JP6188785B2

JP6188785B2 - デコイ暗号鍵を使用したネットワーク侵入検知

Info

Publication number: JP6188785B2
Application number: JP2015504648A
Authority: JP
Inventors: ステファンチャスコ、; マイケルデメテル、
Original assignee: Landis and Gyr Innovations Inc
Current assignee: Landis and Gyr Innovations Inc
Priority date: 2012-04-09
Filing date: 2013-04-01
Publication date: 2017-08-30
Anticipated expiration: 2033-04-01
Also published as: CA2867654A1; JP2015518320A; US20130269032A1; BR112014025076A2; CA2867654C; BR112014025076B1; MX2014011953A; WO2013154851A1; US8719938B2

Description

本開示は一般にコンピュータソフトウェアに関し、詳しくは、デコイ（おとり）暗号鍵を使用することによってデータネットワークへの侵入を検知することに関する。

エンクリプションプロトコルを使用してデータネットワーク上の情報セキュリティを得ることができる。エンクリプションプロトコルは、データネットワークを介して送信されるデータを、復号鍵を備えたエンティティのみが当該データをデコードすることができるようにエンコードするべく使用することができる。

データネットワークの情報セキュリティへの脅威は、暗号鍵データ、及び当該鍵データを処理するべく使用されるメカニズムの開示であり得る。かかる暗号鍵データにアクセスしている侵入者は、データを傍受及び復号することにより、ネットワークを介した通信のセキュリティを危険にさらすことができる。

かかる開示を防止する一つのソリューションは、ネットワークデバイスを物理的に保護することである。ネットワークデバイスを物理的に保護することは、ネットワークデバイスを監視すること、又は、ロックメカニズムのような物理的安全装置をネットワークデバイスに付加することを含み得る。しかしながら、かかるソリューションは、ネットワークデバイスの製造に関連する費用を増大させ、又は、ネットワークデバイスを展開する柔軟性を制限し得る。さらに、かかるソリューションでは、物理的安全装置が故障した場合、データネットワークへの侵入を検知し又は当該侵入に反応する方法が得られない。

米国特許出願公開第２０１２／０７８５４８（Ａ１）号明細書

データネットワークへの侵入を検知するべくデコイ暗号鍵を使用するシステム及び方法が開示される。典型的なシステムは、データネットワークの第１ネットワークデバイス及び第２ネットワークデバイスを含む。第１ネットワークデバイス及び第２ネットワークデバイスはそれぞれ、デコイ暗号鍵及び本物の暗号鍵を有する。デコイ暗号鍵は、データネットワークにおいて送信される無認可データを検知するべく使用される。本物の暗号鍵は、データネットワークにおいて送信される認可データを暗号化するべく使用される。第１ネットワークデバイスは、デコイ暗号鍵を使用して暗号化されているデータを第２ネットワークデバイスから受信する。第１ネットワークデバイスは、データがデコイ暗号鍵を使用して暗号化されているとの決定をする。第１ネットワークデバイスは、デコイ暗号鍵を使用して暗号化されているデータを破棄する。

追加的又は代替的側面において、第１ネットワークデバイスは警告メッセージを生成する。警告メッセージは、一以上の追加ネットワークデバイスに対し、第２ネットワークデバイスが無認可データを生成していることを教える。警告メッセージはまた、一以上の追加ネットワークデバイスに対し、第２ネットワークデバイスに由来するデータを無視するように指示する。

添付図面を参照して以下の詳細な説明を読むことで、本開示のこれらの及び他の特徴、側面及び利点が良好に理解される。

ネットワークデバイスと通信するネットワーク制御器を有する典型的なデータネットワークを例示するネットワーク図である。デコイ暗号鍵を有する典型的なネットワークデバイスを例示するブロック図である。侵入検知機能を実装するための典型的なコンピューティング環境にある典型的なコンピューティングデバイスを描くブロック図である。データネットワークへの侵入を検知するべくデコイ暗号鍵を使用する典型的な方法を例示するフローチャートである。

デコイ暗号鍵を使用してデータネットワーク内の侵入を検知するシステム及び方法が与えられる。システム及び方法は、データネットワーク内のデバイスが危険にさらされていることを、デコイ暗号鍵を使用して暗号化されているデータを当該デバイスが送信しているとの決定によって検知することができる。デバイスが危険にさらされていることの検知に応答して、当該危険にさらされているデバイスをネットワークから隔離することができる。

以下の例は、デコイ暗号鍵を使用することによりどのようにして危険にさらされているネットワークデバイスを検知することができるのかを例示する。データネットワーク内の各デバイスは、ネットワークを介して通信するためのソフトウェアを格納するべく構成されたストレージデバイスを含み得る。データネットワークを介して通信されるデータは、ストレージデバイスに格納された暗号鍵を使用して暗号化することができる。ストレージデバイスはまた、デコイ暗号鍵も含むことができる。デコイ暗号鍵は、ストレージデバイスに格納されたデータを分析する侵入者が、認可データを暗号化するべく使用される本物の暗号鍵よりもデコイ暗号鍵を発見かつ使用する可能性が高くなるように格納することができる。例えば、デコイ暗号鍵は、高エントロピーデータを使用して生成することができる。デコイ暗号鍵は、コンピュータ可読媒体の一領域又は高エントロピーデータを有する他のメモリのような、一般に暗号鍵の存在に関連づけられたデータを備えるメモリの一領域に高エントロピーデータとして格納することができる。ストレージデバイスはまた、デコイコードも含むことができる。デコイコードは、デコイ暗号鍵が格納されているメモリ領域を参照することができる。デコイ暗号鍵は、当該デコイ暗号鍵がデータネットワーク上の認可データを暗号化するべく使用されると侵入者を誘導して信じさせるように使用することができる。侵入者は、デコイ暗号鍵を使用してデータを暗号化し、かつ、当該デコイ暗号鍵を使用して暗号化されているデータを通信する。データネットワーク内のもう一つのデバイスが、当該データが、本物の暗号鍵ではなくデコイ暗号鍵を使用して暗号化されているとの決定をすることができる。デコイ暗号鍵の使用を検知したデバイスは、危険にさらされているネットワークデバイスに由来するデータを無視するように他のネットワークデバイスに対して指示する警告メッセージを生成することができる。危険にさらされているネットワークデバイスの例は、データネットワークにおいて侵入者によって悪用されているデバイス、侵入者によってネットワーク内に導入されている外部デバイス等を含む（がこれらに限られない）。

典型的なシステムにおいて、データネットワークは、第１ネットワークデバイス及び第２ネットワークデバイスを含むことができる。第１ネットワークデバイス及び第２ネットワークデバイスはそれぞれ、デコイ暗号鍵及び本物の暗号鍵を格納するメモリを含むことができる。デコイ暗号鍵は、データネットワーク内で送信されている無認可データを検知するべく使用することができる。本物の暗号鍵は、データネットワーク内で送信されている認可データを暗号化するべく使用することができる。第１ネットワークデバイスは、第２ネットワークデバイスからデータを受信することができる。第１ネットワークデバイスは、第２ネットワークデバイスからのデータがデコイ暗号鍵を使用して暗号化されているとの決定をすることができる。例えば、第１ネットワークデバイスは、第２ネットワークデバイスから受信されたデータを、本物の暗号鍵を使用して復号するべく試行することができる。第１ネットワークデバイスは、本物の暗号鍵が、データを復号するには使用できないとの決定をすることができる。第１ネットワークデバイスは、デコイ暗号鍵を使用してデータを復号することができる。デコイ暗号鍵を使用してデータを復号することは、当該データを送信する第２ネットワークデバイスが危険にさらされていることを示し得る。第１ネットワークデバイスは、デコイ暗号鍵を使用して暗号化されているデータを削除さもなくば破棄することができるので、危険にさらされているネットワークデバイスは隔離される。

追加的又は代替的側面において、第１ネットワークデバイスは、警告メッセージを生成することができる。警告メッセージは、一以上の追加ネットワークデバイスに対し、第２ネットワークデバイスが無認可データを生成していることを教える。警告メッセージはまた、一以上の追加ネットワークデバイスに対し、第２ネットワークデバイスに由来するデータを無視するように指示する。例えば、ネットワーク制御器は、第２ネットワークデバイスが危険にさらされている旨の通知を受けることができる。ネットワーク制御器は、危険にさらされているネットワークデバイスを隔離する修正措置をとることができる。

ここで使用される場合、用語「暗号鍵」は、エンクリプションプロトコル又はエンクリプションアルゴリズムが使用する暗号アルゴリズム又は暗号の機能的出力を決定するデータを指すために使用される。暗号鍵は、送信される情報の、当該暗号鍵なしには読めない形態への変換を特定することができる。暗号鍵は、データの暗号化及び復号に使用することができる。

ここで使用される場合、用語「エンクリプションプロトコル」の使用によって、不可読データを可読形式に変換するための一以上の暗号鍵を有しない任意のエンティティにとってデータを不可読にすること、暗号鍵を使用しての一以上の完全性チェックを、当該完全性を認証するべく行うこと、暗号鍵を使用してグループメンバーに由来するデータ源を認証できるグループ識別を与えること、及び／又は、メッセージ源を認証するべく暗号鍵を使用できるように由来証明を与えること、を目的としてデータを変換する任意のアルゴリズム又はアルゴリズム群が言及される。エンクリプションプロトコルの例は、高度暗号化標準（「ＡＥＳ」）、データ暗号化標準（「ＤＥＳ」）、ハッシュベースメッセージ認証コード（「ＨＭＡＣ」）、楕円曲線暗号（「ＥＣＣ」）等を含む（がこれらに限られない）。

ここで使用される場合、用語「ネットワークデバイス」は、データネットワークを介して他のデバイスと通信することができる任意のデバイスを言及するべく使用される。

ここで使用される場合、用語「データネットワーク」は、リソース及び情報の共有を許容する通信チャネルを介して相互接続される一群のデバイスを言及するべく使用される。通信チャネルは、銅ケーブル、光ファイバーケーブル、無線送信等のような（ただしこれらに限られない）、ネットワークを介してデータを通信する任意の適切な手段を含み得る。

追加的又は代替的側面において、危険にさらされているネットワークデバイスを隔離することは、一以上の追加ネットワークデバイスに警告メッセージを与えることを含み得る。警告メッセージは、一以上の追加ネットワークデバイスに対し、危険にさらされているネットワークデバイスに由来するデータのルーティングを中止するように指示することができる。例えば、メッシュネットワークにおいて、危険にさらされているネットワークデバイスと通信している危険にさらされていない一以上のネットワークデバイスは、当該危険にさらされているネットワークデバイスに由来する任意のデータパケットを削除さもなくば破棄するように指示を受けることができる。これにより、危険にさらされているネットワークデバイスは、ネットワークから隔離される。

警告メッセージはまた、デコイ暗号鍵を使用して暗号化されているデータを通信するべく使用される侵入者によってデータネットワーク内に導入された外部デバイスを特定することもできる。外部デバイスから通信されるデータは、外部デバイスを特定するべく使用される情報を含み得る。外部デバイスを特定するべく使用される情報の一例は、外部デバイスに関連づけられたネットワークアドレス又は他のデバイス識別子を含み得る。外部デバイスを特定するべく使用される情報は、外部デバイスが通信するデータから抽出することができる。外部デバイスを特定するべく使用される情報は、警告メッセージに含めることができる。警告メッセージは、外部デバイスのデータネットワークへの侵入を文書化するネットワーク制御器に与えることができる。

追加的又は代替的側面において、危険にさらされているネットワークデバイスを隔離することは、ネットワークデバイスからのトラフィックを分析して当該ネットワークデバイスが不正データを与えているとの決定を含み得る。プロセッサは、ネットワークデバイスから受信したデータを、危険にさらされているネットワークデバイスに関連づけられたデータプロファイルと比較することができる。プロセッサは、危険にさらされているネットワークデバイスから受信したデータが、データプロファイルから決定される予測値と異なる値を有するとの決定をすることができる。当該データが予測されたデータと異なるとの決定をしたことに基づいて、データネットワークの他のネットワークデバイスに警告メッセージを与えることができる。例えば、配電ネットワーク内のサーバのようなネットワーク制御器が、スマート電力計からの電力消費データのようなネットワークデバイスからのデータを、当該スマート電力計が記録する電力消費履歴に基づいて生成された予測電力使用量を含むデータプロファイルと比較することができる。ネットワーク制御器は、電力消費率が履歴平均未満であるとの決定をすることができる。電力消費率が履歴平均未満であることは、危険にさらされているネットワークデバイスが、不正な電力消費データを送信するべく使用されていることを示し得る。ネットワーク制御器は、潜在的に不正なデータの特定に基づいて当該電力計を隔離することができる。

追加的又は代替的側面において、ネットワーク制御器又は他のネットワークデバイスは、危険にさらされているネットワークデバイスの地理的位置を決定することができる。ネットワーク制御器は当該地理的位置を、危険にさらされているネットワークデバイスから、既知の地理的位置にある少なくとも２つの危険にさらされていないネットワークデバイスのそれぞれまでの距離に基づいて決定することができる。例えば、ネットワーク制御器は、危険にさらされていないネットワークデバイスのそれぞれに対し、危険にさらされているネットワークデバイスへ試験信号を送信するように指示することができる。危険にさらされていないネットワークデバイスのそれぞれから、危険にさらされているネットワークデバイスまでの距離は、各ネットワークが、危険にさらされているネットワークデバイスへの試験信号送信と、危険にさらされているネットワークデバイスからの応答受信との間の経過時間に基づいて決定することができる。ネットワーク制御器は、危険にさらされているネットワークデバイスの位置を、危険にさらされているネットワークデバイスと危険にさらされていないネットワークデバイスそれぞれとの間の距離と、危険にさらされていないネットワークデバイスの地理的位置とに基づいて三角測量することができる。

追加的又は代替的側面において、ネットワーク制御器又は他のネットワークデバイスは、危険にさらされているネットワークデバイスを無効にする措置をとることができる。例えば、ネットワーク制御器は、危険にさらされていない一以上のネットワークデバイスを、当該ネットワークデバイスに向けられたＤｏＳ攻撃を実行するように構成することができる。ＤｏＳ攻撃は、危険にさらされていないネットワークデバイスが、危険にさらされているネットワークデバイスを、通信要求のようなデータによって飽和させることを含む。危険にさらされているネットワークデバイスに送信されるデータの容量は、危険にさらされているネットワークデバイスが取り扱うべく構成される典型的なデータの容量を超過する。そのような送信されるデータの容量は、例えば、危険にさらされているネットワークデバイスをシャットダウン又はリセットするので、当該危険にさらされているネットワークデバイスは、当該データネットワークを介して無認可データを通信することに利用できなくなる。

追加的又は代替的側面において、ネットワーク制御器又は他のネットワークデバイスは、危険にさらされているネットワークデバイスと通信し続けることができる。危険にさらされているネットワークデバイスとの通信は、当該デバイスを使用してデータを送信し続けるインセンティブを侵入者に与えることができる。危険にさらされているネットワークデバイスを使用してデータを送信し続ける侵入者によって、当該データネットワークの管理者は、当該危険にさらされているネットワークデバイスの地理的位置を特定すること、又は危険にさらされているネットワークデバイスの悪用を文書化するデータを蓄積することができる。

これらの例示は、ここに説明される一般的な主題を読者に対して紹介するべく与えられるのであって、開示された概念の範囲を制限することを意図しない。以下のセクションでは、同じ参照番号が同じ要素を示す図面を参照して、様々な追加の側面及び例が記載される。

ここに説明される特徴は、特定のハードウェアのアーキテクチャ又は構成のいずれも制限しない。コンピューティングデバイスは、一以上の入力に条件づけられた結果を与える任意の適切なコンポーネント配列を含み得る。適切なコンピューティングデバイスは、本主題の一以上の側面を実装する汎用コンピューティング装置から専用コンピューティング装置までのコンピューティングシステムをプログラムし又は構成する格納されたソフトウェアにアクセスする多目的マイクロプロセッサベースのコンピュータシステムを含む。コンピューティングデバイスのプログラミング又は構成に使用されるソフトウェアに包含されるここでの教示を実施するべく、任意の適切なプログラミング、スクリプト又は他のタイプの言語若しくは言語の組み合わせを使用することができる。

ここで図面を参照する。図１は、ネットワークデバイス１０４ａ〜ｅと通信するネットワーク制御器１０２を有する典型的なデータネットワーク１００を例示するネットワーク図である。

データネットワーク１００は、ネットワーク制御器１０２とネットワークデバイス１０４ａ〜ｅとの間に通信チャネルを与えることができる。通信チャネルは、ネットワークデバイス１０４ａ〜ｅとネットワーク制御器１０２との間で信号を通信することができる任意の適切な手段を含み得る。適切な通信媒体の例は、イーサネット（登録商標）ケーブル、無線データ通信、電力線通信（「ＰＬＣ」）等を含む（がこれらに限られない）。電力線通信は、電力会社からの電力を地理的エリア内の建物に提供するべく使用されるケーブルを介して信号を通信することを含み得る。

データネットワーク１００は、任意の適切なネットワークトポロジを使用して構成することができる。例えば、データネットワーク１００はメッシュネットワークであり得る。メッシュネットワークであるデータネットワーク１００は、ネットワークデバイス１０４ａ〜ｅのそれぞれが、ネットワークデバイス１０４ａ〜ｅがデータネットワーク１００を介して当該データを伝播させるべく連係するように他のネットワークデバイスから受信したデータを中継するべく構成されていることを含み得る。他の適切なネットワークトポロジは、リング型ネットワーク、スター型ネットワーク、バスネットワーク等を含み得る（がこれらに限られない）。

ネットワーク制御器１０２は、データネットワーク上の他のネットワークデバイスからのデータを収集及び処理するべく構成されたネットワークデバイスであり得る。ネットワーク制御器１０２は、データネットワーク１００と他のネットワークとのリンクを与えることができる。ネットワーク制御器１０２の例は、ネットワークデバイス１０４ａ〜ｅと同様かつ追加ネットワーク制御器能力を有する、サーバシステム、ルータ、又はネットワークデバイスのような専用制御器を含むがこれらに限られない。ネットワーク制御器１０２は、ネットワークデバイス１０４ａ〜ｅのそれぞれに対してデータを通信することができる。ネットワーク制御器１０２は、データネットワーク１００を介して通信される制御信号によってネットワークデバイス１０４ａ〜ｅの遠隔設定を行うことができる。

ネットワークデバイス１０４ａ〜ｅは、データネットワーク１００を介してデータを通信する任意のデバイスを含み得る。ネットワークデバイス１０４ａ〜ｅは、データネットワーク１００を介して通信されるデータを暗号化及び復号するエンクリプションプロトコル又は他のアルゴリズムを使用することができる。ネットワークデバイス１０４ａ〜ｅはそれぞれ、データネットワーク１００との物理的インタフェイスのための、ネットワークインタフェイス制御器のような（ただしこれに限られない）一以上のハードウェアコンポーネントを含み得る。ネットワークデバイス１０４ａ〜ｅのそれぞれは、コンピュータ可読媒体又は他の適切なメモリデバイスを含み得る。ネットワークデバイス１０４ａ〜ｅはそれぞれ、コンピュータ可読媒体に格納されたソフトウェア命令を実行するべく構成されたプロセッサを含み得る。ネットワークデバイス１０４ａ〜ｅそれぞれにおけるソフトウェア命令は、データネットワーク１００を介して通信されるデータを暗号化及び復号する命令を含み得る。

図１は、一つのネットワーク制御器１０２及び５つのネットワークデバイス１０４ａ〜ｅを有するデータネットワーク１００を描くが、任意数のネットワーク制御器及び／又はネットワークデバイスを使用することができる。追加的又は代替的側面において、ネットワーク制御器は省略することができる。例えば、ピアツーピアデータネットワークにおいて、そうでない場合にはネットワーク制御器１０２において実行されるはずの機能の一以上を、クライアントネットワークデバイスの一以上が行うことができる。

典型的な側面において、データネットワーク１００は、ＰＬＣネットワークであり、ネットワーク制御器１０２は指令センターであり、及び、ネットワークデバイス１０４ａ〜ｅはそれぞれ電力計であり得る。各電力計は、ネットワークデバイスの地理的位置において電力消費を記載するデータを記録するべく構成することができる。各電力計は、電力消費を記述するデータを、ＰＬＣネットワークを介して通信することができる。各電力計は、そのデータを、各地理的位置において電力消費を監視する指令センターへ通信することができる。

典型的なデータネットワーク１００において、ネットワークデバイス１０４ａ〜ｅの一以上は、地理的エリアに物理的に配置することができる。そのエリアでは、データネットワーク１００の管理者は、ネットワークデバイス１０４ａ〜ｅを物理的に保護する物理的制御又は他の手段を実行することができない。かかるエリアに配置されるネットワークデバイス１０４ａ〜ｅは、改ざんを受けやすい。例えば、電力会社は、当該電力会社の顧客の制御下にある建物の電力消費を監視するべく、ＰＬＣネットワークを介して通信する電力計を使用することができる。電力計が私有地に配置されているので、電力会社は、電力計の改ざんを防止するべく用い得る物理的安全装置のタイプが制限される。

データネットワーク１００にアクセスしようとする侵入者は、ネットワークデバイス１０４ａ〜ｅの一つを危険にさらし得る。侵入者は、ネットワークデバイスを分解さもなくばこれにアクセスし、及びネットワークデバイスのメモリに格納されたデータをダウンロードさもなくば取得することができる。侵入者は、データネットワーク１００を介して暗号化データを通信するネットワークデバイスが使用する暗号鍵を特定するべく、ネットワークデバイスのメモリに格納されたデータを分析することができる。

侵入者は、自分が傍受した暗号化データを復号するべく及び／又はデータネットワーク１００を介して無認可データを通信するべく、暗号鍵を使用することができる。例えば、ネットワークデバイスが、地理的位置において電力消費を通信する電力計の場合、侵入者は、電力消費に関して誤ったデータをデータネットワーク内に注入することにより、電力を提供する電力会社をだますことができる。

ネットワークデバイスが侵入者によって危険にさらされていることは、デコイ暗号鍵をネットワークデバイスのメモリに含ませることによって検知することができる。

図２は、デコイ暗号鍵を有する典型的なネットワークデバイス１０４を例示するブロック図である。ネットワークデバイス１０４はメモリ２０２を含み得る。メモリ２０２は、デコイ暗号鍵２０４、デコイコード２０６、操作コード２０８及び本物の暗号鍵２１０を含み得る。

操作コード２０８は、ネットワークデバイス１０４の操作を制御するソフトウェアを含み得る。操作コード２０８は、例えば、ネットワークデバイス１０４のオペレーティングシステム、データネットワーク１００を介して通信されたデータを暗号化及び復号する一以上の暗号モジュール、及び／又は、ネットワークデバイス１０４においてデータを処理する一以上のソフトウェアモジュールを含み得る。例えば、ネットワークデバイス１０４は、電力計の地理的位置において電力消費データを処理、記録及び通信する一以上のソフトウェアモジュールを有する電力計であり得る。操作コード２０８は、データネットワーク１００を介して通信されたデータを暗号化及び復号するべく、メモリ２０２に格納された本物の暗号鍵２１０を使用することができる。

デコイ暗号鍵２０４は、ネットワークデバイス１０４を介した無認可のネットワークアクセスを特定する目的でメモリ２０２に格納された暗号鍵であり得る。デコイ暗号鍵２０４は、例えば乱数発生器によって生成された一連のランダムデータであり得る。デコイ暗号鍵を生成する乱数発生器の例は、真の乱数発生器雑音源、決定論的乱数発生器、又は暗号論的に弱い乱数発生器を含み得る（がこれらに限られない）。いくつかの実施形態において、デコイ暗号鍵は、高エントロピーデータを使用して生成することができる。

デコイ暗号鍵２０４は、高エントロピーデータとして、追加高エントロピーデータを有するメモリ２０２の領域に格納することができる。高エントロピーデータは、例えば、示量性の分散又はこれよりも低次のデータを含み得る。データの暗号化は当該データのエントロピーを増大させ得るので、高エントロピーデータの存在は、暗号化されているデータの存在を示し得る。暗号化されているデータの存在に関連づけられるのが典型的な高エントロピーデータを有するメモリ２０２の一部分に格納されたデコイ暗号鍵２０４は、暗号鍵がメモリ２０２の当該一部分に配置されていることを侵入者に示し得る。すなわち、デコイ暗号鍵を、高エントロピーデータを有するメモリ２０２の一部分に含ませることにより、侵入者に対し、データネットワーク１００を介した通信を目的としてデコイ暗号鍵２０４を使用させるように誘導することができる。

デコイコード２０６は、暗号化データを生成するべくデコイ暗号鍵２０４とともに使用することができる、メモリ２０２に格納された一以上のソフトウェアモジュールを含み得る。デコイコード２０６をメモリ２０２に含ませることによって、侵入者に対し、デコイ暗号鍵２０４を含む高エントロピー又は他のランダムデータが、データネットワーク１００を介して通信されたデータの暗号化及び復号が可能な機能的暗号鍵であることを示すことができる。例えば、デコイコード２０６は、デコイ暗号鍵２０４が格納されたメモリ２０２の領域を特定するレファレンスのような、デコイ暗号鍵２０４へのレファレンスを含み得る。かかるレファレンスは、侵入者に対し、デコイ暗号鍵２０４を含むランダムデータが実際には機能的暗号鍵であると結論づけるように仕向けることができる。

デコイコード２０６は、デコイコード２０６を侵入者の気を引くようにする特徴を含み得る。例えば、デコイコード２０６は、当該コードの目的を説明するコメント又は他の注釈を含み得る。コメントは、デコイコード２０６がデコイ暗号鍵２０４とともに使用される場合の一以上の予測結果を特定することができる。ネットワークデバイス１０４にアクセスしている侵入者は、デコイコード２０６をデコイ暗号鍵２０４とともに使用することの予測結果を検証するべく、そのコメントを使用することができる。このようにして侵入者に対し、データネットワーク１００を介して通信されたデータを暗号化するべくデコイ暗号鍵２０４を使用するように仕向けることができる。

追加的又は代替的側面において、本物の暗号鍵２１０及び操作コード２０８は、難読化することができる。例えば、本物の暗号鍵２１０は、本物の暗号鍵２１０が通常の処理コードのような、暗号鍵以外の何かに見えるように、操作コード２０８において難読化することができる。操作コード２０８は、コメント、デバッグコード及び試験コードのような、操作コード２０８の機能に関する情報を与える特徴を除去することによって難読化することができる。したがって、広範なコメントを有するデコイ暗号鍵２０４及びデコイコード２０６は、ネットワークデバイス１０４にアクセスしている侵入者にとって、本物の暗号鍵２１０及び操作コード２０８よりも容易に特定及び試験をすることができる。

このようにして侵入者は、データネットワーク１００を介した通信を目的として、デコイ暗号鍵２０４を使用するように誘導される。データネットワーク１００におけるもう一つのシステム、例えば危険にさらされていないネットワークデバイス又はネットワーク制御器１０２は、デコイコード２０６を使用して暗号化されているデータを受信することができる。デコイコード２０６を使用して暗号化されているデータを受信したシステムは、侵入者が、危険にさらされているネットワークデバイスを使用してデータネットワーク１００にアクセスしていることを決定することができる。

図３は、侵入検知機能を実装するための、典型的なコンピューティング環境にある典型的なコンピューティングデバイスを描くブロック図である。侵入検知アプリケーション３０３は、典型的なシステム３００上で実行さもなくば使用され、及び機能的コンポーネント又はモジュールを使用して示される。典型的なシステム３００は、ネットワークデバイス１０４ａ〜ｅの一以上及び／又はネットワーク制御器１０２に含まれ又は配置され得る。例えば、ネットワーク制御器１０２、又はネットワークデバイス１０４ａ〜ｅの一つは、図２に描かれるメモリに格納されたコンポーネント及び図３に描かれるシステムコンポーネントの双方を含み得る。当業者に知られているように、かかるアプリケーションは、任意の適切な非一時的コンピュータ可読媒体に常駐してもよく、かつ、任意の適切なプロセッサ上で実行することができる。

例えば、図示されているように、典型的なシステム３００は、コンピュータ実行可能プログラム命令を実行し及び／又はメモリ３０２に格納された侵入検知アプリケーションにアクセスするプロセッサ３０４に結合される非一時的コンピュータ可読媒体、例えばランダムアクセスメモリ（ＲＡＭ）３０２を含み得る。かかるプロセッサ３０４は、マイクロプロセッサ、特定用途向け集積回路（ＡＳＩＣ）、状態機械、又は他のプロセッサを含むこと、及び一定数のコンピュータプロセッサのいずれかとすることができる。かかるプロセッサは、プロセッサ３０４によって実行されるときに、ここに記載のステップをプロセッサ３０４に実行させる命令を格納する非一時的コンピュータ可読媒体を含みこと、又は当該非一時的コンピュータ可読媒体と通信することができる。

非一時的コンピュータ可読媒体は、コンピュータ可読命令を有するプロセッサを提供可能な電子的、光学的、磁気的又は他のストレージデバイスを含むが、これらに限定されない。他の例は、フロッピー（登録商標）ディスク、ＣＤ−ＲＯＭ、ＤＶＤ、磁気ディスク、メモリチップ、ＲＯＭ、ＲＡＭ、ＡＳＩＣ、コンフィギュアドプロセッサ、光学ストレージ、磁気テープ若しくは他の磁気ストレージ、又は、コンピュータプロセッサによる命令読み取りが可能な他の任意媒体を含むがこれらに限定されない。命令は、例えば、Ｃ、Ｃ＋＋、Ｃ＃、ＶｉｓｕａｌＢａｓｉｃ（登録商標）、Ｊａｖａ（登録商標）、Ｐｙｔｈｏｎ（登録商標）、Ｐｅｒｌ（登録商標）、ＪａｖａＳｃｒｉｐｔ（登録商標）、及びＡｃｔｉｏｎＳｃｒｉｐｔ（登録商標）を含む任意の適切なコンピュータプログラミング言語で書かれたコードから、コンパイラ及び／又はインタプリタによって生成されたプロセッサ固有命令を含む。

システム３００は、入力／出力（Ｉ／Ｏ）インタフェイス３０８を介して入力を受信し及び出力を与えることができる。Ｉ／Ｏインタフェイス３０８は、例えば、データネットワーク１００を介して通信するためのネットワークインタフェイスを含み得る。バス３０６のようなバスは、システム３００内に含まれる。システム３００は、ここに記載される特徴の一以上を与えるのに適切なドメインにあるネットワークに含まれた任意のタイプのコンピューティングシステムであり得る。

図３は、侵入検知アプリケーション３０３をメモリ３０２に含む典型的なシステム３００を例示する。侵入検知アプリケーション３０３は、ネットワークデバイス１０４が危険にさらされていることを検知することに関連づけられた一以上の操作を実行できるようにプロセッサ３０４を構成することができる。侵入検知アプリケーション３０３は、危険にさらされているネットワークデバイス１０４が危険にさらされていることを他のネットワークデバイスに警告し、及び／又は危険にさらされているネットワークデバイス１０４を隔離する一以上の操作を実行できるようにプロセッサ３０４を構成することができる。

図４は、データネットワーク１００への侵入を検知するべくデコイ暗号鍵２０４を使用する典型的な方法４００を例示するフローチャートである。例示目的のため、方法４００は、図３に描かれたシステム実装を参照して記載される。しかしながら、他の実装も可能である。

典型的な方法４００は、ブロック４１０に示されるように、第１ネットワークデバイス及び第２ネットワークデバイスを与えることを含む。第１及び第２ネットワークデバイスはそれぞれ、デコイ暗号鍵２０４及び本物の暗号鍵２１０を有するネットワークデバイス１０４であり得る。

典型的な方法４００はさらに、ブロック４２０に示されるように、第１ネットワークデバイスによって第２ネットワークデバイスからのデータを受信することを含む。第１ネットワークデバイスにおいてプロセッサ３０４が実行する侵入検知アプリケーション３０３がデータを受信する。データは、デコイ暗号鍵２０４を使用して暗号化される。

典型的な方法４００はさらに、ブロック４３０に示されるように、データがデコイ暗号鍵２０４を使用して暗号化されているとの決定を含む。第１ネットワークデバイスにおいてプロセッサ３０４が実行する侵入検知アプリケーション３０３は、第２ネットワークデバイスからのデータが、デコイ暗号鍵２０４を使用して暗号化されているとの決定をすることができる。

典型的な側面において、データがデコイ暗号鍵２０４を使用して暗号化されているとの決定は、デコイ暗号鍵２０４を使用してのデータ復号が成功することを含み得る。侵入検知アプリケーション３０３は、第２ネットワークデバイスから受信したデータを、本物の暗号鍵２１０を使用して復号するべく試行することができる。本物の暗号鍵２１０を使用してのデータ復号が失敗すると、侵入検知アプリケーション３０３は、本物の暗号鍵２１０がデータの復号に使用できないとの決定をすることができる。侵入検知アプリケーション３０３は、デコイ暗号鍵２０４を使用してデータを復号することができる。デコイ暗号鍵２０４を使用してデータを復号することは、第２ネットワークデバイスが危険にさらされていることを示し得る。

典型的な方法４００はさらに、ブロック４４０に示されるように、デコイ暗号鍵２０４を使用して暗号化されているデータを破棄することを含む。第１ネットワークデバイスは、第２ネットワークデバイスから受信したデータを削除さもなくば破棄することができる。第１ネットワークデバイスのプロセッサ３０４は、デコイ暗号鍵２０４を使用して復号されたいずれのデータも第１ネットワークデバイスに削除さもなくば破棄させるように構成することができる。第２ネットワークデバイスから受信したデータを削除さもなくば破棄することにより、第２ネットワークデバイスをネットワークから有効に隔離することができる。

典型的な方法４００はさらに、ブロック４５０に示されるように、ネットワークデバイス１０４が無認可データを生成しているとの警告メッセージを生成することを含む。侵入検知アプリケーション３０３は、その警告メッセージを生成することができる。警告メッセージは、データネットワークの追加ネットワークデバイスに対し、第２ネットワークデバイスが無認可データを生成していることを教えることができる。警告メッセージはまた、追加ネットワークデバイスに対し、第２ネットワークデバイスに由来するデータを無視するように指示することができる。

典型的な側面において、警告メッセージは、危険にさらされているネットワークデバイス１０４のデバイス識別子を含み得る。かかるデバイス識別子の一例は、ネットワークデバイス１０４ａ〜ｅのそれぞれのネットワークインタフェイス制御器に割り当てられた媒体アクセス制御（「ＭＡＣ」）アドレスである。侵入検知アプリケーション３０３は、ネットワーク制御器１０２に警告を与えることによって、危険にさらされているネットワークデバイス１０４が無認可データを生成していることをネットワーク制御器１０２に通知することができる。

追加的又は代替的側面において、警告メッセージは、危険にさらされているネットワークデバイス１０４を隔離するべく使用することができる。危険にさらされているネットワークデバイス１０４を隔離することは、危険にさらされているネットワークデバイス１０４がデータネットワーク１００を介して無認可データを送信できないようにすることを含み得る。侵入検知アプリケーション３０３は、一以上の追加ネットワークデバイスに対して警告メッセージを与えることができる。警告メッセージは、一以上の追加ネットワークデバイスに対し、危険にさらされているネットワークデバイス１０４に由来するデータのルーティングを中止させる命令を含み得る。例えば、一以上の追加ネットワークデバイスは、危険にさらされているネットワークデバイス１０４を識別するデバイス識別子を含む任意のデータパケットを削除することができる。

追加的又は代替的側面において、侵入検知アプリケーション３０３は、危険にさらされているネットワークデバイス１０４が不正さもなくば無認可データを生成していることを検証するべく、危険にさらされているネットワークデバイス１０４が生成するデータを分析することができる。ネットワークデバイスの一つが、デコイ暗号鍵２０４を使用して暗号化されている少なくとも一つのデータパケットを、危険にさらされているネットワークデバイスが送信したことを検知したことへの応答として、侵入検知アプリケーション３０３は、危険にさらされているネットワークデバイスが生成したデータを分析することができる。侵入検知アプリケーション３０３は、危険にさらされているネットワークデバイスが生成したデータを、当該データとネットワークデバイスに関連づけられたデータプロファイルと比較することによって分析することができる。侵入検知アプリケーション３０３は、複数のデータが予想外なことにデータプロファイルと異なるとの決定をすることができる。侵入検知アプリケーション３０３は、複数のデータがデータプロファイルと異なるとの決定に基づいて警告メッセージを生成することができる。

例えば、データネットワーク１００は、電力使用量を監視する指令センターであるネットワーク制御器１０２と通信する電力計であるネットワークデバイス１０４ａ〜ｅを含み得る。ネットワークデバイス１０４ａ〜ｅそれぞれのデータプロファイルは、ネットワークデバイスに関連づけられた地理的位置における予測電力使用量を含み得る。この予測電力使用量は、ネットワークデバイスがネットワーク制御器１０２に与える履歴電力消費データに基づく。いくつかの側面において、ネットワーク制御器１０２は、当該データプロファイルを、デコイ暗号鍵２０４の使用を検知したネットワークデバイスに与えることができる。デコイ暗号鍵２０４の使用を検知したネットワークデバイス上で実行された侵入検知アプリケーション３０３は、危険にさらされているネットワークデバイスから電力消費履歴に送信された電力消費データを分析することができる。他の側面において、デコイ暗号鍵２０４の使用を検知したネットワークデバイスは、危険にさらされているネットワークデバイスが送信した電力消費データをネットワーク制御器１０２に与えることができる。ネットワーク制御器１０２は、ネットワーク制御器１０２にあるメモリに格納された電力消費履歴に基づいて電力消費データを分析することができる。

追加的又は代替的側面において、侵入検知アプリケーション３０３は、危険にさらされているネットワークデバイスの地理的位置を決定することができる。危険にさらされているネットワークデバイスの地理的位置を決定することにより、データネットワーク１００の管理者は、侵入者のデータネットワーク１００へのアクセスを防止するべく、侵入者の活動及び地理的位置を法執行機関に通知することのような一以上の修正措置を実行することができる。

いくつかの側面において、侵入検知アプリケーション３０３は、危険にさらされているネットワークデバイス１０４に関連づけられたデバイス識別子を受信することができる。危険にさらされているネットワークデバイス１０４に関連づけられたデバイス識別子を記述するデータは、メモリ３０２に格納すること、又は侵入検知アプリケーション３０３が遠隔位置からアクセスすることができる。例えば、侵入検知アプリケーション３０３は、メモリ３０２に格納されたデータファイルにアクセスすること、又は、受信されたデバイス識別子に関連づけられた地理的位置を含むネットワーク制御器１０２からのデータを要求することができる。侵入検知アプリケーション３０３は、危険にさらされているネットワークデバイスのデバイス識別子に関連づけられた地理的位置データを参照することにより、当該危険にさらされているネットワークデバイスの地理的位置を決定することができる。侵入検知アプリケーション３０３は、危険にさらされているネットワークデバイスに関連づけられた地理的位置を、警告メッセージとともに含み得る。

他の側面において、侵入検知アプリケーション３０３は、危険にさらされているネットワークデバイス１０４の地理的位置をリアルタイムで決定することができる。侵入検知アプリケーション３０３は、危険にさらされていない少なくとも２つのネットワークデバイスに対し、危険にさらされているネットワークデバイスに試験信号を送信するように指示することができる。例えば、侵入検知アプリケーション３０３を実行するネットワーク制御器１０２は、制御メッセージを２つのネットワークデバイスに送信して、各ネットワークデバイスに対し、危険にさらされているネットワークデバイスに「ピング」メッセージを送信するように指示することができる。各ネットワークデバイスは、ネットワーク制御器１０２にデータを与えて、危険にさらされているネットワークデバイス１０４への試験信号送信と、危険にさらされているネットワークデバイス１０４からの応答受信との間の経過時間を特定することができる。侵入検知アプリケーション３０３は、当該経過時間と、データネットワーク１００を介して通信されたデータパケットの推定速度とに基づいて、危険にさらされているネットワークデバイス１０４と、他のネットワークデバイスそれぞれとの間の距離を決定することができる。侵入検知アプリケーション３０３は、危険にさらされているネットワークデバイス１０４の位置を、危険にさらされているネットワークデバイス１０４並びに第１及び第２ネットワークデバイスそれぞれと、第１及び第２ネットワークデバイスの地理的位置との間の距離に基づいて三角測量をすることができる。

追加的又は代替的側面において、侵入検知アプリケーション３０３は、危険にさらされているネットワークデバイス１０４を無効にする措置をとることができる。侵入検知アプリケーション３０３は、危険にさらされていない一以上のネットワークデバイスを、危険にさらされているネットワークデバイス１０４に向けられたＤｏＳ攻撃を実行するように構成することができる。ＤｏＳ攻撃は、危険にさらされていないネットワークデバイスが、危険にさらされているネットワークデバイス１０４を、データによって飽和させることを含み得る。危険にさらされているネットワークデバイス１０４に送信されるデータの容量は、危険にさらされているネットワークデバイス１０４が取り扱うべく構成される典型的なデータの容量を超過する。送信されるデータの容量は、例えば、危険にさらされているネットワークデバイス１０４をシャットダウン又はリセットするので、危険にさらされているネットワークデバイス１０４は、侵入者がデータネットワーク１００を介して無認可データを通信するべく利用できなくなる。

追加的又は代替的側面において、侵入検知アプリケーション３０３は、危険にさらされているネットワークデバイス１０４と通信し続けることができる。危険にさらされているネットワークデバイス１０４との通信により、危険にさらされているネットワークデバイス１０４を介して無認可データを通信し続けるように侵入者を誘導することができる。侵入検知アプリケーション３０３は、危険にさらされていないネットワークデバイスすべてに対し、危険にさらされているネットワークデバイスに由来するデータを削除さもなくば無視するように警告メッセージを送信することができる。危険にさらされているネットワークデバイス１０４を使用してデータを送信し続けるように侵入者を誘導することにより、システム管理者は、危険にさらされているネットワークデバイス１０４の地理的位置を特定すること、又は危険にさらされているネットワークデバイス１０４の侵入者による無認可使用を文書化するデータを、その後の侵入者の起訴を目的として蓄積することができる。

一般的事項

多数の特定の詳細が、特許請求の範囲に記載された主題の完全な理解を与えるべくここに記載されている。しかしながら、当業者であれば、これらの特定の詳細がなくとも特許請求の範囲に記載された主題を実施できることがわかる。特許請求の範囲に記載された主題を不明瞭にしないようにするべく、当業者が知っているであろう他の例、方法、装置又はシステムは、詳細に説明していない。

いくつかの部分は、コンピュータメモリのようなコンピューティングシステムメモリ内に格納されたデータビット又はバイナリデジタル信号に基づく操作のアルゴリズム又は記号的表現によって提示される。これらのアルゴリズム記述又は表現は、自分の仕事の内容を他の当業者に伝えるべくデータ処理分野の当業者が使用する技術の例である。アルゴリズムは、所望の結果をもたらす操作又は同様の処理の首尾一貫したシーケンスである。この文脈では、操作又は処理は、物理量の物理的な取り扱いを含む。必ずしも必要というわけではないが典型的には、かかる量は、格納され、転送され、組み合わされ、比較され、さもなくば取り扱われ得る電気的又は磁気的な信号の形態をとることができる。ビット、データ、値、要素、記号、文字、用語、数、数字等のような信号を参照することは、主に共通利用を理由として、時には便宜であることがわかっている。しかしながら、これら及び同様の用語はすべて、適切な物理量に関連づけられるべきであり、及び単なる便宜な標識であることを理解すべきである。特に記載されない限り、本明細書全体を通して、「処理」、「コンピューティング」、「計算」、「決定」及び「特定」等のような用語を利用する説明は、コンピューティングプラットフォームのメモリ、レジスタ若しくは他のストレージデバイス、送信デバイス又は表示デバイス内において電子的又は磁気的物理量として表現されるデータを取り扱い又は変換する一以上のコンピュータ又は同様の単数又は複数の電子コンピューティングデバイスのようなコンピューティングデバイスのアクション又は処理を言及する。

ここに説明される単数又は複数のシステムは、任意の特定ハードウェアアーキテクチャ又は構成に限られない。コンピューティングデバイスは、一以上の関数呼び出しが条件とされる結果を与えるコンポーネントの任意の適切な配列を含み得る。適切なコンピューティングデバイスは、本主題の一以上の側面を実装する汎用コンピューティング装置から専用コンピューティング装置までのコンピューティングシステムをプログラムし又は構成する格納されたソフトウェアにアクセスする多目的マイクロプロセッサベースのコンピュータシステムを含む。コンピューティングデバイスのプログラミング又は構成に使用されるソフトウェアに包含されるここでの教示を実施するべく、任意の適切なプログラミング、スクリプト又は他のタイプの言語若しくは言語の組み合わせを使用することができる。

ここに開示される方法の複数の側面は、かかるコンピューティングデバイスの操作において行うことができる。上述した例で提示されたブロックの順序は変えることができる。例えば、複数のブロックを、再び順序付けし、組み合わせ、及び／又はサブブロックに分割することができる。所定のブロック又は処理は、並列して行うことができる。

ここでの「するべく適合され」又は「するべく構成され」の使用は、追加のタスク又はステップを行うべく適合され又は構成されたデバイスを除外することがないオープンかつ包括的な言語であることを意味する。加えて、「に基づいて」の使用は、記載された一以上の状態又は値に基づく処理、ステップ、計算又は他のアクションが、実際には、記載されたものを超える追加的な条件又は値に基づいてもよい点で、オープンかつ包括的であることを意味する。ここに含まれる見出し、リスト及び番号付けは、説明を容易にするためであって、限定を意味しない。

本主題が、その特定の側面に関して詳細に説明されているが、当業者であれば、上記の理解を得る際に、かかる側面に対する変更例、変形例及び等価例を作り得ることがわかる。したがって、本開示が、限定ではなく例示を目的として提示されていること、並びに、当業者にとって容易に明らかな、本主題に対するかかる修正例、変形例及び／又は追加例の包含を排除するものではないことを理解すべきである。

Claims

方法であって、
データネットワークの第１ネットワークデバイス及び第２ネットワークデバイスであって、無認可データが前記データネットワーク内で送信されていることを検知するべく使用されるデコイ暗号鍵及び前記データネットワーク内で送信されている認可データを暗号化するべく使用される本物の暗号鍵をそれぞれが有する第１ネットワークデバイス及び第２ネットワークデバイスを与えることと、
前記第１ネットワークデバイスが、前記第２ネットワークデバイスから前記デコイ暗号鍵を使用して暗号化されているデータを受信することと、
前記第１ネットワークデバイスが、前記デコイ暗号鍵を使用して前記データが暗号化されているとの決定をすることと、
前記第１ネットワークデバイスが、前記デコイ暗号鍵を使用して暗号化されている前記データを破棄することと
を含む方法。
前記第１ネットワークデバイス及び前記第２ネットワークデバイスを与えることは、
前記第１ネットワークデバイス及び前記第２ネットワークデバイスそれぞれに対し、高エントロピーデータを使用して前記デコイ暗号鍵を生成することと、
追加の高エントロピーデータを有するコンピュータ可読媒体の第１領域に前記デコイ暗号鍵を格納することと、
前記デコイ暗号鍵とともに使用可能なデコイコードを前記コンピュータ可読媒体に格納することと、
一のネットワークデバイスの操作を制御する操作コードを含む低エントロピーデータを前記コンピュータ可読媒体の第２領域に格納することと、
前記操作コードにおいて難読化されている前記本物の暗号鍵を前記コンピュータ可読媒体の前記第２領域に格納することと
を含む、請求項１に記載の方法。
前記デコイ暗号鍵を使用して前記データが暗号化されているとの決定をすることは、
前記本物の暗号鍵が、前記データを復号するには使用できないとの決定をすることと、
前記デコイ暗号鍵を使用して前記データを復号することと
を含む、請求項１に記載の方法。
前記第１ネットワークデバイスが、一以上の追加ネットワークデバイスに対し、前記第２ネットワークデバイスが前記無認可データを生成していることを教え、かつ、前記第２ネットワークデバイスに由来するデータを無視するように指示する警告メッセージを生成することをさらに含む、請求項１に記載の方法。
前記警告メッセージを生成することは、前記第２ネットワークデバイスに関連づけられたデバイス識別子をネットワーク制御器に与えることを含む、請求項４に記載の方法。
前記第１ネットワークデバイスが、前記警告メッセージを一以上の追加ネットワークデバイスに与えることであって、前記警告メッセージは前記一以上の追加ネットワークデバイスに対し、前記第２ネットワークデバイスに由来する一以上のデータのルーティングを中止させる命令を含むことをさらに含む、請求項４に記載の方法。
前記警告メッセージを前記一以上の追加ネットワークデバイスに与える前に、
前記第１ネットワークデバイスが、前記第２ネットワークデバイスから受信した複数のデータと前記第２ネットワークデバイスに関連づけられたデータプロファイルとを比較することと、
前記第１ネットワークデバイスが、前記複数のデータが、前記データプロファイルから決定された予測データと異なるとの決定をすることと
をさらに含み、
前記一以上の追加ネットワークデバイスへの前記警告メッセージは、前記複数のデータが前記予測データと異なるとの決定と、前記第２ネットワークデバイスによる前記デコイ暗号鍵の使用とに部分的に基づく、請求項６に記載の方法。
前記第１ネットワークデバイスが、前記第２ネットワークデバイスの地理的位置を決定することをさらに含む、請求項１に記載の方法。
前記第２ネットワークデバイスの前記地理的位置を決定することは、
前記第１ネットワークデバイスが、前記第２ネットワークデバイスから複数の追加ネットワークデバイスそれぞれまでの距離を決定することと、
前記第１ネットワークデバイスが、前記複数の追加ネットワークデバイスそれぞれの各地理的位置と、前記第２ネットワークデバイスから前記複数の追加ネットワークデバイスそれぞれまでの前記距離とに基づいて前記地理的位置を決定することと
を含む、請求項８に記載の方法。
コンピュータシステムによって実行可能なプログラムコードを用いる非一時的コンピュータ可読媒体であって、
データネットワークの第１ネットワークデバイスが、前記データネットワークの第２ネットワークデバイスから、無認可データを検知するべく使用されるデコイ暗号鍵を使用して暗号化されているデータを受信するためのプログラムコードと、
前記データが前記デコイ暗号鍵を使用して暗号化されているとの決定をするためのプログラムコードと、
一以上の追加ネットワークデバイスに対し、前記第２ネットワークデバイスが前記無認可データを生成していることを教え、かつ、前記第２ネットワークデバイスに由来するデータを無視するように指示する警告メッセージを生成するためのプログラムコードと
を含む、非一時的コンピュータ可読媒体。
前記データが前記デコイ暗号鍵を使用して暗号化されているとの決定をするためのプログラムコードは、
本物の暗号鍵が、前記データを復号するには使用できないとの決定をするためのプログラムコードと、
前記デコイ暗号鍵を使用して前記データを復号するためのプログラムコードと
を含む、請求項１０に記載の非一時的コンピュータ可読媒体。
前記警告メッセージを生成するためのプログラムコードは、前記第２ネットワークデバイスに関連づけられたデバイス識別子をネットワーク制御器に与えるためのプログラムコードを含む、請求項１０に記載の非一時的コンピュータ可読媒体。
前記警告メッセージを一以上の追加ネットワークデバイスに与えるためのプログラムコードであって、前記警告メッセージは前記一以上の追加ネットワークデバイスに対し、前記第２ネットワークデバイスに由来する一以上のデータのルーティングを中止させる命令を含むプログラムコードをさらに含む、請求項１０に記載の非一時的コンピュータ可読媒体。
前記警告メッセージを前記一以上の追加ネットワークデバイスに与える前に、
前記第２ネットワークデバイスから受信した複数のデータと前記第２ネットワークデバイスに関連づけられたデータプロファイルとを比較し、及び
前記複数のデータが前記データプロファイルから決定される予測データと異なるとの決定をする
ためのプログラムコードをさらに含み、
前記一以上の追加ネットワークデバイスへの前記警告メッセージは、前記複数のデータが前記予測データと異なるとの決定と、前記第２ネットワークデバイスによる前記デコイ暗号鍵の使用とに部分的に基づく、請求項１３に記載の非一時的コンピュータ可読媒体。
前記複数のデータは、前記第２ネットワークデバイスに関連づけられた電力消費データを含み、
前記データプロファイルは、前記第２ネットワークデバイスに関連づけられた履歴電力消費データを含み、
前記予測データは、前記第２ネットワークデバイスの予測電力使用量を含む、請求項１４に記載の非一時的コンピュータ可読媒体。
前記第２ネットワークデバイスの地理的位置を決定するためのプログラムコードをさらに含む、請求項１０に記載の非一時的コンピュータ可読媒体。
前記第２ネットワークデバイスの地理的位置を決定するための前記プログラムコードは、
前記第２ネットワークデバイスから複数の追加ネットワークデバイスのそれぞれまでの距離を決定するためのプログラムコードと、
前記複数の追加ネットワークデバイスのそれぞれの地理的位置と、前記第２ネットワークデバイスから前記複数の追加ネットワークデバイスのそれぞれまでの前記距離とに基づいて前記地理的位置を決定するためのプログラムコードと
を含む、請求項１６に記載の非一時的コンピュータ可読媒体。
システムであって、
無認可データがデータネットワーク内で送信されていることを検知するべく使用されるデコイ暗号鍵及び前記データネットワーク内で送信されている認可データを暗号化するべく使用される本物の暗号鍵を有する第１ネットワークデバイスと、
ネットワーク制御器であって、
前記データネットワークを介して前記第１ネットワークデバイスと通信するべく構成されたネットワークインタフェイスと、
侵入検知アプリケーションを与える非一時的コンピュータ可読媒体に格納された命令を実行するべく構成されたプロセッサと
を含むネットワーク制御器と
を含み、
前記侵入検知アプリケーションは、
前記第１ネットワークデバイスから、データを与える第２ネットワークデバイスが前記デコイ暗号鍵を使用して前記データを暗号化しているとの警告メッセージを受信することと、
前記警告メッセージを受信したことに基づいて、前記データネットワークの一以上の追加ネットワークデバイスを、前記第２ネットワークデバイスとの通信を中止させるように構成することと
を含む操作を行うべく構成された一以上のモジュールを含むシステム。
前記第１ネットワークデバイスは、
前記デコイ暗号鍵を使用して暗号化されている前記データを受信することと、
前記本物の暗号鍵が、前記データを復号するには使用できないとの決定をすることと、
前記デコイ暗号鍵を使用して前記データを復号することと、
前記警告メッセージを生成することと
を行うべく構成される、請求項１８に記載のシステム。
前記ネットワーク制御器の前記一以上のモジュールは、
第２ネットワークデバイスに関連づけられたデータプロファイルを第１ネットワークデバイスに与えることと、
前記第１ネットワークデバイスを、前記第２ネットワークデバイスから受信した複数のデータと前記データプロファイルとを比較するように構成することと、
前記第１ネットワークデバイスを、前記複数のデータが前記データプロファイルから決定される予測データと異なるとの決定をするように構成することと
を含む追加操作を行うべく構成され、
前記一以上の追加ネットワークデバイスへの警告メッセージは、前記複数のデータが前記データプロファイルと異なるとの決定に応答して生成される、請求項１９に記載のシステム。
前記一以上のモジュールは、前記ネットワーク制御器と通信している複数のネットワークデバイスを、前記第２ネットワークデバイスに向けられたＤｏＳ攻撃を実行するように構成することを含む追加操作を行うべく構成される、請求項１８に記載のシステム。