JP6148323B2 - 計算機ネットワークにおいて調整グループ攻撃を識別する異常検出 - Google Patents

Description

［連邦権利の陳述］
アメリカ合衆国政府は、アメリカ合衆国エネルギー省（Ｕｎｉｔｅｄ Ｓｔａｔｅｓ Ｄｅｐａｒｔｍｅｎｔ ｏｆ Ｅｎｅｒｇｙ）と、ロスアラモス・ナショナル・セキュリティ社（Ｌｏｓ Ａｌａｍｏｓ Ｎａｔｉｏｎａｌ Ｓｅｃｕｒｉｔｙ，ＬＬＣ）との間の、ロスアラモス国立研究所（Ｌｏｓ Ａｌａｍｏｓ Ｎａｔｉｏｎａｌ Ｌａｂｏｒａｔｏｒｙ）の運営に関する契約番号ＤＥ−ＡＣ５２−０６ＮＡ２５３９６に基づき本発明における権利を有する。

［関連出願に関する相互参照］
この出願は、２０１２年３月２２日に出願された米国特許仮出願第６１／６１４１４８の利益を主張するものである。この以前の出願された仮出願の内容は、参照により、その全体が、ここに組み込まれる。

本願発明は、概して、ネットワーク異常を検出することに関するものであり、より詳細には、計算機ネットワークへの調整グループ攻撃（ｃｏｏｒｄｉｎａｔｅｄ ｇｒｏｕｐ ａｔｔａｃｋ）を示す異常を検出することに関する。

複数の攻撃者による攻撃を検出することは、人間、または、自動化システム（例えば、ボットネット（Ｂｏｔｎｅｔ））にせよ、コンピュータ・セキュリティでの関心において、重要性が増加しているものである。例えば、いくつかのアプローチは、それらの通信や活動トラフィックにおいて、同様の特性をシェアする時間にわたるコンピュータのクラスタリングに基づく方法を用いて、ボットネットを検出しようと試みた。これらの方法は、ネットワークの端部におけるネットワーク・トラフィックをモニターするが、内部のネットワーク・トラフィックをモニターするよりはむしろ、外部インターネット・プロトコル（「ＩＰ」）アドレスとの同様の接続を共有するネットワークの内部のホストを探すものである。これらの方法が検出することを目指すこのタイプの攻撃に対して、ネットワークにおいて、種々の障害を生じたホスト（ｃｏｍｐｒｏｍｉｓｅｄ ｈｏｓｔ）は、必ずしも、中央エンティティによってコントロールされるというわけではない。

別の従来の侵入検出システムは、ユーザ指定のルール・セットに基づいて、経時的にネットワーク活動のグラフをつくることによって、コンピュータ・ネットワークの上の大規模な悪意のある攻撃を検出することを狙っている。これらのネットワーク・イベントのグラフを提示することにより、アナリストが視覚的に、疑わしいネットワーク活動が起こっているか否かを決定することを可能にすると信じられている。しかしながら、何が異常であると思われるかは、ユーザに任され、調整された攻撃の手段としてのネットワークの中で起こっている重複した活動を探す提案はない。

侵入検出の研究のかなりの領域は、複数の侵入検出システムで生成された警告をクラスタリングすることを含む警告の相互関係の領域である。統計的検定が、時間におけるそれらの類似性と近接性とに基づいて、警告の相互関係を評価するのに用いられる。その狙いは、単一の脅威に複数の警告を与え、攻撃の異なるステージのより明確な見解を与え、アナリストが厳密に調べなければならない警告の量を減らすこと、によって、偽陽性（誤検知）を減らし、アナリストを支援することである。しかしながら、そのようなアプローチは、接続性における重複を具体的には探さない。

例えば、分散サービス拒否攻撃、または、大規模な密かなスキャンのようなオンライン・プラットホームの上で非常に広いスケールで調整された攻撃を検出することは、研究の別の主要な領域である。共同侵入検出システムは、ネットワークの範囲をわたる侵入検出システムにより生成された警告の上での、先に述べたような警告の相互関係を用いて、これらの調整された攻撃を検出しようとする。しかしながら、内部ネットワークの上での調整された攻撃についての方法は、述べられていなかった。したがって、内部ネットワークの上での調整された攻撃を識別するアプローチは、有益でありえる。

本願発明のある実施形態は、その問題にソリューション、および、充分に特定されず、認識されず、現在のネットワーク異常検出システムにより解決されていなかった当該技術におけるニーズを提供することができる。例えば、本願発明のいくつかの実施形態は、内部コンピュータ・ネットワークの上での調整グループ攻撃を識別するために、異常を検出する。

実施形態においては、コンピュータで実施される方法は、コンピューティング・システムにより、ノードと、エッジと、該異常グラフにおけるノードの入次数と、を備えるネットワークの異常グラフを決定することを含む。このコンピュータで実施される方法は、また、コンピューティング・システムにより、ポテンシャル・ターゲットとして少なくとも２に入次数を有するノードを指定するステップと、コンピューティング・システムにより、入ってくる接続を有さないノードを、潜在的に障害を生じたノードとして指定するステップとを含む。このコンピュータで実施される方法は、コンピューティング・システムにより、潜在的に障害を生じたノードが同一の潜在的ターゲット・ノードの１つ以上に接続するとき、そのネットワークでの調整された攻撃と潜在的に結びついたものとして、指定された潜在的に障害を生じたノードを出力するステップを含む。

別の実施形態において、装置は、少なくとも１つのプロセッサと、命令を含むメモリとを含む。この命令は、少なくとも１つのプロセッサによって実行されるとき、その少なくとも１つのプロセッサに、少なくとも１つの期間に、攻撃者のグループからの潜在的活動を意味する異常な行動を決定するために、期間にわたりネットワークをモニターさせるように構成される。その命令は、また、その少なくとも１つのプロセッサに、少なくとも１つの期間に、異常な行動と判断されるとき、潜在的グループ攻撃がネットワークで起こっていることの指標を提供させるように構成される。

さらに別の実施形態においては、システムは、ネットワークにおける異常を検出するように構成されたコンピュータ・プログラム命令を格納しているメモリと、その格納されたコンピュータ・プログラム命令を実行するように構成された複数の処理コアとを含む。この複数の処理コアは、ある期間に、ネットワークの異常グラフを生成するように構成される。この処理コアは、また、入次数のない複数ノードおよび共通ノード接続が、その期間存在するか否かを判断するように構成される。この処理コアは、このシステムが、入次数のない複数ノードおよび共通ノード接続が、異常グラフの１つ以上のサブグラフにおいて、存在すると判断するとき、ネットワークへの潜在的グループ攻撃の指標を生成するように、さらに構成される。

本願発明の適切な理解のために、参照は、付随する図面に対してなされなければならない。これらの図面は、本願発明のいくつかの実施形態のみを描いており、本願発明の範囲を制限するものではない。
図１Ａは、本願発明の実施形態による、潜在的に異常な行動を見せているノード

のセットのサブグラフである。
図１ｂは、本願発明の実施形態による、グループ活動を見せているノードに縮小された異常サブグラフ

である。
図２は、本願発明の実施形態による、ネットワークの上での調整グループ攻撃を識別するために、異常を検出する方法を図示するフローチャートである。 図３は、本願発明の実施形態による、ネットワークの上での調整グループ攻撃を識別するために、異常を検出する方法を図示するフローチャートである。 図４は、本願発明の実施形態による、ネットワークの上での調整グループ攻撃を識別するために、異常を検出する方法を図示するフローチャートである。 図５は、本願発明の実施形態による、ネットワークの上でのグループ攻撃を検出するためのコンピューティング・システムのブロック図である。

本願発明のいくつかの実施形態は、内部コンピュータ・ネットワークにおける複数の、通常、調整攻撃者（すなわち、チーム）からの異常を検出する。ある実施形態において、この検出は、リアルタイムに実行することができる。そのような実施形態は、内部コンピュータ・ネットワークの上での異常検出の問題を考慮する。ここで、異常は、ネットワークへの攻撃を意味する。特に、いくつかの実施形態の狙いは、調整された攻撃を検出するために異常ベースの検出システムを使用することである。ここで、侵入者は、そのネットワークにおいて、いくつかのホストに障害を生じさせ、同時に、目標とする悪意のある活動を実行するために、これらのホストを使用する。

いくつかの実施形態におけるチームの態様は、非常に新規なものである。巧妙な敵対者は、通常、特に国家活動者の場合には、速くミッションを達成するために、同時攻撃者のチームを用いる。しかしながら、これは、統計学的に言えば、より大きな信号となる。複数の攻撃者がいるときには、異常な行動が、より一般的な傾向があるからである。したがって、いくつかの実施形態は、同時であるという性質を考慮して、各々の異常を独立して考慮するよりも、良い検出性能を出す。

大規模ネットワークにおいて配備を可能にするために、いくつかの実施形態は、ネットワーク・グラフにおけるすべてのノードとエッジを、まず最初に、独立したエンティティとして取り扱い、経時的に、グループ活動を意味する顕著な重複あるいは相関した行動に対する潜在的に異常なエッジを探す。そのようなグループ活動の例は、いくつかの特定の期間のなかで、すべてがノードの共通のセットに接続する障害を生じたノードであり得る。行動は、優先権米国仮特許出願第６１／６１４１４８号（以下、「優先権出願」）で議論されているモデルのような基本的な統計確率モデルを使って学習された行動履歴からのいくつかの逸脱に基づいて、異常であると分類することができる。この独立の仮定の妥当性は、基本的な確率モデルに知らせる履歴データから各々のノードの、周期的な行動を学習することに依存する。次に、ノードがアクティブである期間、そのノードから発散しているエッジに沿った接続は、また、条件つきで独立して取り扱われる。合わせて、これらの２つの態様は、そのネットワークにおける各々のエッジに沿って活動レベルに対する確率モデルを提供する。

異常なエッジのこの集積は、優先権出願におけるいくつかのインプリメンテーションの方法論と同様のアイディアであることができる。そしてそれは、攻撃者の横断を検出する目的で、パスを形成するネットワークの中における異常なエッジを探すことができる。しかしながら、単一の障害を生じたノードから開始して、ネットワークを通して横断を探すよりはむしろ、いくつかの実施形態は、複数の障害を生じたノードからの接続での重複を検出することを狙う。侵入者は、通常、履歴データへのアクセスを有さないという事実ばかりでなく、ネットワークにおける彼らの活動の性質上、侵入者は、新しい行動のパターンをつくる傾向がある。

一旦、ハッカーが境界線内での防衛を貫通すると、ハッカーの識別は、政府や企業のネットワークを防衛するのに、最も重要なことである。攻撃者のチームを、彼らがコアネットワーク資産に侵入することができる前に、速く識別することは、攻撃された機関が、何百万ドルをも節約できることを意味する。もし、攻撃者が、ネットワークに居座り、コア・マシンに侵入することができてしまうと、唯一のソリューションは、典型的には、週とまではいわないまでも、何日もネットワークをシャットダウンすることしかない。これは、明らかに、ネットワークの機能性を取り除くことから、パブリック・リレーションのかなりの損傷を引き起こすという意味を有する。上記について、本願発明のいくつかの実施形態は、ハッカーのチームを検出するために、内部ネットワークをモニターする。この有益な特徴は、従来のシステムでは可能でく、また、従来のシステムでは認識されない。

いくつかの実施形態の統計的異常検出は、ネットワークにおける、各々のエッジ（または、少なくとも複数のエッジ）に沿って、モニタリング行動を含み、適合した確率モデルに関して、遠くの行動を探すことを含む。エッジが通常にふるまい続ける間は、観察されるデータは、コヒーレント更新処理スキームで確率モデルをさらに洗練するのに用いることができる。さもなければ、現在の行動がかなり過去の行動からそれる場合には、エッジを、異常であるとフラッグ付することができる。各時点において、確率モデルからのｐ値を、逸脱度の現在レベルを定量化するために、各々のエッジに沿って現在の行動に対して得ることができる。低いｐ値は、潜在的に異常な行動を示すことができる。

いくつかの実施形態の新規な態様は、時間のいくつかのウィンドウにわたって、異常なエッジと見えるものの中で、グループの活動の意味している顕著な重複あるいは相関した行動を探すことである。そのようなグループ活動の例は。いくつかの指定された期間の内で、すべてノードの共通セットに接続している障害を生じたノードであり得る。実質的に重なる異常な行動を観察することで、正常な挙動からの逸脱度は、統計的独立確率モデルでキャプチャされず、したがって、これは、異常検出システムの中で処理されなければならない、追加的な、関連した情報とみなすことができる。

重複を検出するために、異常なエッジを集計することは、優先権出願で議論された、いくつかのインプリメンテーションの方法論と同様のアイディアである。それは、攻撃者の横断を検出する目的で、パスを形成するネットワークにおいて、異常なエッジを探すことができる。しかしながら、本願発明のいくつかの実施形態において、単一の障害を生じたノードから開始して、ネットワークを通して横断を探すよりはむしろ、いくつかの障害を生じたノードからの接続での重複が検出される。どのように重複した活動を検出することができるかの短い例をつぎに述べる。

ネットワークにおける最近の行動は、フレックスタイム・ウィンドウの間に、すべての接続イベントを含むように考えることができる。このウィンドウｗの幅は、アナリストの関心に適合するように選ぶことができる。しかしながら、この例で議論される実施形態は、調整活動を検出することに向けられているので、ｗは、グラフの全ての履歴と比較して小さくなければならない。

時間ｔにおいて、（Ｖ_ｔ，Ｅ_ｔ）を、最近の時間ウィンドウ（ｔ−ｗ，ｔ）の間、アクティブである、すべての通信しているノードＶ_ｔと、すべてのエッジＥ_ｔからなる現在のグラフであるとする。各々のエッジ（ｉ、ｊ）∈Ｅ_ｔに対して、それぞれのエッジが、その正常挙動からどれほど遠くにあるかを意味するｐ値ｐ_ｉｊ，ｔが得られる。ｐ値閾値Ｔ∈（０，１）に対して、このネットワークの異常グラフＳｔ＝（Ｖ_ｔ ^Ｓ，Ｅ_ｔ ^Ｓ）は、閾値

の下で正のｐ値を有するエッジから形成される。

方程式（２）において、「ｓ．ｔ．」は、「．．．ように」を意味する。実際には、閾値Ｔは、トレーニング期間にわたって、平均的な異常グラフ・サイズ｛｜Ｅ_ｔ ^Ｓ｜｝が、所望の数を超えないように選ぶことができる。

潜在的偽エッジを除去するために、異常グラフを、１の入次数を有するノードへ接続するすべてのエッジを削除することによってさらに減少することができる。１つの例が、図１Ａおよび図１Ｂに示される。この例は、グループ行動を表示する構造のグラフに集中する。図１Ａにおいて、サブグラフ１００は、潜在的に異常な行動を表示している一組のノードＳｔを示す。図１Ｂにおいて、異常サブグラフ

１１０は、グループ活動を表示しているノードに減少された。各々のサブグラフは、グループ攻撃を表すことができ、複数の潜在的なグループ攻撃が検出された場合には、複数の異常サブグラフは、所定の期間、または、時間ウィンドウに生成されることができることに留意する。ゼロ入次数を有するノード、すなわち、入ってくる接続を受信しないノードは、陰影をつけて、疑わしい障害を生じたノード（図１Ｂを参照）と考えることができる。２以上の入次数を有するノードは、ターゲットであると考えることができる（たとえば、図１Ａおよび図１Ｂの中のノード７と８）。ノードは、両方のカテゴリーに分類されることができ、入接続のないすべてのノードに、障害が生じているわけではないことに留意する。

グラフの弱連結サブグラフ（すなわち、コンポーネント）は、すべての有向エッジが無向エッジと置き替えた場合に、結果として生じるサブグラフが接続されるという特性を有する最大サブグラフである。各々の弱連結サブグラフ

は、潜在的に異常である、したがって、潜在的に、調整された攻撃の部分であると考えることができる。

重複のレベルを記述するために、グラフの各々の弱連結サブグラフＡ_ｋ＝（Ｖ_ｋ，Ｅ_ｋ）に対して、サマリ統計Ｏ_ｋを計算することができる。サマリ統計の適切な選択は、求められている攻撃の性質にしたがって、変化するかもしれない。しかしながら、考慮することができるそのような統計の１つは、サブグラフの無向エッジの数

である。

単純にするために、観察された重複の統計は、いくつかの共通、しかし、未知の分布から、独立に、また、同様に配布されると考えることができる。トレーニング期間に、統計の観測値から計算される経験的な分布は、この未知数のノンパラメトリックな推定、および、潜在的に複雑な分布を提供することができる。

時間ｔにおけるネットワークの評価に戻ると、この経験的な分布に関するｐ値は、そのネットワークにおける、より異常な行動において重複のレベルでの、異常性の測定を提供するために、減少した異常グラフ

の各々の弱連結サブグラフに対して得ることができる。

図２は、本願発明の実施形態による、ネットワークへの調整グループ攻撃を識別するために、異常を検出する方法を図示しているフローチャート２００である。いくつか実施形態において、図２の方法は、例えば、図５のコンピュータ・システム５００により、実行することができる。この方法は、２０５でネットワークの異常グラフを決定することから始める。異常グラフは、ノードと、エッジと、その異常グラフのノードの入次数を含むことができる。次に、１の入次数を有するノードに入ってくるエッジは、２１０において異常グラフから削除される。

異常グラフの中の各々の弱連結サブグラフは、２１５において見つかる。重複のレベルを記述するために、２２０において、サマリ統計が、各々のサブグラフに対して計算される。２つ以上の入次数を有するノードは、２２５において潜在的ターゲットに指定される。入ってくる接続を有さないノードは、２３０において潜在的に障害を生じたノードに指定される。指定された潜在的に障害を生じたノードは、次に、潜在的に障害を生じたノードが同一の潜在的ターゲット・ノードの１つ以上に接続するとき、２３５において、ネットワークの上の調整された攻撃の部分であるとして出力される。

図３は、本願発明の実施形態による、ネットワークの上での調整グループ攻撃を識別するために、異常を検出する方法を図示するフローチャートである。いくつか実施形態において、図３の方法は、例えば、図５のコンピュータ・システム５００により、実行することができる。この方法は、３０５において、少なくとも１つの期間に、攻撃者のグループからの潜在的活動を意味する異常な行動を決定するために、期間にわたってネットワークをモニターすることから始める。この異常な行動は、潜在的に障害を生じたノードのグループが、前記期間のうち少なくとも１つの期間に、共通ノードに接続しようと試みる、重複あるいは相関した行動を含むことができる。異常グラフにおけるネットワークの各エッジに対して、ｐ値が決定される。このｐ値は、それぞれのエッジが、その正常挙動からどれほど遠くにあるかについて示す。異常グラフは、ｐ値とｐ値閾値に基づいて形成することができる。

１の入次数を有するノードに入ってくるエッジは、３１０において異常グラフから削除される。異常グラフの中の各々の弱連結サブグラフは、３１５において見つかる。所定のサブグラフの無向エッジの数を用いて、３２０において、サマリ統計が、各々のサブグラフに対して計算される。グループ攻撃がネットワークにおいて生じている可能性があるという指標は、次に、前記期間のうち少なくとも１つの期間に、異常な行動と判断されるとき、３２５において、提供される。

図４は、本願発明の実施形態によって、ネットワークへの調整グループ攻撃を識別するために、異常を検出する方法を図示するフローチャートである。いくつか実施形態において、図４の方法は、例えば、図５のコンピュータ・システム５００により、実行することができる。この方法は、４０５において、ある期間に、ネットワークの異常グラフを生成することから始める。ｐ値が、その異常グラフの各エッジに対して決定される。このｐ値は、それぞれのエッジが、その正常挙動からどれほど遠くにあるかについて示す。異常グラフは、ｐ値とｐ値閾値に基づいて、形成することができる。１の入次数を有するノードに入ってくるエッジは、４１０において異常グラフから削除される。異常グラフの中の各々の弱連結サブグラフは、４１５において見つかる。

入次数のない複数ノードおよび共通ノード接続が、４２０において、その期間に存在するか否かが判断される。そうであれば、ネットワークへの潜在的グループ攻撃の指標は、４２５において生成される。この指標は、入次数と共通のノード接続を有しない、潜在的に障害を生じたノードと、前記潜在的に障害を生じたノードが接続されている、２つ以上の入次数を有する潜在的ターゲット・ノードとを含むことができる。

図５は、本願発明の実施形態による、ネットワークの上でのグループ攻撃を検出するためのコンピューティング・システム５００のブロック図である。コンピューティング・システム５００は、情報を通信するための、バス５０５または他の通信メカニズムと、情報を処理するためのバス５０５に結合したプロセッサ５１０とを含む。プロセッサ５１０は、中央処理装置（「ＣＰＵ」）またはＡＳＩＣ（「ＡＳＩＣ」）を含む一般または特定目的プロセッサデバイスの任意のタイプであることができる。プロセッサ５１０は、また、複数の処理コアを有することができ、少なくとも、コアのいくつかは、特定機能を実行するように構成することができる。コンピューティング・システム５００は、情報と、プロセッサ５１０によって実行される命令を格納するためのメモリ５１５を更に含む。メモリ５１５は、ランダム・アクセス・メモリ（「ＲＡＭ」）、読取り専用メモリ（「ＲＯＭ」）、フラッシュ・メモリ、キャッシュ、磁気ディスクまたは光学ディスクなどの静的記憶装置、または、他のいかなるタイプの固定コンピュータ可読媒体またはその組合せのいかなる組合せからでも構成することができる。加えて、コンピューティング・システム５００は、通信ネットワークにワイヤレスでアクセスを提供するためにトランシーバのような通信デバイス５２０を含む。

固定コンピュータ可読媒体は、プロセッサ５１０によってアクセスすることができるいかなる利用可能な媒体であっても良く、揮発性媒体と不揮発性媒体、取り外し可能媒体と取り外し不可能媒体、および、通信媒体を含むことができ、通信メディアは、コンピュータで読取り可能な命令、データ構造、プログラム・モジュールまたは例えば、搬送波または他の搬送機構のような変調データ信号の他のデータを含むことができ、いかなる情報配送媒体をも含む。

プロセッサ５１０は、さらに、バス５０５を介して、ユーザに情報を表示するために、液晶ディスプレイ（「ＬＣＤ」）のようなディスプレイ５２５に結合される。キーボード５３０、および、コンピュータ・マウスのようなカーソル制御デバイス５３５が、さらに、ユーザがコンピューティング・システム５００とインタフェースすることができるように、バス５０５に結合される。しかしながら、モバイル・コンピューティング・インプリメンテーションに対するもののような特定の実施形態において、物理キーボードとマウスは、存在することができず、ユーザは、ディスプレイ５２５および／またはタッチパッド（図示せず）を通してのみ、そのデバイスと対話することができる。入力デバイスのいかなるタイプ、および、組合せも、デザイン選択の問題として用いることができる。

１つの実施形態において、メモリ５１５は、プロセッサ５１０によって実行されるとき、機能を提供するソフトウェアモジュールを格納する。このモジュールは、コンピューティング・システム５００のためのオペレーティングシステム５４０を含む。このモジュールは、本願発明の１つ以上の実施形態を用いて、グループ攻撃を検出するように構成されたグループ攻撃検出モジュール５４５を更に含む。コンピューティング・システム５００は、追加的な機能を含む１つ以上の追加的な機能モジュール５５０を含むことができる。

当業者は、「システム」が、パーソナル・コンピュータ、サーバ、コンソール、パーソナル・デジタル・アシスタント（「ＰＤＡ」）、携帯電話、タブレット・コンピューティング・デバイス、または、他の適切な計算デバイス、あるいは、デバイスの組合せとして具体化できることを理解する。上記の関数を、「システム」によって実行されるものとして提示することは、どんな形であれ本願発明の範囲を制限することを意図するものではなく、本願発明の多くの実施形態の１つの例を提供することを意図するものである。実際に、ここに開示された方法、システム、および、装置は、クラウド・コンピューティング・システムを含むコンピューティング技術と整合する局所化された形および分散化された形でインプリメントすることができる。

本願明細書に記載されたシステムの特徴のいくつかは、それらのインプリメンテーションの独立性を特に強調するために、モジュールとして提示されたことに留意する。例えば、モジュールは、カスタムメイドの超大規模集積回路（「ＶＬＳＩ」）またはゲートアレイ、例えば、論理チップなどの既製半導体、トランジスタ、または、他のディスクリート電子部品を備えるハードウェア回路としてインプリメントすることができる。

モジュールは、例えば、フィールド・プログラマブル・ゲートアレイ、プログラマブル・アレイ・ロジック、プログラマブル・ロジック・デバイス、グラフィクス処理ユニット、またはその他のようなプログラム可能なハードウェアデバイスでインプリメントすることもできる。モジュールは、また、少なくとも部分的には、プロセッサの種々のタイプによる実行のためにソフトウェアでインプリメントすることもできる実行可能コードの識別されたユニットは、たとえば、たとえば、オブジェクト、手続き、または機能として編成できるコンピュータ命令の１つ以上の物理ブロックあるいは論理ブロックを備えることができる。それでも、識別されたモジュールの実行可能形式は、物理的に、一緒に位置する必要はなく、異なる位置で格納された異種の命令を含むことができる。それは、論理的に一緒に結合されると、そのモジュールを含み、そのモジュールの上で述べた目的を達成する。さらに、モジュールは、コンピュータ読取り可能媒体に格納することができ、それは、たとえば、ハード・ディスク・ドライブ、フラッシュ・デバイス、ＲＡＭ、テープ、あるいは、他のデータを格納するのに用いられるような媒体であることができる。

実際に、実行可能コードのモジュールは、単一の命令、または、多くの命令でありえ、いくつかの異なるコードセグメントに、異なるプログラムの間で、および、いくつかのメモリ・デバイスにわたって、配布することさえできる。同様に、運用データは識別することができ、モジュールの内でここに図示することができる。また、いかなる適切な形においても具体化することができ、データ構造のいかなる適切なタイプにおいても組織化することができる。この運用データは、単一のデータ・セットとして収集することができる、あるいは、異なる格納デバイスにわたることを含む異なる位置にわたって、配布することができ、少なくとも部分的には、単に、システムまたはネットワークの上のエレクトロニクス信号として存在することができる。

図２−図４において実行される方法のステップは、本願発明の実施形態にしたがう、少なくとも、図２−図４に記述された方法を実行するための非線形適応プロセッサに対するのエンコーディング命令を、コンピュータ・プログラムによって実行することができる。このコンピュータ・プログラムは、固定コンピュータ読取り可能媒体で具体化することができる。

コンピュータ読取り可能媒体は、ハード・ディスク・ドライブ、フラッシュ・デバイス、ランダム・アクセス・メモリ、テープ、あるいは、任意の他のデータを格納するのに用いられる媒体であることができる。しかし、これらに制限するものではない。コンピュータ・プログラムは、図２−図４におけて記述された方法をインプリメントするための非線形適応プロセッサを制御するためのコード化された命令を含むことができる。これは、また、コンピュータ読取り可能媒体に格納することができる。このコンピュータ・プログラムは、ハードウェア、ソフトウェア、または、ハイブリッド・インプリメンテーションにおいてインプリメントすることができる。コンピュータ・プログラムは、互いに有効に通信しているモジュールから構成することができ、これらのモジュールは、ディスプレイに情報または命令をパスするように設計されている。このコンピュータ・プログラムは、汎用コンピュータ、または、ＡＳＩＣの上で動作するように構成することができる。

本願発明の種々の実施形態の電子部品は、本願図面においては、一般的に記述され、図示されているので、多種多様な異なる構成で、配置し、設計することができることは容易に理解される。したがって、付属する図面に表現された本願発明のシステム、装置、方法、および、コンピュータ・プログラムの実施形態の詳しい説明は、特許請求の範囲を制限することを目的とするものではなく、単に、本願発明の選択された実施形態の表現だけのものである。

本明細書を通して記述された本願発明の特徴、構造、または、特性は、１つ以上の実施形態において、いかなる適切な態様においてでも組み合わせることができる。例えば、本願明細書を通じて、「特定の実施形態」、「いくつかの実施形態」への参照、あるいは、同様な言葉は、実施形態に関連して記述された特定の特徴、構造、または、特性が、本願発明の少なくとも１つの実施形態に含まれることを意味する。したがって、「特定の実施形態において、」、「いくつかの実施形態において、」、「他の実施形態において、」というフレーズ、あるいは、本願明細書を通して、同様の言葉の見た目は、かならずしも、すべてが、実施形態の同一のグループを参照しているものではない。また、記載された特徴、構造、または、特性は、１つ以上の実施形態において、いかなる適切な態様においてでも組み合わせることができる。

本願明細書を通じて、特徴、利点、または、同様の言葉への参照は、本願発明で実現することができる特徴および効果の全てが、本願発明のいかなる単一の実施形態でなければならない、または、単一の実施形態であることを意味しないことに留意する。むしろ、特徴および効果を参照する言葉は、実施形態に関連して記述された特定の特徴、優位点、または、特性は、本願発明の少なくとも１つの実施形態に含まれることを意味するためであると理解される。したがって、本願明細書を通して特徴および効果や同様の言葉に関する議論は、同一の実施形態を参照することができるが、必ずしも必要であるわけではない。

さらにまた、記載された特徴、優位点、および、本願発明の特性は、１つ以上の実施形態において、いかなる適切な態様ででも、組み合わせることができる。当業者は、本願発明は、特定の特徴の１つ以上、または、特定の実施形態の優位点が無くても、実施できることを認識する。他の例において、追加的な特徴および効果は、本願発明のすべての実施形態の中には存在しないような、ある実施形態において認識することができる。

当業者は、上で示したように、本願発明は、異なるステップの順序で、あるいは、開示されたものとは異なる構成におけるハードウェア要素を用いて実施することができることを容易に理解する。したがって、本願発明が、これらの好適な実施形態に基づいて記述されたが、当業者には、ある修正、バリエーション、および、代替的な構造は、明らかであり、また、本願発明の趣旨および範囲の中に留まっていることは明らかである。したがって、本願発明の範囲、境界を決定するためには、添付の特許請求の範囲を参照しなければならない。

Claims (20)

1. コンピューティング・システムにより、ノードと、エッジと、該異常グラフにおけるノードの入次数と、を備えるネットワークの異常グラフを決定するステップと、
   前記コンピューティング・システムにより、潜在的ターゲットとして少なくとも２の入次数を有するノードを指定するステップと、
   前記コンピューティング・システムにより、入ってくる接続を有さないノードを、潜在的に障害を生じたノードとして指定するステップと、
   前記コンピューティング・システムにより、前記潜在的に障害を生じたノードが、同一の潜在的ターゲット・ノードの少なくとも１つに接続するとき、前記ネットワークでの調整された攻撃と潜在的に結びついたものとして、前記指定された潜在的に障害を生じたノードを出力するステップと、
   を含む、コンピュータで実施される方法。
2. 請求項１のステップは、前記コンピューティング・システムにより、時間ウィンドウの間、周期的に実行される、請求項１に記載のコンピュータで実施される方法。
3. 前記コンピューティング・システムにより、前記異常グラフから１の入次数を有するノードに入って来るエッジを削除するステップをさらに含む請求項１に記載のコンピュータで実施される方法。
4. 前記コンピューティング・システムにより、前記異常グラフにおける各々の弱連結サブグラフを決定するステップをさらに含む請求項１に記載のコンピュータで実施される方法。
5. 所与のサブグラフにおける無向エッジの数を用いて、各サブグラフにつきＯｋに対するサマリ統計を計算するステップであって、
   該サマリ統計は、
   

   

   で決定され、ここで、ｅ_ｉｊおよびｅ_ｊｉは、前記所与のサブグラフのエッジの集合Ｅｋにおけるエッジをあらわす、ステップをさらに含む請求項４に記載のコンピュータで実施される方法。
6. 前記コンピューティング・システムは、前記異常グラフにおける前記ノードおよびエッジの全てを、独立したエンティティとして扱うように構成される、請求項１に記載のコンピュータで実施される方法。
7. ｐ値閾値Ｔ∈（０，１）に対して、前記ネットワークの異常グラフ
   

   

   が、閾値
   
   

   

   の下で正のｐ値を有する前記エッジから形成され、ここで、Ｅ_ｔ ^Ｓは、Ｓ_ｔのエッジの集合、Ｖ_ｔ ^Ｓは、Ｓ_ｔのノードの集合、ｐ_ｉｊ，ｔは、所与のエッジ（ｉ，ｊ）∈Ｅ_ｔにたいするｐ値である、請求項１に記載のコンピュータで実施される方法。
8. 少なくとも１つのプロセッサと、コンピュータ・プログラム命令を格納しているメモリと、を備える装置であって、
   前記コンピュータ・プログラム命令は、前記少なくとも１つのプロセッサによって実行されるとき、前記少なくとも１つのプロセッサに、
   少なくとも１つの期間に、攻撃者のグループからの潜在的活動を意味する異常な行動を決定するために、期間にわたりネットワークをモニターさせ、
   ここで、該異常な行動を決定することは、入次数のない複数ノードおよび共通ノード接続が、前記少なくとも1つの期間に存在するか否かの決定に基づくものであり、
   少なくとも１つの期間に、異常な行動と判断されるとき、潜在的グループ攻撃がネットワークで起こっていることの指標を提供させる
   ように構成される、装置。
9. 前記異常な行動は、潜在的に障害を生じたノードのグループが、前記期間のうち少なくとも１つの期間に、共通ノードに接続しようと試みる、重複あるいは相関した行動を含む、請求項８に記載の装置。
10. 前記コンピュータ・プログラム命令は、前記少なくとも１つのプロセッサに、前記ネットワークにおける各エッジに対するｐ値を決定させるように、さらに構成され、ここで、該ｐ値は、それぞれのエッジが、その正常挙動からどれほど遠くにあるかについて示す、請求項８に記載の装置。
11. ｐ値閾値Ｔ∈（０，１）に対して、前記コンピュータ・プログラム命令は、前記少なくとも１つのプロセッサに、閾値
    

    

    の下で正のｐ値を有する端部からネットワークの異常グラフ
    

    

    を形成させるように、さらに構成され、
    ここで、Ｅ_ｔ ^Ｓは、Ｓ_ｔのエッジの集合、Ｖ_ｔ ^Ｓは、Ｓ_ｔのノードの集合、ｐ_ｉｊ，ｔは、所与のエッジ（ｉ，ｊ）∈Ｅ_ｔに対するｐ値である、
    請求項１０に記載の装置。
12. 前記コンピュータ・プログラム命令は、前記少なくとも１つのプロセッサに、前記異常グラフから１の入次数を有するノードに入って来るエッジを削除させるように、さらに構成される、請求項１１に記載の装置。
13. 前記コンピュータ・プログラム命令は、前記少なくとも１つのプロセッサに、前記異常グラフにおける各々の弱連結サブグラフを決定させるように、さらに構成される、請求項１１に記載の装置。
14. 前記コンピュータ・プログラム命令は、前記少なくとも１つのプロセッサに、前記所与のサブグラフにおける無向エッジの数を用いて、各サブグラフにつきＯ_ｋに対するサマリ統計を計算させるように、さらに構成され、該サマリ統計は、
    

    

    で決定され、
    ここで、ｅ_ｉｊおよびｅ_ｊｉは、前記所与のサブグラフのエッジの集合Ｅ_ｋにおけるエッジをあらわす、
    請求項１３に記載の装置。
15. ネットワークにおける異常を検出するように構成されたコンピュータ・プログラム命令を格納しているメモリと、
    前記格納されたコンピュータ・プログラム命令を実行するように構成された複数の処理コアと、
    を備えるシステムであって、
    前記複数の処理コアは、ある期間に、ネットワークの異常グラフを生成し、入次数のない複数ノードおよび共通ノード接続が、該期間に存在するか否かを判断し、前記システムが、入次数のない複数ノードおよび共通ノード接続が、前記異常グラフの１つ以上のサブグラフにおいて、存在すると判断するとき、前記ネットワークへの潜在的グループ攻撃の指標を生成するように構成されている、
    システム。
16. 前記指標は、入次数を有しない潜在的に障害を生じたノードと、共通ノード接続と、前記潜在的に障害を生じたノードが接続されている、２以上の入次数を有する潜在的ターゲット・ノードとを含む、請求項１５に記載のシステム。
17. 前記複数の処理コアは、前記ネットワークにおける各エッジに対するｐ値を決定するようにさらに構成され、該ｐ値は、それぞれのエッジが、その正常挙動からどれほど遠くにあるかについて示す、請求項１５に記載のシステム。
18. ｐ値閾値Ｔ∈（０，１）に対して、前記処理コアは、閾値
    

    

    の下で正のｐ値を有する端部からネットワークの異常グラフ
    

    

    を形成するように、さらに構成され、ここで、Ｅ_ｔ ^Ｓは、Ｓ_ｔのエッジの集合、Ｖ_ｔ ^Ｓは、Ｓ_ｔのノードの集合、ｐ_ｉｊ，ｔは、所与のエッジ（ｉ，ｊ）∈Ｅ_ｔに対するｐ値である、請求項１７に記載のシステム。
19. 前記処理コアは、前記異常グラフから１の入次数を有するノードに入って来るエッジを削除するように、さらに構成される、請求項１５に記載のシステム。
20. 前記処理コアは、前記異常グラフにおける各々の弱連結サブグラフを決定するように、さらに構成される、請求項１５に記載のシステム。

Images