットワーク上の他のコンピュータに警告はしない。逆に、４回ではなく、３回のログイン失敗（その後、１回のログイン成功）が検出されるなら、Ｓｍａｈａは、強固にされたセキュリティレベル（つまり、中間レベル）（ここでは、ネットワークコンピュータにアクセス権を提供する前に、そのシステムにさらなる情報が潜在的なハッカーから集められること）にシステムを引き上げるメカニズムを開示しない。
【００１１】
例えば、Ｓｍａｈａのような従来技術の誤用検出システムが持つさらなる問題は、自動化システムが疑いのあるような動作を識別しうるのみであり、最終的に、意図的な誤用の試みまたはアクシデント（例えば、ユーザのパスワード誤入力）または通常の出来事（例えば、ネットワーク管理者が、ネットワークパフォーマンスをモニタするためにｐｉｎｇを使用）を区別できないということである。このように、従来技術の誤用検出システムは、疑いのあるイベント全てを記録し、顕著な記録を発見するには、「偽陽性（ｆａｌｓｅ−ｐｏｓｉｔｉｖｅｓ）」を通り抜けるオペレータの知識に頼っている。
【００１２】
（発明の要旨）
製造品は、コンピュータ読み出し可能媒体に記憶された命令のシーケンスを含むことを開示される。そして、ネットワークノードによって実行された時、ネットワークノードは次の動作、疑いノードから生じたデータ転送に基づく警告変数の変更、前述の可変変数が第１の所定の閾値レベルに達する時、第１のレスポンスをトリガーとし、前述の可変変数が第２の所定の閾値レベルに達する時、第２のレスポンスをトリガーとするようにする。
【００１３】
添付の図面を参照しながら、以下の詳細な説明を考慮することにより、本発明が、より良く理解される。
【００１４】
（好適な実施形態の詳細な説明）
ネットワークリソースの悪用を検出し、防止するネットワーク管理を助ける改良されたシステムおよび方法が必要とされる。より具体的には、ネットワーク動作の変化に合わせて、自身をダイナミックに調節する総合的な侵入検出および応答システムが必要とされる。また、順次高くなる各警告レベルが、悪用されているネットワークコンピュータからの、対応する高められたセキュリティー応答を引き起こす、複数の警告レベルを実現する侵入検出および応答システムも、必要とされる。また、システムおよびネットワークレベルの両方について、このような高められた警告レベルを組み込むシステムも必要とされる。また、低コストで実現され得、現行のハードウェアおよびソフトウェア（すなわち、ネットワークコンピュータ）を用いる侵入検出および応答システムも必要とされる。また、擬陽性を積極的にフィルタリングし、かつ、攻撃を識別するために必要な情報を記録する侵入検出および応答システムも必要とされる。
【００１５】
（一般的なネットワーク構成）
図１は、概して、複数のノード（例えば、１１０、１２５）が、通信に用いるローカルエリアネットワーク（以下「ＬＡＮ」と呼ぶ）１０５を表す。ＬＡＮ１０５のノードには、サーバ１２５、複数のワークステーション１１０、１１４、１１６および１１８、ならびにファイヤーウォール１１５が含まれる。ＬＡＮ１０５は、ゲートウェイ１２０を介して、より大きいネットワーク１３０（例えば、インターネット）と通信する。１つの実施形態におけるゲートウェイ１２０は、必要に応じて、ＬＡＮ１０５およびネットワーク１３０の異なるネットワークプロトコル間で変換する。
【００１６】
第２のＬＡＮ１４５および複数のノード１４０が、第２のゲートウェイ１３５を介して、ネットワーク１３０と通信しているところを示す。インターネットサービスプロバイダ（以下、「ＩＳＰ」と呼ぶ）１５０が、ネットワーク１３０を介して通信しているところを示す。ノード１５５は、例えば、標準電話接続、あるいはＩＳＤＮまたはケーブルモデム接続を含む様々な方法で、ＩＳＰ１５０と通信し得る。
【００１７】
ＬＡＮ１０５の、各ワークステーション１１０、１１４、１１６、および１１８、ならびにサーバ１２５は、本明細書中で記述されている侵入検出システムの機能を実現するソフトウェアが実行される際に用いられるプロセッサおよびメモリを備えるコンピュータである。このようなコンピュータシステムは、磁気ディスク、ランダムアクセスメモリ、リードオンリーメモリ、搬送波、信号などのような機械読み取り可能媒体を用いるコードおよびデータを格納し、（内部で、またはネットワークを介して他のコンピュータシステムと）通信する。さらに、本発明の一部がソフトウェアにおいて実現される１つの実施形態が説明されるが、代替的な実施形態は、ソフトウェア、ファームウェア、および／またはハードウェアの任意の組合せを用いるこれらの部分を１つ以上実現し得る。
【００１８】
また、各ワークステーション１１０、１１４、１１６、および１１８、ならびにサーバ１２５は、ネットワーク化されたコンピュータ１１０、１１４、１１６、および１１８、ならびにサーバ１２５の各々がＬＡＮ１０５でデータを送信することを可能にする、ハードウェアおよび／またはソフトウェアからなるネットワークインターフェース１１２を含む。１つの実施形態において、ネットワークインターフェース１１２のハードウェア部分は、ネットワーク化されたコンピュータ１１０のＩ／Ｏバスに接続されたネットワークインターフェースカードである。
【００１９】
（悪化レベル）
（Ａ．ターゲット悪化）
本明細書中で用いられる、「事象」は、ネットワークノードによる、特定のタイプのデータ伝送の受信のことである。データは、以下で「ターゲットノード」または「ターゲット」と呼ばれるネットワークノード（例えば、ワークステーション１１０、１１４、１１６、１１８、サーバ１２５、ファイヤーウォール１１５、ゲートウェイ１２０、ＩＳＰ１５０など）によって受信される。データ送信は、以下で「容疑対象ノード（ｓｕｓｐｅｃｔ ｎｏｄｅ）」または「容疑対象（ｓｕｓｐｅｃｔ）」と呼ばれる他のネットワークノードから発生する。特定のタイプの事象は、システムセキュリティーの観点からは、本質的に疑わしい。例えば、容疑対象ノードから、ターゲットノードへの無効のユーザＩＤまたはパスワードの送信は、認証されていないユーザがターゲットノードにアクセスしようと試みていることを示し得る。さらに、比較的短い時間の間にログイン失敗が続くと、１回のログイン失敗と比較すると、実質的により大きな容疑対象ノードの疑いを生じさせる。なぜなら、１回のログイン失敗は、概して、認証されたユーザが、容疑対象ノードから、ユーザＩＤまたはパスワードを誤ってタイプした結果である。しかし、連続的な無効ログインのそれぞれの試みでは、容疑対象ノードのユーザが単に間違ったという可能性が実質的に低くなり、ユーザが、ターゲットノードへの認証されていないアクセスをしようと試みている可能性が高くなる。
【００２０】
この問題に対処するために、本システムの１つの実施形態において、各ターゲットノードについて、自己修正警告レベルが提供される。本明細書中で「悪化レベル」と呼ばれる警告レベルは、ターゲットノードに到達する事象、およびターゲットノードに以前に到達した事象の履歴に応答して、ダイナミックに変化する。ターゲットノードは、自身の現在の悪化レベルに、異なるように依存する新たな事象に対して反応し得る。
【００２１】
例えば、図３は、本システムの１つの実施形態におけるターゲットノードの悪化レベルが、複数の閾値レベル３１０〜３５０を通じてどのように変化するかを示すグラフである。以下の説明のために、図３において、時間が増加（ｘ軸に沿って右方向）するにつれて、ターゲットノードが、１つ以上の容疑対象ノードから、連続的な無効ログイン事象を受け取ることが仮定される。各閾値は、何らかのアクションを取るトリガーである。例えば、曲線３６０で示すように、悪化レベルが増大するにつれて、第１の悪化閾値は、閾値３１０に達する。１つの実施形態において、閾値３１０で、ターゲットノードは、全ての流入事象について受動的走査を開始する。例えば、ターゲットノードは、事象ログファイルに、同時の流入事象の記録を開始し得、侵入の実態が識別され得る。事象の例には、ウェブサーバの「ヒット」（ファイルアクセス）、メールコマンド、ポートスキャン、および容疑対象からターゲットへのｐｉｎｇが含まれる。
【００２２】
次の悪化閾値、閾値３２０で、１つの実施形態のターゲットノードは、容疑対象ノードについての識別情報を入手する試みにおいて、事象の原因となる容疑対象ノードの走査を能動的に開始する。能動的走査の一例は、「フィンガー」コマンドである。フィンガーコマンドは、他の情報の中でも、容疑対象ノードのネットワークアドレスおよび容疑対象ノードに現在ログインしているユーザの識別情報を戻す。この悪化閾値において、ターゲットもまた、新たな事象について自身の受動的走査を増大させ得る。従って、悪化閾値３２０で、ターゲットは、容疑対象についての情報を能動的に入手することを開始し得、新たな事象に関連するログインも増大させ得る。
【００２３】
ターゲットが１つ以上の容疑対象からログイン失敗を受け取り続ける場合、自身の悪化レベルは、閾値３３０に達する。ここで、１つの実施形態のターゲットは、より攻撃的な容疑対象の能動的走査を開始する。例えば、「追跡ルート」コマンドを用いて、ターゲットは、容疑対象から発生したデータが取った完全なネットワークルートを確かめることを試み得る。従って、再度図１を参照すると、ターゲットノードが、ＬＡＮ１０５上のノード１１０であり、容疑対象ノードがＬＡＮ１４５上のノード１４０である場合、追跡ルートコマンドは、ネットワーク１３０を介して、容疑対象とターゲットとの間の通信経路をトレースする（すなわち、間にある全てのルーターのネットワークアドレスを報告する）。さらに、ターゲットは、シンプルネットワーク管理プロトコル（「ＳＮＭＰ」）を用いる容疑対象のデータリンクアドレス（別名、媒体アクセスコントロールアドレス）について、容疑対象のローカルゲートウェイ、この実施例においては、ゲートウェイ１３５をクエリし得る。より具体的には、ＳＮＭＰを介しての識別は、ｉｆＥｎｔｒｙフィールドの表の「次を入手」掃引からなり得る。
【００２４】
ターゲットの悪化が、閾値３４０に達するので、１つの実施形態におけるターゲットは、さらなる工程をとって、認証されていない容疑対象に自身のリソースへのアクセスを提供しないことを確実にする。この閾値レベルで、ターゲットは、容疑対象にアクセスを提供する前に、容疑対象からのさらなる認証情報を要求し得る。例えば、容疑対象が、適切なログイン情報（すなわち、適切なユーザＩＤおよびパスワード）をターゲットに伝送する場合、ターゲットは、「無効ログイン」応答を容疑対象に初期的に返信し得る。容疑対象が、適切なログイン情報を再度伝送する場合のみ、ターゲットは、容疑対象にアクセスを提供する。この様式で二重ログオンを強制することによって、ターゲットは、容疑対象が、自動ログインスクリプト、すなわち、ユーザＩＤおよび／またはパスワードの連続を実行して、有効な組合せを判定しようとするスクリプトを用いることによって、認証されていないアクセスを得ることを防止する。
【００２５】
最も高い悪化閾値、閾値３５０で、ターゲットは、多くの連続的なログイン失敗事象を受信し、認証されていない容疑対象がリソースへアクセスしようと試みている可能性が過度に高くなる。従って、この悪化レベルで、ターゲットは、（例えば、全てのもの、ＬＡＮの外部にある全てのもの、所与のセットの容疑対象などからの）流入事象をブロックする最終工程をとって、全ての容疑対象に対して、リソースへのアクセスを拒否し得る。また、ターゲットは、単なる識別を超えて、能動的走査測定、例えば、容疑対象をシャットダウンするために、「ｐｉｎｇ−ｏｆ−ｄｅａｔｈ」を送信することを決定し得る。
【００２６】
上記の説明を通じて、所定の悪化閾値レベルでの特定のターゲットノード反応を説明した。しかし、本発明の代替的な実施形態は、本発明の基礎をなす原理から逸脱することなく、より高いタイプ、より低いタイプ、および異なるタイプの閾値および閾値反応などを用い得る。例えば、上記の実施形態が、閾値３２０で「フィンガー」コマンド、および閾値３３０で「追跡ルート」コマンドを用いるが、任意の代替的／さらなる能動的走査技術（例えば、「ｉｄｅｎｔｄ」または「ｐｉｎｇ」コマンド）が、本発明の範囲から逸脱することなく、この段階で実現され得る。さらに、ターゲットノード反応の異なる組合せが、同様に、採用され得る。例えば、容疑対象からのトラヒックの全てのバイトのログを取る、完全パケット捕捉のような、能動的走査技術と共に、閾値レベル３１０〜３４０の各々で、さらなる受動的走査技術が実現され得る。
【００２７】
さらに、上記の様々な閾値レベルは、異なる数式を用いて、計算され得る。例えば、新たな事象がターゲットノードに到達する場合、事象「Ａ₁」に関連する悪化の値は、Ａ₁＋Ａ＞Ｔの場合にのみ閾値が引き起こすように、ターゲット「Ａ」の現在の悪化に単に加えられる。あるいは、０．５Ａ₁＋２Ａ＞０．７５Ｔのような式は、現在のターゲット悪化レベルを２倍するように加えられる事象悪化レベルの半分をとり、結果を閾値レベルの４分の３と比較する。
【００２８】
さらに、図３の曲線３７０によって示すように、異なるタイプの事象は、時間が経つにつれて、異なるターゲット反応を引き起こし得る。例えば、ターゲット悪化レベルは、一連のログイン失敗が連続する間、最大閾値３５０より高い値を維持するが、例えば、一連の「ｐｉｎｇ」が連続する間にわたって、低減し得る。「パケットインターネットグローパー（Ｐａｃｋｅｔ Ｉｎｔｅｒｎｅｔ Ｇｒｏｐｅｒ）」の短縮形である「ｐｉｎｇ」は、特定のネットワークアドレスのノードがオンラインであるかどうか判定するために用いられるコマンドである。従って、パケットを送信し、応答を待つことによって、ネットワークをテストまたはデバッグするために、しばしば用いられる。本システムの１つの実施形態において、ターゲットに向けられる一連のｐｉｎｇは、容疑対象が、ターゲットのセキュリティーシステムをかわすか、ディセーブルするように試みる前に、ターゲットのネットワークアドレスを照合するようにターゲットをｐｉｎｇし得るので、ターゲットの悪化レベルを初期的に増大させる。
【００２９】
従って、曲線３７０に示すように、ターゲットは、初期的には、ログイン失敗を受け取る場合と同じ悪化で反応し得る（すなわち、曲線３６０および３７０は、初期的には重なる）。しかし、時間が経つにつれて、ターゲットがｐｉｎｇを受け取り続けても、悪化レベルは低減され得る。これは、時間が経つにつれて、ターゲットをｐｉｎｇする容疑対象が、ターゲットに認証されていないアクセスをしようと試みている可能性が次第に低くなるからである。例えば、容疑対象は、実行中のネットワーク管理ソフトウェアであり、数分ごとにｐｉｎｇを送ることによって、ターゲットノードの応答時間を単に監視しているだけであり得る。あるいは、ネットワーク管理者は、ネットワーク上の様々なノードをｐｉｎｇして、ネットワークの一部の問題解決を行う。このように、容疑対象が、延長された期間にわたって、ターゲットをｐｉｎｇする場合、容疑対象は、正当な目的のためにターゲットをｐｉｎｇする可能性が高い。
【００３０】
さらに、曲線３６０および３７０は、異なるタイプの事象について同じ速度で悪化レベルが変化する場合の一例を示すが、代替的な実施形態は、事象のタイプに基づいて、変化の速度が変動し得る。
【００３１】
（Ｂ．ネットワーク悪化）
ネットワーク上の個別のターゲットノードの各々についての悪化レベルを維持することに加えて、悪化レベルは、ネットワーク全体についても維持され得る（以下、「ネットワーク悪化レベル」という）。例えば、システムは、サーバ１２５が各ターゲットの現在の悪化レベルを受け取るように構成され得る。特に、サーバ１２５は、所定の期間間隔で、ＬＡＮ１０５上のターゲットノード１１０、１１４、１１６、および１１８の各々にクエリして、各ターゲットの現在の悪化レベルを記録するように構成され得る。あるいは、または、さらに、各ターゲットは、現在の悪化レベルを、所定の期間間隔で、またはターゲットの悪化レベルが１つの閾値から他の閾値に遷移する場合、（サーバ１２５からまずリクエストを受け取ることなしに）サーバ１２５に能動的に通信し得る。
【００３２】
ネットワーク悪化レベルは、個別のターゲット悪化レベルを単に平均することによって、計算され得る。あるいは、ターゲット悪化レベルとのいくつかの他の数学的関係を生みだし得る。例えば、個別のターゲット悪化（容疑対象がターゲットに対する攻撃を開始することを示し得る）におけるかなり短い期間の変化のみ応答するように構成される。
【００３３】
ネットワーク悪化レベルがどのように計算されるかに関わらず、複数の異なる様式で用いられ得る。例えば、第１のネットワーク悪化閾値は、ＬＡＮ１０５上の全てのターゲットノードに、二重ログインを（上記したように）要求することを強制させ得る。第２のネットワーク悪化閾値は、ネットワークトラヒックをブロックするように設定され得る。例えば、ネットワーク悪化レベルが、特定の閾値に達する場合、サーバ１２５は、ゲートウェイ１２０に全ての流入トラヒックをディセーブルさせ得る。この実施形態において、サーバ１２５は、内部の容疑対象（すなわち、ＬＡＮ１０５上に存在する）および外部の容疑対象（すなわち、ネットワーク１３０にわたって存在する）から得られるターゲット悪化との間に差を付けるように構成され得る。これを達成するため、サーバ１２５は、内部ネットワーク悪化レベルおよび外部ネットワーク悪化レベルを維持し得る。この実施形態におけるサーバは、外部の容疑対象悪化レベルが特定の閾値に達する場合のみ、ゲートウェイ１２０を通じてデータトラヒックをディセーブルする。
【００３４】
（Ｃ．容疑対象特定および全体のターゲット悪化）
他の実施形態において、ＬＡＮ１０５上の各ターゲットノード（すなわち、ワークステーション１１０および／またはサーバ１２５）は、通信する（すなわち、事象が起こる）各容疑対象ノードについて、一意的な悪化レベルを維持する。この悪化レベルは、本明細書中で、「容疑対象特定悪化」といわれる。各個別の容疑対象ノードについて、容疑対象特定悪化を維持することに加えて、ターゲットノードは、本明細書中で「ターゲット悪化」または「全体のターゲット悪化」と呼ばれる、全体の悪化レベルをも維持し得る。
【００３５】
ある特定の時間の間、様々な容疑対象特定悪化レベルと、全体の悪化レベルとの間に相関が存在するが、この相関は常に存在するわけではない。より具体的には、全体のターゲット悪化は、主に新たな事象に対して反応し、容疑対象特定悪化は、新たな事象および古い事象の両方に反応する。
【００３６】
１つの実施形態の２つの異なる悪化の間の関係を、図４を参照しながら、次に説明する。図４に示すように、容疑対象Ａが、ターゲットノードへの一連の不成功なログインの試みを時間ｔ＝０で開始する場合、容疑対象Ａに向けられるターゲットの悪化レベル（曲線４１０で示す）は、不成功の試みごとに増大する。容疑対象Ａについて、ターゲットの容疑対象特定悪化は、（図３を参照しながら、上で説明したように）１つ以上の閾値４５０〜４５５を通じ、ほぼ悪化値４６０で最大値（１００％の悪化を表す）を示して水平になる。容疑対象Ａに向けられるターゲットの悪化は、容疑対象Ａから連続的なログイン失敗を受け取る限り、このレベルで維持される。実際に、容疑対象Ａからのログイン失敗がなくなった後も、１つの実施形態における容疑対象特定悪化は、ターゲットがネットワーク管理者または自動リセットメカニズムによってリセットされるまで、１００％で維持される。
【００３７】
図４に、全体のターゲット悪化を表す曲線４２０も示す。一般的なターゲット悪化を表す全体のターゲット悪化は、全ての容疑対象からの流入事象に対して反応する。さらに、全体のターゲット悪化閾値（例えば、４５０、４５４、および４５５）によって、（容疑対象特定閾値の場合における特定の容疑対象ではなく）、全ての容疑対象に向けられる異なる反応タイプが生じ得る。従って、容疑対象Ａが、ターゲットへログインすることを不成功に連続的に試みる場合、全体のターゲット悪化は、容疑対象Ａの容疑対象特定悪化に沿って、初期的に増大する。従って、全体のターゲット悪化（曲線４２０）が、悪化閾値４５０に達する場合、ターゲットは、（特定の容疑対象から発生される事象を単に走査するだけでなく）、全ての流入事象の受動的走査を行い得る。同様に、全体のターゲット悪化が、閾値４５４に達する場合、ターゲットは、全ての容疑対象からの増大した認証を要求し得、ターゲットは、閾値４５５で、全ての容疑対象との通信をブロックし得る。
【００３８】
従って、４７０で、第２の容疑対象、容疑対象Ｂが、ターゲットノードを初期的にｐｉｎｇする場合、ターゲットノードは、ターゲットの全体の悪化レベルが閾値４５５より高いので、ｐｉｎｇに応答し得ない（すなわち、ターゲットは、全ての容疑対象との通信をブロックしている）。容疑対象Ｂがターゲットを最初にｐｉｎｇする時点なので、この時点では、容疑対象Ｂについての容疑対象特定悪化レベル４３０が低いことに留意されたい。
【００３９】
しかしながら、結果として、全体のターゲット悪化レベルは、低減し始める。上述したように、全体のターゲット悪化は、長い期間にわたって連続的に観察されていない事象によって、より影響を受けるが、容疑対象特定悪化は、長期および短期事象の両方に対して反応する。この動作の背後にある論理としては、延長された期間にわたって、１つの容疑対象（または少数の容疑対象）のみによって、ターゲットが悪化する場合、ターゲットは、全ての容疑対象について疑う必要はなく、悪化を起こす容疑対象のみを疑えばよい。
【００４０】
さらに、容疑対象Ａに向けられるターゲットの特定悪化が閾値４５５を超えているので、ターゲットは、容疑対象Ａとの通信をブロックする工程をとる。従って、ログイン失敗の原因となる１つの容疑対象がブロックアウトされているので、ターゲットが高められた全体のターゲット悪化を維持する必要はもはやない。
【００４１】
容疑対象Ｂがターゲットを（４８０で）ｐｉｎｇする第２の時点で、全体のターゲット悪化は、十分低いので、ここで、ターゲットはｐｉｎｇに応答し得る。曲線４３０および４４０に示すように、容疑対象Ｂの両方のｐｉｎｇは、ターゲットの容疑対象Ｂに向けられる容疑対象特定悪化、および全体のターゲット悪化レベル４２０を増大させる。悪化レベルにおける増大は、ターゲット悪化レベルに関連し得る。事象４７０は、システムがより高感度な状態なので、事象４８０より悪化させ得る。
【００４２】
図５は、本発明の他の実施形態による、全体のターゲット悪化応答および容疑対象特定ターゲット悪化応答を示すグラフである。図４と図５との間の主な違いは、ターゲットの容疑対象Ａに向けられる容疑対象特定悪化の動作（曲線５１０で示す）である。この実施例における容疑対象Ａは、連続的にログイン失敗を起こすのではなく、ターゲットを連続的にｐｉｎｇする。従って、容疑対象から一連のｐｉｎｇを受け取ることと、容疑対象から一連の無効ログインを受け取ること（図２に関してより詳細に上述されている）との異なる意味合いに起因して、ターゲットの容疑対象Ａに向けられる容疑対象特定悪化は、時間が経つにつれて、全体のターゲット悪化に沿って結果的に低減する。
【００４３】
（Ｄ．容疑対象特定および全体のネットワーク悪化）
１つの実施形態における個別のターゲットの各々が、全体のターゲット悪化レベル、および１つ以上の容疑対象特定ターゲット悪化レベルを維持するように、１つの実施形態におけるサーバ１２５は、「全体のネットワーク悪化」レベルおよび別個の「容疑対象特定ネットワーク悪化」レベルを維持する。
【００４４】
図６のグラフに、容疑対象特定ネットワーク悪化レベル（曲線６００）が、無効ログインおよび容疑対象ＡからＬＡＮ１０５上のターゲットノード１１０、１１４、１１６および１１８に向けられるｐｉｎｇに対してどのように反応し得るかを示す。６０５で、容疑対象Ａは、ターゲット１１０をｐｉｎｇする。結果として、ターゲット１１０の容疑対象Ａに向けられる容疑対象特定悪化は、初期的には、容疑対象Ａに向けられる容疑対象特定ネットワーク悪化レベル（曲線６００）と一致する曲線６１０が示すように増大する。容疑対象Ａのｐｉｎｇによって、容疑対象特定ネットワーク悪化レベルが閾値６６０を越える。
【００４５】
上述したように、閾値６６０は、サーバ１２５ならびに／あるいはターゲットノード１１０、１１４、１１６、および１１８からの任意の数の応答を引き起こすように設定され得る。例えば、この閾値で、サーバ１２５は、ＬＡＮ１０５またはネットワーク１３０の全ての容疑対象の受動的走査を開始し得る。他の実施形態において、サーバ１２５は、容疑対象Ａ自身の任意の受動的走査を行わない。むしろ、特定の容疑対象についての容疑対象特定ネットワーク悪化レベルが、受動的走査を要求する特定の閾値に達する場合、サーバ１２５は、ＬＡＮ１０５上の全てのターゲットノードに、それぞれ、容疑対象Ａに向けられる容疑対象特定悪化を増大させる必要があることを知らせる。
【００４６】
６１５で、容疑対象Ａは、ターゲット１１４をｐｉｎｇし、曲線６２０で示すように、ターゲット１１４の容疑対象Ａの容疑対象特定悪化が増大する。容疑対象Ａによるこの２度目のｐｉｎｇに応答して、容疑対象Ａに向けられる容疑対象特定ネットワーク悪化は、曲線６００に沿って、第２の閾値６６１を通って増大する。同様に、６２５で、容疑対象Ａがターゲット１１６にログインしようと不成功に試みる場合、ターゲット１１６の容疑対象特定ネットワーク悪化は増大し（曲線６３０）、この事象は、容疑対象Ａに向けられる容疑対象特定ネットワーク悪化に寄与する。６３５および６４５で、容疑対象Ａがｐｉｎｇし続ける場合、および／またはログイン失敗を起こし続ける場合、容疑対象特定ネットワーク悪化は、また、曲線６００に示すように、増大する。
【００４７】
この処理を通じて、いくつかの閾値６６１〜６６４が越えられ得る。様々なターゲット悪化レベルを参照しながら上述された、同じおよび／または異なるタイプの閾値応答は、ネットワーク全体についても実現され得る。従って、閾値６６１で、ＬＡＮ１０５上の１つ以上のノード（例えば、サーバ１２５）は、容疑対象Ａの能動的走査を開始して、ネットワーク全体に代わって、容疑対象Ａについてのさらなる情報を入手し得る。閾値６６２で、サーバ１２５は、より広範囲にわたる能動的走査を開始し、容疑対象Ａの受動的走査も増大させ得る。閾値６６３で、サーバ１２５は、ＬＡＮ１０５（例えば、二重ログオン）上の任意のターゲットノードにアクセスする増大した認証を容疑対象Ａが提供することを要求し得る。最終的に、最大閾値６６４で、サーバ１２５は、ＬＡＮ１０５を介する容疑対象Ａとの全ての通信をブロックし得る。サーバ１２５は、ゲートウェイ１２０およびファイヤーウォール１１５と直接通信することか、またはＬＡＮ１０５における全てのターゲットに信号を送信することのいずれかによってこれを達成して、容疑対象Ａとの通信を個別にブロックし得る。
【００４８】
図６に示す、容疑対象特定悪化応答の１つの重要な特徴は、容疑対象Ａから発生される全てのネットワークにわたる事象に基づいて増大することである。従って、容疑対象Ａに向けられる容疑対象特定ターゲット悪化（曲線６１０、６２０、６３０、６４０、および６５０）は、それぞれ、低く維持され、これらの事象の各々に対する容疑対象特定ネットワーク悪化応答は、累積効果を有し、容疑対象Ａが疑わしいノードとして適切に識別される。
【００４９】
容疑対象特定ネットワーク悪化は、様々な様式で計算され得る。１つの実施形態においては、容疑対象Ａについての全ての容疑対象特定ターゲット悪化レベルの合計に過ぎない。他の実施形態においては、全ての容疑対象Ａ容疑対象特定ターゲット悪化レベルの平均である。さらに別の実施形態においては、容疑対象特定ネットワーク悪化は、個別の容疑対象特定ターゲット悪化レベルから独立して、計算される。この実施形態は、多数のターゲットノードを有するＬＡＮについて特に有用であり得る。
【００５０】
例えば、ＬＡＮ１０５に２５０個のターゲットノードが存在する場合、容疑対象Ａは、第１のターゲットへの認証されていないアクセスをしようとする試みを１度だけ行い、その後、残りの２４９個のターゲットの各々について１度だけ試みることに移る。容疑対象Ａが、第１のターゲットに再度試みようと準備する時には、容疑対象Ａについての第１のターゲットの容疑対象特定ターゲット悪化レベルは、ログイン失敗の間の時間経過に起因して、非常に低いので、閾値はトリガされない。しかし、ＬＡＮ１０５の中央貯蔵所（例えば、サーバ１２５）が、容疑対象Ａの動作を、ネットワーク全体にわたって追っている場合、容疑対象Ａについての容疑対象特定ネットワーク悪化レベルが非常に高くなるはずである。実際、容疑対象Ａが、２５０個のターゲット全てに不成功にログインすることを試みる場合、容疑対象Ａについての容疑対象特定ネットワーク悪化レベルは、最大閾値を超え、容疑対象Ａとの全てのネットワーク通信が、上述したようにブロックされなければならない。
【００５１】
個別のターゲットの各々が、一般的にターゲットの悪化を表す「全体のターゲット悪化」を維持し得るように、サーバ１２５（または、ＬＡＮ１０５上の他のノード）は、一般的にネットワーク悪化を表す「全体のネットワーク悪化」を維持し得る。同様に、全体のターゲット悪化応答が主に新たな事象に応答するように、本実施形態における「全体のネットワーク悪化」は、主に新たなネットワークにわたる事象に応答する。
【００５２】
従って、上記の例における容疑対象Ａが、２５０個の個別のターゲットノードの各々にログインしようと試みて、ＬＡＮ１０５をわたって、１つのターゲットから次のターゲットに移るように、全体のネットワーク悪化レベルは、容疑対象Ａに向けられる容疑対象特定ネットワーク悪化に沿って、初期的に増大する。しかし、時間が経ち、容疑対象ＡがＬＡＮ１０５にわたってログイン失敗を起こし続けるにつれて、全体のネットワーク悪化は、減少し得る。この動作の論理は、全体のターゲット悪化についての論理と類似する。ネットワークが、延長された期間にわたって、１つの容疑対象（または少数の容疑対象）のみによって悪化する場合、ネットワークが全ての容疑対象について疑う必要はなく、悪化を起こす容疑対象のみを疑えばよい。さらに、上記の例において容疑対象Ａに向けられる容疑対象特定ネットワーク悪化は、最大閾値を超えるので、ネットワークは、容疑対象Ａとの通信をブロックする工程を取る。
【００５３】
全体のネットワーク悪化は、全ての全体のターゲット悪化レベルの平均を取ることによって、計算され得る。従って、１つの実施形態において、全体のネットワーク悪化レベルを維持するノード（例えば、サーバ１２５）は、所定の時間間隔で、ネットワーク上のターゲットの各々をクエリし得る。あるいは、各ターゲットは、全体の悪化レベルが閾値を通じて通過する場合、悪化レベルをサーバ１２５に自動的に通信する。他の実施形態において、全体のネットワーク悪化は、全体のターゲット悪化から独立して計算される。
【００５４】
上記の説明を通じて、所定の悪化閾値でのネットワークレベル反応の特定の実現について説明した。しかし、特定の構成に依存して、本発明の基礎をなす原理から逸脱することなく、異なる実現が採用され得る。例えば、上記の実施形態は、ネットワーク悪化レベルを計算し、格納する中央貯蔵所として、サーバ１２５を用いるが、ＬＡＮ１０５上の任意のノードが、本発明の範囲から逸脱することなく、同じ機能を提供し得る。
【００５５】
さらに、異なる数式を用いて、様々な閾値トリガーが計算され得る。１つの実施形態において、閾値レベルは、複数の悪化変数を組み合わせることによって、計算される。例えば、式Ａ₁＋０．７５Ａターゲット＋０．２５Ａネットワーク＞Ｔが用いられて、全体のターゲット悪化レベルの３つの部分、全体のネットワーク悪化レベルの１つの部分を用い、ターゲットに到達する新たな事象に関連する悪化レベルにこれらの値を加える、有効な悪化レベルが計算される。
【００５６】
さらに、各流入事象は、式の無限数に基づいて、上述した異なる悪化レベルの各々を増大させ得る。例えば、１つの実施形態において、式Ａ＝Ｓ^*Ｃｏｕｎｔ_log２は、事象タイプ「Ｓ」の重大性および現在の事象数「Ｃｏｕｎｔ」に基づいて、悪化レベル「Ａ」を調節する。
【００５７】
上記の説明を通じて、ネットワークサーバ（例えば、１２５）および／または１つ以上のネットワークワークステーション（例えば、１１０）上で実現される、本システムの特定の実施形態を説明した。しかし、特定の構成に依存して、本発明の基礎をなす原理から逸脱することなく、異なる実現が採用され得る。例えば、サーバおよび検出能力は、ハブ、スイッチ、ファイヤーウォール（例えば、１１５）、ゲートウェイ（例えば、１２０）、または乱雑モード捕捉デバイス（例えば、乱雑モードにおけるアダプターを有するノード１１８）に結合され得る。この実施形態において、検出システムは、実現されている１つのターゲットのみを追跡するのではなく、デバイスを通じていることを観察するトラヒックに従って、複数のターゲットを同時に追跡し得る。この実現において、ネットワーク悪化レベルは、デバイスによって監視されるターゲットから計算される。
【００５８】
（パケットレベル分析および濾過）
本システムの１つの実施形態のワークステーション１１０およびサーバ１２５によるＬＡＮ１０５にわたるデータ伝送を、データが通過する異なるネットワークプロトコル層を示す図２Ａを参照しながら、説明する。ＬＡＮ１０５上のワークステーション１１０またはサーバ１２５が、ＬＡＮ１０５上の他のワークステーション１１４またはサーバ１２５に、あるいはネットワーク１３０を介してＬＡＮ１４５上のノード１４０にデータを伝送する場合、データは、図２Ａに示す各伝送層を通過する。
【００５９】
図２Ａに示す第１の伝送層は、物理層２１０である。物理層２１０は、生のデジタルネットワークトラヒックが流れる実際の媒体を表す。例えば、ＬＡＮ１０５上のワークステーション１１０およびサーバ１２５は、同軸ケーブル、撚線対ケーブル（例えば、「１０Ｂａｓｅ−Ｔ」）、光ファイバケーブルを含む、多くの異なるタイプの媒体を用いて、物理的に接続され得る。あるいは、ワークステーションおよびサーバは、ワイヤレス伝送システム（すなわち、ＲＦまたは赤外線伝送システム）を介して接続され得る。物理層２１０のすぐ上にある層は、データリンク層（別名「媒体アクセス」層）２２０と呼ばれる。データリンク層２２０は、物理層をわたるエラーのない伝送の提供を行うプロトコルを提供する。これは、伝送されるデータ（すなわち、ネットワーク層２２５から受信されるデータ）を、データフレームに組み込み、フレームを物理層２１０を介して連続的に伝送することによって達成される。「イーサネット（登録商標）」および「トークンリング」が、データリンクプロトコルの周知の例のうちの２つである。
【００６０】
ネットワーク層２２５は、データリンク層２２０のすぐ上にあり、伝送されるデータについてのネットワークアドレスを（特に）提供する。データは、ネットワーク層２２５でネットワーク「パケット」に組み込まれ、各パケットは、ヘッダにソースおよび宛先アドレスを含む。インターネットプロトコルとしても公知である、ＴＣＰ／ＩＰの「ＩＰ」部分が、周知のネットワーク層プロトコルのうちの１つである。
【００６１】
従って、ワークステーション１１０またはサーバ１２５が、ＬＡＮ１０５で伝送されたデータを受信する場合、ワークステーション１１０またはサーバ１２５は、データリンク層フレーム内のデータを受信し、各フレームは、１つ以上のネットワーク層パケットを含む。その後、データリンクフレームからネットワークパケットを取り除き、パケットを、アプリケーション層２３２（データをリクエストするか、または他のノードからデータをリクエストされるアプリケーションプログラムがある）まで、残りのプロトコル層を介して伝送する。
【００６２】
次に、図２Ｂを参照すると、侵入検出および応答システムの一部を含む分析モジュール２５０およびフィルタモジュール２６０が、示されている。分析モジュール２５０は、本発明の悪化レベル機能を提供する。分析モジュール２５０は、流入ネットワークパケットを受信し、伝送されたデータおよびパケットに含まれるタイプのデータの原因（例えば、ｐｉｎｇ、ログインリクエストなど）を判定する。その後、分析モジュール２５０は、ターゲットおよびネットワークの現在の悪化レベルに基づいて、流入するデータをどのように処理するかを決定する。
【００６３】
例えば、再度図４を参照すると、容疑対象Ａに向けられる容疑対象特定ターゲット悪化レベルが閾値４５０より上である（分析モジュール２５０が、容疑対象Ａからの最新の事象を含むデータパケットを受信した後）場合、分析モジュール２５０は、容疑対象Ａの受動的走査を開始し得る。容疑対象Ａから受け取られた新たな事象が、分析モジュールに、容疑対象Ａに向けられる容疑対象特定ターゲット悪化レベルを閾値４５１または４５２より上になるように高めさせる場合、分析モジュール２５０は、容疑対象Ａの能動的走査を開始し得る。容疑対象Ａについての容疑対象特定ターゲット悪化レベルが閾値４５５に達する場合、分析モジュールは、ターゲットのリソースへのアクセスを容疑対象Ａに提供する前に、容疑対象Ａからの増大した認証を要求し得る。
【００６４】
最終的に、容疑対象Ａに向けられる容疑対象特定ターゲット悪化は、最大閾値レベル、例えば、閾値４５５より上であり、分析モジュール２５０は、フィルタモジュール２６０を適用して、容疑対象Ａから受信したデータパケット全てを、選択的にフィルタリングする。上記の説明は、容疑対象特定ターゲット悪化レベルに焦点が当てられていたが、分析モジュール２５０は、上述したレベルとは異なる、任意の他の悪化レベル（例えば、全体のターゲット悪化、全体のネットワーク悪化、容疑対象特定ネットワーク悪化）に基づく新たな事象にも反応し得ることに留意されたい。
【００６５】
分析モジュール２５０およびフィルタモジュール２６０は、パケットレベルで、ネットワークプロトコルスタックに、（すなわち、ネットワーク層とデータリンクプロトコル層との間に）挿入されることに留意されたい。従って、全てのデータパケットは、分析モジュール２５０およびフィルタモジュール２６０があるコンピュータに通過する前に、分析される。このように、「秘密」事象（転送層２３０および／またはアプリケーション２３２層でのログをかわすように設計される事象）でさえも分析される。
【００６６】
上記の説明を通じて、パケットレベル分析の特有の実施形態を説明した。しかし、特定の構成に依存して、本発明の基礎をなす原理から逸脱することなく、異なる実現が採用され得る。例えば、上記の実施形態は、パケット情報からのネットワークおよび転送層接続事象を分析するが、代わりに、転送スタックから、同じ情報を読み出すことを選択し得る。同様に、ログイン失敗パケットを記録する代わりに、システムは、アプリケーション層ログおよび監査システムから、それらのイベントを読み出し得る。従って、パケットレベル情報は、本発明の範囲から逸脱することなく、ターゲット上の他のログ、監査、および監視サブシステムから再構成され得る。
【００６７】
（イベントタイムロールアップ）
本明細書中で用いられる「イベント」は、特定の容疑対象から特定のターゲットに送信される、特定のタイプのデータ通信（例えば、ｐｉｎｇ）のことをいう。イベントデータ構造８００を、図８に示す。イベント構造は、イベントタイプフィールド８１０（例えば、ｐｉｎｇ）、容疑対象識別フィールド８２０、ターゲット識別フィールド８３０、カウンタフィールド８４０、間隔フィールド８５０、およびウィンドウサイズフィールド８６０を含む。上記の１つ以上の悪化レベルが所定の閾値レベルを超えているため、ターゲットノードまたはサーバが受動的走査を開始する場合、ターゲットノードまたはサーバは、流入するイベント全ての記録をログ（例えば、ハードディスクに格納）し始める。メモリを節約するため、多くのイベントが１つのイベント構造に結合され得る。本明細書中で「イベントタイムロールアップ」と呼ぶこの手順を、次に、図７を参照しながら説明する。
【００６８】
時系列線７１０に示すように、時間Ｔのウィンドウサイズ８６０は、各イベントを初期的に囲む。時系列線７２０に示すように、２つの連続的なイベントのウィンドウがオーバーラップする場合、２つのイベントは、１つのイベントデータオブジェクト７００に結合される。従って、第２のイベントが、図中７２０のｔ₂で到達する場合、イベントデータ構造８００は、カウントデータフィールドを１から２に増大させ、オーバーラップする２つの連続的なイベントがあることを示す。いくつかのイベントを１つのデータオブジェクトに結合するこの方法は、メモリを節約し、容疑対象が、ターゲットのハードドライブを大量のイベントデータで充填することによってターゲットをディセーブルしようと試みる、容疑対象による特定のタイプの攻撃を防止するためにも行われる。
【００６９】
さらに、１つの実施形態のイベントウィンドウは、ダイナミックに拡大および縮小され得る。例えば、イベントが、時系列線７３０に示すように、ゆっくりと到達する場合、イベントウィンドウは、同じ時間間隔Ｔ₁で分割される将来のイベントが同じデータ構造８００に結合されるように、拡大され得る。例えば、新たなウィンドウは、時間間隔Ｔ₁を２倍するように拡大され得る。従って、第１および第２のイベントが、１０分間隔で分割され、デフォルトウィンドウＴが１５分である場合、ウィンドウは、２０分まで拡大される。さらに、イベント速度がゆっくりと低減する場合、ウィンドウは、維持するために、拡大し続ける。
【００７０】
イベントウィンドウサイズに影響を与え得る他の変数は、上記の１つ以上の悪化レベルである。概して、より深刻であると分類されるイベント（すなわち、１つ以上の悪化レベルに基づいて容疑対象によって攻撃される可能性が高いイベント）は、イベントウィンドウが拡大する原因となる。従って、概して、ログイン失敗イベントについてのデフォルトウィンドウサイズは、ｐｉｎｇイベントについてのデフォルトウィンドウより大きい。
【００７１】
１つの実施形態において、１つのデータオブジェクトに連続的なイベントを含むかどうか判定する場合に考慮される唯一のウィンドウは、現在流入しているイベント（例えば、７２０のｔ₂でのイベントおよび７３０のｔ₃でのイベント）に関連するウィンドウである。この実施形態において、唯一の問題は、以前のイベント（例えば、７２０および７３０のｔ₁で発生する）が、新たなイベントのウィンドウの範囲内にはいるかどうかである。従って、この実施形態において、新たなイベント（例えば、ｔ₂でのイベント）についての現在のウィンドウは、概して、ｔ₁を囲むウィンドウがもはや要因ではなくなるので、同じ効果を生み出すためには大きくなる必要がある。
【００７２】
（差異報告）
さらに、所定の期間に起こる全ての新たなイベントをまとめる周期的報告が発生され得る。例えば、図９に、一連のイベント９３０〜９６０が起こる、２つの期間９１０および９２０を示す。期間９１０は、報告がすでに発生された期間を表す。図９に示すように、第１のイベントシリーズＡ９３０は、間隔Ｉ_Aで分割された２つ以上のイベントのシリーズを表す。イベントシリーズＡ９３０に含まれるイベントは、全て、同じタイプ、容疑対象、およびターゲットのイベントである。これらのイベントは、イベントシリーズＡが両方の期間で起こるイベントを含むので、第２の期間９２０の終わりに発生される差異報告には含まれない。
【００７３】
同様に、同じタイプ、容疑対象およびターゲットのイベントが期間９１０および９２０の両方で起こるので、イベントシリーズＢ９４０および９４５は記録されない。従って、１つの実施形態において、差異報告の作成における第１の工程は、問題のイベントのシリーズが、２つの期間の間でオーバーラップするかどうか判定することである。イベントシリーズがオーバーラップする場合、差異報告には含まれない。オーバーラップしない場合、以前の期間内のイベントデータオブジェクトは、検索されて、同じタイプ、容疑対象、およびターゲットのイベントのうち１つが記録されているかどうか判定される。このようなイベントデータオブジェクトが見受けられる場合、イベントは、差異報告には含まれない。従って、差異報告は、２つのイベントが（イベントロールアップ方法を用いて）１つのより長期間のイベントに結合されたのか、または、２つの別個のイベントとして結合されていないままなのかどうか、同じ結果を生成する。
【００７４】
対照的に、イベントＣ９５０は、第２の期間の間にのみ起こり、従って、第２の期間９２０の終わりに発生される差異報告に表れる。イベントシリーズＤがこの期間の間に起こらないので、イベントシリーズＤは、第２の期間９２０の後に発生された差異報告には含まれない。イベントシリーズＤについて差異報告が発生される場合、第１の期間９１０の終わりに発生される。
【００７５】
新たなイベント（すなわち、同じタイプ、容疑対象、および被害者のイベント）のみを記録する理由は、擬陽性の（すなわち、疑わしいと識別すべきでない場合にイベントを疑わしいと識別する）問題を軽減するからである。すなわち、期間ごとに起こるイベントは、概して、疑わしいとは考えられない。
【図面の簡単な説明】
【図１】 図１は、概して、本発明の１つの実施形態による、より大きなネットワークを介して通信する、２つのローカルエリアネットワークおよびインターネットサービスプロバイダ（「ＩＳＰ」）を示す図である。
【図２Ａ】 図２Ａは、本発明の１つの実施形態による、ＯＳＩプロトコルスタックの部分を示す図である。
【図２Ｂ】 図２Ｂは、本発明の１つの実施形態による、ＯＳＩスタックのデータリンク層とネットワーク層との間で実現される、分析およびフィルタシステムを示す図である。
【図３】 図３は、本発明の１つの実施形態による、悪化応答を示すグラフである。
【図４】 図４は、本発明の１つの実施形態による、全体のターゲット悪化応答および容疑対象特定ターゲット悪化応答を示すグラフである。
【図５】 図５は、本発明の他の実施形態による、全体のターゲット悪化応答および容疑対象特定ターゲット悪化応答を示すグラフである。
【図６】 図６は、本発明の他の実施形態による、容疑対象特定ネットワーク悪化応答を示すグラフである。
【図７】 図７は、本発明の１つの実施形態による、イベントオーバーラップの動作を示すグラフである。
【図８】 図８は、本発明の１つの実施形態による、イベントデータオブジェクトを示すグラフである。
【図９】 図９は、差異報告を計算するために用いられる２つの期間を示す図である。

Claims (35)

1. 複数の警告レベルを実現するネットワーク管理方法であって、
   ネットワークノードに、
   １つ以上の容疑対象ノードから生成するデータ伝送を分析するステップと、
   前記分析に基づき警告レベルを修正するステップと、
   該警告レベルが第１の所定の閾値レベルに達する場合に第１の応答を引き起こすステップと、
   該警告レベルが第２の所定の閾値レベルに達する場合に第２の応答を引き起こすステップと
   を実行させ、前記引き起こされる応答のうちの１つが、１つ以上の前記容疑対象ノードの受動的走査若しくは能動的走査、又は前記ネットワークノードがリソースにアクセスする以前に他の任意のノードからの増加した認証を要求することを含む、前記方法。
2. 前記ネットワークノードに、
   前記警告レベルが第３の閾値レベルに達する場合に第３の応答を引き起こすステップをさらに実行させることを含む、請求項１に記載の方法。
3. 前記受動的走査が、ログファイルにデータ伝送を記録することを含む、請求項１に記載の方法。
4. 前記能動的走査が１つ以上の該容疑対象ノードに関する情報を検索することを含み、当該情報が前記容疑対象ノードのネットワークアドレスを含む、請求項１に記載の方法。
5. 前記能動的走査が、１つ以上の前記容疑対象ノードから生成するデータによって用いられるネットワークルートを決定することを含む、請求項１に記載の方法。
6. 前記増加した認証が、前記リソースにアクセスする以前に２つ以上のログインを課すステップを含む、請求項１に記載の方法。
7. 前記引き起こされる応答のうちの１つが、流入するデータ伝送をブロックすることを含む、請求項１に記載の方法。
8. 前記警告レベルが、特定のタイプのデータ伝送に時間をかけて異なる応答をする、請求項１に記載の方法。
9. 特定のタイプのデータ伝送の連続する受信に応答して、前記警告レベルが、所定の値に達するまで連続して増加する、請求項８に記載の方法。
10. 前記容疑対象ノードから生成する前記特定のタイプのデータ伝送が無効なログイン試行である、請求項９に記載の方法。
11. 前記警告レベルが、特定のタイプのデータ伝送の連続する受信に応答して最初に増加し、次に当該特定のタイプのデータ伝送の連続する受信に応答して減少する、請求項８に記載の方法。
12. 前記容疑対象ノードから生成する前記特定のタイプのデータ伝送が、前記ネットワークノードに関する情報を検索するデータ伝送である、請求項１１に記載の方法。
13. 前記データ伝送が、ネットワークパケットレベルで前記ネットワークノードにより分析される、請求項１に記載の方法。
14. 前記データ伝送が、ネットワークパケットレベルで前記ネットワークノードによりフィルタリングされる、請求項１３に記載の方法。
15. 複数の警告レベルを実現するネットワーク管理方法であって、
    ネットワークノードに、
    １つ以上の容疑対象ノードから生成するデータ伝送を分析するステップと、
    第１の容疑対象ノードから生成するデータ伝送の前記分析に基づき第１の容疑対象特定の警告レベルを修正するステップと、
    第２の容疑対象ノードから生成するデータ伝送の前記分析に基づき第２の容疑対象特定の警告レベルを修正するステップと、
    前記第１及び第２の容疑対象特定の警告レベルのいずれかが所定の閾値レベルに達する場合に容疑対象特定の第１の応答を引き起こすステップであって、前記第１の応答のうちの１つが、１つ以上の前記容疑対象ノードの受動的走査若しくは能動的走査、又は前記ネットワークノードがリソースにアクセスする以前に他の任意のノードからの増加した認証を要求することを含む、前記引き起こすステップと
    を実行させる、前記方法。
16. 前記ネットワークノードに、
    前記第１及び第２の容疑対象特定の警告レベルのいずれかがさらなる所定の閾値レベルに達する場合に容疑対象特定の第２の応答を引き起こすステップをさらに実行させることを含む、請求項１５に記載の方法。
17. 前記ネットワークノードに、
    前記容疑対象ノードの各々から生成する前記データ伝送に基づく全警告レベルを修正するステップをさらに実行させることを含む、請求項１５に記載の方法。
18. 前記全警告レベルが所定の閾値レベルに達する場合に、複数の前記容疑対象ノードそれぞれへの応答を引き起こす動作を含む、請求項１７に記載の方法。
19. 前記全警告レベルは、前記ネットワークノードで以前受信したデータ伝送に対してよりも新しいタイプのデータ伝送に対してより応答性である、請求項１７に記載の方法。
20. 前記ネットワークノードに、
    特定の容疑対象ノードから生成するデータ伝送に応答して前記警告レベルを初めに増加させ、次に該特定の容疑対象ノードから前記データ伝送を連続して受信するときに該全警告レベルを減少させるステップを実行させることを含む、請求項１９に記載の方法。
21. 前記ネットワークノードに、
    前記容疑対象特定の警告レベルのそれぞれをサーバノード上に常駐するネットワークデータベースと通信させるステップをさらに実行させることを含む、請求項１５に記載の方法。
22. 前記ネットワークノードに、
    前記全警告レベルをサーバノード上に常駐するネットワークデータベースと通信させるステップをさらに実行させることを含む、請求項１７に記載の方法。
23. 複数の警告レベルを実現するネットワーク管理方法であって、
    ネットワークノードに、
    複数のネットワークノードについての複数の容疑対象特定の警告レベルを格納するステップと、
    該複数の容疑対象特定の警告レベルの各値に基づきネットワーク警告レベルを修正するステップと、
    該ネットワーク警告レベルが所定の閾値レベルに達する場合にネットワーク応答を引き起こすステップであって、前記ネットワーク応答が、複数のネットワークのそれぞれが特定の容疑対象ノードへの自身の容疑対象特定の警告レベルをそれぞれ増加すべきであることを該複数のネットワークノードのそれぞれに通知すること、及び特定の容疑対象ノードの能動的走査を開始することを含む、前記引き起こすステップと
    を実行させることを含む、前記方法。
24. 前記ネットワーク応答が、前記ネットワークノードが特定の容疑対象ノードの受動的走査を開始することを含む、請求項２３に記載の方法。
25. 前記ネットワークノードに、
    前記ネットワーク応答が、前記容疑対象ノードと前記複数のネットワークノードとの間の全通信をブロックするステップをさらに実行させることを含む、請求項２３に記載の方法。
26. 複数の警告レベルを実現するネットワーク管理方法であって、
    ネットワークノードに、
    容疑対象ノードからの第１の事象を受信するステップと、
    事象カウント値を有する第１のデータ構造に前記受信した第１の事象を記録するステップと、
    前記容疑対象ノードから第２の事象を受信するステップであって、当該第２の事象が前記第１の事象と同じタイプの事象である、前記受信するステップと、
    前記受信した第２の事象が、前記第１の事象後に所定の期間のウィンドウ内で生じる場合、当該第２の事象を前記第１のデータ構造に記録し、そして該カウント値を増加させるステップと
    を実行させることを含む、前記方法。
27. 前記ネットワークノードに、
    前記第２の事象が、前記第１の事象後に前記所定の期間のウィンドウ外で生じる場合、当該第２の事象を、事象カウント値を有する第２のデータ構造に記録するステップをさらに実行させることを含む、請求項２６に記載の方法。
28. 前記第２の事象が前記所定の期間のウィンドウの外で生じることに応答して、当該所定の期間のウィンドウが増加させる、請求項２７に記載の方法。
29. 前記第１の事象又は前記第２の事象のタイプに基づいて、前記所定の期間のウィンドウが修正される、請求項２６に記載の方法。
30. 前記所定の期間のウィンドウが、より重大な事象のタイプに対して増加し、あまり重大でない事象のタイプに対して減少する、請求項２９に記載の方法。
31. 前記事象タイプが無効なログインである、請求項３０に記載の方法。
32. 前記事象タイプがｐｉｎｇである、請求項３０に記載の方法。
33. 前記ネットワークノードに、
    所定の期間にわたって生じる新しい事象全てのレポートを作成するステップをさらに実行させることを含む、請求項２６に記載の方法。
34. 事象が前記所定の期間より前の期間において受信された１つ以上の以前の事象を備える単一データ構造に含まれるかどうかを判定するステップと、
    前記事象が前記単一データ構造に含まれない場合、該所定の期間に生成される全データ構造を検索するステップと、
    前記事象が該所定の期間に生成されるいかなるデータ構造においても認識されない場合、該レポートに当該事象を含ませるステップと
    によって前記事象が新しい事象として認識される、請求項３３に記載の方法。
35. ネットワークノードに、請求項１〜３４のいずれか１項に記載の方法の各ステップを実行させるプログラムを記録したコンピュータ読み出し可能な記録媒体。

Images