JP5166432B2 - ネットワークにおける不正行為の検出及び禁止 - Google Patents

Description

本発明は、一般的にコンピュータプログラム製品を含むコンピュータベースの方法及び装置に関し、これらはネットワークにおける不正行為（詐欺的行為）を検出かつ禁止し、ネットワークにおけるデータを復元（再構成）し、ネットワークにおけるユーザセッションを統一し、ネットワークにおける不正行為を検出し、保存された情報を使用してネットワークにおける不正行為を検出し、ネットワークにおけるデータ供給に同意するためのものである。

情報のアクセス及び提供のためにネットワークの使用が増えたことは、ネットワーク上で送信されたデータの量の急激な増加をもたらした。この増加した交通量を取り扱うために、情報を保存、処理及び送信するために使用されるコンピュータ・システムはサイズが増加しかつデータ・センター間で分配された。データ・センター間でのこのような分配は速度を増加させて、これにより情報の検索及び処理における応答時間を減少させることができる。

しかしながら、増加した速度及び多様化されたデータ・センターは複数のデータ・センターに送られるデータに関する問題をもたらす。問題はユーザに及びユーザから送られたデータがデータ・センター間で分配されるということである。唯一のデータ・センターからのデータが分析される場合、ユーザの行為の完全な表示を得ることができなければ非常に困難である。

ユーザの行為を全体として分析できることがネットワーク上で信頼されているサービスを提供する広範囲の産業において重要である。これらの産業はユーザの行為を分析してフィードバックを提供しかつシステムの性能を向上させることができなければならない。加えて、産業界はそのネットワーク上の不正行為を有効かつ効率的に識別することができなければならない。

不正行為はネットワーク・ベースの行為の上昇とともに増加した。産業界は資金及び威信の損失を阻止するために不正検出システムを利用することによって対応してきた。しかしながら、これらの不正検出システムがリアルタイムでかつ顧客の実績に影響を与えることなくデータ・センターのすべてからデータを回収（収集）することができなければ困難であった。不正行為は増加しているので、産業界、例えば金融サービス業界が不正検出システムを有することが重要であり、このシステムは複数のデータ・センターからデータ・パケットを回収しかつ不正行為の検出及び他の使用のためにデータを復元することができる。

ネットワーク上でデータを回収するための一つのアプローチは、ネットワーク上で送信されたデータ・パケットをデータに復元することである。一態様において、複数のデータ・センターから送信されるデータ・パケットを受信する、データ復元方法が提供される。各データ・センターは１以上のサーバを含む。前記データ・パケットは同じユーザ位置から前記データ・センターに送られる。前記データ・パケットは処理される。復元エンジンは前記データ・パケットからの前記データを特定のプロトコルに準拠しているフォーマットに復元する。

別の態様において、データ復元のためのコンピュータ・プログラム製品が提供される。前記コンピュータ・プログラム製品は情報キャリアにおいて明白に具現化される。前記コンピュータ・プログラム製品はデータ処理装置が復元エンジンで複数のデータ・センターからデータ・パケットを受信するように実施可能な指令を含む。各データ・センターは１以上のサーバを含む。前記データ・パケットは同じユーザ位置から前記複数のデータ・センターにおける異なるデータ・センターに送信される。前記データ・パケットは処理される。前記データは前記データ・パケットから特定のプロトコルに準拠しているフォーマットに復元される。

別の態様において、データ復元のためのシステムが提供される。前記システムはデータ回収システムと復元エンジンとを含む。前記データ回収システムはデータ・センターでデータ・パケットを回収する。前記データ・パケットは前記復元エンジンに送信される。前記復元エンジンはネットワーク上で複数のデータ回収システムからデータ・パケットを受信する。前記復元エンジンは前記データ・パケットを処理しかつ前記データ・パケットを特定のプロトコルに準拠しているデータに復元する。

別の態様において、データ復元のための別のシステムが提供される。前記システムはデータ・センターでデータ・パケットを回収するための手段とデータを復元するための手段とを含む。前記データ・パケット回収手段はデータ・センターからデータ・パケットを受信しかつ前記データ復元手段に前記データ・パケットを送信する。前記データ復元手段は特定のプロトコルに準拠しているデータ・パケットからデータを復元する。

別の態様において、ネットワーク上のユーザ・セッションは統一される。別の態様において、ユーザ・セッションの統一方法が提供される。この方法は複数のデータ・センターからユーザ要求を受信する統一エンジンを含む。各データ・センターは１以上のサーバを含み、各ユーザ要求は１以上のデータ・パケットを含む。前記ユーザ要求はユーザ位置から前記データ・センターに送信される。前記ユーザ要求は処理される。前記ユーザ要求は前記統一エンジンによってユーザ・セッションに統一される。

別の態様において、ユーザ・セッションの統一のためのコンピュータ・プログラム製品が提供される。このコンピュータ・プログラム製品は情報キャリアにおいて明白に具現化される。前記コンピュータ・プログラム製品はデータ処理装置が統一エンジンでユーザ要求を受信するように実施可能な指令を含む。前記ユーザ要求は複数のデータ・センターから受信される。各データ・センターは１以上のサーバを含み、各ユーザ要求は１以上のデータ・パケットを含む。前記ユーザ要求は処理のための前記複数のデータ・センター間で分割された。前記ユーザ要求は特定のプロトコルに準拠しているフォーマットで前記復元エンジンによってユーザ・セッションに復元される。

別の態様において、ユーザ・セッションの統一のためのシステムが提供される。このシステムはデータ回収システムと統一エンジンとを含む。前記データ回収システムはデータ・センターからユーザ要求を回収しかつ前記統一エンジンに前記ユーザ要求を送信する。各ユーザ要求は１以上のデータ・パケットを含む。前記統一エンジンは前記データ回収システムからユーザ要求を受信しかつ前記ユーザ要求を処理してユーザ・セッションを復元する。

別の態様において、ユーザ・セッションの統一のための別のシステムが提供される。このシステムはデータ・センターでユーザ要求を回収するユーザ要求回収手段を含む。各ユーザ要求は１以上のデータ・パケットを含む。前記ユーザ要求は前記ユーザ要求回収手段からユーザ・セッション統一手段に送信される。前記ユーザ・セッション統一手段は前記ユーザ要求を処理してユーザ・セッション内に前記ユーザ要求を統一する。

別の態様において、ネットワーク上のユーザ・セッションは分析されて不正行為を検出する。別の態様において、ネットワーク上で不正行為を検出するための方法が提供される。この方法はデータ・センターからユーザ要求を受信することを含む。前記ユーザ要求は複数のデータ・センターに送信するために互いに分離されるが、組み合わされてユーザ・セッションを形成する。各データ・センターは１以上のサーバを含み、各ユーザ要求は１以上のデータ・パケットを含む。前記ユーザ・セッションは処理されて、プロファイリング・エンジン及び／又はルール・エンジンを使用して前記ユーザ・セッションが不正であるかを決める。

別の態様において、ネットワーク上で不正行為を検出するためのコンピュータ・プログラム製品が提供される。このコンピュータ・プログラム製品は情報キャリアにおいて明白に具現化される。前記コンピュータ・プログラム製品はデータ処理装置がデータ・センターからユーザ要求を受信するように実施可能な指令を含む。前記ユーザ要求は組み合わされてユーザ・セッションを形成する。各データ・センターは１以上のサーバを含み、各ユーザ要求は１以上のデータ・パケットを含む。前記ユーザ要求は前記データ・センター間で処理のために分離された。プロファイリング・エンジン及び／又はルール・エンジンを使用して前記ユーザ・セッションが不正であるかが決められる。

別の態様において、ネットワーク上で不正行為を検出するためのシステムが提供される。このシステムは統一エンジンと不正検出システムとを含む。前記統一エンジンはデータ・センターからユーザ要求を受信する。各ユーザ要求は１以上のデータ・パケットを含む。前記統一エンジンは前記ユーザ要求を処理してユーザ・セッションを復元する。前記不正検出システムはユーザ・セッションを分析して前記ユーザ・セッションが不正であるかを決める。

別の態様において、ネットワーク上で不正行為を検出するための別のシステムが提供される。このシステムはユーザ・セッションを統一するための手段と不正検出手段とを含む。前記ユーザ・セッション統一手段はデータ・センターからユーザ要求を受信する。各ユーザ要求は１以上のデータ・パケットを含む。前記ユーザ・セッション統一手段は前記ユーザ要求を処理してユーザ・セッションを統一する。前記不正検出手段は前記ユーザ・セッションを分析して前記ユーザ・セッションが不正であるかを決める。

別の態様において、ネットワーク上の前記ユーザ・セッションは分析されて保存された情報を使用して不正行為を検出する。別の態様において、保存された情報を使用してネットワーク上の不正行為を検出するための方法が提供される。この方法はデータ・センターからユーザ要求を受信することを含む。各データ・センターは１以上のサーバを含み、各ユーザ要求は１以上のデータ・パケットを含む。前記ユーザ要求はデータ・センターで処理される。前記ユーザ・セッションに関連のある要素はメモリ・モジュールに保存される。分析は前記メモリ・モジュールに保存されている要素の少なくとも一部を使用して前記ユーザ・セッションに関して行なわれる。

別の態様において、保存された情報を使用してネットワーク上の不正行為を検出するためのコンピュータ・プログラム製品が提供される。このコンピュータ・プログラム製品は情報キャリアにおいて明白に具現化される。前記コンピュータ・プログラム製品はデータ処理装置がデータ・センターからユーザ要求を受信するように実施可能な指令を含む。前記ユーザ要求は組み合わされてユーザ・セッションを形成する。各データ・センターは１以上のサーバを含み、各ユーザ要求は１以上のデータ・パケットを含む。前記ユーザ要求は前記データ・センター間で分離された。前記ユーザ・セッションに関連のある要素はメモリ・モジュールに保存される。分析は前記メモリ・モジュールに保存された前記要素の少なくとも一部を使用して前記ユーザ・セッションに関して行なわれ前記ユーザ・セッションに関連のある行為が不正であるかを決める。

別の態様において、保存された情報を使用してネットワーク上の不正行為を検出するための方法が提供される。このシステムは統一エンジンと、データベース・システムと、不正検出システムとを含む。前記統一エンジンはデータ・センターからユーザ要求を受信する。前記統一エンジンは前記ユーザ要求を処理してこれらをユーザ・セッション内に統一する。各ユーザ要求は１以上のデータ・パケットを含む。前記データベース・システムはメモリ・モジュールに前記ユーザ・セッションに関連のある要素を保存する。前記不正検出システムは前記メモリ・モジュールに保存された前記要素の少なくとも一部を使用して第一ユーザ・セッションが不正であるかを決める。

別の態様において、保存された情報を使用してネットワーク上の不正行為を検出するための別のシステムが提供される。このシステムはユーザ・セッションを統一するための手段と、要素を保存するための手段と、不正検出手段とを含む。前記ユーザ・セッション統一手段はデータ・センターからユーザ要求を受信しかつ前記ユーザ要求を処理してユーザ・セッションを形成する。各ユーザ要求は１以上のデータ・パケットを含む。前記要素保存手段はメモリ・モジュールに前記ユーザ・セッションに関連のある要素を保存する。前記不正検出手段は前記メモリ・モジュールに保存された前記要素を使用して第一ユーザ・セッションを処理して前記第一ユーザ・セッションが不正であるかを決める。

別のアプローチにおいて、ネットワーク上の前記ユーザ・セッションは分析されて前記ネットワーク上の不正行為を検出かつ禁止する。別の態様において、ネットワーク上の不正行為を検出かつ禁止するための方法が提供される。この方法はデータ・センターからユーザ要求を受信しかつ前記ユーザ要求を組み合わせてユーザ・セッションを形成することを含む。各データ・センターは１以上のサーバを含み、各ユーザ要求は１以上のデータ・パケットを含む。前記ユーザ・セッションは分析されて不正行為を検出し、不正行為が検出されると、前記ユーザ・セッションは禁止される。

別の態様において、ネットワーク上の不正行為を検出かつ禁止するためのコンピュータ・プログラム製品が提供される。このコンピュータ・プログラム製品は情報キャリアにおいて明白に具現化される。前記コンピュータ・プログラム製品はデータ処理装置がデータ・センターからユーザ要求を受信するように実施可能な指令を含む。前記ユーザ要求は組み合わされてユーザ・セッションを形成する。各データ・センターは１以上のサーバを含み、各ユーザ要求は１以上のデータ・パケットを含む。前記ユーザ・セッションは分析されて不正行為を検出する。不正行為が検出されると、前記ユーザ・セッションは禁止される。

別の態様において、ネットワーク上の不正行為を検出かつ禁止するためのシステムが提供される。このシステムは統一エンジンと、不正検出システムと、セッション禁止システムとを含む。前記統一エンジンはデータ・センターからユーザ要求を受信しかつ前記ユーザ要求を組み合わせてユーザ・セッションを形成する。各ユーザ要求は１以上のデータ・パケットを含む。前記不正検出システムは前記ユーザ・セッションを分析して不正行為を検出する。不正行為が検出された場合、前記セッション禁止システムは前記ユーザ・セッションを禁止する。

別の態様において、ネットワーク上の不正行為を検出かつ禁止するためのシステムが提供される。このシステムはユーザ・セッションを統一するための手段と、不正検出手段と、セッション禁止手段とを含む。前記ユーザ・セッション統一手段はデータ・センターからユーザ要求を受信しかつ前記ユーザ要求を組み合わせてユーザ・セッションを形成する。各ユーザ要求は１以上のデータ・パケットを含む。前記不正検出手段は前記ユーザ・セッションを分析して不正行為を検出する。不正行為が検出された場合、前記セッション禁止手段は前記ユーザ・セッションを禁止する。

別の態様において、ネットワーク上の復元されたデータはネットワーク上の同意者に分配される。別の態様において、ネットワーク上のデータ供給に同意するための方法が提供される。この方法はデータ・センターからデータ・パケットを受信した後で前記データ・パケットを処理することを含む。各データ・センターは１以上のサーバを含む。前記データ・パケットは復元されて特定のプロトコルに準拠しているフォーマットでデータを形成する。前記復元されたデータの全て又は一部は要求者に送信される。

別の態様において、ネットワーク上のデータ供給に同意するためのコンピュータ・プログラム製品が提供される。このコンピュータ・プログラム製品は情報キャリアにおいて明白に具現化される。前記コンピュータ・プログラム製品はデータ処理装置がデータ・バスでデータ・パケットを受信するように実施可能な指令を含む。前記データ・パケットは複数のデータ・センターから受信されることができる。前記複数のデータ・センターからの前記データ・パケットは同じユーザ位置から異なるデータ・センターに送信される。各データ・センターは１以上のサーバを含む。前記データ・パケットは前記コンピュータ・プログラム製品によって処理される。特定のプロトコルにおけるデータは前記データから復元される。前記データの少なくとも一部は要求者によって要求される。要求されたデータは前記要求者に送信される。

別の態様において、ネットワーク上のデータ供給に同意するためのシステムが提供される。このシステムは複数のデータ・センターからデータ・パケットを受信するデータ・バスを含む。前記システムは前記データ・パケットからデータを復元する復元エンジンを含む。前記データは特定のプロトコルに準拠しているフォーマットに復元される。前記システムは前記復元されたデータの一部の要求者からの要求を受信する要求モジュールを含む。前記要求モジュールは前記要求者に前記要求された復元データを送信する。

別の態様において、ネットワーク上のデータ供給に同意するためのシステムが提供される。このシステムは複数のデータ・センターからデータ・パケットを受信するための手段を含む。前記システムは前記データ・パケットから特定のフォーマットに準拠しているフォーマットにデータを復元するための手段と前記復元データの少なくとも一部に対する要求を受信しかつ要求者に前記要求されたデータを送信する手段とを含む。

別の例において、前記のいかなる態様も以下の特徴の１以上を含むことができる。前記データ・センターはロードバランサから前記データ・パケットを受信する。前記ロードバランサは、前記データ・センターの入手可能な能力、前記ネットワークの状態、前記データ・パケットに関するサービス指示器の質、適用可能性、各データ・センターへの接続数及び／又は所定の経路指示に従って、前記異なるデータ・センターに前記データ・パケットを送る。前記データ・センターでのサーバは同じ時間又はほぼ同じ時間にかつ前記データを復元する前記復元エンジンとは別に前記データ・パケットを処理する。前記データ・パケットの処理はデータ・パケットを復号化し及び／又はデータ・パケットを濾過することを含む。

さらに別の例において、前記データがフォーマットされるプロトコルはハイパーテキスト輸送プロトコル（ＨＴＴＰ）、インターネット上の音声プロトコル（ＶｏＩＰ）、送信制御プロトコル（ＴＣＰ）及び／又はインターネット・プロトコル（ＩＰ）である。前記ハイパーテキスト輸送プロトコル（ＨＴＴＰ）は開放された標準メッセージ・プロトコルに変換される。前記プロファイリング・エンジンは地理的位置プロファイリング・エンジン及び／又は挙動プロファイリング・エンジンであってもよい。前記ルール・エンジンは適用ルール・エンジン及び／又は取引ルール・エンジンであってもよい。前記メモリ・モジュールは揮発性メモリ及び／又は固定記憶装置である。

別の例において、前記ユーザ・セッションの禁止は、前記ユーザが前記ネットワーク上で認証することを必要とし、前記ユーザに前記不正行為を通知し、前記ネットワークから前記ユーザ・セッションを切断して前記不正行為を止め、及び／又はネットワークを分離して前記不正行為を緩和することを前記ユーザ・セッションに指示する。前記ユーザの禁止は、認証システムに通信して前記ユーザ・セッションが前記ネットワークにアクセスすることを防ぐことによって生じる。前記ユーザの禁止は、前記不正行為に基づいてルールを生成しかつ前記システムへのアクセスを阻止する前記認証システムに前記ルールを通信することによって生じる。

さらに別の例において、前記同意要求は設定された時間行なわれる。前記要求者はマーケティング分析エンジン、ネットワーク侵入検出システム、顧客サービス・システム及び／又は性能分析システムである。

前記態様及び例のいずれも以下の利点の１以上を提供することができる。これらはデータを復元し及び／又は多数のデータ・センターからのユーザ・セッションを統一することができる。前記復元されたデータ及び／又は統一されたユーザ・セッションはユーザの行為の完全又は部分的な表示として分析に使用されることができる。データ・パケットのデータへの復元は分析されるユーザの行為の表示を改善させることができるが、これは１つのデータ・センターのみからのデータ・パケットは前記データ・センターとのユーザの交信をおそらく示すだけであり、前記データ・センターのすべてとの交信をし示すものではない。ユーザの行為の表示は、不正行為を検出し、ユーザ及びシステムにフィードバックし及び／又はシステムの性能を改善するための行為の全体的分析を可能にする。

他の利点は、不正検出のためのユーザ・セッションへのユーザ要求の統一である。複数のデータ・センターに送信されるユーザ要求の統一は不正検出システムがユーザの行為の改善された表示を分析することを可能にする。このユーザの行為の改善された表示は複数のデータ・センターにおける１つのデータ・センターとのユーザの交信以上のものである。それは複数のデータ・センターとのユーザの行為の一部又はすべてである。このことはユーザの行為が個々ではなく全体として分析されることを可能にする。

他の利点は、ネットワークの残り（例えばサーバ・システム）へのデータ・パケット及び／又はユーザ要求の送信に干渉することなくネットワークからデータ・パケット及び／又はユーザ要求を捕集することである。サーバ・システムによるデータ・パケット及び／又はユーザ要求の処理はデータ・パケット及び／又はユーザ要求の捕集に干渉されない。

他の利点は、リアルタイムで不正検出システムによってデータ及び／又はユーザ・セッションを処理することである。データ回収システムは、サーバ・システムがデータ・パケット及び／又はユーザ要求を受信すると同時にデータ・パケット及び／又はユーザ要求を回収する。復元データ及び／又は統一ユーザ・セッションは、サーバ・システムがデータ及び／又はユーザ要求を処理すると同時に不正検出システムによって処理される。リアルタイム不正検出は、不正行為がシステムを損傷することができる前に不正行為を禁止することを可能にする（例えば、不正検出システムは、不正取引が完全に処理される前に不正取引を阻止することができる）。

他の利点は、メモリ・モジュールが揮発性メモリであることである。データ及び／又はユーザ・セッションを処理して不正行為が存在するかを決めることがリアルタイムで行なわれる。不正検出システムは、メモリ・モジュールに保存された要素にアクセスしかつ保存された要素を使用してリアルタイムでデータ及び／又はユーザ・セッションを分析するために揮発性メモリの高速アクセス能力を利用する。

他の利点は、データ・バス同意サービスである。データ・バス同意サービスはネットワーク上のデータ供給の同意である。ネットワーク上のデータ供給に同意することは、他の要求者システムが複数のデータ・センターから回収されたデータにアクセスすることを可能にする。同意サービスを提供することによって、他の要求者システム、例えば性能分析システム及び顧客サービス・システムは、複数のデータ・センターのうちの１つのデータ・センターから送信されたユーザの行為の単なる一部ではなく、ユーザの行為の全体的な表示を分析することができる。

本発明の他の態様及び利点は添付図面を参照した以下の詳細な説明から明らかとなり、例としてのみ本発明の方針を例証する。

本発明の前記及び他の目的、特徴及び利点、並びに発明そのものは、添付図面を参照して読まれた場合、様々な実施例の以下の説明からより完全に理解される。

図１は、典型的なシステムの機能ブロック図であり、このシステムはシステム上で送信されたデータを復元しかつ不正検出システムにデータを送信する。 図２は、データ・センターからデータ・バスに転送されているデータを示す典型的なシステムの機能ブロック図である。 図３は、ユーザ要求からのユーザ・セッションの統一を示す典型的なシステムの機能ブロック図である。 図４は、ユーザ・セッションのデータベースを含む不正検出システムの部分を示す典型的なシステムの機能ブロック図である。 図５は、データ・バスからデータを受信するシステムを示す典型的なシステムの機能ブロック図である。 図６Ａは、ログイン・モジュールのスクリーン・ショットである。 図６Ｂは、ログイン・モジュールへ送られた情報の図である。 図６Ｃは、探索モジュールのスクリーン・ショットである。 図６Ｄは、探索モジュールに送信された情報の図である。 図６Ｅは、探索モジュールから受信された情報の図である。 図６Ｆは、探索モジュールから受信された情報のスクリーン・ショットである。 図６Ｇは、取引モジュールに送信された情報の図である。 図６Ｈは、情報モジュールから受信された情報の図である。 図６Ｉは、情報モジュールから受信された情報のスクリーン・ショットである。 図７は、典型的システムからのデータの送信を示すフローチャートである。 図８は、典型的システムからのユーザ・セッションの送信を示すフローチャートである。 図９は、データ・センターに送信されかつデータ・センター及びデータ回収システムでのサーバ・システムの両方から送信されているユーザ要求の処理を示すフローチャートである。 図１０は、システムによるデータ・パケットの処理及び要求システムへのデータ・パケットの送信を示すフローチャートである。 図１１は、不正行為が検出された場合のユーザ・セッションの禁止を示すフローチャートである。 図１２は、認証システムに対する不正行為の通信を示すフローチャートである。 図１３は、不正行為の検出に応じるルールの作成を示すフローチャートである。 図１４は、ユーザ・セッションを別のネットワークに再送して不正行為を緩和することを示すフローチャートである。

図１は典型的システム１００の機能ブロック図であり、このシステムはシステム上で送信されたデータを復元しかつ不正検出システム１６０にこのデータを送信する。いくつかの例において、データはユーザ１１２とシステム１００との間の交信の記録を含む。交信の記録は例えばユーザ１１２から仲介会社への売買注文及び／又はユーザ１１２による製品及びサービスの購買のクレジット・カード取引を含む。

システム１００上の送信はパケット・ベースのネットワーク及び／又は回路ベースのネットワーク上で生じることができる。パケット・ベースのネットワークは例えばインターネット、キャリア・インターネット・プロトコル（ＩＰ）ネットワーク（例えばローカル・エリア・ネットワーク（ＬＡＮ）、ワイド・エリア・ネットワーク（ＷＡＮ）、キャンパス・エリア・ネットワーク（ＣＡＮ）、メトロポリタン・エリア・ネットワーク（ＭＡＮ）、ホーム・エリア・ネットワーク（ＨＡＮ））、プライベートＩＰネットワーク、ＩＰプライベート分岐交換（ＩＰＢＸ）、無線ネットワーク（例えばラジオ・アクセス・ネットワーク（ＲＡＮ），８０２．１１ネットワーク、８０２．１６ネットワーク、一般パケット・ラジオ・サービス（ＧＰＲＳ）ネットワーク、ハイパーＬＡＮ）及び／又は他のパケット・ベースのネットワークを含む。回路ベースのネットワークは例えばパブリック切換電話ネットワーク（ＰＳＴＮ）、プライベート分岐交換（ＰＢＸ）、無線ネットワーク（例えばＲＡＮ、ブルートゥース、コード分割マルチプル・アクセス（ＣＤＭＡ）ネットワーク、時間分割マルチプル・アクセス（ＴＤＭＡ）ネットワーク、移動通信（ＧＳＭ）ネットワークのためのグローバル・システム）及び／又は他の回路ベースのネットワークを含む。

システム１００は送信装置１１０と交信するユーザ１１２を含み、この装置はロードバランサ１３０にデータ・パケットとして１以上の部分におけるデータを送信する。いくつかの例において、ユーザ１１２はデータ・パケットを送信するために送信装置１１０のいかなる型も使用することができる。送信装置１１０は例えばコンピュータ、ブラウザ装置付きコンピュータ、電話、ＩＰ電話、移動装置（例えば携帯電話、パーソナル・デジタル・アシスタント（ＰＤＡ）装置、ラップトップ・コンピュータ、電子メール装置）及び／又は他の通信装置を含む。ブラウザ装置は例えばコンピュータ（例えばデスクトップ・コンピュータ、ラップトップ・コンピュータ）を含み、このコンピュータは世界的ウェブ・ブラウザ（例えばＭｉｃｒｏｓｏｆｔ（登録商標）ＩｎｔｅｒｎｅｔＥｘｐｌｏｒｅｒ（登録商標）、Ｍｏｚｉｌｌａ（登録商標）Ｆｉｒｅｆｏｘ）を備える。移動演算装置は例えばＢｌａｃｋｂｅｒｒｙ（登録商標）を含む。

ロードバランサ１３０はネットワーク・システムであってもよい。ネットワーク・システムは例えばネットワーク・ルータ、ネットワーク・スイッチ、ネットワーク・ハブ、コンピュータ及び／又は他の通信装置を含む。ネットワーク・システムは例えば１以上のネットワーク・アダプタ（例えば１０／１００／１０００ベース−Ｔネットワーク・インターフェース・アダプタ・カード（ＮＩＣ）、１０００ベース−ＳＸ ＮＩＣ、１０００ベース−ＬＸ ＮＩＣ、１０００ベース−ＦＸ ＮＩＣ）を含む。ネットワーク・システムは１以上のモジュールを含み、このモジュールはデータ・パケットを処理する。モジュールはデジタル電子回路、コンピュータ・ハードウェア、ファームウェア及び／又はソフトウェアにおいて実施される。モジュールは例えばデータ経路指示モジュール、インターネット・プロトコル（ＩＰ）経路指示モジュール、ドメイン名サービス（ＤＮＳ）経路指示モジュール及び／又は他の経路指示モジュールを含む。

いくつかの例において、システム１００は他のシステムからデータ・パケットを受信する。他のシステムは１以上のネットワーク・システムを含み、これらのシステムはそれぞれ１以上の送信装置１１０を含む。他のシステムは処理のためにデータ・センター１２０ａ及び１２０ｂに送信するためにロードバランサ１３０にデータを送信する。

ロードバランサ１３０はロードバランス技術に基づいて異なるデータ・センター１２０ａ又は１２０ｂにデータ・パケットを送信する。いくつかの例において、ロードバランサ１３０は、データ・センターの入手可能な能力（例えばプロセッサ能力、ディスク容量）、ネットワークの状態（例えばパケット・トリップ時間、パケット損失）、データ・パケットに関するサービス指示器の質、適用可能性、各データ・センターへの接続数及び／又は所定の経路指示に従って、複数のデータ・センター１２０ａ及び１２０ｂから選択されたデータ・センターにデータ・パケットを送信する。

図１はデータ・センターＡ１２０ａ及びＢ１２０ｂを備える典型的システム１００を示す。システム１００は２つのデータ・センター１２０ａ及び１２０ｂとともに示されているが、他の例はいかなる数（例えば３、４、１０、２０、１００、１，０００、１０，０００）のデータ・センターでも含む。同様にシステム１００は１つのロードバランサ１３０を例証するが、他の例は多層において複数のロードバランサを含む。例えばユーザの送信装置１１０はロードバランサ１３０にデータ・パケットを送信し、この場合バランサは第一ロードバランサ１３０がデータ・パケットを送信する一層のロードバランサを有する。第一ロードバランサ１３０の下の層の第二ロードバランサは複数のデータ・センターから選択されたデータ・センターにデータ・パケットを送信する。

データ・センター１２０ａ及び１２０ｂにおけるデータ・パケットはサーバ・システム１２２ａ及び１２２ｂ並びにデータ回収システム１２４ａ及び１２４ｂにそれぞれ送信される。例えば、データ・パケットはユーザ送信装置１１０からロードバランサ１３０に送信される。データ・パケットはロードバランサ１３０からデータ・センターＡ１２０ａに送信される。データ・パケットはデータ・センターＡ１２０ａにおいてサーバ・システム１２２ａ及びデータ回収システム１２４ａに送信される。

データ・センターＡ１２０ａにおけるサーバ・システム１２２ａ及びデータ回収システム１２４ａへのデータ・パケットの送信は、例えばネットワーク装置を使用して同時にかつ互いに独立して生じることができる。ネットワーク装置は例えば、ネットワーク・ルータ、ネットワーク・ファイアウォール、ネットワーク・ハブ、ネットワーク・スイッチ、コンピュータ及び／又は他のネットワーク装置（例えばＧｉｇａｍｏｎＳｙｓｔｅｍｓＬＬＣから入手可能なＧｉｇａｍｏｎＧｉｇａＶＵＥ−ＭＰ）を含む。

サーバ・システム１２２ａ及び１２２ｂはそれぞれ１以上のサーバを含むことができる（例えば１２６ａ、１２７ａ、１２７ｂ及び１２８ｂ）。サーバは例えばウェブ・サーバ（例えば１２６ａ）、アプリケーション・サーバ（例えば１２８ｂ）（例えばＯｒａｃｌｅＣｏｒｐｏｒａｔｉｏｎから入手可能なＯｒａｃｌｅ（登録商標）アプリケーション・サーバ１０ｇ）、データベース・サーバ（例えば１２７ａ及び１２７ｂ）（例えばＯｒａｃｌｅＣｏｒｐｏｒａｔｉｏｎから入手可能なＯｒａｃｌｅ（登録商標）データベース１０ｇ）、通信サーバ、ファクス・サーバ、ファイル・サーバ、ゲーム・サーバ、認証サーバ（例えばＲＳＡＳｅｃｕｒｉｔｙＩｎｃ．から入手可能なＲＳＡ（登録商標）認証マネージャ）、デスクトップ・コンピュータ、セントラル・アド・サーバ、ファイル輸送プロトコル・サーバ、画像サーバ、メール・サーバ、ニュース・サーバ、プロクシ・サーバ、印刷サーバ、音サーバ、ストリーミング媒体サーバ、ターミナル・サーバ、ファイアウォール、ネットワーク・ルータ、ネットワーク・ハブ、ネットワーク（例えばイントラネット１２５ａ）及び／又はネットワーク・スイッチを含む。

いくつかの例において、データ回収システム１２４ａ及び１２４ｂは１以上の演算装置を含み、この装置は例えばコンピュータ、ラップトップ・コンピュータ、ネットワーク・ルータ、ネットワーク・スイッチ及び／又はネットワーク・ハブ（ＲａｄｗａｒｅＬｔｄ．から入手可能なＲａｄｗａｒｅ（登録商標）ＡＳ４、ＣｏｖｅｌｉｇｈｔＳｙｓｔｅｍ，Ｉｎｃ．から入手可能なＣｏｖｅｌｉｇｈｔＩｎｆｌｉｇｈｔ（商標）５０００、ＧｉｇａｍｏｎＳｙｓｔｅｍｓＬＬＣから入手可能なＧｉｇａｍｏｎＧｉｇａＶＵＥ−ＭＰ）であってもよい。

データ回収システム１２４ａ及び１２４ｂは、ネットワークの残りへのデータ送信に干渉することなくネットワークからデータ・パケットを捕集することができる。例えばデータ回収システム１２４ａはロードバランサ１３０からデータ・センター１２０ａに送信されたデータ・パケットを受信する一方で同時にデータ・パケットはサーバ・システム１２２ａに受信され、データ・パケットを受信するための平行経路を生成する。

データ回収システム１２４ａ及び１２４ｂはサーバ・システム１２２ａ及び１２２ｂによってユーザにそれぞれ返信されたデータ・パケットを捕集することができる。例えば、ユーザ１１２は送信装置１１０を使用して情報を要求するデータ・パケットを送信する。データ・パケットはロードバランサ１３０からデータ・センターＢ１２０ｂに送られる。データ・パケットはサーバ・システム１２２ｂ及びデータ回収システム１２４ｂに送信される。サーバ・システム１２２ｂはデータ・パケットを処理しかつデータ・パケット応答を送信することによってユーザの要求に答える。データ・パケット応答はデータ回収システム１２４ｂによって捕集される。

データ・パケット及び／又はデータ・パケット応答はデータ回収システム１２４ａ及び１２４ｂから復元エンジン１５０に送信される。復元エンジン１５０は複数のデータ・センター１２０ａ及び１２０ｂからデータ・パケットを受信する。復元エンジン１５０はデータ・パケットを処理してユーザ１１２からのデータの一部又は全てを形成する。復元データはユーザの送信装置１１０によってネットワーク上で送信される情報の一部又は全てを表す（例えばネットワーク上で送信される原情報）。

サーバ・システム１２２ａによるデータ・パケットの処理は同時に又はほぼ同時にかつデータを復元する復元エンジン１５０とは別に生じることができる。例えばデータ・パケットはサーバ・システム１２２ａから送信され、データ回収システム１２４ａが復元エンジン１５０にデータ・パケットを送信しかつ復元エンジン１５０がデータ・パケットをデータに復元すると同時に又はほぼ同時に処理される。サーバ・システム１２２ａによる処理は例えばサーバ・システム１２２ａによって受信されたデータ・パケットがイントラネット１２５ａに送信されイントラネットがウェブ・サーバ１２６ａにこのデータ・パケットを送信することを含む。ウェブ・サーバ１２６ａはデータ・パケットを処理してウェブ・サーバ１２６ａがデータ・パケットに応答する必要があるか及び／又はウェブ・サーバ１２６ａがデータベース・サーバ１２７ａからの情報にアクセスする必要があるか決める。ウェブ・サーバ１２６ａは、データ・パケットに応答するために（例えばウェブ・サーバ１２６ａの一部である探索モジュールへの探索サブミッション）データベース・サーバ１２７ａからの情報を必要とする。ウェブ・サーバ１２６ａはデータベース・サーバ１２７ａに質問し、データベース・サーバ１２７ａはこの質問に答える（例えば探索から要求される情報）。ウェブ・サーバ１２６ａは質問から返信された情報を処理しかつ要求された情報とともにウェブ・ページをイントラネット１２５ａからユーザ１１２の送信装置１１０に返信する。

復元エンジン１５０はデータ・パケットを分析してデータ・パケット情報を決めることができる。データ・パケット情報は送り先パラメータ及び／又は送り元パラメータを含む。データ・パケット・パラメータはデータ・パケットを合わせてユーザ１１２のデータを形成するために復元エンジン１５０によって使用されることができる。データ・パケット・パラメータはネットワーク・アドレス、ユーザ・アドレス、作動システム（ＯＳ）指紋、ネットワーク・カード・アドレス、ユーザ・クッキ、形式データ、暗号キー及び／又は取引識別子を含む。ネットワーク・アドレスはデータ・パケットを送信する送信装置１１０のアドレス、データ・パケットを送信するネットワーク・アドレス翻訳装置（例えばファイアウォール）又はデータ・パケットを送信する他のネットワーク装置のアドレスを含む。ユーザ・アドレスはデータ・パケットを送信する送信装置１１０でのユーザ１１２のアドレス、ユーザの送信装置１１０の識別情報又はユーザ１１２に関連のある他の識別情報を含む。ＯＳ指紋はデータ・パケットを送信するＯＳを示すデータのフォーマット化、ＯＳからのデータ・パケットにおける識別情報又はＯＳに関連のある他の識別情報を含む。ネットワーク・カード・アドレスはユーザの送信装置１１０におけるネットワーク・カードのアドレス又は送信装置１１０に関連のある送信装置の他の識別情報を含む。ユーザ・クッキはユーザの送信装置１１０に保存された情報（例えばユーザの送信装置１１０上のウェブ・ブラウザに保存された情報）又はユーザの送信装置１１０に保存されている他の識別情報を含む。形式データはユーザ１１２に関連のあるデータ・パケットにおける情報（例えばＵｓｅｒＩＤ＝ＧｅｏｒｇｅＳｍｉｔｈ等のデータ・パケットにおける情報）又はデータ・パケットにおける他の識別情報を含む。

いくつかの例において、復元エンジン１５０はデータ・パケットを処理してデータ・パケットがサーバ・システム１２２ａ及び１２２ｂからの要求に合っているか決める。例えばサーバ・システム１２２ａはユーザ１１２に情報に対する要求（即ちユーザ１１２からの情報を要求するデータ・パケット）を送信する（例えばログイン情報−ユーザｉｄ及びパスワード）。ユーザ１１２はデータ・パケットを送信することによって送信装置１１０から応答する（例えばユーザｉｄ及びパスワード）。復元エンジン１５０はユーザ１１２からのデータ・パケットにサーバ・システム１２２ａからの情報に対する要求を（例えばログイン情報にログイン情報に対する要求を）合わせる。ユーザ１１２からのデータ・パケットにサーバ・システム１２２ａからの情報に対する要求を適合させることは、データ・パケットを適合させるために復元エンジン１５０によって使用される。

復元エンジン１５０はデータ・パケットを処理することができる。データ・パケットの処理は濾過、復号化及び／又は暗号化（ＲａｄｗａｒｅＬｔｄ．から入手可能なＲａｄｗａｒｅ（登録商標）ＳＳＬ復号化）を含む。濾過は例えばインターネット・プロトコル・アドレス、プロトコル、データの種類（例えばグラフのインターフェース・フォーマット（ｇｉｆｓ）、ハイパーテキスト・マークアップ言語（ｈｔｍｌ）、ジョイント・フォトグラフィック・エキスパーツ・グループ（ｊｐｅｇｓ）、カスケード・スタイル・シート（ｃｓｓ）、ジャヴァスクリプト（ｊｓ））、パラメータ（例えばパスワード、ピン、個人識別情報）、コンテンツ、コンテンツの種類、一様リソース位置入力装置（ＵＲＬ）経路及び／又はインターネット・プロトコル（ＩＰ）範囲による濾過を含む。

復元エンジン１５０は例えば１時間につき１０億を越えるデータ・パケットを受信する。例えば、復元エンジン１５０は信頼されているインターネット・プロトコル・アドレス（例えば信頼されているデータ・センターからのアドレス１０．１１１．２３．１２）からのデータ・パケットを濾過することができる。復元エンジン１５０は信頼されているインターネット・プロトコル・アドレスからのデータ・パケットを全て濾過して復元エンジン１５０に対する負荷を低減する。例えば復元エンジン１５０はパスワード及びピン番号等のパラメータを濾過して機密情報が不正検出システム１６０に送信されることを防ぐ。

復元エンジン１５０は不正検出システム１６０にデータを送信する。不正検出システム１６０はデータを処理して不正行為を検出する。データの処理は例えばデータを処理する１以上のシステムを含む（例えばＴＩＢＣＯＳｏｆｔｗａｒｅＩｎｃ．から入手可能なＴＩＢＣＯ（登録商標）ＢｕｓｉｎｅｓｓＥｖｅｎｔｓ（登録商標）、ＳｏｕｒｃｅＦｏｒｇｅ（登録商標）から入手可能なＤｅｅｐＮｅｔｗｏｒｋＡｎａｌｙｚｅｒ（ＤＮＡ））。

図２はデータ・センター１２０ａ及び１２０ｂからデータ・バス２１０に輸送されているデータを示す典型的システム２００の機能ブロック図である。典型的システム２００は送信装置１１０を使用するユーザ１１２を含み、この装置はロードバランサ１３０にデータ・パケットとして１以上の部分におけるデータを送信する。ロードバランサ１３０はロードバランス技術に基づいて複数のデータ・センター１２０ａ及び１２０ｂにおけるデータ・センターにデータ・パケットを送信する。データ・パケットはサーバ・システム１２２ａ及び１２２ｂ並びにデータ回収システム１２４ａ及び１２４ｂにそれぞれ送信される。

データ回収システム１２４ａ及び１２４ｂはデータ・バス２１０にデータ・パケットを送信する。いくつかの例において、データ・バス２１０は複数のデータ・センター１２０ａ及び１２０ｂからのデータ・パケットを統合して復元エンジン１５０等のデータを必要及び／又は要求しているシステムに分配する。

データ・パケットはデータ・バス２１０からデータベース２２０及び復元エンジン１５０に送信される。復元エンジン１５０は複数のデータ・センター１２０ａ及び１２０ｂから受信されたデータ・パケットからデータを復元する。復元されたデータは不正検出システム１６０及びデータベース２２０に送信される。

いくつかの例において、データ・バス２１０はネットワークに接続されている１以上のコンピュータ・システムを含む（例えば演算ブレード、ネットワーク・サーバ、ネットワーク・ルータ、ネットワーク・スイッチ、ネットワーク・ハブ）。いくつかの例において、データベース２２０はデータ・パケット及び／又はデータを保存する。データベース２２０は例えばメモリ・モジュールである。メモリ・モジュールは例えば固定記憶装置及び／又は揮発性記憶装置である。

図３はユーザ要求からのユーザ・セッションの統一を示す典型的システム３００の機能ブロック図である。システム３００はユーザ・セッション３１０を有するユーザ１１２を含む。ユーザ・セッション３１０はユーザ１１２に関連のあるユーザ要求の全てを編集したものである。ユーザ１１２はシステム３００から情報を要求かつ受信する。この情報の要求及び受信はユーザ要求によって達成される。

ユーザ要求はロードバランサ１３０に送信される。ロードバランサ１３０はロードバランス技術に基づいてデータ・センター１２０ａ又は１２０ｂにユーザ要求を送信する。ユーザ要求は、ユーザ要求が送られたデータ・センター（例えば１２０ａ又は１２０ｂ）に基づいてサーバ・システム１２２ａ又は１２２ｂ及びデータ回収システム１２４ａ又は１２４ｂに送信される。データ回収システム１２４ａ又は１２４ｂはデータ・バス２１０にユーザ要求を送信する。ユーザ要求はデータ・バス２１０からデータベース２２０及び統一エンジン３２０に送信される。統一エンジン３２０はユーザ１１２から受信されたユーザ要求を組み合わせて統一されたユーザ・セッションを形成し、この統一されたユーザ・セッションはユーザ・セッション３１０の全て又は一部を含み、最初に分割されてデータ・センター１２０ａ及び１２０ｂに送信された。統一されたユーザ・セッションは例えば、ネットワーク上で送信装置１１０から送信されない交信を含むユーザの行為の一部又は全てを表すものを含んでもよい（例えばサーバ・システム１２２ａ及び１２２ｂとのインターフェースのアプリケーション等の送信装置に関するアプリケーションに関連のある情報）。

統一エンジン３２０はユーザ要求を分析してユーザ要求情報を決めることができる。ユーザ要求情報は送り元パラメータ及び／又は送り先パラメータを含む。ユーザ要求パラメータの１以上は例えば、ユーザ要求を互いに合わせてユーザ１１２の統一されたユーザ・セッションを形成するために統一エンジン３２０によって使用される。

統一エンジン３２０はユーザ要求を分析してユーザ要求がサーバ・システム１２２ａ及び１２２ｂからの情報に対する要求及び／又はユーザの送信装置１１０に関連のあるアプリケーション・モジュールからの情報に対する要求（例えばサーバ・システム１２２ａ及び１２２ｂと通信するクライアント側アプリケーション）と一致しているか決めることができる。例えば、ユーザの送信装置１１０に関連のあるアプリケーション・モジュールはユーザ１１２から情報を要求する。ユーザ１１２はアプリケーション・モジュールに情報を入力する。送信装置１１０からのアプリケーション・モジュールは処理するためのサーバ・システム１２２ａ又は１２２ｂへのユーザ要求の形式で情報を送信する。統一エンジン３２０はアプリケーション・モジュールによって要求された情報にユーザ要求を一致させる（即ち統一エンジン３２０はどの情報がアプリケーション・モジュールによって要求されているかに気づき、そのためユーザ要求に情報を合わせることができる）。ユーザ１１２からのユーザ要求にアプリケーション・モジュールからの情報要求を一致させることは、ユーザ要求を合わせてユーザ・セッションを形成するために統一エンジン３２０によって使用される。

統一エンジン３２０はユーザ要求を処理することができる。ユーザ要求の処理は例えば濾過、復号化及び／又は暗号化を含む。

統一エンジン３２０によって統一されたユーザ・セッションは保存のためのデータベース２２０及び不正検出システム１６０に送信される。不正検出システム１６０が不正行為を検出すると、不正検出システム１６０は禁止システム３３０に通信する。禁止システム３３０は例えばロードバランサ１３０へのユーザ要求の通信を停止させる。

図４はユーザ・セッションのデータベース４５０を含む不正検出システム４０５の部分を示す典型的システム４００の機能ブロック図である。典型的システム４００の部分は図１、２及び３を参照した上述のとおりである。

統一エンジン３２０はユーザ要求を統一しかつ不正検出システム４０５に統一されたユーザ・セッションを送信する。不正検出システム４０５は地理的位置プロファイリング・エンジン４１０、挙動プロファイリング・エンジン４２０、アプリケーション・ルール・エンジン４３０、取引ルール・エンジン４４０及びデータベース４５０を含む。不正検出システム４０５は例えば、これらのエンジン又はエンジンの組み合わせの１つを含んでもよい。

地理的位置プロファイリング・エンジン４１０はユーザ位置、ネットワーク経路及び／又はネットワーク・アドレスを分析する。例えば、地理的位置プロファイリング・エンジン４１０は送信装置１１０のネットワーク・アドレスを分析してネットワーク・アドレスが疑わしいアドレス（例えばかなりの不正行為を有すると知られている外国からのネットワーク・アドレス）として公知のアドレスであるかを決める。ネットワーク・アドレスが疑わしいと決めることは不正検出システム４０５によって分析された情報の全て又は一部を含み、行為が不正であるかを決める。例えば、地理的位置プロファイリング・エンジン４１０はユーザ１１２のネットワーク経路を分析してユーザ１１２がアクセスしている経路が疑わしいネットワークを通過するか又は疑わしいネットワークによって傍受されているかを決める。ユーザ１１２のネットワーク経路が疑わしいネットワークによって傍受されている場合、地理的位置プロファイリング・エンジン４１０は不正検出システム４０５に不正行為を報告する。

挙動プロファイリング・エンジン４２０は挙動を分析するが、これはログオンなく生じるページ・ビュー数、悪意あるソフトウェアの訪問、疑わしいとして分類される探索条件、疑わしいとして分類される一様リソース位置入力装置（ＵＲＬ）、急激なアクセスとして分類される口座アクセス、多数の口座へのアクセス。１セッションごとの多数のネットワーク接続及び／又は１セッションごとの多数のユーザを分析することによって行なわれる。

例えば、ユーザ１１２が１０の異なる口座にアクセスし、これらの口座が互いに接続されていない場合、挙動プロファイリング・エンジン４２０はユーザの行為は不正であると決めかつ不正検出システム４０５に不正行為を報告する。しかしながら、ユーザ１１２が１０の異なる口座にアクセスし、これらの口座がすべて互いに接続されている場合（例えば全てが同じメール・アドレス、同じ固有のユーザ識別子を有する）、挙動プロファイリング・エンジン４２０はユーザの行為が不正ではないと決める。

挙動プロファイリング・エンジン４２０は異形ベースのプロファイリング・エンジンを含む。異形ベースのプロファイリング・エンジンは行為がいつ基準線の外側になるかを検出するために通常行為の基準線を使用する。通常行為の基準線は例えばプロファイリング・エンジンにプログラムされ及び／又はプロファイリング・エンジンによって学習されることができる一方で、ネットワーク上の情報、データ及び／又はユーザ・セッションを処理する。行為はいかなるイベント、状態、コンテンツ、挙動、取引及び／又はネットワーク４００とのユーザ１１２による同様の処理も含む。

例えば、ユーザ１１２はインターネット・サービス・プロバイダからの典型的システム４００上のＥメイル・アドレス（例えばｓｔａｎｄａｒｄｉｓｐ．ｃｏｍでの標準ユーザ）を１０年間使用してきたが、これを総称的な容易に得られるＥメイル・ホスト・サービス（例えばｈｏｔｍａｉｌ．ｃｏｍでの総称ユーザ）でのＥメイル・アドレスに変更する。ユーザのＥメイル・アドレスのこのような変更は数人のユーザにとって通常の挙動であるかもしれないが、この特定のユーザ１１２にとって、Ｅメイル・アドレスの変更は通常の挙動の外側となり、挙動プロファイリング・エンジン４２０は行為を不正行為として分類する。不正行為としての行為の分類は、例えばユーザ１１２が、Ｅメイルの変更が提出された通信チャンネルの外側でＥメイル・アドレスの変更を確認することを必要とする（例えば、Ｅメイル・アドレス変更がシステム４００に関連のあるウェブサイトを通過すると、通信チャンネルの外側でのＥメイル・アドレス変更の確認はシステム４００からの電話によるものとなる）。

アプリケーション・ルール・エンジン４３０は典型的システム４００のモジュール間の交信を監視する。アプリケーション・ルール・エンジン４３０は例えば、ログイン・モジュール、探索モジュール、取引モジュール、情報モジュール及び／又はシステム４００の一部である他のモジュールを監視する。アプリケーション・ルール・エンジン４３０は典型的システム４００のモジュールを監視してモジュールとの交信の通常範囲外の交信を検出する（例えば、エンジンにおけるルールに違反する交信）。モジュールを監視することによって、不正検出システム４０５は、不正のパターンを検出することができるが、この不正はユーザ取引を単に分析するだけでは検出されることができないが、典型的システムのアプリケーションとの交信を分析することによって検出されてもよい。

例えば、一組のユーザが認証モジュールにおけるセキュリティ・ホールを利用しようとしている。アプリケーション・ルール・エンジン４３０は認証モジュールを監視しながら、ユーザの組が同じユーザ名及びパスワードを使用してシステム４００に対して認証しようとしていることを検出する（例えば、ユーザ名及び／又はパスワード・フィールドにおける緩衝器のオーバーフロー）。交信の通常範囲は同じユーザ名及びパスワードを使用してシステム４００に対して認証しようとしている１人のユーザ以上ではない。従って、アプリケーション・ルール・エンジン４３０はユーザの組の行為が不正であると決める。

取引ルール・エンジン４４０はユーザ・セッションに信頼性レベルを付ける。信頼性レベルはシステム４００がユーザ・セッションをランク付けするレベルを決めるための分析である。例えば、ユーザ１１２がユーザのプロファイル内の位置（例えばユーザの家のコンピュータ）から送信しているが、ユーザ１１２による取引はユーザのプロファイルの外側である場合（例えば、金融市場口座における金の全てを海外銀行口座に送金するが、この場合ユーザは海外銀行口座に送金したことがない）、ユーザ・セッションの信頼性レベルは低い番号が付けられる。この低い番号は、行為が不正であるかを決めるために、取引ルール・エンジン４４０及び／又は不正検出システム４０５によって利用される。

しかしながら、例えば、ユーザ１１２がユーザのプロファイル内の位置から来ないが（例えばニューヨーク市のホテル、この場合ユーザは以前ニューヨーク市のホテルからログインしたことがない）、ユーザ１１２による取引はユーザのプロファイル内であり（例えば、金融市場口座における金の全てを海外銀行口座に送金し、この場合ユーザは隔週に海外銀行口座に送金している）ユーザが使用しているコンピュータのコンピュータ署名がユーザのプロファイルにおけるコンピュータ署名に一致している場合（例えば、ユーザはニューヨーク市のホテルで通常家で使用しているラップトップを使用している）、ユーザ・セッションの信頼性レベルは高い番号であり、これは取引はユーザの通常行為の範囲内であるがユーザはユーザのプロファイルの外側の位置からログインしているからである。高い番号は、行為が不正であるかを決めるために取引ルール・エンジン４４０及び／又は不正検出システム４０５によって利用される。

取引ルール・エンジン４４０は署名ベースのルール・エンジンを含む。署名ベースのルール・エンジンはユーザ・セッションにおいて所定のパターン（例えば署名）を探索する。パターンは例えば、不正行為を特徴づける一組の条件を含む。例えば、ｈｔｔｐヘッダ及び／又はｈｔｔｐペイロード・コンテンツは分析されて可変の上書き、パラメータ過負荷及び／又は不正行為が生じているかもしれないことを示す他の種類の行為を検出する。

例えば、ユーザ１１２は口座から海外銀行口座に＄１，０００，０００を送金する要求を提出している。取引ルール・エンジン４４０は行為を監視しかつｈｔｔｐペイロード・コンテンツを調べてコンテンツが行為の情報に相当していることを確実にしている。ｈｔｔｐペイロード・コンテンツはユーザｉｄ＝ＧｅｏｒｇｅＲｉｃｈを含む一方で、ユーザはユーザｉｄ＝ＧｅｏｒｇｅＦｒａｕｄとしてログオンされる。ユーザ１１２は資金を彼の口座からではなく別のユーザの口座から、ｈｔｔｐペイロード・コンテンツにおけるユーザｉｄパラメータを変更することによって送金しようとしている。取引ルール・エンジン４４０はこの不一致を検出しかつユーザ・セッションを不正として分類している。

データベース４５０はメモリ・モジュールにユーザ・セッションの要素を保存する。要素は例えば、ユーザ識別、ネットワーク・アドレス、時間、ネットワーク経路、システムにログインされた時間の長さ、取引及び／又はユーザ・セッションに含まれる他の情報を含む。メモリ・モジュールは例えば、揮発性メモリであって、保存されたユーザ・セッションのアクセスの速度を増す。メモリ・モジュールは例えば、履歴の分析のために維持する固定保存装置である（例えばＯｒａｃｌｅ Ｃｏｒｐｏｒａｔｉｏｎから入手可能なＯｒａｃｌｅ（登録商標）Ｂｅｒｋｅｌｅｙ ＤＢ）。

例えば、不正検出システム４０５はデータベース４５０に保存されているユーザ・セッションを探索し同じネットワーク・アドレス及び／又はネットワーク・サブネットによってアクセスされる。ユーザ・セッションの要素がデータベース４５０に保存され不正行為に関連のある要素に類似及び／又は一致していると、不正検出システム４０５はユーザ・セッションを不正であるとして分類する（例えば保存された要素はサブネット１０．１０．１０．０は不正行為に関連があり、そして１０．１０．１０．５からのユーザ・セッションは不正であるとして分類される）。

例えば、データベース４５０は高速アクセス用揮発性メモリに全ての債券購入用取引金額の全てを保存する。不正検出システム４０５は統一エンジン３２０からユーザ・セッションを受信する。ユーザ・セッションは不正検出システム４０５によって処理されて不正行為が存在するかを決める。不正検出システム４０５による処理の一部は、ユーザ・セッションにおける取引金額と購入している債券用の以前の取引金額とを比較することである。購入されている債券用のデータベース４５０における保存された要素は１年につき１００，０００を越える取引で１０年間の取引を含む。不正検出システム４０５は揮発性メモリにおけるデータベース４５０から１００万件を越える取引を検索してユーザ・セッションにおける取引が不正行為であるかを分析する。不正検出システム４０５は揮発性メモリ（例えばランダム・アクセス・メモリ）におけるデータベース４５０の速度を利用して、サーバ・システム１２２ａ又は１２２ｂが取引を処理していると同時に又はほぼ同時に取引を処理する。ユーザ・セッションにおける取引（例えば９，２３２の債券の購入）が通常範囲であると（例えば購入の範囲は１〜１０，３４２）、不正検出システム４０５は取引を禁止しない。ユーザ・セッションにおける取引（例えば１３２，２３０の債券の購入）が通常範囲ではない場合（例えば購入の範囲は１〜１０，３４２）、不正検出システム４０５は取引を禁止する。

図５はデータ・バス２１０からデータを受信する要求システムを示す典型的システム５００の機能ブロック図である。典型的システム５００の部品は図１、２、３及び４を参照した上述のとおりである。データ・バス２１０は要求システムにデータ・パケットを送信する。いくつかの例において、要求システムはマーケティング分析システム５６２、ネットワーク侵入検出システム５６４、顧客サービス・システム５６６及び／又は性能分析システム５６８を含む。

データ・バス２１０によって受信されたデータ・パケットは例えば、要求システムに送信される前にデータに復元される。データ・バス２１０によって受信されたユーザ要求は例えば、要求システムに送信される前にユーザ・セッションに統一される。データ・バス２１０は例えば、図３に示されている統一エンジン３２０及び／又は図１に示されている復元エンジン１５０を含む。

データ・バス２１０はデータ回収システム１２４ａ及び１２４ｂから暗号化された情報としてデータ・パケット及び／又はユーザ要求を受信する。データ・バス２１０は要求システムに送信する前に情報を復号化する。

データ・バス２１０は特定のプロトコルに準拠しているフォーマットにデータ・パケット及び／又はユーザ要求を処理する。特定のプロトコールはインターネット上の音声プロトコル（ＶｏＩＰ）、送信制御プロトコル（ＴＣＰ）、インターネット・プロトコル（ＩＰ）、拡張可能マークアップ言語（ＸＭＬ）、ハイパーテキスト・マークアップ言語（ＨＴＭＬ）及び／又は標準一般化マークアップ言語（ＳＧＭＬ）を含む。

図６Ａはログイン・モジュールによって生成されたスクリーン・ショット６００ａである。スクリーン・ショット６００ａはログイン・モジュールによって生成されたログイン・スクリーンを示し、このモジュールは図１のロードバランサ１３０に関連のあるネットワークに含まれる。ログイン・スクリーンは顧客識別フィールド６０２ａ、ピン・フィールド６０４ａ及び情報提出ボタン６０６ａを含む。フィールド６０２ａ、６０４ａ及び６０６ａはユーザ要求における情報の一部又は全てである。

図６Ｂは図１の送信装置１１０から図６Ａにおいて情報を含むログイン・モジュールに送られた情報の図６００ｂである。図６００ｂはデータ・パケット及び／又はユーザ要求の一部又は全てである。情報パラメータ６１０ｂは情報がどのように導かれ及び／又は処理されるかを規定する。情報パラメータ６１０ｂは情報の源、情報の送り先、経路指示情報、情報用プロトコル及び／又は他の型の送信パラメータを含む。情報データ６１２ｂはコンテンツ情報を含む。情報データ６１２ｂはフォーマット化情報、コンテンツ情報、取引情報及び／又は他の型のコンテンツ情報を含む。取引情報はログイン・スクリーン６０２ａの顧客ｉｄフィールドに相当する顧客ｉｄ６０２ｂを備えてもよい。取引情報はログイン・スクリーン６０４ａのピン・フィールドに相当するピン６０４ｂを備えてもよい。取引情報はログイン提出ボタン６０６ａに相当するログイン・イン６０６ｂコマンド情報を備えてもよい。フィールド６０２ｂ、６０４ｂ及び６０６ｂはデータ・パケットにおける情報及び／又はユーザ要求における情報の一部又は全てである。

図３の典型的システム３００は６００ａ及び６００ｂによって示されているようにユーザ要求をユーザ・セッションに統一する。ユーザ・セッションは不正検出システム１６０によって分析されて多数の口座への口座アクセスを探す。不正検出システム１６０はユーザ１１２が現在のログインと同じ時間枠又は近い時間枠において以前多数の他の口座にログされた口座にログインすることを検出する。不正検出システム１６０は口座へのアクセスが不正であることを決めかつ禁止システム３３０にユーザ１１２のための不正行為情報を送信する。禁止システム３３０はユーザ１１２のシステム３００へのアクセスを遮断する。

図６Ｃは図３のサーバ・システム１２２ａ又は１２２ｂにおける探索モジュールによって生成されたスクリーン・ショット６００ｃである。スクリーン・ショット６００ｃにおけるフィールドはユーザ要求における情報の一部又は全てを備えてもよい。

図６Ｄは図３の送信装置１１０からサーバ・システム１２２ａ又は１２２ｂにおける探索モジュールに送信された情報の図６００ｄであり、このサーバ・システムは図６Ｃにおける情報を含む。図６００ｄはデータ・パケット及び／又はユーザ要求の一部又は全てである。情報パラメータ６１０ｄは情報がどのように導かれかつ処理されるかを規定する。情報データ６１２ｄはコンテンツ情報を含む。

図６Ｅは図３のサーバ・システム１２２ａ又は１２２ｂにおける探索モジュールから受信された情報の図６００ｅである。図６００ｅはデータ・パケット及び／又はユーザ要求の一部又は全てである。情報パラメータ６１０ｅは情報がどのように導かれかつ処理されるかを規定する。情報データ６１２ｅはコンテンツ情報を含む。

図６Ｆは図３のサーバ・システム１２２ａ又は１２２ｂにおける探索モジュールによって生成された情報のスクリーン・ショット６００ｆである。スクリーン・ショット６００ｆは探索モジュールから受信された情報を示す。スクリーン・ショット６００ｆに示されている情報は図６Ｅの図における情報６１２ｅに相当する。

図６Ｇは図３のサーバ・システム１２２ａ又は１２２ｂにおける取引モジュールに送信された情報の図６００ｇである。図６００ｇはデータ・パケット及び／又はユーザ要求の一部又は全てである。情報パラメータ６１０ｇは情報がどのように導かれかつ処理されるかを規定する。情報データ６１２ｇはコンテンツ情報を含む。

図６Ｈは図３のサーバ・システム１２２ａ又は１２２ｂにおける情報モジュールから受信された情報の図６００ｈである。図６００ｈはデータ・パケット及び／又はユーザ要求の一部又は全てである。情報パラメータ６１０ｈは情報がどのように導かれかつ処理されるかを規定する。情報データ６１２ｈはコンテンツ情報を含む。

図６Ｉは図３のサーバ・システム１２２ａ又は１２２ｂにおける情報モジュールによって生成された情報のスクリーン・ショット６００ｉである。スクリーン・ショット６００ｉに示されている情報は図６Ｈの図における情報６１２ｈに相当する。

情報６００ｂ、６００ｄ、６００ｅ、６００ｇ及び６００ｈの図は図１のデータ回収システム１２４ａ又は１２４ｂで回収されたデータ・パケット及び／又はユーザ要求を示す。復元されたデータはデータ回収システム１２４ａ及び１２４ｂで回収されたデータ・パケットの全ての組み合わせである。復元されたデータは、送信装置１１０及びサーバ・システム１２２ａ及び１２２ｂから送信される情報である（例えばシステム１００上で送信される原パケットの全て）。スクリーン・ショット６００ａ、６００ｃ、６００ｆ及び６００ｉ及び情報６００ｂ、６００ｄ、６００ｅ、６００ｇ及び６００ｈの図に含まれる情報はユーザ・セッションの一部又は全てを示す。ユーザ・セッションは取引を含むユーザの行為の一部又は全てを示し、この取引はネットワーク上で送信装置１１０から送信されていない。

例えば、送信装置１１０はサーバ・システム１２２ａ及び１２２ｂと交信するためのアプリケーションを含む。ユーザ１１２と送信装置１１０上のアプリケーションとの間の交信はユーザの行為の一部であり、このようにユーザ・セッションは送信装置１１０上のアプリケーションとユーザ１１２との間の交信を含む。統一エンジン３２０は送信装置１１０上で使用されるアプリケーションに気づき（例えば、データベース２２０においてアプリケーションに関する情報及びアプリケーションとの交信を保存することによって）、アプリケーションに関連のある交信を統一されたユーザ・セッションに統合する。

図７は図１の典型的システム１００からデータを送信する工程を示すフローチャート７００である。ユーザ１１２は送信装置１１０を使用してデータ・パケットを送信する（７１０）。ロードバランサ１３０はデータ・パケットを受信しかつデータ・センター１２０ａ及び１２０ｂの１つにデータ・パケットを送る（７２０）。図７はデータ・センターＡ１２０ａで行なわれグループ分け７３０ａとして示されている処理及びデータ・センターＢ１２０ｂで行なわれグループ分け７３０ｂとして示されている処理を含む。いずれのデータ・センターでも、データ・パケットはサーバ・システム１２２ａ及び１２２ｂにそれぞれ導かれ（７３２ａ及び７３２ｂ）、データ回収システム１２４ａ及び１２４ｂはそれぞれデータ・パケットを捕集する（７３６ａ及び７３６ｂ）。データ・パケットはサーバ・システム１２２ａ及び１２２ｂによってそれぞれ処理される（７３４ａ及び７３４ｂ）。サーバ・システム１２２ａ及び１２２ｂからの応答はユーザに返信されかつデータ回収システム１２４ａ及び１２４ｂによってそれぞれ捕集される（７３６ａ及び７３６ｂ）。データ回収システム１２４ａ及び１２４ｂは復元エンジン１５０にデータ・パケットを送る（７３８ａ及び７３８ｂ）。復元エンジン１５０はデータ・センター１２０ａ及び１２０ｂからデータ・パケットを受信する。復元エンジン１５０はデータ・パケットからデータを復元する（７５０）。

データ・パケットの復元（７５０）はいくつかの異なる方法で生じることができる。例えば、復元（７５０）はデータ・パケット間の送り元パラメータを一致させることを含んでもよい。例えば図１の典型的システム１００及び図６Ａ〜６Ｉのデータの部分を使用して、復元エンジン１５０はデータ・パケットをデータに復元する。データ・パケット６００ｂ、６００ｄ及び６００ｇは情報パラメータ６１０ｂ、６１０ｄ及び６１０ｇを示す。情報パラメータ６１０ｂ、６１０ｄ及び６１０ｇは送り元パラメータ（例えばソース・フィールド）を含む。ソース・フィールドは、データ・パケットがアドレス１９２．１６８．０．１から発せられたことを示す。発信元フィールドは復元エンジン１５０によってデータ・パケット間で一致させることができる。一致されたデータ・パケットは情報データ６１２ｂ、６１２ｄ及び６１２ｇを使用してハイパーテキスト・マークアップ言語（ＨＴＭＬ）に変換され、これはＨＴＭＬタグを含んでデータの一部又は全てを形成する。

典型的システム１００の利点はデータ・パケット６００ｂ、６００ｄ及び６００ｇが異なるデータ・センター１３０ａ及び１３０ｂにロードバランサ１３０によって導かれてサーバ・システム１２２ａ及び１２２ｂによって処理され（７３４ａ及び７３４ｂ）、異なるデータ・センター１３０ａ及び１３０ｂに導かれたデータ・パケット６００ｂ、６００ｄ及び６００ｇはユーザの送信装置１１０によって送信かつ受信されたデータの一部又は全てに復元される。データ・パケット６００ｂはデータ・センターＡ１２０ａにロードバランサ１３０によって導かれる（７２０）一方で、データ・パケット６００ｄ及び６００ｇはデータ・センターＢ１２０ｂにロードバランサ１３０によって導かれる（７２０）。データ・パケット６００ｂはサーバ・システム１２２ａに導かれ（７３２ａ）かつデータ・センターＡ１２０ａにおいてデータ回収システム１２４ａによって捕集される（７３６ａ）。データ・パケット６００ｄ及び６００ｇはサーバ・システム１２２ｂに導かれ（７３２ｂ）かつデータ・センターＢ１２０ｂにおいてデータ回収システム１２４ｂによって捕集される（７３６ｂ）。データ回収システム１２４ａ及び１２４ｂは復元エンジン１５０にデータ・パケットを送る（７３８ａ及び７３８ｂ）。復元エンジン１５０はデータ・センターＡ１２０ａ及びＢ１２０ｂから受信されたデータ・パケットをユーザ１１２が送ったデータに復元する（７５０）。このように、データ・パケットはデータ・センター１２０ａ及び１２０ｂの間で分割されサーバ・システム１２２ａ及び１２２ｂによって処理されるが（７３４ａ及び７３４ｂ）、復元エンジン１５０によって復元される（７５０）。

例えば、復元（７５０）はデータ・パケット間で送り元及び送り先パラメータを一致させることを含んでもよい。例えば図１の典型的システム１００及び図６Ａ〜６Ｉのデータの部分を使用して、復元エンジン１５０はデータ・パケットをデータに復元する。データ・パケット６００ｂ、６００ｄ、６００ｅ、６００ｇ及び６００ｈは情報パラメータ６１０ｂ、６１０ｄ、６１０ｅ、６１０ｇ及び６１０ｈを示す。情報パラメータ６１０ｂ、６１０ｄ、６１０ｅ、６１０ｇ及び６１０ｈは送り元パラメータ（例えばソース・フィールド、送り先フィールド）を含む。ソース・フィールドは図６Ｂ、６Ｄ及び６Ｇに示されているデータ・パケットがアドレス１９２．１６８．０．１から発生していることを示す。送り先フィールドはデータ・パケット６００ｅ及び６００ｈがアドレス１９２．１６８．０．１に送られることを示す。送り元フィールド及び送り先フィールドはデータ・パケット間で復元エンジン１５０によって一致されデータを形成する。一致させることはデータの復元（７５０）の一部又は全てである。

典型的システム１００の利点はデータ・パケット６００ｂ、６００ｄ及び６００ｇが異なるデータ・センター１３０ａ及び１３０ｂにロードバランサ１３０によって導かれてサーバ・システム１２２ａ及び１２２ｂによって処理され（７３４ａ及び７３４ｂ）、異なるデータ・センター１３０ａ及び１３０ｂから導かれたデータ・パケット６００ｂ、６００ｄ及び６００ｇ及びサーバ・システム１２２ａ及び１２２ｂによって送信されたデータ・パケットはユーザの送信装置１１０によって送信かつ受信されたデータに復元される。データ・パケット６００ｂはデータ・センターＡ１２０ａにロードバランサ１３０によって導かれる（７２０）一方で、データ・パケット６００ｄ及び６００ｇはデータ・センターＢ１２０ｂにロードバランサ１３０によって導かれる（７２０）。データ・パケット６００ｂはサーバ・システム１２２ａに導かれ（７３２ａ）かつデータ・センターＡ１２０ａにおいてデータ回収システム１２４ａによって捕集される（７３６ａ）。データ・パケット６００ｄ及び６００ｇはサーバ・システム１２２ｂに導かれ（７３２ｂ）かつデータ・センターＢ１２０ｂにおいてデータ回収システム１２４ｂによって捕集される（７３６ｂ）。データ回収システム１２４ａ及び１２４ｂはデータ・パケット６００ｅ及び６００ｈを捕集するが（７３６ａ及び７３６ｂ）これらのパケットはユーザ１１２への応答である。データ回収システム１２４ａ及び１２４ｂは復元エンジン１５０にデータ・パケットを送る（７３８ａ及び７３８ｂ）。復元エンジン１５０はデータ・センターＡ１２０ａ及びＢ１２０ｂから受信されたデータ・パケットをユーザ１１２が送りかつ受信したデータに復元する（７５０）。このように、データ・パケットはデータ・センター１２０ａ及び１２０ｂの間で分割されサーバ・システム１２２ａ及び１２２ｂによって処理されるが（７３４ａ及び７３４ｂ）、復元エンジン１５０によって復元される（７５０）。

図８は図３の典型的システム３００によるユーザ要求の送信の工程を示すフローチャート８００である。ユーザ１１２は送信装置１１０を使用してユーザ要求を送信する（８１０）。ロードバランサ１３０はユーザ要求を受信しかつデータ・センター１２０ａ及び１２０ｂの１つにユーザ要求を送る（８２０）。図８はデータ・センターＡ１２０ａで行なわれグループ分け８３０ａとして示されている処理及びデータ・センターＢ１２０ｂで行なわれグループ分け８３０ｂとして示されている処理を含む。いずれのデータ・センターでも、ユーザ要求はデータ・センター１２０ａ又は１２０ｂで受信される（８３２ａ及び２３２ｂ）。ユーザ要求はサーバ・システム１２２ａ又は１２２ｂ及びデータ回収システム１２４ａ又は１２４ｂにそれぞれ送られる（８３４ａ又は８３４ｂ）。データ回収システムはデータ・バス２１０にユーザ要求を送る（８３６ａ又は８３６ｂ）。統一エンジン３２０はデータ・バス２１０からユーザ要求を受信する（８５０）。統一エンジン３２０はデータ・バス２１０から受信されたユーザ要求を統一して（８６０）ユーザ・セッションを形成する。

ユーザ要求の統一（８６０）はいくつかの異なる方法で生じることができる。例えば、統一（８６０）はユーザ要求間で送り元及び送り先パラメータを一致させることを含む。例えば図３の典型的システム３００及び図６Ａ〜６Ｉのユーザ・セッションの部分を使用して、統一エンジン３２０はユーザ要求をユーザ・セッションに統一する（８６０）。ユーザ・セッションはユーザ要求６００ｂ、６００ｄ及び６００ｇ、応答６００ｅ及び６００ｈ及びスクリーン・ショット６００ａ、６００ｃ、６００ｆ及び６００ｉ用情報を含む。ユーザ要求６００ｂ、６００ｄ及び６００ｇ及び応答６００ｅ及び６００ｈは情報パラメータ６１０ｂ、６１０ｄ、６１０ｅ、６１０ｇ及び６１０ｈを示す。情報パラメータ６１０ｂ、６１０ｄ、６１０ｅ、６１０ｇ及び６１０ｈは送り元パラメータ（例えばソース・フィールド、送り先フィールド）を含む。ソース・フィールドはユーザ要求６００ｂ、６００ｄ及び６００ｇが１９２．１６８．０．１から発生していることを示す。送り先フィールドはユーザ要求６００ｅ及び６００ｈがアドレス１９２．１６８．０．１に送られていることを示す。情報データ６１２ｂ、６１２ｄ、６１２ｅ、６１２ｇ及び６１２ｈはスクリーンショット６００ａ、６００ｃ、６００ｆ及び６００ｉ用情報の一部又は全てとなり、これらのスクリーンショットはユーザ・セッションの一部又は全てである。送り元フィールド及び送り先フィールドはユーザ要求間で統一エンジン３２０によって一致されデータを形成する。データベース２２０に保存された情報に基づいて、統一エンジン３２０はスクリーンショットにおける情報をユーザ要求に一致させることができる（例えば統一エンジンはログイン情報を含むユーザ要求をログイン・モジュールによって生成された図６のスクリーンショット６００ａに一致させることができる）。フィールドを一致させること及びスクリーンショットにおける情報を一致させることはユーザ・セッションの統一（８６０）の一部又は全てである。

典型的システム３００の利点はロードバランサ１３０によって異なるデータ・センター１３０ａ及び１３０ｂに導かれるユーザ要求６００ｂ、６００ｄ及び６００ｇはユーザ１１２に送られているユーザ要求６００ｅ及び６００ｈ及びスクリーンショット６００ａ、６００ｃ、６００ｆ及び６００ｉに含まれている情報と統一されることである。

図９は図３の典型的システム３００によるユーザ要求の送信の工程を示すフローチャート９００である。ユーザ１１２は送信装置１１０を使用してユーザ要求を送信する（９１０）。ユーザ要求はロードバランサ１３０によってデータ・センター１２０ｂに送られる（９２０）。データ・センターＢ１２０ｂはこの例において使用されているが、ロードバランサはデータ・センターＡ１２０ａにユーザ要求を送る（９２０）ことができる。要求はサーバ・システム１２２ｂに導かれる（９３２）。サーバ・システム１２２ｂは要求を処理する（９３４）。サーバ・システム１２２ｂはユーザ要求に応答する（９３６）。応答はユーザの送信装置１１０によってユーザ１１２に返信されかつデータ回収システム１２４ｂによって捕集される（９４２）。データ回収システム１２４ｂはユーザ要求がサーバ・システム１２２ｂに導かれる（９３２）と同時に又はほぼ同時にユーザ要求を捕集する（９４２）。データ回収システム１２４ｂは、サーバ・システム１２２ｂによってユーザ要求の処理（９３４）に影響を与えることなくユーザ要求を捕集（９４２）する。ユーザ要求を捕集した（９４２）後、データ回収システム１２４ｂは統一エンジン３２０にユーザ要求を送る（９４４）。統一エンジン３２０はユーザ要求を統一（９４６）してユーザ・セッションを形成する。統一エンジン３２０はそれ自身によって又は他のユーザ要求とユーザ要求を統一して（９４６）ユーザ・セッションを形成する。ユーザ・セッションは不正検出システム１６０によって処理されて（９４８）不正行為を検出する。

例えば、図４の典型的システム４００及び図６Ａ〜６Ｉのユーザ・セッションを使用して、不正検出システム４０５はユーザ・セッションを処理して（９４８）行為が不正であるか決める。不正検出システム４０５は地理的位置プロファイリング・エンジン４１０、挙動プロファイリング・エンジン４２０及び取引ルール・エンジン４４０を使用してユーザ・セッションを処理（９４８）するが、このセッションはユーザ要求６００ｇに買い注文を含む（即ち資金の１，０００，０００債券）。地理的位置プロファイリング・エンジン４１０はユーザ１１２が買い注文を送信している位置を処理する（９４８）。位置は、ネットワーク・アドレス及びネットワーク・サブネットに基づいて疑わしくない（例えばネットワーク・アドレス及びネットワーク・サブネットは疑わしいネットワークのリストに載っていない）。地理的位置プロファイリング・エンジン４１０は非不正行為の報告を生成する。挙動プロファイリング・エンジン４２０は買い注文を分析して買い注文がユーザのプロファイルの挙動の範囲の外側であるかを決める。挙動プロファイリング・エンジン４２０は買い注文がユーザ１１２の挙動の範囲の外側ではないことを決めるが、これはデータベース４５０に保存された要素にアクセスすることによって、挙動プロファイリング・エンジン４２０はユーザ１１２が過去１０年間で何百万もの債券の割り当てを買い売りしたことを決めるからである。挙動プロファイリング・エンジン４２０は非不正行為の報告を生成する。取引ルール・エンジン４４０は買い注文を分析して買い注文が特定の債券の買い及び売り注文の通常範囲の外側であるかを決める。取引ルール・エンジン４４０は百万の債券を売り買いすることが特定の債券の通常範囲であることを決める（例えば債券は平均すると１週間当たり１億の買い売り取引である）。取引ルール・エンジン４４０は非不正行為の報告を生成する。地理的位置プロファイリング・エンジン４１０、挙動プロファイリング・エンジン４２０及び取引ルール・エンジン４４０の報告に基づいて、不正検出システム４０５はユーザ・セッションが不正ではないことを決める。

図１０は図５の典型的システム５００によるデータ・パケットの送信の工程を示すフローチャート１０００である。ユーザ１１２は送信装置１１０を使用してデータ・パケットを送信する（１０１０）。データ・パケットはロードバランサ１３０によってデータ・センターＢ１２０ｂに送られる（１０２０）。データ・センターＢ１２０ｂはこの例において使用されているが、ロードバランサはデータ・センターＡ１２０ａにユーザ要求を送る（１０２０）ことができる。データ・パケットはサーバ・システム１２２ｂに導かれる（１０３２）。サーバ・システム１２２ｂはデータ・パケットを処理する（１０３４）。サーバ・システム１２２ｂはデータ・パケットに応答する（１０３６）。応答は送信装置１１０によってユーザ１１２に返信されかつデータ回収システム１２４ｂによって捕集される（１０４２）。データ回収システム１２４ｂはデータ・パケットがサーバ・システム１２２ｂに導かれる（１０３２）と同時に又はほぼ同時にデータ・パケットを捕集する（１０４２）。データ回収システム１２４ｂはサーバ・システム１２２ｂによるデータ・パケットの処理（１０３４）に影響を与えることなくデータ・パケットを捕集する（１０４２）。データ・パケットを捕集した後（１０４２）、データ回収システム１２４ｂはデータ・バス２１０にデータ・パケットを送る（１０４４）。要求システムはデータ・バス２１０からデータの一部を要求する（１０４６）。要求されたデータはデータ・バス２１０から要求システムに送信される（１０４８）。

例えば図５の典型的システム５００及び図６Ａ〜６Ｉのデータの部分を使用して、要求システム（例えば５６２、５６４、５６６及び／又は５６８）はデータ・バス２１０からデータの部分を要求する（１０４６）。この例において、要求システムは性能分析システム５６８である。性能分析システム５６８はデータ・パケットを分析して探索モジュールの応答時間を決める。性能分析システム５６８は探索モジュールにかつ探索モジュールから送られるデータを要求する（１０４６）。データ・バス２１０は性能分析システム５６８にデータの要求された部分を送信する（１０４８）。データの部分はデータ・パケット６００ｄ及び６００ｅであり、これらのパケットは探索モジュールにかつ探索モジュールから送られるデータの部分を表す。性能分析システム５６８は探索を要求するデータ・パケット６００ｄと探索結果を送信したデータ・パケット６００ｅとの間の応答時間を分析する。高い応答時間はシステム５００が負荷されかつ性能分析システム５６８がロードバランサ１３０及び／又はサーバ・システム１２２ａ及び１２２ｂの形態を変更して応答時間を低減させたことを示す。低い応答時間はシステム５００が適切な時間枠でユーザ要求に応答しかつ訂正行為が必要とされなかったことを示す。性能分析システム５６８はシステム５００のモジュールを監視しかつシステム５００を変更して適切な場合に応答時間を低減させる。

この例において、要求システムは顧客サービス・システム５６６である。顧客サービス・システム５６６はデータ・パケットを分析してユーザ１１２がシステム５００に関して有している問題を診断かつ解決する。ユーザ１１２は、システム５００の一部である探索モジュールに情報を提出することによって、情報データ６１２ｄを利用して情報を探索しようとしている。探索モジュールは正確な情報を返信していない。ユーザ１１２は、ユーザ１１２用データを見るために顧客サービス・システム５６６を使用している顧客サービス代表者に連絡する。データの部分は顧客サービス・システム５６６によって要求される（１０４６）。顧客サービス代表者は、情報パラメータ６１０ｄがシステム５００に正確に送信されていないので情報要求が失敗していることを識別する。顧客サービス代表者はユーザ１１２に世界ウェブ・ブラウザ・ソフトウェア（例えばＭｏｚｉｌｌａ（登録商標）Ｆｉｒｅｆｏｘ）を更新しかつ再び試みるように指示する。ユーザ１１２は世界ウェブ・ブラウザ・ソフトウェアを更新しかつシステム５００にデータ・パケット６００ｄを提出する。ユーザ１１２は、スクリーンショット６００ｆに示されているようにデータ・パケット応答６００ｅ（即ちユーザの要求に対する応答）を受信する。

図１１は図３の典型的システム３００によるユーザ要求の送信の工程を示すフローチャート１１００である。ユーザ１１２は送信装置１１０を使用してユーザ要求を送信する（１１１０）。禁止システム３３０は、ユーザ・セッションが不正検出システム１６０からの通知に基づいて禁止されるべきかを決める（１１６４）。不正検出システム１６０は、例えばユーザ１１２がユーザの挙動プロファイルの外側で取引している場合、禁止システム３３０に通知を送る（例えばユーザ１１２は１０００万の株式の割り当てを買っていて、この場合ユーザ１１２はこの取引の前にポートフォリオにおいて１００の株式の割り当てを有しているにすぎない）。

禁止システム３３０がユーザ・セッションを禁止していないと（１１６４）、ユーザ要求はロードバランサ１３０によってデータ・センター１２０ｂに導かれる（１１２０）。禁止システム３３０がユーザ・セッションを禁止していないと（１１６４）、システム１１００のアクセスは停止される（１１６６）。データ・センターＢ１２０ｂはこの例において使用されているが、ロードバランサはデータ・センターＡ１２０ａにユーザ要求を送ることができる（９２０）。要求はサーバ・システム１２２ｂに導かれる（１０３２）。サーバ・システム１２２ｂは要求を処理する（１０３４）。サーバ・システム１２２ｂはユーザ要求に応答する（１０３６）。応答は送信装置１１０によってユーザ１１２に返信されるが、これは禁止システム３３０が、不正検出システム１６０からの通知に基づいてユーザ・セッションが禁止されるべきかを決めない（１１６２）場合である。禁止システム３３０がユーザ・セッションを禁止しないと（１１６２）、アクセスはシステム１１００が停止される（１１６６）（即ちユーザ要求への応答はユーザ１１２に返送されていない）。

データ回収システム１２４ｂはユーザ要求がサーバ・システム１２２ｂに導かれる（１１３２）と同時に又はほぼ同時にユーザ要求を捕集する（１１４２）。データ回収システム１２４ｂは、サーバ・システム１２２ｂによるユーザ要求の処理（１１３４）に影響を与えることなくユーザ要求を捕集する（１１４２）。ユーザ要求を捕集した後（１１４２）、データ回収システム１２４ｂはデータ・バス２１０にユーザ要求を送る（１１４４）。統一エンジン３２０はデータ・バス２１０からユーザ要求を受信する（１１４６）。統一エンジン３２０はユーザ要求を統一して（１１４８）ユーザ・セッションを形成する。統一エンジン３２０はそれ自身によって又は他のユーザ要求でユーザ要求を統一して（１１４８）ユーザ・セッションを形成する。ユーザ・セッションは不正検出システム１６０によって処理されて（１０５０）不正行為を検出する。不正検出システム１６０が不正行為を検出すると（１１６０）、不正検出システム１６０は禁止システム３３０に通知する。不正検出システム１６０が不正行為を検出しないと（１１６０）、不正検出システム１６０はユーザ・セッションを処理し続けて（１１５０）不正行為を探す。

例えば図４の典型的システム４００及び図６Ａ〜６Ｉのユーザ・セッションを使用して、禁止システム３３０はユーザ要求及びユーザ要求への応答を禁止するかを決める（１１６２及び１１６４）。統一エンジン３２０によるユーザ要求のユーザ・セッションへの統一（１１４８）は上述したとおりである。ユーザ・セッションは不正検出システム４０５によって処理されて（１１５０）疑わしいとして分類される探索条件を探す。不正検出システム４０５は、ユーザ・セッションを処理（１１５０）するために挙動プロファイリング・エンジン４２０を使用する。挙動プロファイリング・エンジン４２０は情報データ６１２ｄにおける探索条件を処理（１１５０）して探索条件が挙動プロファイリング・エンジン４２０によって疑わしいとして分類されるか決める。高い収益の債券用探索条件、１０年以上の資金の実績及び５つ星のモーニングスター評価は挙動プロファイリング・エンジン４２０によって疑わしい探索条件として分類されないが、これは探索が長期投資探索として分類され不正探索として分類されないからである。従って、挙動プロファイリング・エンジン４２０はユーザ１１２による探索を不正行為として分類しないかつ不正検出システム１６０は禁止システム３３０に通知（１１６０）しないが、これは不正行為が検出されていないからである。

図１２は図４の典型的システム４００によるユーザ要求の送信の工程を示すフローチャート１２００である。ユーザ要求の送信の工程は上述した図１１に部分的に類似している。ユーザ１１２は送信装置１１０を使用してユーザ要求を送信する（１１１０）。ユーザ要求は認証システムに送られ、このシステムはユーザ１１２が、適切に認証されたユーザ１１２からのユーザ要求のみがシステム１２００にアクセスすることを許可されることを検証することを認証（１２７０）する。ユーザ１１２がシステム１２００へのアクセスを許可されると（１２６８）、ユーザ要求はロードバランサ１３０に送信される。ユーザ１１２がシステム１２００へのアクセスを許可されないと（１２６８）、ユーザ・アクセスは停止される（１１６６）。

いくつかの例において、認証システムはコンピュータ、ネットワーク・ハブ、ネットワーク・スイッチ、ネットワーク・ルータ、ネットワーク・ファイアウォール、認証サーバ（例えばＭｉｃｒｏｓｏｆｔ Ｃｏｒｐｏｒａｔｉｏｎから入手可能なＷｉｎｄｏｗｓ（登録商標）Ｓｅｒｖｅｒ２００３におけるＫｅｒｂｅｒｏｓ認証サーバ、Ｏｒａｃｌｅ Ｃｏｒｐｏｒａｔｉｏｎから入手可能なＯｒａｃｌｅ（登録商標）アクセス・マネージャ）及び／又は他の認証モジュールを含む。

図１３は図４の典型的システム４００によるユーザ要求の送信の工程を示すフローチャート１３００である。ユーザ要求の送信の工程は上述された図１１及び１２に部分的に類似している。不正検出システム４０５が不正行為を検出すると（１１６０）、禁止システム３３０は不正行為に基づいて認証ルールを生成する（１３８２）。認証ルールは認証システムに通信されている（１３８４）。ユーザ１１２がユーザ要求を送信すると（１１１０）、認証システムはユーザ１１２を認証している場合（１２７０）ルールを有する。いくつかの例において、ルールは典型的システムへのアクセスを許可されていない或る位置の識別、典型的システムへのアクセスを許可されていない或るユーザ口座の識別及び／又は設定時間の間、典型的システムへのアクセスを許可されていない或るユーザ口座の識別を含む。

図１４は図４の典型的システム４００によるユーザ要求の送信の工程を示すフローチャート１４００である。ユーザ要求の送信の工程は上述された図１１、１２及び１３に部分的に類似している。不正検出システム４０５が不正行為を検出すると（１１６０）、禁止システム３３０はユーザ要求及び不正が検出されたユーザ・セッションに対するユーザ要求への応答を禁止する（１１６２及び１１６４）。そして禁止システム３３０は別のネットワークにユーザ要求及びユーザ要求に対する応答を再送する（１４７０）。いくつかの例において、別のネットワークはハニーポット・サーバ、ハニーポット・ネットワーク、サーバ・システム、ネットワーク・ファイアウォール、ネットワーク・ルータ、ネットワーク・ハブ、ネットワーク・スイッチ及び／又は他のネットワーク通信装置を含む。別のネットワークは例えば、ユーザ１１５がデータ・センター１２０ａ及び１２０ｂに悪影響を及ぼすことなく不正行為を続けることができるように使用される。ユーザ１１５に別のネットワーク上で不正行為を続けて行なわせることができるので、不正検出システム４０５に対するルール及び／又はプロファイルの追加又は修正に対する不正行為の分析を行なうことができる。

前記システム及び方法はデジタル電子回路、コンピュータ・ハードウェア、ファームウェア及び／又はソフトウェアにおいて実施されることができる。実施はコンピュータ・プログラム製品として行なわれる（即ち情報キャリアにおいて明白に具現化されるコンピュータ・プログラム製品）。実施は例えば、機械読み取り可能な記憶装置及び／又は伝播された信号において行なわれることができ、データ処理装置による実行又はこの装置の作動制御が行なわれる。実施は例えば、プログラム可能な処理装置、コンピュータ及び／又は多数のコンピュータにおいて行なわれることができる。

コンピュータ・プログラムはいかなる形式のプログラム言語でも書かれることができ、この言語は編集及び／又は翻訳された言語を含み、コンピュータ・プログラムはいかなる形式でも実施され、この形式はスタンドアロン・プログラム又はサブルーチン、要素及び／又は演算環境における使用に適している他の装置を含む。コンピュータ・プログラムは１台のコンピュータ又は１つの場所での多数のコンピュータ上で実行されるように構成されている。

方法ステップは１以上のプログラム可能なプロセッサによって行なわれることができ、コンピュータ・プログラムを実行させて本発明の機能を行い、これは入力データに基づいて作動しかつ出力を発生することによって行なわれる。また、方法ステップは特別な目的の論理回路によって行なわれることができ、装置はこの回路として実施されることができる。回路は例えば、ＦＰＧＡ（フィールド・プログラム可能ゲート・アレイ）及び／又はＡＳＩＣ（アプリケーション特定の集積回路）であってもよい。モジュール、サブルーチン及びソフトウェア・エージェントはコンピュータ・プログラム、プロセッサ、特別な回路、ソフトウェア及び／又はその機能を実施するハードウェアであってもよい。

コンピュータ・プログラムの実行に適しているプロセッサは例えば、一般的及び特別な目的のマイクロプロセッサの両方及びあらゆる種類のデジタル・コンピュータの１以上のプロセッサを含む。一般的に、プロセッサは読取り専用メモリ又はランダム・アクセス・メモリ又はこれらの両方から指令及びデータを受信する。コンピュータの重要な要素は指令を実行するためのプロセッサ及び指令及びデータを保存するための１以上のメモリ装置である。一般的に、コンピュータはデータを保存するための１以上の大容量記憶装置（例えば磁気、光磁気ディスク又は光ディスク）を含んでもよく、これらの装置に作動可能に接続されてこれらの装置からデータを受信及び／又は装置にデータを転送することができる。

データ送信及び指示は通信ネットワーク上で生じることができる。コンピュータ・プログラム指令及びデータを具現化させるために適切な情報キャリアはあらゆる形式の不揮発性メモリを含み、例として半導体メモリ装置を含む。情報キャリアは例えば、ＥＰＲＯＭ、ＥＥＰＲＯＭ、フラッシュ・メモリ装置、磁気ディスク、内部ハードディスク、取り外し可能なディスク、光磁気ディスク、ＣＤ−ＲＯＭ及び／又はＤＶＤ−ＲＯＭディスクであってもよい。プロセッサ及びメモリは特別目的論理回路が追加及び／又はこの回路に組み込まれてもよい。

ユーザと交信するために、前記技術は表示装置を有するコンピュータ上で実施されることができる。表示装置は例えば、陰極線管（ＣＲＴ）及び／又は液晶表示（ＬＣＤ）モニタであってもよい。ユーザとの交信は例えば、ユーザへの情報の表示、キーボード及び印刷装置（例えばマウス又はトラックボール）であってもよく、この装置によってユーザはコンピュータに入力することができる（例えばユーザ・インターフェース要素との交信）。他の種類の装置はユーザと交信するために使用されることができる。他の装置は例えば、あらゆる形式の感覚フィードバックでユーザに提供されるフィードバックであってもよい（例えば視覚フィードバック、聴覚フィードバック又は触覚フィードバック）。ユーザからの入力は例えば、聴覚、発話及び／又は触覚入力を含むどの形式でも受信されることができる。

前記技術は分配演算システムにおいて実施されることができ、このシステムはバックエンド部品を含む。バックエンド部品は例えば、データ・サーバ、ミドルウェア部品及び／又はアプリケーション・サーバであってもよい。前記技術は分配演算システムにおいて実施されることができ、このシステムはフロントエンド部品を含む。フロントエンド部品は例えば、グラフィカル・ユーザ・インターフェースを有するクライアント・コンピュータ、ユーザが実施例によって交信可能なウェブ・ブラウザ及び／又は送信装置用の他のグラフィカル・ユーザ・インターフェースであってもよい。システムの部品はデジタル・データ通信のいかなる形式又は媒体によっても相互接続されることができる（例えば通信ネットワーク）。通信ネットワークは例えば、ローカル・エリア・ネットワーク（ＬＡＮ）、ワイド・エリア・ネットワーク（ＷＡＮ）、インターネット、有線ネットワーク及び／又は無線ネットワークを含んでもよい。

システムはクライアントとサーバとを含んでもよい。クライアント及びサーバは一般的に互いに離れていて、通常通信ネットワークを通じて交信する。クライアントとサーバとの関係はコンピュータ・プログラムによって生じ、このプログラムは各コンピュータ上で作動しかつ互いにクライアントとサーバとの関係を有する。

備える、含む及び／又はそれぞれの複数形は開放端であり、挙げられた部品を含み、挙げられていない追加の部品も含むことができる。及び／又は開放端であり、挙げられた部品の１以上及び挙げられた部品の組み合わせを含む。

当業者は、本発明が発明の要旨又は重要な特徴から逸脱することなく他の特定の形式において具現化されてもよいことを認識している。従って前記実施例はここに述べられた発明を限定するというよりも、あらゆる点において例証であると考えられる。このように発明の範囲は、前記説明によってというよりも、添付された請求項の範囲によって示されているので、請求項の範囲に等価の意味及び範囲内の変更はすべて本発明に含まれるように意図されている。

１００ システム
１１０ 送信装置
１１２ ユーザ
１２０ａ、１２０ｂ データセンター
１２２ａ、１２２ｂ サーバシステム
１２４ａ、１２４ｂ データ回収（収集）システム
１３０ ロードバランサ
１６０ 不正検出システム

Claims (12)

1. ネットワークにおける不正行為を検出して禁止する方法であって、
   ユーザ要求に関連するデータパケットを取り込むステップにして、複数のデータセンターの少なくとも一つからユーザ要求に関連するデータパケットを受信するステップと、該ユーザ要求のノーマルインラインサービスに干渉することなく該データパケットのコピーを生成するステップとを含む該データパケット取り込みステップと、
   前記ユーザ要求のノーマルインラインサービスと並行に前記データパケットのコピーを処理するステップとを含み、
   前記処理ステップは、前記データパケットのコピーを一つ又は複数の分析エンジンに送信するステップと、
   一つ又は複数のユーザセッションを生成するため、前記一つ又は複数の分析エンジンにおいて、前記データパケットのコピーと別のデータパケットとの一致を、該データパケットのコピー及び該別のデータパケットに関連するパラメータに基づいて決定するステップと、
   前記一つ又は複数のユーザセッションをデータ記憶モジュールに格納するステップとを含み、
   該方法は、
   前記一つ又は複数のユーザセッションを不正検出エンジンに送信するステップと、
   前記不正検出エンジンにおいて、不正行為の存在を決定する一つ又は複数の不正監視基準に対して前記一つ又は複数のユーザセッションを分析するステップとを含み、
   前記分析するステップは、複数のユーザセッションを統合して行為プロファイルを生成するステップと、
   不正行為の存在を決定するため、前記行為プロファイルを処理するステップとを含み、
   該方法は、
   不正行為を検出するや否や前記ユーザセッションを禁止するステップを含む方法。
2. 単一のユーザセッションが、複数の異なるユーザもしくは複数の異なるユーザ装置、又はこれらの両方に関連付けられる請求項１の方法。
3. 前記別のデータパケットは第２ユーザ要求に関連付けられる請求項２の方法。
4. 前記ユーザセッションの禁止は、前記ユーザに前記ネットワークに対して認証することを要求し；前記ユーザに前記不正行為を通知し；前記不正行為を停止するため、前記ネットワークから前記ユーザセッションを遮断し；前記不正行為を緩和するため、前記ユーザセッションを別個のネットワークに向け直し；又は、これらの組合せを行う請求項１の方法。
5. 前記不正監視基準は、地理的位置プロファイル、挙動プロファイル、アプリケーションルールプロファイル、及び取引ルールプロファイルを含む請求項１の方法。
6. 前記統合されたユーザセッションは、複数の異なるユーザもしくは複数の異なるユーザ装置、又はこれらの両方に関連付けられる請求項１の方法。
7. 前記一つ又は複数のユーザセッションに対する要求を受信するステップにして、要求元からの該一つ又は複数のユーザセッションに対する加入要求を受け入れるステップを含む該要求受信ステップと、
   前記一つ又は複数のユーザセッションを前記要求元に送信するステップとを更に含む請求項１〜６のいずれか一つの方法。
8. 一つ又は複数のユーザセッションを生成するステップが、特定のプロトコルに準拠するように前記データパケットを処理するステップを含む請求項１〜７のいずれか一つの方法。
9. 前記処理ステップは、前記ユーザ要求の前記ノーマルインラインサービスと同時でかつ該サービスとは別個に行われる請求項１〜８のいずれか一つの方法。
10. コンピュータ読み取り可能な情報媒体に実体的に具体化されたコンピュータプログラムであって、
    データ処理装置に対し、次のコンピュータ処理を実行させるように動作可能な命令を含み、
    該コンピュータ処理は、
    ユーザ要求に関連するデータパケットを取り込むステップにして、複数のデータセンターの少なくとも一つからユーザ要求に関連するデータパケットを受信するステップと、該ユーザ要求のノーマルインラインサービスに干渉することなく該データパケットのコピーを生成するステップとを含む該データパケット取り込みステップと、
    前記ユーザ要求のノーマルインラインサービスと並行に前記データパケットのコピーを処理するステップとを含み、
    前記処理ステップは、前記データパケットのコピーを一つ又は複数の分析エンジンに送信するステップと、
    一つ又は複数のユーザセッションを生成するため、前記一つ又は複数の分析エンジンにおいて、前記データパケットのコピーと別のデータパケットとの一致を、該データパケットのコピー及び該別のデータパケットに関連するパラメータに基づいて決定するステップと、
    前記一つ又は複数のユーザセッションをデータ記憶モジュールに格納するステップとを含み、
    該コンピュータ処理は、
    前記一つ又は複数のユーザセッションを不正検出エンジンに送信するステップと、
    前記不正検出エンジンにおいて、不正行為の存在を決定する一つ又は複数の不正監視基準に対して前記一つ又は複数のユーザセッションを分析するステップとを含み、
    前記分析するステップは、複数のユーザセッションを統合して行為プロファイルを生成するステップと、
    不正行為の存在を決定するため、前記行為プロファイルを処理するステップとを含み、
    該コンピュータ処理は、
    不正行為を検出するや否や前記ユーザセッションを禁止するステップを含むコンピュータプログラム。
11. ネットワークにおける不正行為を検出して禁止するためのシステムであって、
    ユーザ要求に関連するデータパケットを取り込むように構成されるデータ回収サーバにして、該取り込みが、複数のデータセンターの少なくとも一つからユーザ要求に関連するデータパケットを受信すること、及び、該ユーザ要求のノーマルインラインサービスに干渉することなく該データパケットのコピーを生成することを含む該データ回収サーバと、
    前記ユーザ要求のノーマルインラインサービスと並行に前記データパケットのコピーを処理するように構成される統一サーバとを備え、
    前記処理は、前記データパケットのコピーを一つ又は複数の分析エンジンに送信することと、
    一つ又は複数のユーザセッションを生成するため、前記一つ又は複数の分析エンジンにおいて、前記データパケットのコピーと別のデータパケットとの一致を、該データパケットのコピー及び該別のデータパケットに関連するパラメータに基づいて決定することと、
    前記一つ又は複数のユーザセッションをデータ記憶モジュールに格納することとを含み、
    前記統一サーバは、
    前記一つ又は複数のユーザセッションを不正検出エンジンに送信し、かつ、
    前記不正検出エンジンにおいて、不正行為の存在を決定する一つ又は複数の不正監視基準に対して前記一つ又は複数のユーザセッションを分析するように構成され、
    前記分析は、複数のユーザセッションを統合して行為プロファイルを生成することと、
    不正行為の存在を決定するため、前記行為プロファイルを処理することとを含み、
    前記統一サーバは、
    不正行為を検出するや否や前記ユーザセッションを禁止するように構成されるシステム。
12. ネットワークにおける不正行為を検出して禁止するためのシステムであって、
    ユーザ要求に関連するデータパケットを取り込むための手段にして、該取り込みが、複数のデータセンターの少なくとも一つからユーザ要求に関連するデータパケットを受信すること、及び、該ユーザ要求のノーマルインラインサービスに干渉することなく該データパケットのコピーを生成することを含む該パケットデータ取り込み手段と、
    前記ユーザ要求のノーマルインラインサービスと並行に前記データパケットのコピーを処理するための手段とを備え、
    前記処理は、前記データパケットのコピーを一つ又は複数の分析エンジンに送信することと、
    一つ又は複数のユーザセッションを生成するため、前記一つ又は複数の分析エンジンにおいて、前記データパケットのコピーと別のデータパケットとの一致を、該データパケットのコピー及び該別のデータパケットに関連するパラメータに基づいて決定することと、
    前記一つ又は複数のユーザセッションをデータ記憶モジュールに格納することとを含み、
    該システムは、
    前記一つ又は複数のユーザセッションを不正検出エンジンに送信するための手段と、
    前記不正検出エンジンにおいて、不正行為の存在を決定する一つ又は複数の不正監視基準に対して前記一つ又は複数のユーザセッションを分析するための手段とを含み、
    前記分析は、複数のユーザセッションを統合して行為プロファイルを生成することと、
    不正行為の存在を決定するため、前記行為プロファイルを処理することとを含み、
    該システムは、
    不正行為を検出するや否や前記ユーザセッションを禁止するための手段を含むシステム。

Images