JP6099804B2 - スピアフィッシングターゲットを予測及び保護するための技法 - Google Patents

Description

本開示は一般にネットワークセキュリティに関し、より具体的には、スピアフィッシングターゲットを予測及び保護するための技法に関する。

スピアフィッシングは電子メールのなりすまし技法であり、機密データへの不正アクセスを求めるために特定の組織又は団体をターゲットとするより一般的な方法の一つである。攻撃は通常は加害者がスピアフィッシングの電子メールの適切な受取人を特定する偵察フェーズから開始する。これらのターゲットは、例えば、特定の組織又は団体における彼らの役割に関し、彼らが機密データへアクセスする可能性に直接相当し得る情報に基づき注意深く選ばれる個人を含むことがある。加害者にとっては、組織又は団体の従業員ではないが、それにもかかわらず機密データへアクセスすることができる顧問又は請負業者をスピアフィッシングすることによって、特定の組織又は団体を間接的にターゲットにすることも一般的である。しかしながら、ほとんどの組織又は団体は通常、その従業員、顧問又は請負業者がスピアフィッシングスキームのターゲットになりそうなことに気づいていない。従来のコンピュータセキュリティ技法は可能性のあるスピアフィッシングターゲットを予測及び保護する知能及び能力を欠いている。

上記の観点から、従来のスピアフィッシングセキュリティ技術に関連する重大な問題及び欠点がありうることが理解できるであろう。

スピアフィッシングターゲットを予測及び保護する技法が開示される。特定の例示的な一実施形態において、この技法がスピアフィッシングターゲットを予測及び保護するためのシステムとして実現され得る。このシステムは、ネットワークに通信可能に連結される１つ又は複数のプロセッサを備えてもよい。前記１つ又は複数のプロセッサが組織からの情報に基づいて、１つ又は複数の潜在的スピアフィッシングターゲットを特定し、一般に利用可能な情報源から、前記１つ又は複数の潜在的スピアフィッシングターゲット及び前記組織に関連する追加情報を受け取り、前記組織及び前記追加情報から前記情報に基づいて、前記１つ又は複数の潜在的スピアフィッシングターゲットに対してスピアフィッシング攻撃の脅威レベルを決定し、前記１つ又は複数の潜在的スピアフィッシングターゲット及び前記１つ又は複数の潜在的スピアフィッシングターゲットに関連する前記脅威レベルのレポートを生成するように構成され得る。

この特定の実施形態の他の態様によれば、前記組織からの情報が前記組織に関連する従業員、請負業者、及び顧問の名簿を含んでもよい。

この特定の実施形態の更なる態様によれば、前記追加情報を、１つ又は複数の自動化された検索の結果として受け取ってもよい。

この特定の実施形態の追加の態様によれば、前記追加情報が、前記１つ又は複数の潜在的ターゲットに関連するプロファイル情報、前記組織に関連するウェブサイトからの情報、並びにプロフェッショナル及びソーシャルネットワーキングサイトからの情報のうちの少なくとも１つを含んでもよい。

この特定の実施形態の他の態様によれば、前記スピアフィッシング攻撃の前記脅威レベルが組織のセキュリティの興味及び嗜好に応じてランクづけされてもよい。

この特定の実施形態の更なる態様によれば、前記１つ又は複数のプロセッサがスピアフィッシング攻撃を防御するため、少なくとも１つのセキュリティ対策を実行することを更に含んでもよい。いくつかの実施形態において、前記少なくとも１つのセキュリティ対策を実行することが、前記組織に関連する一般に利用可能な情報の開示を最小限にすることを含んでもよい。他の実施形態において、前記少なくとも１つのセキュリティ対策を実行することが、前記１つ又は複数の潜在的スピアフィッシングターゲットのセキュリティ状態を強化することを含み、セキュリティ状態を強化することが、追加の認証要素を要求すること、セキュリティの監視を提供すること及び前記１つ又は複数の潜在的スピアフィッシングターゲットに関連するデバイス又はマシーンの機能を制限することのうちの少なくとも１つを含んでもよい。

別の特定の実施形態において、前記技法がスピアフィッシングターゲットを予測及び保護するための方法として実現され得る。前記方法が少なくとも１つのコンピュータプロセッサを使用して、組織からの情報に基づいて、１つ又は複数の潜在的スピアフィッシングターゲットを特定する工程と、一般に利用可能な情報源から、前記１つ又は複数の潜在的スピアフィッシングターゲット及び前記組織に関連する追加情報を受け取る工程と、前記組織からの情報及び前記追加情報に基づいて前記１つ又は複数の潜在的スピアフィッシングターゲットに対して、スピアフィッシング攻撃の脅威レベル決定する工程と、及び前記１つ又は複数の潜在的スピアフィッシングターゲット及び前記１つ又は複数の潜在的スピアフィッシングターゲットに関連する前記脅威レベルのレポートを生成する工程と、を含んでもよい。

更に別の特定の実施形態において、前記技法がスピアフィッシングターゲットを予測及び保護するためのシステムとして実現され得る。このシステムは、ネットワークに通信可能に連結される１つ又は複数のプロセッサを備えてもよい。前記１つ又は複数のプロセッサが組織に関連する関心のある新しい情報を特定し、前記関心のある新しい情報に基づいて前記組織に関連する１つ又は複数の潜在的スピアフィッシングターゲットを予測し、スピアフィッシング攻撃を防御するため、前記１つ又は複数の潜在的スピアフィッシングターゲットのレポートを生成するように構成されてもよい。

この特定の実施形態の他の態様によれば、組織に関連する前記関心のある新しい情報が製品ライン情報、プレスリリース、組織の部門情報、現在の世界のニュース、最近の国内又は国際セキュリティ侵害に関連する情報、合併情報、組織の噂及び組織の告知のうちの少なくとも１つを含んでもよい。

この特定の実施形態の更なる態様によれば、前記１つ又は複数の潜在的スピアフィッシングターゲットを予測することがプロフェッショナル及びソーシャルネットワーキングサイト、組織のウェブサイト、又は第三者のデータソースのうちの少なくとも１つから受け取ったプロファイル情報からの追加情報に更に基づく。

この特定の実施形態の追加の態様によれば、前記１つ又は複数のプロセッサがスピアフィッシング攻撃を防御するため少なくとも１つのセキュリティ対策を実行することを更に含んでもよい。いくつかの実施形態において、前記少なくとも１つのセキュリティ対策を実行することが前記組織に関連する一般に利用可能な情報の開示を最小限にすることを含んでもよい。他の実施形態において、前記少なくとも１つのセキュリティ対策を実行することが前記１つ又は複数の潜在的スピアフィッシングターゲットのセキュリティ状態を強化することを含んでもよく、セキュリティ状態を強化することが追加の認証要素を要求すること、セキュリティの監視を提供すること及び前記１つ又は複数の潜在的スピアフィッシングターゲットに関連するデバイス又はマシーンの機能を制限することのうちの少なくとも１つを含んでもよい。

以下、添付の図面に示されるように、特定の実施形態を参照して本開示を更に詳細に説明する。本開示は特定の実施形態を参照して以下に説明されるが、本開示がそれに限定されないことを理解されたい。本明細書中の教示に接する機会のある当業者であれば、他の使用分野のみならず、追加的な実施、変形例、及び実施形態も認めるであろうし、それらは、本明細書中に記載される本開示の範囲に含まれ、本開示の重要な有用性に関するものである。

本開示のより完全な理解を促すために、添付の図面を参照されたい。同様の要素には、同様の数字が付される。これらの図面は、本開示を限定するよう解釈されるべきでなく、単なる例示であると意図される。
本開示の実施形態によるスピアフィッシングターゲットを予測及び保護するためのネットワークアーキテクチャを表すブロックダイヤグラムを示す。 本開示の実施形態によるスピアフィッシングターゲットを予測及び保護するためのコンピュータシステムのブロックダイヤグラムを表す。 本開示の実施形態によるスピアフィッシングターゲットを予測及び保護するためのモジュールを示す。 本開示の実施形態によるスピアフィッシングターゲットを予測及び保護するための方法のフローチャートを表す。 本開示の別の実施形態によるスピアフィッシングターゲットを予測及び保護するための方法のフローチャートを表す。

図１は本開示の実施形態によるスピアフィッシングターゲットを予測及び保護するためのネットワークアーキテクチャを表すブロックダイヤグラムを示す。図１は、ネットワークアーキテクチャ１００の簡略図であり、図中に示されていない付加的な要素を含んでもよい。ネットワークアーキテクチャ１００は、クライアントシステム１１０、１２０及び１３０、並びにサーバ１４０Ａ及び１４０Ｂ（そのうち１つ又は複数は、図２に示すコンピュータシステム２００により実現されてもよい）を含んでもよい。クライアントシステム１１０、１２０及び１３０は、ネットワーク１５０に通信可能に連結することができる。サーバ１４０Ａは、記憶装置１６０Ａ（１）〜（Ｎ）と通信可能に連結されてもよく、サーバ１４０Ｂは、記憶装置１６０Ｂ（１）〜（Ｎ）と通信可能に連結されてもよい。サーバ１４０Ａ及び１４０Ｂは管理モジュール（例えば、サーバ１４０Ａのスピアフィッシング予測及び保護モジュール１５４）を含んでもよい。サーバ１４０Ａ及び１４０Ｂは、ＳＡＮ（ストレージ・エリア・ネットワーク）ファブリック１７０と通信可能に連結することができる。ＳＡＮファブリック１７０は、サーバ１４０Ａ及び１４０Ｂ、並びにネットワーク１５０を介してクライアントシステム１１０、１２０及び１３０により、記憶装置１８０（１）〜（Ｎ）へのアクセスをサポートすることができる。

図２のコンピュータシステム２００を参照すると、モデム２４７、ネットワークインタフェース２４８又はその他の方法により、クライアントシステム１１０、１２０及び１３０のうちの１つ又は複数からネットワーク１５０への接続を提供することができる。クライアントシステム１１０、１２０及び１３０は、例えば、ウェブブラウザ又はその他のクライアントソフトウェア（図示せず）により、サーバ１４０Ａ又は１４０Ｂの情報にアクセスすることもできる。このようなクライアントにより、クライアントシステム１１０、１２０及び１３０は、サーバ１４０Ａ若しくは１４０Ｂ、又は記憶装置１６０Ａ（１）〜（Ｎ）、１６０Ｂ（１）〜（Ｎ）、及び／若しくは１８０（１）〜（Ｎ）のいずれかによりホストされるデータにアクセスすることが可能になる。

ネットワーク１５０及び１９０は、ローカル・エリア・ネットワーク（ＬＡＮ）、ワイド・エリア・ネットワーク（ＷＡＮ）、インターネット、セルラーネットワーク、衛星ネットワーク、又はクライアント１１０、１２０及び１３０、サーバ１４０、並びにネットワーク１５０及び１９０と通信可能に連結されるその他のデバイスとの間の通信を可能にするその他のネットワークであってもよい。ネットワーク１５０及び１９０は、スタンドアロンネットワークとして、又は互いに協働して作動する、１つ、又は任意の数の、上述した例示的なタイプのネットワークを更に含むことができる。ネットワーク１５０及び１９０は、それらが通信可能に連結される１つ若しくは複数のクライアント又はサーバの１つ若しくは複数のプロトコルを利用することができる。ネットワーク１５０及び１９０は、ネットワークデバイスの１つ又は複数のプロトコルに、その他のプロトコルから又はその他のプロトコルへ変換することができる。ネットワーク１５０及び１９０は、それぞれ１つのネットワークとして示されているが、１つ又は複数の実施形態によれば、ネットワーク１５０及び１９０は、それぞれ相互接続された複数のネットワークを含んでもよいことを理解されたい。

記憶装置１６０Ａ（１）〜（Ｎ）、１６０Ｂ（１）〜（Ｎ）及び／又は１８０（１）〜（Ｎ）は、ネットワークアクセス可能なストレージであってもよく、サーバ１４０Ａ又は１４０Ｂに対しローカル、リモート又はこれらの組み合わせであってもよい。記憶装置１６０Ａ（１）〜（Ｎ）、１６０Ｂ（１）〜（Ｎ）及び／又は１８０（１）〜（Ｎ）は、レイド（「ＲＡＩＤ」）、磁気テープ、ディスク、ストレージ・エリア・ネットワーク（「ＳＡＮ」）、インターネット・スモール・コンピュータシステム・インタフェース（「ｉＳＣＳＩ」）ＳＡＮ、ファイバチャネルＳＡＮ、コモン・インターネット・ファイル・システム（「ＣＩＦＳ」）、ネットワーク・アタッチト・ストレージ（「ＮＡＳ」）、ネットワーク・ファイル・システム（「ＮＦＳ」）、光ベースのストレージ、又はその他のコンピュータアクセス可能なストレージを利用することができる。記憶装置１６０Ａ（１）〜（Ｎ）、１６０Ｂ（１）〜（Ｎ）及び／又は１８０（１）〜（Ｎ）は、バックアップ又はアーカイブの目的で使用することができる。

いくつかの実施形態によれば、クライアント１１０、１２０、及び１３０は、ネットワーク１５０への無線又は有線接続を介して連結される、スマートフォン、ＰＤＡ、デスクトップコンピュータ、ノート型パソコン、サーバ、その他のコンピュータ、又はその他のデバイスであってもよい。クライアント１１０、１２０、及び１３０は、ユーザ入力、データベース、ファイル、ウェブサービス、及び／又はアプリケーション・プログラミング・インタフェースからデータを受信することができる。

サーバ１４０Ａ及び１４０Ｂは、アプリケーションサーバ、アーカイブプラットフォーム、バックアップサーバ、ネットワーク記憶装置、メディアサーバ、電子メールサーバ、文書管理プラットフォーム、エンタープライズサーチサーバ、又はネットワーク１５０と通信可能に連結されたその他のデバイスであってもよい。サーバ１４０Ａ及び１４０Ｂは、記憶装置１６０Ａ（１）〜（Ｎ）、１６０Ｂ（１）〜（Ｎ）、及び／又は１８０（１）〜（Ｎ）のいずれかをアプリケーションデータ、バックアップデータ、又はその他のデータの記憶のために利用することができる。サーバ１４０Ａ及び１４０Ｂは、クライアント１１０、１２０、及び１３０と、バックアッププラットフォーム、バックアッププロセス、及び／又は記憶装置との間で送受信されるデータを処理することができる、アプリケーションサーバなどのホストであってもよい。いくつかの実施形態によれば、サーバ１４０Ａ及び１４０Ｂは、データのバックアップ及び／又はアーカイブのために使用されるプラットフォームであってもよい。データの１つ又は複数の部分は、適用されたバックアップポリシー及び／又はアーカイブ、データソースに関連する属性、バックアップのために利用可能なスペース、データソースにおいて利用可能なスペース、又は他の要因に基づいて、バックアップ又はアーカイブされてもよい。

いくつかの実施形態によれば、クライアント１１０、１２０、及び／又は１３０は、例えば、スピアフィッシング予測及び保護モジュール１５４のようなスピアフィッシングターゲットを予測及び保護するための１つ又は複数の部分のソフトウェアを含んでもよい。図示するように、１つ又は複数の部分のスピアフィッシング予測及び保護モジュール１５４はネットワーク側の位置で常駐してもよい。例えば、サーバ１４０Ａは、スピアフィッシングターゲットを予測及び保護する１つ又は複数のアクションを実行することができるサーバ、ファイアウォール、ゲートウェイ、又はその他のネットワーク要素であってもよい。いくつかの実施形態によれば、ネットワーク１９０は、外部ネットワークであってもよく（例えば、インターネット）、サーバ１４０Ａは、１つ又は複数の内部構成要素とクライアントと外部ネットワークとの間のゲートウェイ又はファイアウォールであってもよい。

スピアフィッシング予測及び保護モジュール１５４は潜在的スピアフィッシングターゲットを予測し、かかる潜在的ターゲットの特定に基づき、セキュリティを強化するための１つ又は複数の様々な改善技法を実行してもよい。上述したように、コンピュータセキュリティ技法は可能性のあるスピアフィッシングターゲットを予測及び保護するための知能及び能力を欠いている。例えば、スピアフィッシャーは直接の従業員又はその組織と間接的に働く顧問若しくは請負業者さえもターゲットにすることによって組織の機密データを捜し求めてもよい。ほとんどの組織は通常はその従業員、顧問、又は請負業者がスピアフィッシングスキームのターゲットになりそうなことに気づいておらず、通常はスピアフィッシングに対して予測及び保護するための強固なシステムを提供しないので、組織又は団体における価値ある情報及びデータが容易に危険にさらされることがある。

スピアフィッシング予測及び保護モジュール１５４は様々な異なる方法で潜在的スピアフィッシングターゲットを特定することができる。いくつかの実施形態において、組織から従業員、請負業者、又は顧問の名簿を得ることにより、潜在的スピアフィッシングターゲットを特定することができる。この名簿を使用して、組織に関連する従業員、請負業者、又は顧問それぞれに対して、１つ又は複数の調査を行うことができる。これらの調査は、一般大衆に見えており、かつこれらの個人に関連する会社関連情報を決定することを伴ってもよい。顧問又は請負業者の名簿が利用できない場合は（彼らがその組織の直接的な従業員ではないので）、組織に関連する請負業者及び顧問を決定するため１つ又は複数の予備調査を行ってもよい。一般的に、彼らの業務の一部として、組織に直接雇用されていない請負業者又は顧問は、頻繁に組織との取引関係を広告することがある。スピアフィッシング予測及び保護モジュール１５４は、興味のある組織と関連する、請負業者又は顧問の潜在的な名簿を決定するため、この情報を使用してもよい。

いくつかの実施形態において、潜在的ターゲットの名簿及び関連検索機能を制限付き自動操作、もしあれば、手動処理を通じて達成することができることを理解されたい。例えば、ウェブクローラを、これらの及びその他の関連検索の１つ又は複数を実行するのに使用してもよい。その他の検索ツールもまた使用し、自動化することができる。例えば、検索を自動化し、マシーン消耗結果（machine-consumable results）を提供する１つ又は複数のサーチエンジンを使用して、アプリケーション・プログラミング・インタフェース（ＡＰＩ）を作製し、カスタマイズしてもよく、それはウェブクローラの使用があるウェブサイトに対して制限され得る状況において特に有用な場合がある。字句解析の使用は、検索を強化し、検索結果を微調整するために用いてもよい。例えば、秘密検索用語を検索結果のテキストに適合させることはまた、潜在的スピアフィッシングターゲットとしての従業員、請負業者、若しくは顧問の名簿、又はプロセス情報及びこれら個人に関連するデータの特定を促進するためのこれらの又はその他の自動化技法を通じて達成することができる。

いったん従業員、請負業者又は顧問の名簿が決定されれば、スピアフィッシング予測及び保護モジュール１５４は、これらの個人に関連する追加情報を見つけるため、ウェブクローラ又は同様の検索ツールを使用して、探索及び検索することができる。例えば、スピアフィッシング予測及び保護モジュール１５４は、ＬｉｎｋｅｄＩｎ、Ｖｉａｄｅｏ、Ｆａｃｅｂｏｏｋ、Ｔｗｉｔｔｅｒ、Ｔｕｍｂｌｒ等のような一般に利用可能なウェブサイト上でこれらの個人のプロファイルを検索することができる。スピアフィッシング予測及び保護モジュール１５４は興味を持った組織に関連する情報に対するこれらのプロファイルをフィルタリングすることもできる。一実施例においては、組織の従業員は雇用主の組織の新製品ライン、合併又はその他の同様のビジネスニュース若しくは最新情報に関する情報をブログに書いたり、投稿したりする場合がある。かかる情報はスピアフィッシング攻撃を介して機密データ又は組織の情報にアクセスするために加害者に使用される場合がある。

スピアフィッシング予測及び保護モジュール１５４は組織に関連する潜在的ターゲットの名簿を決定する前に、組織情報を検索できることを理解されたい。例えば、スピアフィッシング予測及び保護モジュール１５４はウェブクローラ又はその他の検索ツールを使用して、組織に関連する公開された情報を検索することができる。この情報は組織のウェブサイト、第三者のウェブサイト、又はその他の情報源からの製品ライン情報、プレスリリース、組織の部門情報、又はその他の同様の情報を含んでもよい。スピアフィッシング予測及び保護モジュール１５４はかかる組織情報に関連する潜在的ターゲットを検索することができる。例えば、スピアフィッシング予測及び保護モジュール１５４はＬｉｎｋｅｄＩｎ、Ｖｉａｄｅｏ、Ｆａｃｅｂｏｏｋ、Ｔｗｉｔｔｅｒ、Ｔｕｍｂｌｒ等のような一般に利用可能なウェブサイト及びブログサイト上でこれら個人のプロファイルを検索してもよい。

官庁に関連する従業員、請負業者及び顧問に対して追加調査が行われ得ることを理解されたい。例えば、スピアフィッシング予測及び保護モジュール１５４は時事ニュース及び世界の出来事、国内及び国際セキュリティ侵害（例えば、中国の反体制）、又はその他の官庁に関連する情報を検索することができる。

スピアフィッシング予測及び保護モジュール１５４は更に機密扱いの公開情報を検索することができ、これとしては、電子メールアドレス、会社の電話番号、非上場会社情報、又はその他の同様の情報が挙げられるが、これらに限定されない。また、かかる情報はスピアフィッシング攻撃を介して組織の機密データ又は情報にアクセスするために加害者によって使用される場合がある。例えば、加害者はかかる情報を使用し潜在的ターゲットをおびき寄せて、（直接的又は間接的に）組織（例えば、その構造、プロジェクト、チーム）に関するもっと多くの情報を与えることにより、組織をより過酷な危険にさらすことがある。

この情報を検索し、どれくらい多くの情報又はどれくらい少ない情報が公衆に（したがって、加害者に対して）見えているかを把握することによって、スピアフィッシング攻撃が起こる前に、それを先取りしたり、かかる侵害が起こるときにその影響を減らしたりすることができる場合がある。

いくつかの実施形態において、攻撃に対するリスクをもたらす恐れがある、公知の十分な情報が存在することがいったん判明されると、又は攻撃が特定される場合、スピアフィッシング予測及び保護モジュール１５４は組織に対する重要度によってその脅威をランクづけすることができる。スピアフィッシング予測及び保護モジュール１５４は組織の機密情報を保護するために多くのセキュリティ対策を提供することができる。

例えば、いくつかの実施形態において、個人に攻撃をより受けやすくする組織関連情報の過度の開示を見える範囲から取り除くことができる。例えば、これは組織のウェブサイトに発見される情報、従業員、請負業者又は顧問により別のウェブサイト上に投稿された情報、又は第三者のウェブサイト上に発見される情報を含んでもよい。この情報のいくつかを取り除くにはその他の個人又は団体との協力が必要となる場合があることを理解されたい。

機密扱いの情報の過度の開示に対して組織又は団体が取る別のセキュリティ対策は、組織に関連する従業員、請負業者又は顧問のセキュリティ状態を一般的に強化することであってもよい。例えば、スピアフィッシング予測及び保護モジュール１５４は、追加のセキュリティを提供するために、バイオメトリック、セキュリティトークン（例えば、ＶＩＰトークン）、又は同様の認証的特徴等の余計な認証要因を必要とする組織によって使用されてもよい。別の強化されたセキュリティ状態は組織の様々なサーバ、コンピュータ、ゲートウェイ、又はマシーンにおいてデータトラフィックを監視する追加のセキュリティのインストールを含んでもよい。これは第三者プロバイダにより提供されるデータ損失防止ソフトウェア及び／又はイベントロギング技法のインストールを含んでもよい。

組織における１つ又は複数の様々なデバイスをロックダウンすることによっても強化されたセキュリティ状態を提供することができる。例えば、これはリモートコンピューティングアクセスを阻止すること、ホワイトリストのアプリケーションのインストールを許可すること、管理者権限の使用を低減又は排除すること、又はシステムのセキュリティ設定へのアクセスを制限又は限定するための第三者のソリューションをインストールすることを含むことができる。

他の強化されたセキュリティ状態は、影響を受けやすいユーザにセキュリティソフトウェアを直接彼らのデバイス又はマシーンにインストールするように要求すること、個人が組織の目的のために個人的なデバイスを使用することを禁ずること、カスタマイズされたセキュリティ機能を有し、組織が支給するデバイス及びマシーンのみを許可すること、より影響を受けにくいオペレーティングシステムにアップグレードすること、パスワード強化要件を増加させること、パスワードが有効である時間を減らすこと、又はディスク全体の暗号化を要求することも含んでもよい。これらのセキュリティ対策は、個人によって又は組織に対するリスクによってもたらされるリスクのレベルに基づき、異なる程度で適用されてもよい。

スピアフィッシング予測及び保護モジュール１５４を使用することによって、多くの利点を実現することができる。例えば、スピアフィッシング予測及び保護モジュール１５４はスピアフィッシング攻撃の影響を排除又は低減するための技法を提供することができる。最終的に、この提案された技法は、従来の方法及び技法と比較した場合、潜在的スピアフィッシングターゲットを特定する際、及びスピアフィッシング攻撃からの保護の際に、より一層の効率化、低減されたコスト、及びより大きな信頼性を提供することができる。

図２は本開示の実施形態によるスピアフィッシングターゲットを予測及び保護するためのコンピュータシステムのブロックダイヤグラムを示す。コンピュータシステム２００は、本開示にしたがって技術を実施するのに好適である。コンピュータシステム２００は、コンピュータシステム２１０の主要なサブシステムを相互接続することができるバス２１２を含むことができ、主要なサブシステムには、中央処理装置２１４、システムメモリ２１７（例えば、ＲＡＭ（ランダム・アクセス・メモリ）、ＲＯＭ（リード・オンリー・メモリ）、フラッシュＲＡＭ等）、入力／出力（Ｉ／Ｏ）コントローラ２１８、オーディオ出力インタフェース２２２を介するスピーカシステム２２０などの外部オーディオ装置、ディスプレイアダプタ２２６を介するディスプレイ画面２２４などの外部装置、シリアルポート２２８及び２３０、キーボード２３２（キーボードコントローラ２３３を介してインタフェース接続される）、ストレージインタフェース２３４、フロッピーディスク２３８（「フロッピー」は登録商標、以下同じ）を受け取るように動作するフロッピーディスクドライブ２３７、ファイバ・チャネル・ネットワーク２９０と接続するように動作するホスト・バス・アダプタ（ＨＢＡ）インタフェースカード２３５Ａ、ＳＣＳＩバス２３９と接続するように動作するホスト・バス・アダプタ（ＨＢＡ）インタフェースカード２３５Ｂ、及び光ディスク２４２を受け取るように動作する光ディスクドライブ２４０等が含まれる。同様に、マウス２４６（又はシリアルポート２２８を介してバス２１２に連結された他のポイントアンドクリックデバイス）、モデム２４７（シリアルポート２３０を介してバス２１２に連結される）、ネットワークインタフェース２４８（バス２１２に直接連結される）、電力管理部２５０、及びバッテリ２５２が含まれてもよい。

バス２１２は、上述のように、中央処理装置２１４とシステムメモリ２１７との間のデータ通信を可能にし、システムメモリ２１７は、リード・オンリー・メモリ（ＲＯＭ）又はフラッシュメモリ（いずれも図示せず）と、ランダム・アクセス・メモリ（ＲＡＭ）（図示せず）とを含んでもよい。ＲＡＭは、オペレーティングシステム及びアプリケーションプログラムがロードされてもよいメインメモリであってもよい。ＲＯＭ又はフラッシュメモリは、他のコードと共に、周辺コンポーネンツとの相互作用等の基本的なハードウェアの動作を制御する、ベーシック・インプット／アウトプット・システム（ＢＩＯＳ）を含むことができる。コンピュータシステム２１０に常駐するアプリケーションは、ハードディスクドライブ（例えば、固定ディスク２４４）、光学ドライブ（例えば、光学ドライブ２４０）、フロッピーディスクユニット２３７、又はその他の記憶媒体等の、コンピュータ読み取り可能媒体上に格納されたり、それを介してアクセスしたりすることができる。例えば、スピアフィッシング予測及び保護モジュール１５４はシステムメモリ２１７の中に常駐してもよい。

ストレージインタフェース２３４は、コンピュータシステム２１０のその他のストレージインタフェースと同様に、固定ディスクドライブ２４４等の、記憶及び／又は情報の検索のための、標準的なコンピュータ読み取り可能媒体に接続することができる。固定ディスクドライブ２４４は、コンピュータシステム２１０の一部であってもよく、独立していて、他のインタフェースシステムを介してアクセスされてもよい。モデム２４７は、電話回線を介してリモートサーバへの直接接続を提供してもよく、インターネット・サービス・プロバイダ（ＩＳＰ）経由でインターネットに接続してもよい。ネットワークインタフェース２４８は、ＰＯＰ（ポイント・オブ・プレゼンス）を介したインターネットへのダイレクトネットワークリンクを介してリモートサーバへの直接接続を提供してもよい。ネットワークインタフェース２４８は、デジタル携帯電話接続、セルラー・デジタル・パケット・データ（ＣＤＰＤ）接続、又はデジタル衛星データ接続等を含む無線技術を用いて、このような接続を提供してもよい。

他の多くのデバイス又はサブシステム（図示せず）も同様の方法で接続することができる（例えば、文書スキャナ、デジタルカメラ等）。逆に、図２に図示されるすべてのデバイスが、本開示を実践するために存在する必要はない。デバイス及びサブシステムは、図２に示されるものとは異なる方法で相互接続することができる。本開示を実施するためのコードは、システムメモリ２１７、固定ディスク２４４、光ディスク２４２、又はフロッピーディスク２３８等、コンピュータ読み取り可能記憶媒体のうちの１つ又は複数に格納することができる。本開示を実施するためのコードは、１つ又は複数のインタフェースを介して受け取り、メモリに格納することもできる。コンピュータシステム２１０に設けられたオペレーティングシステムは、ＭＳ−ＤＯＳ（登録商標）、ＭＳ−ＷＩＮＤＯＷＳ（登録商標）、ＯＳ／２（登録商標）、ＯＳ Ｘ（登録商標）、ＵＮＩＸ（登録商標）、Ｌｉｎｕｘ（登録商標）、又はその他の周知のオペレーティングシステムでもよい。

電力管理部２５０は、バッテリ２５２の電力レベルを監視することができる。電力管理部２５０は、電力レベル、コンピュータシステム２００のシャットダウン前残り時間窓、電力消費率、コンピュータシステムが主電源（例えば、ＡＣ電源）又はバッテリ電源のいずれを使用しているかの表示器、及びその他電力関連情報の判定を可能にするために、１つ又は複数のＡＰＩ（アプリケーション・プログラミング・インタフェース）を提供することができる。いくつかの実施形態によれば、電力管理部２５０のＡＰＩは、リモートアクセス可能であってもよい（例えば、ネットワーク接続を介して、リモートバックアップ管理モジュールにアクセス可能であってもよい）。いくつかの実施形態によれば、バッテリ２５２は、コンピュータシステム２００のローカル又はリモートのいずれかに位置する無停電電源装置（ＵＰＳ）であってもよい。このような実施形態では、電力管理部２５０は、ＵＰＳの電力レベルに関する情報を提供することができる。

図３は本開示の実施形態によるスピアフィッシングターゲットを予測及び保護するためのモジュールを示す。図３を参照すると、本開示の実施形態によるスピアフィッシング予測及び保護モジュール３１０が示されている。図示されるように、スピアフィッシング予測及び保護３１０は、ターゲット特定モジュール３１２、検索モジュール３１４、セキュリティモジュール３１６、並びにエラーロギング及び報告モジュール３１８を含む１つ又は複数の構成要素を含んでもよい。

以下の説明には、１つ又は複数のモジュールを含み得るスピアフィッシングターゲットを予測及び保護するための、ネットワーク要素、コンピュータ、及び／又はシステムの構成要素並びに方法が記述されている。本明細書において、用語「モジュール」は、コンピューティングソフトウェア、ファームウェア、ハードウェア、及び／又はそれらの様々な組み合わせを指すものと理解することができる。しかしながら、モジュールは、プロセッサによる読み取り及び記録可能な記憶媒体に記録も、又はハードウェア、ファームウェアに実装もされていないソフトウェアである、と解釈されるべきではない（すなわち、モジュールはソフトウェア自体ではない）。モジュールは例示であることに留意されたい。モジュールは、様々なアプリケーションをサポートするために、組み合わせたり、統合されたり、分離及び／又は二重化されてもよい。また、特定のモジュールで実行されるものとして本明細書に記載の機能は、１つ又は複数のその他のモジュールで、及び／又は特定のモジュールで実行される機能に加えて、又はその代わりに、１つ又は複数のその他のデバイスによって、実行されてもよい。更にモジュールは、複数のデバイス及び／又は互いに対してローカル又はリモートのその他の構成要素に実装することができる。更に、モジュールは、あるデバイスから別のデバイスに移動して加えられてもよく、及び／又は両方のデバイスに含まれてもよい。

ターゲット特定モジュール３１２は、上述のように、スピアフィッシング攻撃のターゲットを決定するために使用することができる。例えば、ターゲット特定モジュール３１２はスピアフィッシングの加害者に類似する技法を用いて、潜在的スピアフィッシングターゲットを特定又は予測することができる。検索モジュール３１４は、上述のように上記探索及び検索機能を提供するのに使用することができる。例えば、検索モジュール３１４は、ターゲット特定及びセキュリティ実装に関連する、一般に利用可能なデータ又は情報を検索することができる。セキュリティモジュール３１６は、上述のように、スピアフィッシング攻撃の影響を防止又は低減するための多数のセキュリティ対策を提供するのに使用することができる。エラーロギング及び報告モジュール３１８はログ、レポート、又はスピアフィッシングのターゲットの予測及び保護に関連するその他の情報を生成することができる。

図４は本開示の実施形態によるスピアフィッシングターゲットを予測及び保護するための方法のフローチャートを示す。本明細書に開示される方法を実施するためには様々な方法があるため、例示的な方法４００は、その一例として与えられる。図４に示される方法４００は、１つ又は様々なシステムの組み合わせにより、実施されるか、ないしは別の方法で行われてもよい。方法４００は、一例として、少なくとも図１のシステム１００、図２のアーキテクチャ２００、及び図３のモジュール３１０により実行されるものとして以下に記述され、システム１００の様々な要素は図４の例示的な方法の説明において参照される。図４に示される各ブロックは、例示的な方法４００にて実行される１つ又は複数のプロセス、方法、又はサブルーチンを表す。コンピュータにより実行されるときに、コードを含む、方法４００の作用を実行してもよい、非一時的コンピュータ読み取り可能媒体も提供されてよい。図４を参照すると、例示的な方法４００は、ブロック４０２で始まってもよい。

方法４００は、ブロック４０２で開始することができる。

ブロック４０４では、組織からの情報に基づいて、１つ又は複数の潜在的スピアフィッシングターゲットを特定することができる。いくつかの実施形態において、組織からの情報は、この組織に関連する従業員、請負業者、及び顧問の名簿を含んでもよい。その他の情報は上述のように、１つ又は複数の潜在的スピアフィッシングターゲットを特定するのに使用することができる。

ブロック４０６では、１つ又は複数の潜在的スピアフィッシングターゲット及び組織に関連する追加情報を、一般に利用可能な情報源から受け取ることができる。例えば、この追加情報を、１つ又は複数の自動化された検索の結果として受け取ることができる。いくつかの実施形態において、この追加情報は１つ又は複数の潜在的ターゲットに関連するプロファイル情報を含んでもよい。他の実施形態において、追加情報はプロフェッショナル及びソーシャルネットワーキングサイトからの情報を含んでもよい。

ブロック４０８では、１つ又は複数の潜在的スピアフィッシングターゲットに対するスピアフィッシング攻撃の脅威レベルを、組織からの情報及び追加情報に基づいて決定することができる。いくつかの実施形態において、スピアフィッシング攻撃の脅威レベルを、組織のセキュリティの興味及び嗜好に応じてランクづけすることができる。

ブロック４１０では、レポートを生成することができる。例えば、１つ又は複数の潜在的スピアフィッシングターゲット及び１つ又は複数の潜在的スピアフィッシングターゲットに関連する脅威レベルのレポートを、スピアフィッシング攻撃からの防御に使用するために生成することができる。

方法４００はまたスピアフィッシング攻撃を防御するために少なくとも１つのセキュリティ対策を実行することを含むこともできることを理解されたい。いくつかの実施形態において、この少なくとも１つのセキュリティ対策は、組織に関連する一般に利用可能な情報の開示を最小限にすることを含んでもよい。例えば、この少なくとも１つのセキュリティ対策は、上述のように組織に関連する一般に利用可能な情報の開示を最小限にすることを含んでもよい。この少なくとも１つのセキュリティ対策はまた１つ又は複数の潜在的スピアフィッシングターゲットのセキュリティ状態を強化することを含んでもよく、それは追加の認証要素を要求すること、セキュリティ監視を提供すること、及び１つ又は複数の潜在的スピアフィッシングターゲットに関連するデバイス又はマシーンの機能を制限することを含んでもよいが、これらに限定されない。これらの及び他の強化されたセキュリティ状態は、上述のように使用することができる。

ブロック４１２において、方法４００は終了してもよい。

図５は本開示の別の実施形態によるスピアフィッシングターゲットを予測及び保護する方法のフローチャートを示す。例示的な方法５００は、本明細書に開示される方法を実施するためには様々な方法があるため、その一例として与えられる。図５に示される方法５００は、１つ又は様々なシステムの組み合わせにより、実施されるか、ないしは別の方法で行われてもよい。この方法５００が、少なくとも図１のシステム１００、図２のアーキテクチャ２００、及び図３のモジュール３１０によって実行されるように以下に説明し、一例として、図５の例示的な方法を説明するのにシステム１００の様々な要素を参照する。図５に示される各ブロックは、例示的な方法４００にて実行される１つ又は複数のプロセス、方法、又はサブルーチンを表す。コンピュータにより実行されるときに、コードを有する、方法５００の作用を実行してもよい、非一時的コンピュータ読み取り可能媒体も提供されてよい。図５を参照すると、例示的な方法５００は、ブロック５０２で始まってもよい。

方法５００は、ブロック５０２で開始することができる。

ブロック５０４では、組織に関連する新しい情報又は興味を特定することができる。いくつかの実施形態において、この組織からの新しい情報は、製品ライン情報、プレスリリース、組織の部門情報、現在の世界のニュース、最近の国内又は国際セキュリティ侵害に関連する情報、合併情報、組織の噂及び組織の告知のうちの少なくとも１つを含むことができる。他の実施形態において、この新しい情報を１つ又は複数の自動化された検索の結果として、受け取ることができる。

ブロック５０６では、組織に関連する１つ又は複数の潜在的スピアフィッシングターゲットを、関心のある新しい情報に基づいて予測することができる。いくつかの実施形態において、１つ又は複数の潜在的スピアフィッシングターゲットを予測するのに、更に、プロフェッショナル及びソーシャルネットワーキングサイト、組織のウェブサイト、又は第三者のデータソースのうちの少なくとも１つから受け取ったプロファイル情報からの追加情報に基づいてもよい。

ブロック５０８では、レポートを生成することができる。例えば、１つ又は複数の潜在的スピアフィッシングターゲット及び１つ又は複数の潜在的スピアフィッシングターゲットに関連する脅威レベルのレポートを、スピアフィッシング攻撃からの防御に使用するために、生成することができる。

方法５００はまたスピアフィッシング攻撃を防御するための少なくとも１つのセキュリティ対策を実行することを含んでもよいことを理解されたい。いくつかの実施形態において、この少なくとも１つのセキュリティ対策は、組織に関連する一般に利用可能な情報の開示を最小限にすることを含んでもよい。例えば、この少なくとも１つのセキュリティ対策は、上述のように組織に関連する一般に利用可能な情報の開示を最小限にすることを含んでもよい。この少なくとも１つのセキュリティ対策はまた、１つ又は複数の潜在的スピアフィッシングターゲットのセキュリティ状態を強化することを含んでもよく、それは追加の認証要素を要求すること、セキュリティの監視を提供すること、及び１つ又は複数の潜在的スピアフィッシングターゲットに関連するデバイス又はマシーンの機能を制限することを含んでもよいが、これらに限定されない。これらの及びその他の強化されたセキュリティ状態は、上述のように使用することができる。

ブロック５１０において、方法５００は終了してもよい。

この時点では、上述のように本開示によってスピアフィッシングターゲットを予測及び保護することは、典型的に、ある程度の入力データの処理及び出力データの生成を伴うことを留意されたい。この入力データ処理及び出力データ生成は、ハードウェア又はソフトウェアにより実施されてもよい。例えば、特定の電子部品はスピアフィッシング予測及び保護モジュール又は上述のように本開示によるスピアフィッシングターゲットの予測及び保護に関連する機能を実行するための同様若しくは関連の回路において使用することができる。あるいは、指令にしたがって動作する１つ又は複数のプロセッサは、上述のように本開示によるスピアフィッシングターゲットの予測及び保護を関連する機能を実行することができる。かかる場合、このような命令が１つ又は複数のプロセッサ読み取り可能記憶媒体（例えば、磁気ディスク又は他の記憶媒体）に記憶されたり、又は１つ又は複数の搬送波中に具現化された１つ又は複数の信号を介して１つ又は複数のプロセッサに伝送されたりしてもよいことは、本開示の範囲に含まれる。

本開示は、本明細書に示す特定の実施形態により範囲を限定されるものではない。実際、本明細書に記載されるものに加え、本開示の他の様々な実施形態及びその変更形態は、上述の説明及び添付の図面から、当業者には明らかとなろう。したがって、このような他の実施形態及びその変更形態は本開示の範囲内に含まれるものである。更に、本開示は特定の目的のための特定の環境における特定の実施の上で本明細書に記載されているが、その有用性はそれらに限定されず、本開示は任意の数の目的のために任意の数の環境において有益に実施され得ることが当業者には理解されよう。それに応じて、以下に記載する「特許請求の範囲」は、本明細書に記載された本開示の範囲の最大限の広さ及び趣旨を考慮して解釈されるべきである。

Claims (18)

1. メモリと、前記メモリ及びネットワークに通信可能に連結される１つ又は複数のプロセッサとを備え、前記１つ又は複数のプロセッサは、
   組織からの情報に基づいて、１つ又は複数の潜在的スピアフィッシングターゲットを特定し、
   一般に利用可能な情報源から、前記１つ又は複数の潜在的スピアフィッシングターゲット及び前記組織に関連する追加情報を受け取り、
   前記組織からの前記情報及び前記追加情報を前記メモリに記憶し、
   前記メモリに記憶された前記組織からの情報及び前記追加情報に基づいて、前記１つ又は複数の潜在的スピアフィッシングターゲットに対するスピアフィッシング攻撃の脅威レベルを決定し、
   前記１つ又は複数の潜在的スピアフィッシングターゲットと前記脅威レベルとを対応付けた対応付け情報を前記メモリに記憶し、
   前記メモリに記憶された前記対応付け情報に基づいて、前記１つ又は複数の潜在的スピアフィッシングターゲット及び前記１つ又は複数の潜在的スピアフィッシングターゲットに関連する前記脅威レベルのレポートを生成するように構成され、
   前記組織からの前記情報が、前記組織に関連する従業員、請負業者、及び顧問の名簿を含む、
   スピアフィッシングターゲットを予測及び保護するためのシステム。
2. 前記追加情報を１つ又は複数の自動化された検索の結果として受け取る、請求項１に記載のシステム。
3. 前記追加情報が、前記１つ又は複数の潜在的ターゲットに関連するプロファイル情報、前記組織に関連するウェブサイトからの情報、並びにプロフェッショナル及びソーシャルネットワーキングサイトからの情報のうちの少なくとも１つを含む、請求項１に記載のシステム。
4. 前記スピアフィッシング攻撃の前記脅威レベルが、組織のセキュリティの興味及び嗜好に応じてランクづけされる、請求項１に記載のシステム。
5. 前記１つ又は複数のプロセッサが、スピアフィッシング攻撃を防御するための少なくとも１つのセキュリティ対策を実行することを更に含む、請求項１に記載のシステム。
6. 前記少なくとも１つのセキュリティ対策を実行することが、前記組織に関連する一般に利用可能な情報の開示を最小限にすることを含む、請求項５に記載のシステム。
7. 前記少なくとも１つのセキュリティ対策を実行することが、前記１つ又は複数の潜在的スピアフィッシングターゲットのセキュリティ状態を強化することを含み、セキュリティ状態を強化することが、追加の認証要素を要求すること、セキュリティの監視を提供すること、及び前記１つ又は複数の潜在的スピアフィッシングターゲットに関連するデバイス又はマシーンの機能を制限すること、のうちの少なくとも１つを含む、請求項５に記載のシステム。
8. 組織からの情報に基づいて、メモリと、前記メモリと通信可能に連結される少なくとも１つのコンピュータプロセッサとを使用して、１つ又は複数の潜在的スピアフィッシングターゲットを特定する工程と、
   一般に利用可能な情報源から、前記１つ又は複数の潜在的スピアフィッシングターゲット及び前記組織に関連する追加情報を受け取る工程と、
   前記組織からの前記情報及び前記追加情報を前記メモリに記憶する工程と、
   前記メモリに記憶された、前記組織からの情報及び前記追加情報に基づいて、前記１つ又は複数の潜在的スピアフィッシングターゲットに対してスピアフィッシング攻撃の脅威レベルを決定する工程と、
   前記１つ又は複数の潜在的スピアフィッシングターゲットと前記脅威レベルとを対応付けた対応付け情報を前記メモリに記憶する工程と、
   前記メモリに記憶された前記対応付け情報に基づいて、前記１つ又は複数の潜在的スピアフィッシングターゲット及び前記１つ又は複数の潜在的スピアフィッシングターゲットに関連する前記脅威レベルのレポートを生成する工程と、を含み、
   前記組織からの前記情報が、前記組織に関連する従業員、請負業者、及び顧問の名簿を含む、
   スピアフィッシングターゲットを予測及び保護する方法。
9. 前記追加情報を１つ又は複数の自動化された検索の結果として受け取る、請求項８に記載の方法。
10. 前記追加情報が、前記１つ又は複数の潜在的ターゲットに関連するプロファイル情報、前記組織に関連するウェブサイトからの情報、並びにプロフェッショナル及びソーシャルネットワーキングサイトからの情報のうちの少なくとも１つを含む、請求項８に記載の方法。
11. 前記スピアフィッシング攻撃の前記脅威レベルが組織のセキュリティの興味及び嗜好に応じてランクづけされている、請求項８に記載の方法。
12. スピアフィッシング攻撃を防御するための少なくとも１つのセキュリティ対策を実行する工程を更に含む、請求項８に記載の方法。
13. 前記少なくとも１つのセキュリティ対策を実行する工程が、前記組織に関連する一般に利用可能な情報の開示を最小限にする工程を含む、請求項１２に記載の方法。
14. 前記少なくとも１つのセキュリティ対策を実行する工程が、前記１つ又は複数の潜在的スピアフィッシングターゲットのセキュリティ状態を強化する工程を含み、セキュリティ状態を強化する工程が、追加の認証要素を要求する工程、セキュリティの監視を提供する工程、及び前記１つ又は複数の潜在的スピアフィッシングターゲットに関連するデバイス又はマシーンの機能を制限する工程のうちの少なくとも１つを含む、請求項１２に記載の方法。
15. 請求項８に記載の方法を実行するためのコンピュータプロセスを実行するように、少なくとも１つのコンピュータプロセッサに指示するための、前記少なくとも１つのコンピュータプロセッサにより読み取り可能に構成された命令のコンピュータプログラムを記憶する、非一時的コンピュータ読み取り可能記憶媒体。
16. メモリと、前記メモリ及びネットワークに通信可能に連結される１つ又は複数のプロセッサとを備え、前記１つ又は複数のプロセッサは、
    組織に関連する関心のある新しい情報を特定し、
    前記関心のある新しい情報を前記メモリに記憶し、
    前記組織に関連する１つ又は複数の潜在的スピアフィッシングターゲットを、前記メモリに記憶された関心のある新しい情報に基づいて予測し、
    前記１つ又は複数の潜在的スピアフィッシングターゲットを示す情報を前記メモリに記憶し、
    前記メモリに記憶された前記１つ又は複数の潜在的スピアフィッシングターゲットを示す情報に基づいて、スピアフィッシング攻撃を防御するため、前記１つ又は複数の潜在的スピアフィッシングターゲットのレポートを生成するように構成され、
    前記関心のある新しい情報が、前記組織に関連する従業員、請負業者、及び顧問の名簿を含む、
    スピアフィッシングターゲットを予測及び保護するシステム。
17. 前記組織に関連する関心のある新しい情報が、製品ライン情報、プレスリリース、組織の部門情報、現在の世界のニュース、最近の国内又は国際セキュリティ侵害に関連する情報、合併情報、組織の噂、及び組織の告知のうちの少なくとも１つを含む、請求項１６に記載のシステム。
18. 前記１つ又は複数の潜在的スピアフィッシングターゲットの予測が、プロフェッショナル及びソーシャルネットワーキングサイト、組織のウェブサイト、又は第三者のデータソースのうちの少なくとも１つから受け取ったプロファイル情報からの追加情報に更に基づく、請求項１に記載のシステム。