JP6364547B2 - セキュリティイベントを標的型攻撃として分類するシステム及び方法 - Google Patents

Description

コンピューティングデバイスに対する悪意ある攻撃を検出するのに、コンピュータセキュリティシステムが使用される場合が多い。例えば、コンピューティングデバイスがコンピュータセキュリティシステムを含むことができる。この例では、コンピュータセキュリティシステムは、インターネットを介してコンピューティングデバイスに潜入した悪意あるファイルを検出することができる。

残念ながら、従来のコンピュータセキュリティシステムの中には、一般的なマルウェアと標的型攻撃とを区別できないものがある。例えば、特定の組織（企業及び／又は政府機関など）は、従来のコンピュータセキュリティシステムを含むコンピューティングデバイスを有することがある。この例では、従来のコンピュータセキュリティシステムは、悪意あるセキュリティイベントが一般的なマルウェア又は包括的な標的型攻撃の一部のどちらを表すかを判断できないことがある。

特定の従来のコンピュータセキュリティシステムが一般的なマルウェアと標的型攻撃とを区別できる場合であっても、これらのセキュリティシステムは既存のシグネチャデータベースに依存することがある。結果として、これらのセキュリティシステムは、未知のセキュリティイベント（例えば、ゼロデイ脅威）に対して特異的に適合されたシグネチャの更新が存在しない場合、かかるセキュリティイベントを標的型攻撃として正確に分類できないことがある。したがって、本開示は、セキュリティイベントを標的型攻撃として分類する、改善されたシステム及び方法に対する必要性を識別し、それに対処する。

より詳細に後述するように、本開示は、セキュリティイベントを、標的型攻撃の様々な特性を識別する標的型攻撃タクソノミーと比較することによって、セキュリティイベントを標的型攻撃として分類する、様々なシステム及び方法について記載する。

一実施例では、セキュリティイベントを標的型攻撃として分類するコンピュータ実装方法は、（１）少なくとも１つの組織と関連するセキュリティイベントを検出することと、（２）セキュリティイベントを、標的型攻撃の複数の特性を識別する標的型攻撃タクソノミーと比較することと、（３）セキュリティイベントと標的型攻撃タクソノミーとの比較に少なくとも部分的に基づいて、セキュリティイベントが組織を標的にしている可能性が高いと判断することと、また次に、セキュリティイベントが組織を標的にしている可能性が高いと判断することに応答して、（４）セキュリティイベントを標的型攻撃として分類することと、を含んでもよい。この実施例では、方法は、セキュリティイベントが標的型攻撃として分類されていることを組織に通知することを更に含んでもよい。

一実施例では、方法はまた、セキュリティイベントの複数の特徴を識別することを含んでもよい。この実施例では、方法は、セキュリティイベントの複数の特徴を、標的型攻撃タクソノミーで識別された複数の特性と比較することを更に含んでもよい。

一実施例では、方法はまた、標的型攻撃タクソノミーで識別された対応する特性と一致するセキュリティイベントの特徴の数を判断することを含んでもよい。この実施例では、方法は、標的型攻撃タクソノミーで識別された対応する特性と一致するセキュリティイベントの特徴の数が、特定の閾値を上回っていると判断することを更に含んでもよい。

一実施例では、方法はまた、セキュリティイベントと標的型攻撃タクソノミーとの比較に少なくとも部分的に基づいて、セキュリティイベントが組織を標的にしている可能性を表す、タクソノミースコアを計算することを含んでもよい。この実施例では、方法は、タクソノミースコアが特定の閾値を上回っていると判断することを更に含んでもよい。それに加えて、又は別の方法として、方法は、タクソノミースコアの計算における特性の影響を増加又は減少させるため、標的型攻撃タクソノミーで識別された特性のうち少なくとも１つを重み付けすることを含んでもよい。

一実施例では、標的型攻撃タクソノミーは複数のカテゴリーを含んでもよい。この実施例では、複数のカテゴリーはそれぞれ、標的型攻撃の複数の特性を含んでもよい。追加的に又は代替案として、方法は、セキュリティイベントと標的型攻撃タクソノミーとの比較に少なくとも部分的に基づいて、標的型攻撃タクソノミーに含まれる複数のカテゴリー内の各カテゴリーに対するカテゴリースコアを計算することを含んでもよい。

一実施例では、方法はまた、各カテゴリースコアが対応する閾値を上回っていると判断することを含んでもよい。追加的に又は代替案として、方法は、各カテゴリースコアに少なくとも部分的に基づいて、セキュリティイベントが組織を標的にしている可能性を表すタクソノミースコアを計算することを含んでもよい。方法は、タクソノミースコアが特定の閾値を上回っていると判断することを更に含んでもよい。更に、方法は、タクソノミースコアの計算におけるカテゴリースコアの影響を増加又は減少させるため、少なくとも１つのカテゴリースコアを重み付けすることを含んでもよい。

一実施例では、方法はまた、少なくとも１つのセキュリティシステムから、セキュリティに関連するテレメトリデータを収集することを含んでもよい。この実施例では、方法は、セキュリティに関連するテレメトリデータ内の標的型攻撃を示す複数の特性を識別することを更に含んでもよい。追加的に又は代替案として、方法は、標的型攻撃を示す複数の特性から標的型攻撃タクソノミーを作成することを含んでもよい。

別の実施例として、上述の方法を実現するシステムは、（１）少なくとも１つの組織と関連するセキュリティイベントを検出する、メモリに格納された、検出モジュールと、（２）（Ａ）セキュリティイベントを、標的型攻撃の複数の特性を識別する標的型攻撃タクソノミーと比較し、次に（Ｂ）セキュリティイベントと標的型攻撃タクソノミーとの比較に少なくとも部分的に基づいて、セキュリティイベントが組織を標的にしている可能性が高いと判断する、メモリに格納された、判断モジュールと、（３）セキュリティイベントが組織を標的にしている可能性が高いという判断に応答して、セキュリティイベントを標的型攻撃として分類する、メモリに格納された、分類モジュールと、（４）検出モジュール、判断モジュール、及び分類モジュールを実行する少なくとも１つのプロセッサとを含んでもよい。

更なる実施例として、上述の方法は、非一時的コンピュータ可読媒体上のコンピュータ可読命令としてコード化されてもよい。例えば、コンピュータ可読媒体は、１つ以上のコンピュータ実行可能命令を含んでもよく、それらの命令が、コンピューティングデバイスの少なくとも１つのプロセッサによって実行されると、コンピューティングデバイスに、（１）少なくとも１つの組織と関連するセキュリティイベントを検出することと、（２）セキュリティイベントを、標的型攻撃の複数の特性を識別する標的型攻撃タクソノミーと比較することと、（３）セキュリティイベントと標的型攻撃タクソノミーとの比較に少なくとも部分的に基づいて、セキュリティイベントが組織を標的にしている可能性が高いと判断することと、また次に、セキュリティイベントが組織を標的にしている可能性が高いと判断することに応答して、（４）セキュリティイベントを標的型攻撃として分類することと、を行わせてもよい。

上述の実施形態のいずれかによる特徴は、本明細書に記載される一般原理に従って、互いに組み合わせて使用されてもよい。これら及び他の実施形態、特徴、及び利点は、添付の図面及び特許請求の範囲と併せて以下の発明を実施するための形態を読むことによって更に十分に理解されるだろう。

添付の図面は、いくつかの例示的な実施形態を例証するものであり、本明細書の一部である。以下の説明と併せて、これらの図面は、本開示の様々な原理を実証及び説明する。
セキュリティイベントを標的型攻撃として分類する例示的なシステムのブロック図である。 セキュリティイベントを標的型攻撃として分類する追加の例示的なシステムのブロック図である。 セキュリティイベントを標的型攻撃として分類する例示的な方法のフローチャートである。 例示的な標的型攻撃タクソノミーのブロック図である。 例示的な標的型攻撃タクソノミーを示す図である。 本明細書に記載及び／又は例証される実施形態のうち１つ以上を実現することができる例示的なコンピューティングシステムのブロック図である。 本明細書に記載及び／又は例証される実施形態のうち１つ以上を実現することができる例示的なコンピューティングネットワークのブロック図である。

図面を通して、同一の参照符号及び記述は、必ずしも同一ではないが、類似の要素を示す。本明細書で説明される例示的な実施形態は、様々な修正物及び代替的な形態が可能であるが、特定の実施形態が例として図面に示されており、本明細書に詳細に記載される。しかしながら、本明細書に記載される例示的な実施形態は、開示される特定の形態に限定されることを意図しない。むしろ、本開示は、添付の特許請求の範囲内にある全ての修正物、等価物、及び代替物を網羅する。

本開示は、概して、セキュリティイベントを標的型攻撃として分類するシステム及び方法を対象とする。より詳細に後述するように、セキュリティに関連するテレメトリデータを異なるセキュリティシステムから収集することによって、本明細書に記載する様々なシステム及び方法は、セキュリティに関連するテレメトリデータ内の標的型攻撃を示す複数の特性を識別してもよい。これらのシステム及び方法は、次に、セキュリティに関連するテレメトリデータ内で識別された複数の特性から、標的型攻撃タクソノミーを作成してもよい。

標的型攻撃タクソノミーを作成する際、これらのシステム及び方法は、検出されたセキュリティイベントを標的型攻撃タクソノミーと比較してもよい。検出されたセキュリティイベントを標的型攻撃タクソノミーと比較することによって、これらのシステム及び方法は、特定の未知のセキュリティイベント（例えば、ゼロデイ脅威）に対して、特異的に適合された新しい行動シグネチャの生成前に、かかるセキュリティイベントを標的型攻撃の一部として分類することが可能であってもよい。したがって、これらのシステム及び方法は、セキュリティイベントを標的型攻撃の一部として分類することに対する、（純粋にシグネチャに基づいた方策に対抗する）幾分ヒューリスティックに基づく方策を容易にしてもよい。

以下、図１〜図２を参照して、セキュリティイベントを標的型攻撃として分類する例示的なシステムの詳細な説明を提供する。対応するコンピュータ実装方法の詳細な説明も図３に関連して提供される。例示的な標的型攻撃タクソノミーの詳細な説明も、図４及び図５に関連して提供される。それに加えて、本明細書に記載される実施形態のうちの１つ以上を実現することができる例示的なコンピューティングシステム及びネットワークアーキテクチャの詳細な説明が、それぞれ図６及び図７に関連して提供される。

図１は、セキュリティイベントを標的型攻撃として分類する例示的なシステム１００のブロック図である。この図に例証されるように、例示的なシステム１００は、１つ以上のタスクを実施するための１つ以上のモジュール１０２を含んでもよい。例えば、より詳細に後述するように、例示的なシステム１００は、少なくとも１つの組織と関連するセキュリティイベントを検出する、検出モジュール１０４を含んでもよい。例示的なシステム１００はまた、セキュリティイベントを、標的型攻撃の複数の特性を識別する標的型攻撃タクソノミーと比較し、次に、この比較に少なくとも部分的に基づいて、セキュリティイベントが組織を標的にしている可能性が高いと判断する、判断モジュール１０６を含んでもよい。

それに加えて、より詳細に後述するように、例示的なシステム１００は、セキュリティイベントが組織を標的にしている可能性が高いという判断に応答して、セキュリティイベントを標的型攻撃として分類する、分類モジュール１０８を含んでもよい。別個の要素として例証されるが、図１のモジュール１０２のうち１つ以上は、単一のモジュール又はアプリケーション（セキュリティ情報管理（ＳＩＭ）アプリケーション、セキュリティイベント管理（ＳＥＭ）アプリケーション、及び／又はセキュリティ情報及びイベント管理（ＳＩＥＭ）アプリケーションなど）の部分を表してもよい。

特定の実施形態では、図１のモジュール１０２のうち１つ以上は、コンピューティングデバイスによって実行されると、コンピューティングデバイスに１つ以上のタスクを実施させてもよい、１つ以上のソフトウェアアプリケーション又はプログラムを表してもよい。例えば、より詳細に後述するように、モジュール１０２のうち１つ以上は、図２に示されるデバイス（例えば、コンピューティングデバイス２０２及び／又はサーバ２０６）、図６のコンピューティングシステム６１０、並びに／あるいは図７の例示的なネットワークアーキテクチャ７００の部分など、１つ以上のコンピューティングデバイスに格納され、その上で動くように構成された、ソフトウェアモジュールを表してもよい。図１のモジュール１０２のうち１つ以上はまた、１つ以上のタスクを実施するように構成された１つ以上の専用コンピュータの全て又は一部を表してもよい。

図１に示されるように、例示的なシステム１００はまた、標的型攻撃タクソノミー１２０など、１つ以上のタクソノミーを含んでもよい。「タクソノミー」という用語は、本明細書で使用するとき、一般に、セキュリティイベントの特定の特性及び／又は特徴に少なくとも部分的に基づいてセキュリティイベントを分類するのに使用される、任意のタイプ又は形態のオントロジー、ヒューリスティック、モデル、及び／又はルールのセットを指す。一実施例では、標的型攻撃タクソノミー１２０は、標的型攻撃の複数の特性１２２（１）〜（Ｎ）を含んでもよく、かつ／又は識別してもよい。この実施例では、特性１２２（１）〜（Ｎ）は、既知の標的型攻撃と関連して以前に観察された特徴の集合を表してもよい。追加的に又は代替案として、特性１２２（１）〜（Ｎ）は、セキュリティイベントを標的型攻撃として分類するのに使用される特定の行動シグネチャに関するメタデータを表してもよい。

特性１２２（１）〜（Ｎ）の例としては、非限定的に、偵察の証拠、スピアフィッシング電子メールの検出、攻撃が高価値資産を対象にしているか否か、漏洩したインフラストラクチャ機密のデータ損失防止（ＤＬＰ）検出、攻撃が偽装分散型サービス妨害（ＤＤｏＳ）に関与しているか否か、秘密のバックドアの使用、攻撃が散発的に家に電話を掛ける別の休眠ファイルに関与しているか否か、リモートデスクトップ及び／又はバーチャルネットワークコンピューティング（ＶＮＣ）ツールの異常な使用、攻撃と関連する特定ファイルによって送られるネットワークトラフィックの疑わしい量、夜間及び／又は週末における異常なネットワーク挙動、攻撃がパスワードファイルの読み取りに関与しているか否か、それらの１つ以上の変形、それらの１つ以上の組み合わせ、あるいは標的型攻撃の他の任意の特性が挙げられる。

標的型攻撃タクソノミー１２０は、単一のデータベース若しくはコンピューティングデバイス、又は複数のデータベース若しくはコンピューティングデバイスの部分を表してもよい。例えば、図１の標的型攻撃タクソノミー１２０は、図２のコンピューティングデバイス２０２及び／若しくはサーバ２０６の一部分、図６のコンピューティングシステム６１０、並びに／又は図７の例示的なネットワークアーキテクチャ７００の部分を表してもよい。あるいは、図１の標的型攻撃タクソノミー１２０は、図２のコンピューティングデバイス２０２及び／若しくはサーバ２０６、図６のコンピューティングシステム６１０、並びに／又は図７の例示的なネットワークアーキテクチャ７００の部分などのコンピューティングデバイスがアクセスすることができる、１つ以上の物理的に別個のデバイスを表してもよい。

図１の例示的なシステム１００は、様々な方法で実装されてもよい。例えば、例示的なシステム１００の全て又は一部は、図２における例示的なシステム２００の部分を表してもよい。図２に示されるように、システム２００は、ネットワーク２０４を介してサーバ２０６と通信するコンピューティングデバイス２０２を含んでもよい。一実施例では、コンピューティングデバイス２０２は、モジュール１０２のうち１つ以上でプログラムされてもよい。この実施例では、コンピューティングデバイス２０２は、標的型攻撃タクソノミー１２０の全て若しくは一部分を格納し、並びに／又はセキュリティイベント２１０を検出してもよい。

それに加えて、又は別の方法として、サーバ２０６はモジュール１０２のうち１つ以上でプログラムされてもよい。この実施例では、サーバ２０６は、標的型攻撃タクソノミー１２０の全て若しくは一部分を格納し、並びに／又はセキュリティイベント２１０を検出してもよい。「セキュリティイベント」という用語は、本明細書で使用するとき、一般に、コンピューティングデバイス及び／又はネットワークのセキュリティに潜在的に関係及び／又は影響する、任意のタイプ若しくは形態のイベント、プロセス、アラート、及び／又はアプリケーションを指す。セキュリティイベント２１０の例としては、非限定的に、電子メールの送信及び／又は受信、ファイルのダウンロード及び／又はアップロード、ファイルの作成及び／又は実行、ネットワークアクティビティ及び／又は通信、マルウェア感染、ソーシャルエンジニアリング攻撃、不審なアクティビティ、それらの１つ以上の変形、それらの１つ以上の組み合わせ、或いは他の任意のセキュリティイベントが挙げられる。

一実施形態では、図１によるモジュール１０２のうち１つ以上は、コンピューティングデバイス２０２及び／又はサーバ２０６のうちの少なくとも１つのプロセッサによって実行されると、コンピューティングデバイス２０２及び／又はサーバ２０６がセキュリティイベントを標的型攻撃として分類することができる。例えば、より詳細に後述するように、モジュール１０２のうち１つ以上によって、コンピューティングデバイス２０２及び／又はサーバ２０６に、（１）少なくとも１つの組織と関連するセキュリティイベント２１０を検出すること、（２）セキュリティイベント２１０を、標的型攻撃の複数の特性１２２（１）〜（Ｎ）を識別する標的型攻撃タクソノミー１２０と比較すること、（３）セキュリティイベント２１０と標的型攻撃タクソノミー１２０との比較に少なくとも部分的に基づいて、セキュリティイベント２１０が組織を標的にしている可能性が高いと判断すること、及び、（４）セキュリティイベント２１０が組織を標的にしている可能性が高いと判断することに応答して、セキュリティイベント２１０を標的型攻撃として分類すること、を行わせてもよい。

コンピューティングデバイス２０２は、一般に、コンピュータ実行可能命令を読み取ることができる任意のタイプ又は形態のコンピューティングデバイスを表す。コンピューティングデバイス２０２の例としては、非限定的に、ラップトップ、タブレット、デスクトップ、サーバ、携帯電話、携帯情報端末（ＰＤＡ）、マルチメディアプレーヤー、埋め込みシステム、ウェアラブルデバイス（例えば、スマートウォッチ、スマートグラスなど）、ゲーム機、それらの１つ以上の組み合わせ、図６の例示的なコンピューティングシステム６１０、あるいは他の任意の好適なコンピューティングデバイスが挙げられる。

サーバ２０６は、一般に、セキュリティイベントを標的型攻撃として分類することができる、任意のタイプ又は形態のコンピューティングデバイスを表す。サーバ２０６の例としては、非限定的に、特定のソフトウェアアプリケーションを実行する、並びに／あるいは様々なセキュリティサービス、ウェブサービス、ストレージサービス、及び／又はデータベースサービスを提供するように構成された、セキュリティサーバ、アプリケーションサーバ、ウェブサーバ、ストレージサーバ、及び／又はデータベースサーバが挙げられる。一実施例では、サーバ２０６は、標的組織をサイバー攻撃から保護する責任を果たす、セキュリティサービスプロバイダに属してもよい。単一のデバイスとして例証されるが、サーバ２０６は、標的組織をサイバー攻撃から保護するために互いに連係して働く複数のサーバを表してもよい。

ネットワーク２０４は、一般に、通信若しくはデータ転送を容易にすることが可能な、任意の媒体又はアーキテクチャを表す。ネットワーク２０４の例としては、非限定的に、イントラネット、広域ネットワーク（Wide Area Network）（ＷＡＮ）、ローカルエリアネットワーク（Local Area Network）（ＬＡＮ）、パーソナルエリアネットワーク（Personal Area Network）（ＰＡＮ）、インターネット、電力線通信（ＰＬＣ）、セルラーネットワーク（例えば、Ｇｌｏｂａｌ Ｓｙｓｔｅｍ ｆｏｒ Ｍｏｂｉｌｅ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ（ＧＳＭ（登録商標））ネットワーク）、図７の例示的なネットワークアーキテクチャ７００などが挙げられる。ネットワーク２０４は、無線接続又は有線接続を使用して、通信又はデータ転送を容易にしてもよい。一実施形態では、ネットワーク２０４は、コンピューティングデバイス２０２とサーバ２０６との間の通信を容易にしてもよい。

図３は、セキュリティイベントを標的型攻撃として分類する、例示的なコンピュータ実装方法３００のフローチャートである。図３に示されるステップは、任意の好適なコンピュータ実行可能コード及び／又はコンピューティングシステムによって実施されてもよい。いくつかの実施形態では、図３に示されるステップは、図１のシステム１００、図２のシステム２００、図６のコンピューティングシステム６１０、及び／又は図７の例示的なネットワークアーキテクチャ７００の部分の構成要素のうち１つ以上によって実施されてもよい。

図３に示されるように、ステップ３０２で、本明細書に記載するシステムのうち１つ以上は、少なくとも１つの組織と関連するセキュリティイベントを検出してもよい。例えば、検出モジュール１０４は、図２のコンピューティングデバイス２０２及び／又はサーバ２０６の一部として、少なくとも１つの組織と関連するセキュリティイベント２１０を検出してもよい。かかる組織の例としては、非限定的に、企業、政府機関、軍事機関、事業者、セキュリティカスタマーベース、学校、単科大学、総合大学、研究機関、協会、グループ、集団、シンクタンク、それらの１つ以上の変形、それらの１つ以上の組み合わせ、又は他の任意の好適な組織が挙げられる。

本明細書に記載するシステムは、様々な方法及び／又は文脈でステップ３０２を実施してもよい。いくつかの実施例では、検出モジュール１０４は、組織内における特定のコンピューティングアクティビティを監視することによって、セキュリティイベント２１０を検出してもよい。一実施例では、検出モジュール１０４は、組織のメンバー及び／又は従業員のコンピューティングアクティビティを監視してもよい。例えば、検出モジュール１０４は、組織のメンバー及び／又は従業員が操作するコンピューティングデバイス２０２のコンピューティングアクティビティを監視してもよい。この実施例では、検出モジュール１０４は、コンピューティングデバイス２０２のコンピューティングアクティビティを監視しながら、セキュリティイベント２１０を検出してもよい。

いくつかの実施例では、検出モジュール１０４は、組織によって実装された特定のセキュリティシステムから収集した、セキュリティに関連するデータ及び／又は情報（例えば、テレメトリデータ）をマイニング並びに／あるいは解析することによって、セキュリティイベント２１０を検出してもよい。例えば、検出モジュール１０４は、組織によって実装されたＳＩＥＭアプリケーションの一部を表してもよい。この実施例では、ＳＩＥＭアプリケーションは、様々なセキュリティアラートを、組織のコンピューティングデバイス並びに／あるいはネットワーク上で作動する、特定のファイアウォール、ネットワーク侵入検知システム（ＩＤＳ）、ウイルス対策ソリューション、及び／又はＤＬＰソリューションから収集してもよい。ＳＩＥＭアプリケーションがセキュリティアラートを収集すると、検出モジュール１０４は、標的型攻撃の証拠に関してこれらのセキュリティアラートをマイニング及び／又は解析してもよい。したがって、検出モジュール１０４は、これらのアラートをマイニング及び／又は解析しながら、セキュリティイベント２１０を検出してもよい。

図３に戻ると、ステップ３０４で、本明細書に記載するシステムの１つ以上は、セキュリティイベントを、標的型攻撃の複数の特性を識別する標的型攻撃タクソノミーと比較してもよい。例えば、判断モジュール１０６は、図２のコンピューティングデバイス２０２及び／又はサーバ２０６の一部として、セキュリティイベント２１０を、標的型攻撃の複数の特性１２２（１）〜（Ｎ）を識別する標的型攻撃タクソノミー１２０と比較してもよい。「標的型攻撃」という用語は、本明細書で使用するとき、一般に、１つ以上の組織を特異的に標的にしている、任意のタイプ若しくは形態のコンピュータベースの攻撃及び／又は運動を指す。

一実施例では、標的型攻撃は単一の組織を標的にしてもよい。別の実施例では、標的型攻撃は複数の組織を標的にしてもよい。それに加えて、又は別の方法として、標的型攻撃の部分は、特定の脅威グループが犯した１つ以上の過去の標的型攻撃から再使用及び／又は再利用されていることがある。

本明細書に記載するシステムは、様々な方法及び／又は文脈でステップ３０４を実施してもよい。一実施例では、判断モジュール１０６は、セキュリティイベント２１０の特定の特性及び／又は特徴に少なくとも部分的に基づいて、セキュリティイベント２１０と標的型攻撃タクソノミー１２０とを比較してもよい。例えば、判断モジュール１０６は、セキュリティイベント２１０の複数の特徴を識別してもよい。この実施例では、判断モジュール１０６は、セキュリティイベント２１０の複数の特徴を、標的型攻撃タクソノミー１２０で識別された複数の特性１２２（１）〜（Ｎ）と比較してもよい。

セキュリティイベント２１０のかかる特徴の例としては、非限定的に、偵察の証拠，スピアフィッシング電子メール、セキュリティイベント２１０が高価値資産を対象にしているか否か、漏洩したインフラストラクチャ機密、セキュリティイベント２１０が偽装ＤＤｏＳに関与しているか否か、秘密のバックドアの使用、セキュリティイベント２１０が散発的に家に電話を掛ける別の休眠ファイルに関与しているか否か、リモートデスクトップ及び／又はＶＮＣツールの異常な使用、セキュリティイベント２１０と関連する特定ファイルによって送られるネットワークトラフィックの疑わしい量、夜間及び／又は週末における異常なネットワーク挙動、セキュリティイベント２１０がパスワードファイルの読み取りに関与しているか否か、それらの１つ以上の変形、それらの１つ以上の組み合わせ、あるいはセキュリティイベント２１０の他の任意の特徴が挙げられる。

一実施例では、判断モジュール１０６は、標的型攻撃タクソノミー１２０で識別された特性１２２（１）〜（Ｎ）のうち少なくとも１つと一致する、セキュリティイベント２１０の特徴それぞれを識別してもよい。例えば、判断モジュール１０６は、セキュリティイベント２１０の識別された各特徴に対して、特性ごとに標的型攻撃タクソノミー１２０全体を反復してもよい。この実施例では、判断モジュール１０６は、これらの反復に少なくとも部分的に基づいて、特性１２２（１）〜（Ｎ）のうち少なくとも１つと一致する、セキュリティイベント２１０の各特徴を識別してもよい。判断モジュール１０６は、次に、一致する各特徴にそれを示すインジケータをラベル付けしてもよい。それに加えて、又は別の方法として、判断モジュール１０６は、一致する各特徴に、その特徴が一致する特性の数を識別するインジケータをラベル付けしてもよい。

図４は、例示的な標的型攻撃タクソノミー１２０のブロック図である。図４に示されるように、標的型攻撃タクソノミー１２０は、標的型攻撃の特性をそれぞれ含み、かつ／又は識別する複数のカテゴリー４００（１）〜（Ｎ）を含み、並びに／あるいは識別してもよい。「カテゴリー」という用語は、本明細書で使用するとき、一般に、タクソノミー内における特性の任意のタイプ若しくは形態のクラスタ化及び／又はグループ化を指す。一実施例では、図４のカテゴリー４００（１）は、特定の共通性、技術、及び／又は特徴に少なくとも部分的に基づいて、標的型攻撃の特性１２２（１）〜（Ｎ）を共にクラスタ化及び／又はグループ化してもよい。同様に、図４のカテゴリー４００（Ｎ）は、特定の共通性、技術、及び／又は特徴に少なくとも部分的に基づいて、標的型攻撃の特性４２２（１）〜（Ｎ）を共にクラスタ化及び／又はグループ化してもよい。カテゴリー４００（１）〜（Ｎ）の例としては、非限定的に、偵察の証拠、秘密のバックドアの使用、横方向移動、漏出、人間が引き起こす攻撃挙動、攻撃の洗練化、リスクのレベル、それらの１つ以上の変形、それらの１つ以上の組み合わせ、または他の任意の好適なカテゴリーが挙げられる。

図５は、例示的な標的型攻撃タクソノミー１２０の図である。図５に示されるように、標的型攻撃タクソノミー１２０は、例示的なカテゴリー４００（１）〜（Ｎ）（この実施例では、「偵察の証拠」、「秘密のバックドアの使用」など）、例示的な特性１２２（１）〜（４）（この実施例では、「スピアフィッシング電子メールの検出」、「高価値資産を対象とした攻撃」、「漏洩したインフラストラクチャ機密のＤＬＰ検出」、「偽装ＤＤｏＳ攻撃の検出」）、並びに特性４２２（１）〜（４）（この実施例では、散発的に家に電話を掛ける長期休眠ファイル」、「リモートデスクトップ又はＶＮＣの異常な使用」、「特定ファイルによって送られるネットワークトラフィックの量」、及び「夜間又は週末における異常なネットワーク挙動」）を含み、並びに／あるいは識別してもよい。

いくつかの実施例では、本明細書に記載するシステムの１つ以上は、標的型攻撃タクソノミー１２０を作成してもよい。一実施例では、タクソノミーモジュール１１０は、図２のコンピューティングデバイス２０２及び／又はサーバ２０６の一部として、標的型攻撃を潜在的に示す特定の特性に少なくとも部分的に基づいて、標的型攻撃タクソノミー１２０を作成してもよい。例えば、タクソノミーモジュール１１０は、組織のコンピューティングデバイス上で作動する特定のファイアウォール、ネットワークＩＤＳ、ウイルス対策ソリューション、及び／又はＤＬＰソリューションから、セキュリティに関連するテレメトリデータを収集してもよい。セキュリティに関連するテレメトリデータを収集する際、タクソノミーモジュール１１０は、標的型攻撃を潜在的に示す特定の特性に関して、セキュリティに関連するテレメトリデータをマイニング及び／又は解析してもよい。タクソノミーモジュール１１０は、次に、このセキュリティに関連するテレメトリデータのマイニング及び／又は解析に少なくとも部分的に基づいて、標的型攻撃タクソノミー１２０を作成してもよい。

具体例として、タクソノミーモジュール１１０は、特定の多基準意思決定分析（ＭＣＤＡ）技術を、セキュリティに関連するテレメトリデータに適用してもよい。「多基準意思決定分析」という用語及び「ＭＣＤＡ」という略称は、本明細書で使用するとき、一般に、特定の共通性、技術、及び／又は特徴に少なくとも部分的に基づいて、セキュリティに関連するデータ及び／又は情報をデータセットの形にクラスタ化及び／又はグループ化する、任意のタイプ若しくは形態のアルゴリズム及び／又は解析を指す。したがって、ＭＣＤＡ技術によって、タクソノミーモジュール１１０が、組織と関連する特定のセキュリティイベント間での複雑なパターン及び／又は関係を識別することが可能になってもよい。例えば、タクソノミーモジュール１１０は、ＭＣＤＡ技術を、組織の特定のメンバー及び／又は従業員が関与するセキュリティイベントに適用してもよい。ＭＣＤＡ技術をこれらのセキュリティイベントに適用することによって、タクソノミーモジュール１１０は、特性１２２（１）〜（Ｎ）及び／又は４２２（１）〜（Ｎ）をクラスタ化並びに／あるいはグループ化し、次に、これらのクラスタ及び／又はグループに少なくとも部分的に基づいて、標的型攻撃タクソノミー１２０を作成することが可能であってもよい。

追加的に又は代替案として、タクソノミーモジュール１１０は、ＭＣＤＡ技術を標的型攻撃タクソノミー１２０に適用して、その分類精度レベルを増加させてもよい。一実施例では、タクソノミーモジュール１１０は、ＭＣＤＡ技術を適用して、カテゴリー４００（１）〜（Ｎ）の１つ以上に対する特定の閾値を決定及び／又は選択してもよい。例えば、タクソノミーモジュール１１０は、セキュリティイベント２１０を標的型攻撃として分類するために、任意の特定のセキュリティイベントの特徴が、カテゴリー４００（１）に含まれる特性１２２（１）〜（Ｎ）のうち少なくとも３つと一致する必要があると判断してもよい。結果として、タクソノミーモジュール１１０は、カテゴリー４００（１）に対して３という閾値を選択してもよい。任意の特定のセキュリティイベントの特徴が特性１２２（１）〜（Ｎ）のうち少なくとも３つと一致しない場合、特定のセキュリティイベントは非標的型攻撃として分類されてもよい。

別の実施例では、タクソノミーモジュール１１０は、ＭＣＤＡ技術を適用して、カテゴリー４００（１）〜（Ｎ）及び／又は特性１２２（１）〜（Ｎ）若しくは４２２（１）〜（Ｎ）に対する特定の重みを決定及び／又は選択してもよい。例えば、タクソノミーモジュール１１０は、カテゴリー４００（１）〜（Ｎ）のうち少なくとも１つを互いに対して重み付けしてもよい。具体例として、タクソノミーモジュール１１０は、カテゴリー４００（Ｎ）に比べてカテゴリー４００（１）に係数１又は２の重み付けをしてもよい。カテゴリー４００（１）〜（Ｎ）のうち少なくとも１つをこのように重み付けすることによって、タクソノミーモジュール１１０は、任意の特定のセキュリティイベントに対するタクソノミースコアを計算する際のカテゴリーの影響を増加又は減少してもよい。

追加的に又は代替案として、タクソノミーモジュール１１０は、特性１２２（１）〜（Ｎ）又は４２２（１）〜（Ｎ）のうち少なくとも１つを互いに対して重み付けしてもよい。例えば、タクソノミーモジュール１１０は、特性１２２（Ｎ）及び／又は４２２（１）〜（Ｎ）に比べて特性１２２（１）に係数３の重み付けをしてもよい。カテゴリー４００（１）〜（Ｎ）及び／又は特性１２２（１）〜（Ｎ）若しくは４２２（１）〜（Ｎ）のうちの少なくとも１つをこのように重み付けすることによって、タクソノミーモジュール１１０は、任意の特定のセキュリティイベントに対するタクソノミースコアを計算する際の特性の影響を増加又は減少してもよい。「タクソノミースコア」という用語は、本明細書で使用するとき、一般に、セキュリティイベントをタクソノミーと比較することによって得られる、任意のタイプ若しくは形態のスコア、数、及び／又は計算を指す。タクソノミースコアは、セキュリティイベントが組織を標的にしている可能性を表してもよい。

一実施例では、タクソノミーモジュール１１０は、ＭＣＤＡ技術を適用して、カテゴリー４００（１）〜（Ｎ）及び／又は特性１２２（１）〜（Ｎ）若しくは４２２（１）〜（Ｎ）に対する順序付き重み付き平均化（ＯＷＡ）を達成してもよい。追加的に又は代替案として、タクソノミーモジュール１１０によって、ユーザが、カテゴリー４００（１）〜（Ｎ）及び／又は特性１２２（１）〜（Ｎ）若しくは４２２（１）〜（Ｎ）のうちの１つ以上の重み付けを制御することが可能になってもよい。

図３に戻ると、ステップ３０６で、本明細書に記載するシステムの１つ以上は、セキュリティイベントと標的型攻撃タクソノミーとの比較に少なくとも部分的に基づいて、セキュリティイベントが組織を標的にしている可能性が高いと判断してもよい。例えば、判断モジュール１０６は、図２のコンピューティングデバイス２０２及び／又はサーバ２０６の一部として、セキュリティイベント２１０と標的型攻撃タクソノミー１２０との比較に少なくとも部分的に基づいて、セキュリティイベント２１０が組織を標的にしている可能性が高いと判断してもよい。「標的にする」又は「標的にしている」という語句は、本明細書で使用するとき、一般に、（いずれかの無差別の組織若しくはユーザではなく）少なくとも１つの特定の組織を対象とする、並びに／あるいは意図する、任意のタイプ若しくは形態の目標、目的、及び／又は意図を指す。

本明細書に記載するシステムは、様々な方法及び／又は文脈でステップ３０６を実施してもよい。いくつかの実施例では、判断モジュール１０６は、特性１２２（１）〜（Ｎ）のうちの少なくとも１つと一致するセキュリティイベント２１０の特徴の数に少なくとも部分的に基づいて、セキュリティイベント２１０が組織を標的にしている可能性が高いと判断してもよい。例えば、判断モジュール１０６は、セキュリティイベント２１０の１２個の特徴が、標的型攻撃タクソノミー１２０で識別された特性１２２（１）〜（Ｎ）のうちの少なくとも１つと一致すると判断してもよい。この実施例では、判断モジュール１０６は、セキュリティイベント２１０のこれら１２個の一致する特徴が特定の閾値（例えば、少なくとも１０個の一致する特徴）を上回っていると判断してもよい。判断モジュール１０６は、次に、セキュリティイベント２１０の一致する特徴の数が閾値を上回っているので、セキュリティイベント２１０が組織を標的にしている可能性が高いと判断してもよい。

いくつかの実施例では、判断モジュール１０６は、セキュリティイベント２１０のタクソノミースコアに少なくとも部分的に基づいて、セキュリティイベント２１０が組織を標的にしている可能性が高いと判断してもよい。例えば、判断モジュール１０６は、セキュリティスコア２１０のタクソノミースコア５５％を計算してもよい。この実施例では、タクソノミースコアは、セキュリティイベント２１０の識別された特徴の５５％が、標的型攻撃タクソノミー１２０で識別された特性１２２（１）〜（Ｎ）のうちの少なくとも１つと一致することを示してもよい。セキュリティイベント２１０のタクソノミースコアを計算する際、判断モジュール１０６は、このタクソノミースコアが特定の閾値（例えば、少なくとも５０％）を上回っていると判断してもよい。判断モジュール１０６は、次に、セキュリティイベント２１０のタクソノミースコアが閾値を上回っているので、セキュリティイベント２１０が組織を標的にしている可能性が高いと判断してもよい。

いくつかの実施例では、判断モジュール１０６は、カテゴリー４００（１）〜（Ｎ）の特定のカテゴリースコアに少なくとも部分的に基づいて、セキュリティイベント２１０が組織を標的にしていると判断してもよい。例えば、判断モジュール１０６は、セキュリティイベント２１０に対して、カテゴリー４００（１）のカテゴリースコア５０％及びカテゴリー４００（Ｎ）のカテゴリースコア６０％を計算してもよい。この実施例では、各カテゴリースコアは、セキュリティイベント２１０のうち少なくとも１つの特徴が一致している対応するカテゴリーに含まれる、特性の数及び／又は比率を示してもよい。セキュリティイベント２１０に対するこれらのカテゴリースコアを計算する際、判断モジュール１０６は、これらのカテゴリースコアがそれぞれ対応する閾値（例えば、それぞれ少なくとも４５％及び５５％）を上回っていると判断してもよい。判断モジュール１０６は、次に、これらのカテゴリースコアが全てそれらの対応する閾値を上回っているので、セキュリティイベント２１０が組織を標的にしている可能性が高いと判断してもよい。

いくつかの実施例では、判断モジュール１０６は、セキュリティイベント２１０のうち少なくとも１つの特徴がその特性と一致しているカテゴリーの数に少なくとも部分的に基づいて、セキュリティイベント２１０が組織を標的にしている可能性が高いと判断してもよい。例えば、判断モジュール１０６は、セキュリティイベント２１０の特徴が、標的型攻撃タクソノミー１２０の５つの異なるカテゴリーに含まれる特性のうちの少なくとも１つと一致すると判断してもよい。換言すれば、判断モジュール１０６は、セキュリティイベント２１０の特徴が、標的型攻撃タクソノミー１２０に含まれる５つの異なるカテゴリーに及ぶと判断してもよい。追加的に又は代替案として、判断モジュール１０６は、セキュリティイベント２１０の特徴が及ぶカテゴリーの数が特定の閾値（例えば、少なくとも３つのカテゴリー）を上回っていると判断してもよい。判断モジュール１０６は、次に、セキュリティイベント２１０の特徴が及ぶカテゴリーの数が閾値を上回っているので、セキュリティイベント２１０が組織を標的にしていると判断してもよい。

図３に戻ると、ステップ３０８で、本明細書に記載するシステムの１つ以上は、セキュリティイベントが組織を標的にしている可能性が高いという判断に応答して、セキュリティイベントを標的型攻撃として分類してもよい。例えば、分類モジュール１０８は、図２のコンピューティングデバイス２０２及び／又はサーバ２０６の一部として、セキュリティイベント２１０が組織を標的にしている可能性が高いという判断に応答して、セキュリティイベント２１０を標的型攻撃（又は少なくとも標的型攻撃の一部）として分類してもよい。

本明細書に記載するシステムは、様々な方法及び／又は文脈でステップ３０８を実施してもよい。いくつかの実施例では、分類モジュール１０８は、セキュリティイベント２１０をラベル付けすることによって、セキュリティイベント２１０を標的型攻撃として分類してもよい。例えば、分類モジュール１０８は、組織に対する標的型攻撃の一部であるものとして、セキュリティイベント２１０をラベル付けしてもよい。この実施例では、ラベルは、組織に対する標的型攻撃の一部としてセキュリティイベント２１０を有効に分類してもよい。

いくつかの実施例では、分類モジュール１０８は、セキュリティイベント２１０を既知の脅威グループに帰属させることによって、セキュリティイベント２１０を標的型攻撃として分類してもよい。例えば、判断モジュール１０６は、セキュリティイベント２１０と標的型攻撃タクソノミー１２０との比較に少なくとも部分的に基づいて、セキュリティイベント２１０を犯しているのが「パープルトークン」として知られている脅威グループである可能性が高いと判断してもよい。結果として、分類モジュール１０８は、「パープルトークン」脅威グループが犯しているものとしてセキュリティイベント２１０をラベル付けしてもよい。このラベルは、セキュリティイベント２１０を「パープルトークン」脅威グループに有効に帰属させてもよい。

いくつかの実施例では、分類モジュール１０８は、セキュリティイベント２１０を１つ以上の他のセキュリティイベントとクラスタ化及び／又はグループ化することによって、セキュリティイベント２１０を標的型攻撃として分類してもよい。例えば、判断モジュール１０６は、セキュリティイベント２１０と標的型攻撃タクソノミー１２０との比較に少なくとも部分的に基づいて、セキュリティイベント２１０及び１つ以上の他のセキュリティイベントが同じ標的型攻撃の一部を表す可能性が高いと判断してもよい。結果として、分類モジュール１０８は、セキュリティイベント２１０及び／又は他のセキュリティイベントを、同じ標的型攻撃のそれぞれ一部であるものとしてラベル付けしてもよい。このラベルは、セキュリティイベント２１０を標的型攻撃と関連する他のセキュリティイベントと有効にクラスタ化及び／又はグループ化してもよい。

一実施例では、分類モジュール１０８は、セキュリティイベント２１０が標的型攻撃である可能性が高いことを標的組織に通知してもよい。例えば、分類モジュール１０８は、「パープルトークン」脅威グループが、セキュリティイベント２１０及び／又は標的型攻撃によって組織に対する侵入、潜入、及び／又は感染を試みていることを、組織の情報技術（ＩＴ）専門家に通知してもよい。この試みをＩＴ専門家に通知することによって、分類モジュール１０８は、標的組織のＩＴ専門家が有効な応答を適時に展開して、セキュリティイベント２１０及び／又は標的型攻撃を緩和及び／又は無効化することを可能にしてもよい。

追加的に又は代替案として、分類モジュール１０８は、セキュリティイベント２１０及び／又は標的型攻撃に関与並びに／あるいは関連する、任意の悪意ある実行可能ファイルをラベル付けしてもよい。例えば、分類モジュール１０８は、セキュリティイベント２１０と関連して転送された悪意ある実行可能ファイルを識別してもよい。分類モジュール１０８は、次に、この悪意ある実行可能ファイルを、セキュリティイベント２１０に関与及び／又は関連するものとしてラベル付けしてもよい。このラベルは、この悪意ある実行可能ファイルをセキュリティイベント２１０及び／又は標的型攻撃に有効にリンクさせてもよい。

一実施例では、分類モジュール１０８は、コンピューティングデバイスが悪意ある実行可能ファイルに感染している、少なくとも１つのユーザ及び／又は組織に通知してもよい。例えば、分類モジュール１０８は、標的組織のＩＴ専門家に、標的組織に属する１つ以上のコンピューティングデバイスに悪意ある実行可能ファイルが感染していることを通知してもよい。この実施例では、通知は、「パープルトークン」脅威グループが悪意ある実行可能ファイルを製作及び／又は分配したことを示してもよい。この感染をＩＴ専門家に通知することによって、分類モジュール１０８は、ＩＴ専門家が、有効な応答を適時に展開して、悪意ある実行可能ファイルによって引き起こされるあらゆる害を緩和及び／又は無効化することを可能にしてもよい。

図３の方法３００と関連して上述したように、ＳＩＥＭは、標的型攻撃を示す特性のタクソノミーを作成してもよい。一実施例では、このＳＩＥＭは、セキュリティに関連するテレメトリデータを、組織のコンピューティングデバイス及び／又はネットワークを保護する様々なセキュリティシステムから収集することによって、セキュリティイベントを識別してもよい。セキュリティイベントを識別する際、ＳＩＥＭは、セキュリティイベント及びタクソノミーの両方が共有する、かつ／又は両方に共通する特性の量に少なくとも部分的に基づいて、セキュリティイベントのスコアをつけてもよい。

このスコアは、本質的に、セキュリティイベントが組織を標的にしている可能性を表してもよい。換言すれば、スコアは、セキュリティイベントが標的型攻撃又は単なる無差別のマルウェアであることを提示する証拠の量を反映してもよい。一方で、セキュリティイベント及びタクソノミーが比較的多数の特性を共有している場合、セキュリティイベントのスコアは比較的高くてもよく、それによってセキュリティイベントが標的型攻撃であることが提示される。他方で、セキュリティイベント及びタクソノミーが共有する特性が比較的少数である場合、セキュリティイベントのスコアは比較的低くてもよく、それによってセキュリティイベントが無差別の非標的型攻撃であることが提示される。

図６は、本明細書に記載及び／又は例証される実施形態のうち１つ以上を実現することができる例示的なコンピューティングシステム６１０のブロック図である。例えば、コンピューティングシステム６１０の全て又は一部は、単独で又は他の要素と組み合わせて、（図３に例証されるステップのうち１つ以上などの）本明細書に記載されるステップのうち１つ以上を実施してもよく、かつ／又はそれを実施するための手段であってもよい。コンピューティングシステム６１０の全て又は一部はまた、本明細書に記載及び／又は例証される他の任意のステップ、方法、若しくは処理を実施してもよく、並びに／あるいはそれを実施するための手段であってもよい。

コンピューティングシステム６１０は、コンピュータ可読命令を実行することが可能な任意のシングル若しくはマルチプロセッサのコンピューティングデバイス又はシステムを幅広く表す。コンピューティングシステム６１０の例としては、非限定的に、ワークステーション、ラップトップ、クライアント側端末、サーバ、分散型コンピューティングシステム、ハンドヘルドデバイス、又は他の任意のコンピューティングシステム若しくはデバイスが挙げられる。その最も基本的な構成において、コンピューティングシステム６１０は、少なくとも１つのプロセッサ６１４及びシステムメモリ６１６を含んでもよい。

プロセッサ６１４は、一般に、データの処理又は命令の解釈及び実行が可能な任意のタイプ若しくは形態の物理的処理装置（例えば、ハードウェア実装型中央処理装置）を表す。特定の実施形態では、プロセッサ６１４は、ソフトウェアアプリケーション又はモジュールから命令を受信してもよい。これらの命令は、プロセッサ６１４に、本明細書に記載及び／又は例証される例示的な実施形態のうち１つ以上の機能を実施させてもよい。

システムメモリ６１６は、一般に、データ及び／又は他のコンピュータ可読命令を格納することが可能な、任意のタイプ若しくは形態の揮発性又は不揮発性記憶デバイス若しくは媒体を表す。システムメモリ６１６の例としては、非限定的に、ランダムアクセスメモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）、フラッシュメモリ、又は他の任意の好適なメモリデバイスが挙げられる。必須ではないが、特定の実施形態では、コンピューティングシステム６１０は、揮発性メモリユニット（例えば、システムメモリ６１６など）、及び不揮発性記憶デバイス（例えば、詳細に後述するような、一次記憶デバイス６３２など）の両方を含んでもよい。一実施例では、図１のモジュール１０２の１つ以上がシステムメモリ６１６にロードされてもよい。

特定の実施形態では、例示的なコンピューティングシステム６１０はまた、プロセッサ６１４及びシステムメモリ６１６に加えて、１つ以上の構成要素又は要素を含んでもよい。例えば、図６に示されるように、コンピューティングシステム６１０は、メモリコントローラ６１８、入力／出力（Ｉ／Ｏ）コントローラ６２０、及び通信インターフェース６２２を含んでもよく、それらはそれぞれ通信基盤６１２を介して相互接続されてもよい。通信基盤６１２は、一般に、コンピューティングデバイスの１つ以上の構成要素間の通信を容易にすることができる、任意のタイプ若しくは形態の基盤を表す。通信基盤６１２の例としては、非限定的に、通信バス（産業標準アーキテクチャ（ＩＳＡ）、周辺装置相互接続（ＰＣＩ）、ＰＣＩエクスプレス（ＰＣＩｅ）、又は類似のバスなど）、及びネットワークが挙げられる。

メモリコントローラ６１８は、一般に、メモリ若しくはデータを扱うか、又はコンピューティングシステム６１０の１つ以上の構成要素間の通信を制御することができる、任意のタイプ若しくは形態のデバイスを表す。例えば、特定の実施形態では、メモリコントローラ６１８は、通信基盤６１２を介して、プロセッサ６１４、システムメモリ６１６、及びＩ／Ｏコントローラ６２０の間の通信を制御してもよい。

Ｉ／Ｏコントローラ６２０は、一般に、コンピューティングデバイスの入出力機能を調整及び／又は制御することができる、任意のタイプ若しくは形態のモジュールを表す。例えば、特定の実施形態では、Ｉ／Ｏコントローラ６２０は、プロセッサ６１４、システムメモリ６１６、通信インターフェース６２２、ディスプレイアダプタ６２６、入力インターフェース６３０、及び記憶インターフェース６３４など、コンピューティングシステム６１０の１つ以上の要素間におけるデータの転送を制御するか又は容易にしてもよい。

通信インターフェース６２２は、例示的なコンピューティングシステム６１０と１つ以上の追加のデバイスとの間の通信を容易にすることができる、任意のタイプ若しくは形態の通信デバイス又はアダプタを広く表す。例えば、特定の実施形態では、通信インターフェース６２２は、コンピューティングシステム６１０と、追加のコンピューティングシステムを含む私設又は公衆ネットワークとの間の通信を容易にしてもよい。通信インターフェース６２２の例としては、非限定的に、有線ネットワークインターフェース（ネットワークインターフェースカードなど）、無線ネットワークインターフェース（無線ネットワークインターフェースカードなど）、モデム、及び他の任意の好適なインターフェースが挙げられる。少なくとも１つの実施形態では、通信インターフェース６２２は、インターネットなどのネットワークへの直接リンクを介して、リモートサーバへの直接接続を提供してもよい。通信インターフェース６２２はまた、例えば、ローカルエリアネットワーク（イーサネット（登録商標）ネットワークなど）、パーソナルエリアネットワーク、電話若しくはケーブルネットワーク、セルラー電話接続、衛星データ接続、又は他の任意の好適な接続を通して、かかる接続を間接的に提供してもよい。

特定の実施形態では、通信インターフェース６２２はまた、外部バス又は通信チャネルを介して、コンピューティングシステム６１０と１つ以上の追加のネットワーク又は記憶デバイスとの間の通信を容易にするように構成された、ホストアダプタを表してもよい。ホストアダプタの例としては、非限定的に、小型コンピュータシステムインターフェース（ＳＣＳＩ）ホストアダプタ、ユニバーサルシリアルバス（ＵＳＢ）ホストアダプタ、米国電気電子学会（ＩＥＥＥ）１３９４ホストアダプタ、アドバンストテクノロジーアタッチメント（ＡＴＡ）、パラレルＡＴＡ（ＰＡＴＡ）、シリアルＡＴＡ（ＳＡＴＡ）、及び外部ＳＡＴＡ（ｅＳＡＴＡ）ホストアダプタ、ファイバーチャネルインターフェースアダプタ、イーサネット（登録商標）アダプタなどが挙げられる。通信インターフェース６２２はまた、コンピューティングシステム６１０が分散型又はリモートコンピューティングに関与することを可能にしてもよい。例えば、通信インターフェース６２２は、実行のためにリモートデバイスから命令を受信するか又はリモートデバイスに命令を送信してもよい。

図６に示されるように、コンピューティングシステム６１０はまた、ディスプレイアダプタ６２６を介して通信基盤６１２に連結される少なくとも１つのディスプレイデバイス６２４を含んでもよい。ディスプレイデバイス６２４は、一般に、ディスプレイアダプタ６２６によって転送される情報を視覚的に表示することができる、任意のタイプ若しくは形態のデバイスを表す。同様に、ディスプレイアダプタ６２６は、一般に、ディスプレイデバイス６２４に表示するために、通信基盤６１２から（又は当該技術分野において既知であるように、フレームバッファから）グラフィックス、テキスト、及び他のデータを転送するように構成された、任意のタイプ若しくは形態のデバイスを表す。

図６に示されるように、例示的なコンピューティングシステム６１０はまた、入力インターフェース６３０を介して通信基盤６１２に連結される少なくとも１つの入力デバイス６２８を含んでもよい。入力デバイス６２８は、一般に、コンピュータ又は人間のいずれかが生成した入力を、例示的なコンピューティングシステム６１０に提供することができる、任意のタイプ若しくは形態の入力デバイスを表す。入力デバイス６２８の例としては、非限定的に、キーボード、ポインティングデバイス、音声認識デバイス、又は他の任意の入力デバイスが挙げられる。

図６に示されるように、例示的なコンピューティングシステム６１０はまた、記憶インターフェース６３４を介して通信基盤６１２に連結される、一次記憶デバイス６３２及びバックアップ記憶デバイス６３３を含んでもよい。記憶デバイス６３２及び６３３は、一般に、データ及び／又は他のコンピュータ可読命令を格納することができる、任意のタイプ若しくは形態の記憶デバイス又は媒体を表す。例えば、記憶デバイス６３２及び６３３は、磁気ディスクドライブ（例えば、いわゆるハードドライブ）、ソリッドステートドライブ、フロッピーディスクドライブ、磁気テープドライブ、光ディスクドライブ、フラッシュドライブなどであってもよい。記憶インターフェース６３４は、一般に、記憶デバイス６３２及び６３３とコンピューティングシステム６１０の他の構成要素との間でデータを転送するための、任意のタイプ若しくは形態のインターフェース又はデバイスを表す。

特定の実施形態では、記憶デバイス６３２及び６３３は、コンピュータソフトウェア、データ、又は他のコンピュータ可読情報を格納するように構成された、取外し可能な記憶ユニットから読み取り、かつ／又はそれに書き込むように構成されてもよい。好適な取外し可能な記憶ユニットの例としては、非限定的に、フロッピーディスク、磁気テープ、光ディスク、フラッシュメモリデバイスなどが挙げられる。記憶デバイス６３２及び６３３はまた、コンピュータソフトウェア、データ、又は他のコンピュータ可読命令が、コンピューティングシステム６１０にロードされることを可能にする、他の同様の構造体又はデバイスを含んでもよい。例えば、記憶デバイス６３２及び６３３は、ソフトウェア、データ、又は他のコンピュータ可読情報を読み取り、かつこれを書き込むように構成されてもよい。記憶デバイス６３２及び６３３はまた、コンピューティングシステム６１０の一部であってもよく、又は他のインターフェースシステムを介してアクセスされる別個のデバイスであってもよい。

他の多くのデバイス又はサブシステムがコンピューティングシステム６１０に接続されてもよい。反対に、図６に示される構成要素及びデバイスの全てが、本明細書に記載及び／又は例証される実施形態を実践するために存在する必要があるわけではない。上記で言及したデバイス及びサブシステムはまた、図６に示されるのとは異なる形で相互接続されてもよい。コンピューティングシステム６１０はまた、任意の数のソフトウェア、ファームウェア、及び／又はハードウェアの構成を用いてもよい。例えば、本明細書で開示する例示的な実施形態の１つ以上は、コンピュータ可読媒体上で、コンピュータプログラム（コンピュータソフトウェア、ソフトウェアアプリケーション、コンピュータ可読命令、又はコンピュータ制御論理とも称される）としてコード化されてもよい。「コンピュータ可読媒体」という用語は、本明細書で使用するとき、一般に、コンピュータ可読命令を格納又は保有することができる、任意の形態のデバイス、キャリア、又は媒体を指す。コンピュータ可読媒体の例としては、非限定的に、搬送波などの伝送型媒体、並びに磁気記憶媒体（例えば、ハードディスクドライブ、テープドライブ、及びフロッピーディスク）、光学記憶媒体（例えば、コンパクトディスク（ＣＤ）、デジタルビデオディスク（ＤＶＤ）、及びブルーレイ（ＢＬＵ−ＲＡＹ（登録商標））ディスク）、電子記憶媒体（例えば、ソリッドステートドライブ及びフラッシュメディア）、及び他の分散システムなどの非一時的媒体が挙げられる。

コンピュータプログラムを包含するコンピュータ可読媒体は、コンピューティングシステム６１０にロードされてもよい。次に、コンピュータ可読媒体に格納されたコンピュータプログラムの全て又は一部は、システムメモリ６１６に、並びに／又は記憶デバイス６３２及び６３３の様々な部分に格納されてもよい。プロセッサ６１４によって実行されると、コンピューティングシステム６１０にロードされたコンピュータプログラムは、プロセッサ６１４に、本明細書に記載及び／又は例証される例示的な実施形態のうち１つ以上の機能を実施させてもよく、かつ／又はそれらを実施するための手段であってもよい。追加的に又は代替案として、本明細書に記載及び／又は例証される例示的な実施形態の１つ以上は、ファームウェア及び／又はハードウェアに実装されてもよい。例えば、コンピューティングシステム６１０は、本明細書に開示される例示的な実施形態の１つ以上を実現するように適合された、特定用途向け集積回路（ＡＳＩＣ）として構成されてもよい。

図７は、クライアントシステム７１０、７２０、及び７３０、並びにサーバ７４０及び７４５がネットワーク７５０に連結されてもよい、例示的なネットワークアーキテクチャ７００のブロック図である。上記で詳述したように、ネットワークアーキテクチャ７００の全て又は一部は、単独で又は他の要素と組み合わせて、本明細書に開示されるステップの１つ以上（図３に示されるステップの１つ以上など）を実施してもよく、並びに／あるいはそれを実施するための手段であってもよい。ネットワークアーキテクチャ７００の全て又は一部はまた、本開示に記載される他のステップ及び特徴を実施するのに使用されてもよく、並びに／あるいはそれを実施するための手段であってもよい。

クライアントシステム７１０、７２０、及び７３０は、一般に、図６の例示的なコンピューティングシステム６１０など、任意のタイプ若しくは形態のコンピューティングデバイス又はシステムを表す。同様に、サーバ７４０及び７４５は、一般に、様々なデータベースサービスを提供し、かつ／又は特定のソフトウェアアプリケーションを実行するように構成された、アプリケーションサーバ若しくはデータベースサーバなどの、コンピューティングデバイス又はシステムを表す。ネットワーク７５０は、一般に、例えばイントラネット、ＷＡＮ、ＬＡＮ、ＰＡＮ、又はインターネットを含む、任意の電気通信又はコンピュータネットワークを表す。一実施例では、クライアントシステム７１０、７２０、及び／若しくは７３０、並びに／又はサーバ７４０及び／若しくは７４５は、図１からのシステム１００の全て又は一部を含んでもよい。

図７に示されるように、１つ以上の記憶デバイス７６０（１）〜（Ｎ）はサーバ７４０に直接取り付けられてもよい。同様に、１つ以上の記憶デバイス７７０（１）〜（Ｎ）はサーバ７４５に直接取り付けられてもよい。記憶デバイス７６０（１）〜（Ｎ）及び記憶デバイス７７０（１）〜（Ｎ）は、一般に、データ及び／又は他のコンピュータ可読命令を格納することができる、任意のタイプ若しくは形態の記憶デバイス又は媒体を表す。特定の実施形態では、記憶デバイス７６０（１）〜（Ｎ）及び記憶デバイス７７０（１）〜（Ｎ）は、ネットワークファイルシステム（ＮＦＳ）、サーバメッセージブロック（ＳＭＢ）、又は共通インターネットファイルシステム（ＣＩＦＳ）などの様々なプロトコルを使用して、サーバ７４０及び７４５と通信するように構成されたネットワーク接続ストレージ（ＮＡＳ）デバイスを表してもよい。

サーバ７４０及び７４５はまた、ストレージエリアネットワーク（ＳＡＮ）ファブリック７８０に接続されてもよい。ＳＡＮファブリック７８０は、一般に、複数の記憶デバイス間の通信を容易にすることができる、任意のタイプ若しくは形態のコンピュータネットワーク又はアーキテクチャを表す。ＳＡＮファブリック７８０は、サーバ７４０及び７４５と、複数の記憶デバイス７９０（１）〜（Ｎ）及び／又はインテリジェント記憶アレイ７９５との間の通信を容易にしてもよい。ＳＡＮファブリック７８０はまた、記憶デバイス７９０（１）〜（Ｎ）及びインテリジェント記憶アレイ７９５が、クライアントシステム７１０、７２０、及び７３０にローカルで取り付けられたデバイスとして現れるような方式で、ネットワーク７５０並びにサーバ７４０及び７４５を介して、クライアントシステム７１０、７２０、及び７３０と、デバイス７９０（１）〜（Ｎ）及び／又はアレイ７９５との間の通信を容易にしてもよい。記憶デバイス７６０（１）〜（Ｎ）及び記憶デバイス７７０（１）〜（Ｎ）と同様に、記憶デバイス７９０（１）〜（Ｎ）及びインテリジェント記憶アレイ７９５は、一般に、データ及び／又は他のコンピュータ可読命令を格納することができる任意のタイプ若しくは形態の記憶デバイス又は媒体を表す。

特定の実施形態では、図６の例示的なコンピューティングシステム６１０を参照して、図６の通信インターフェース６２２などの通信インターフェースは、それぞれのクライアントシステム７１０、７２０、及び７３０とネットワーク７５０との間の接続を提供するために使用されてもよい。クライアントシステム７１０、７２０、及び７３０は、例えば、ウェブブラウザ又は他のクライアントソフトウェアを使用して、サーバ７４０又は７４５上の情報にアクセスすることが可能であってもよい。かかるソフトウェアは、クライアントシステム７１０、７２０、及び７３０が、サーバ７４０、サーバ７４５、記憶デバイス７６０（１）〜（Ｎ）、記憶デバイス７７０（１）〜（Ｎ）、記憶デバイス７９０（１）〜（Ｎ）、又はインテリジェント記憶アレイ７９５によってホストされるデータにアクセスすることを可能にしてもよい。図７は、データを交換するために（インターネットなどの）ネットワークを使用することを示しているが、本明細書に記載及び／又は例証される実施形態は、インターネット又は任意の特定のネットワークベースの環境に限定されない。

少なくとも１つの実施形態では、本明細書に開示される例示的な実施形態のうち１つ以上の全て又は一部は、コンピュータプログラムとしてコード化され、サーバ７４０、サーバ７４５、記憶デバイス７６０（１）〜（Ｎ）、記憶デバイス７７０（１）〜（Ｎ）、記憶デバイス７９０（１）〜（Ｎ）、インテリジェント記憶アレイ７９５、又はこれらの任意の組み合わせ上にロードされ、これらによって実行されてもよい。本明細書に開示される例示的な実施形態のうち１つ以上の全て又は一部はまた、コンピュータプログラムとしてコード化され、サーバ７４０に記憶され、サーバ７４５によって作動し、ネットワーク７５０上でクライアントシステム７１０、７２０、及び７３０に配信されてもよい。

上記で詳述したように、コンピューティングシステム６１０、及び／又はネットワークアーキテクチャ７００の１つ以上の構成要素は、それぞれ単独で又は他の要素と組み合わせて、セキュリティイベントを標的型攻撃として分類する例示的な方法の１つ若しくは２つ以上のステップを実施してもよく、並びに／あるいは実施するための手段であってもよい。

前述の開示は、特定のブロック図、フローチャート、及び実施例を使用して様々な実施形態を記載しているが、本明細書に記載及び／又は例証されるそれぞれのブロック図の構成要素、フローチャートのステップ、動作、及び／又は構成要素は、個別にかつ／又は集合的に、広範なハードウェア、ソフトウェア、又はファームウェア（若しくはそれらの任意の組み合わせ）の構成を使用して実現されてもよい。それに加えて、同じ機能性を達成するように他の多くのアーキテクチャを実現することができるので、他の構成要素内に包含される構成要素のあらゆる開示は、本質的に例示と見なされるべきである。

いくつかの実施例では、図１の例示的なシステム１００の全て又は一部は、クラウドコンピューティング環境又はネットワークベースの環境の一部を表してもよい。クラウドコンピューティング環境は、インターネットを介して、様々なサービス及びアプリケーションを提供してもよい。これらのクラウドベースのサービス（例えば、サービスとしてのソフトウェア、サービスとしてのプラットフォーム、サービスとしての基盤など）は、ウェブブラウザ又は他のリモートインターフェースを通してアクセス可能であってもよい。本明細書に記載する様々な機能は、リモートデスクトップ環境又は他の任意のクラウドベースのコンピューティング環境を通して提供されてもよい。

様々な実施形態では、図１の例示的なシステム１００の全て又は一部は、クラウドベースのコンピューティング環境内におけるマルチテナンシーを容易にしてもよい。換言すれば、本明細書に記載するソフトウェアモジュールは、本明細書に記載する機能の１つ以上に対するマルチテナンシーを容易にするように、コンピューティングシステム（例えば、サーバ）を構成してもよい。例えば、本明細書に記載するソフトウェアモジュールの１つ以上は、２つ以上のクライアント（例えば、顧客）がサーバ上で作動しているアプリケーションを共有するのを可能にするように、サーバをプログラムしてもよい。このようにプログラムされたサーバは、複数の顧客（即ち、テナント）の間で、アプリケーション、オペレーティングシステム、処理システム、及び／又は記憶システムを共有してもよい。本明細書に記載するモジュールの１つ以上はまた、ある顧客が別の顧客のデータ及び／又は設定情報にアクセスできないように、顧客ごとにマルチテナントアプリケーションのデータ及び／又は設定情報を分割してもよい。

様々な実施形態によれば、図１の例示的なシステム１００の全て又は一部は仮想環境内で実現されてもよい。例えば、本明細書に記載するモジュール及び／又はデータは、仮想機械内で常駐及び／又は実行してもよい。本明細書で使用するとき、「仮想機械」という用語は、一般に、仮想機械マネージャ（例えば、ハイパーバイザ）によってコンピューティングハードウェアから抽出される、任意のオペレーティングシステム環境を指す。それに加えて、又は別の方法として、本明細書に記載するモジュール及び／又はデータは、仮想化層内で常駐及び／又は実行してもよい。本明細書で使用するとき、「仮想化層」という用語は、一般に、オペレーティングシステム環境にオーバーレイする、並びに／あるいはそこから抽出される、任意のデータ層及び／又はアプリケーション層を指す。仮想化層は、基礎となる基本オペレーティングシステムの一部であるかのように仮想化層を提示する、ソフトウェア仮想化ソリューション（例えば、ファイルシステムフィルタ）によって管理されてもよい。例えば、ソフトウェア仮想化ソリューションは、最初に基本ファイルシステム及び／又はレジストリ内の場所に方向付けられる呼び出しを、仮想化層内の場所にリダイレクトしてもよい。

いくつかの実施例では、図１の例示的なシステム１００の全て又は一部は、モバイルコンピューティング環境の一部を表してもよい。モバイルコンピューティング環境は、携帯電話、タブレットコンピュータ、電子ブックリーダー、携帯情報端末、ウェアラブルコンピューティングデバイス（例えば、ヘッドマウントディスプレイを備えたコンピューティングデバイス、スマートウォッチなど）などを含む、広範なモバイルコンピューティングデバイスによって実現されてもよい。いくつかの実施例では、モバイルコンピューティング環境は、例えば、バッテリ電力への依存、任意の所与の時間での１つのみのフォアグラウンドアプリケーションの提示、リモート管理機構、タッチスクリーン機構、位置及び移動データ（例えば、グローバルポジショニングシステム、ジャイロスコープ、加速度計などによって提供される）、システムレベルの構成への修正を制限する、かつ／又は第三者のソフトウェアが他のアプリケーションの挙動を検査する能力を限定する、制限されたプラットフォーム、アプリケーションのインストールを（例えば、認可されたアプリケーションストアからのみに）制限する制御など、１つ以上の明確な特徴を有してもよい。本明細書に記載する様々な機能は、モバイルコンピューティング環境に対して提供されてもよく、かつ／又はモバイルコンピューティング環境と相互作用してもよい。

それに加えて、図１の例示的なシステム１００の全て又は一部は、情報管理のための１つ以上のシステムの部分を表してもよく、それと相互作用してもよく、それによって生成されるデータを消費してもよく、かつ／又はそれによって消費されるデータを生成してもよい。本明細書で使用するとき、「情報管理」という用語は、データの保護、組織化、及び／又は記憶を指してもよい。情報管理のためのシステムの例としては、非限定的に、記憶システム、バックアップシステム、アーカイブシステム、複製システム、高可用性システム、データ検索システム、仮想化システムなどを挙げることができる。

いくつかの実施形態では、図１の例示的なシステム１００の全て又は一部は、情報セキュリティのための１つ以上のシステムの部分を表してもよく、それによって保護されるデータを生成してもよく、かつ／又はそれと通信してもよい。本明細書で使用するとき、「情報セキュリティ」という用語は、保護されたデータに対するアクセスの制御を指してもよい。情報セキュリティのためのシステムの例としては、非限定的に、管理されたセキュリティサービスを提供するシステム、データ損失防止システム、本人認証システム、アクセス制御システム、暗号化システム、ポリシー遵守システム、侵入検出及び防止システム、電子証拠開示システムなどを挙げることができる。

いくつかの実施例によれば、図１の例示的なシステム１００の全て又は一部は、エンドポイントセキュリティのための１つ以上のシステムの部分を表してもよく、それと通信してもよく、かつ／又はそれから保護を受けてもよい。本明細書で使用するとき、「エンドポイントセキュリティ」という用語は、不正及び／若しくは違法な使用、アクセス、並びに／又は制御からのエンドポイントシステムの保護を指してもよい。エンドポイント保護のためのシステムの例としては、非限定的に、アンチマルウェアシステム、ユーザ認証システム、暗号化システム、プライバシーシステム、スパムフィルタリングサービスなどを挙げることができる。

本明細書に記載及び／又は例証されるプロセスパラメータ及びステップの順序は、単なる例として与えられるものであり、所望に応じて変更することができる。例えば、本明細書に例証及び／又は記載されるステップは特定の順序で図示又は考察されることがあるが、これらのステップは、必ずしも例証又は考察される順序で実施される必要はない。本明細書に記載及び／又は例証される様々な例示的な方法はまた、本明細書に記載若しくは例証されるステップの１つ以上を省略するか、又は開示されるものに加えて追加のステップを含んでもよい。

様々な実施形態を、完全に機能的なコンピューティングシステムの文脈で本明細書に記載及び／又は例証してきたが、これらの例示的な実施形態の１つ以上は、実際に配布を実施するのに使用されるコンピュータ可読媒体の特定のタイプにかかわらず、様々な形態のプログラム製品として配布されてもよい。本明細書に開示される実施形態はまた、特定のタスクを実施するソフトウェアモジュールを使用して実現されてもよい。これらのソフトウェアモジュールは、コンピュータ可読記憶媒体又はコンピューティングシステムに格納されてもよい、スクリプト、バッチ、若しくは他の実行可能ファイルを含んでもよい。いくつかの実施形態では、これらのソフトウェアモジュールは、本明細書に開示される例示的な実施形態の１つ以上を実施するようにコンピューティングシステムを構成してもよい。

それに加えて、本明細書に記載するモジュールの１つ以上は、データ、物理的デバイス、及び／又は物理的デバイスの表現を、１つの形態から別の形態へと変換してもよい。例えば、本明細書に列挙されるモジュールの１つ以上は、変換されるセキュリティに関連するテレメトリデータを受信し、セキュリティに関連するテレメトリデータを変換し、変換の結果を標的型攻撃タクソノミーとして出力し、標的型攻撃を識別するのに変換の結果を使用し、今後使用するために変換の結果を格納してもよい。それに加えて、又は別の方法として、本明細書に列挙されるモジュールの１つ以上は、コンピューティングデバイス上で実行し、コンピューティングデバイスにデータを格納し、並びに／あるいは別の方法でコンピューティングデバイスと相互作用することによって、プロセッサ、揮発性メモリ、不揮発性メモリ、及び／又は物理的コンピューティングデバイスの他の任意の部分を、１つの形態から別の形態へと変換してもよい。

上述の記載は、本明細書に開示される例示的な実施形態の様々な態様を他の当業者が最良に利用するのを可能にするために提供されてきた。この例示的な記載は、網羅的であることを意図するものではなく、又は開示される任意の正確な形態に限定することを意図するものではない。本開示の趣旨及び範囲から逸脱することなく、多くの修正及び変形が可能である。本明細書に開示される実施形態は、あらゆる点で例示的であり、限定的ではないものと見なされるべきである。本開示の範囲を決定する際に、添付の特許請求の範囲及びそれらの等価物を参照するべきである。

別途記載のない限り、「〜に接続される」及び「〜に連結される」という用語（並びにそれらの派生語）は、本明細書及び特許請求の範囲で使用するとき、直接的接続及び間接的接続（即ち、他の要素若しくは構成要素を介する）の両方を許容するものとして解釈されるものである。それに加えて、「ａ」又は「ａｎ」という用語は、本明細書及び特許請求の範囲で使用するとき、「〜のうち少なくとも１つ」を意味するものとして解釈されるものである。最後に、簡潔にするため、「含む」及び「有する」という用語（並びにそれらの派生語）は、本明細書及び特許請求の範囲で使用するとき、「備える」という単語と互換性があり、同じ意味を有する。

Claims (11)

1. セキュリティイベントを標的型攻撃として分類するコンピュータ実装方法であって、前記方法の少なくとも一部が少なくとも１つのプロセッサを備えるコンピューティングデバイスによって実行され、前記方法が、
   少なくとも１つの組織と関連する少なくとも１つの悪意あるセキュリティイベントを検出することと、
   前記悪意あるセキュリティイベントを、複数のカテゴリーを含む標的型攻撃タクソノミーと比較することであって、各カテゴリーは標的型攻撃の複数の特性を含む、ことと、
   前記悪意あるセキュリティイベントと前記標的型攻撃タクソノミーとの比較に少なくとも部分的に基づいて、
   前記悪意あるセキュリティイベントと前記標的型攻撃タクソノミーとの比較に少なくとも部分的に基づいて、前記標的型攻撃タクソノミーに含まれる前記複数のカテゴリー内の各カテゴリーに対するカテゴリースコアを計算することと、
   前記標的型攻撃タクソノミーで識別された対応する特性と一致する前記悪意あるセキュリティイベントの特徴の数を判断することと、
   各カテゴリースコアと、前記標的型攻撃タクソノミーで識別された対応する特性と一致する前記悪意あるセキュリティイベントの特徴の数とに少なくとも部分的に基づいて、前記悪意あるセキュリティイベントが無差別又は非標的型攻撃ではなく標的型攻撃運動の一部である可能性を表すタクソノミースコアを計算することと、
   前記タクソノミースコアが特定の閾値を上回ると判断することと、
   によって、前記悪意あるセキュリティイベントが前記組織を具体的に標的にしている可能性が高いと判断することと、
   前記悪意あるセキュリティイベントが前記組織を具体的に標的にしている可能性が高いと判断することに応答して、前記悪意あるセキュリティイベントを、無差別又は非標的型攻撃の代わりに、前記組織を具体的に標的にしている標的型攻撃運動の一部として分類することと、
   を含む、方法。
2. 前記悪意あるセキュリティイベントを標的型攻撃タクソノミーと比較することが、
   前記悪意あるセキュリティイベントの複数の特徴を識別することと、
   前記悪意あるセキュリティイベントの前記複数の特徴を、前記標的型攻撃タクソノミーで識別された前記複数の特性と比較することと、を含む、請求項１に記載の方法。
3. 前記タクソノミースコアの計算における前記特性の影響を増加又は減少させるため、前記標的型攻撃タクソノミーで識別された前記特性のうち少なくとも１つを重み付けすることを更に含む、請求項１に記載の方法。
4. 前記悪意あるセキュリティイベントが前記組織を標的にしている可能性が高いと判断することが、各カテゴリースコアが対応する閾値を上回っていると判断することを含む、請求項１に記載の方法。
5. 前記悪意あるセキュリティイベントが前記組織を標的にしている可能性が高いと判断することが、
   前記タクソノミースコアの計算における前記カテゴリースコアの影響を増加又は減少させるため、少なくとも１つのカテゴリースコアを重み付けすることを更に含む、
   請求項１に記載の方法。
6. 少なくとも１つのセキュリティシステムから、セキュリティに関連するテレメトリデータを収集することと、
   前記セキュリティに関連するテレメトリデータ内の、標的型攻撃を示す複数の特性を識別することと、
   標的型攻撃を示す前記複数の特性から前記標的型攻撃タクソノミーを作成することと、
   を更に含む、請求項１に記載の方法。
7. 前記悪意あるセキュリティイベントが、前記組織を具体的に標的にしている標的型攻撃運動の一部として分類されていることを、前記組織に通知することを更に含む、請求項１に記載の方法。
8. セキュリティイベントを標的型攻撃として分類するシステムであって、
   少なくとも１つの組織と関連する悪意あるセキュリティイベントを検出する、メモリに格納された、検出モジュールと、
   メモリに格納された、判断モジュールであって、
   前記悪意あるセキュリティイベントを、複数のカテゴリーを含む標的型攻撃タクソノミーと比較し、各カテゴリーは標的型攻撃の複数の特性を含み、
   前記悪意あるセキュリティイベントと前記標的型攻撃タクソノミーとの比較に少なくとも部分的に基づいて、
   前記悪意あるセキュリティイベントと前記標的型攻撃タクソノミーとの比較に少なくとも部分的に基づいて、前記標的型攻撃タクソノミーに含まれる前記複数のカテゴリー内の各カテゴリーに対するカテゴリースコアを計算することと、
   前記標的型攻撃タクソノミーで識別された対応する特性と一致する前記悪意あるセキュリティイベントの特徴の数を判断することと、
   各カテゴリースコアと、前記標的型攻撃タクソノミーで識別された対応する特性と一致する前記悪意あるセキュリティイベントの特徴の数とに少なくとも部分的に基づいて、前記悪意あるセキュリティイベントが無差別又は非標的型攻撃ではなく標的型攻撃運動の一部である可能性を表すタクソノミースコアを計算することと、
   前記タクソノミースコアが特定の閾値を上回ると判断することと、
   によって、前記悪意あるセキュリティイベントが前記組織を具体的に標的にしている可能性が高いと判断する、判断モジュールと、
   前記悪意あるセキュリティイベントが前記組織を具体的に標的にしている可能性が高いという判断に応答して、前記悪意あるセキュリティイベントを、無差別又は非標的型攻撃の代わりに、前記組織を具体的に標的にしている標的型攻撃運動の一部として分類する、メモリに格納された、分類モジュールと、
   前記検出モジュール、前記判断モジュール、及び前記分類モジュールを実行する少なくとも１つのプロセッサと、
   を備える、システム。
9. 前記判断モジュールが、
   前記悪意あるセキュリティイベントの複数の特徴を識別することと、
   前記悪意あるセキュリティイベントの前記複数の特徴を、前記標的型攻撃タクソノミーで識別された前記複数の特性と比較することと、
   によって、前記悪意あるセキュリティイベントと前記標的型攻撃タクソノミーとを比較する、請求項８に記載のシステム。
10. 前記タクソノミースコアの計算における前記特性の影響を増加又は減少させるため、前記標的型攻撃タクソノミーで識別された前記特性のうち少なくとも１つを重み付けすることを更に含む、請求項８に記載のシステム。
11. １つ以上のコンピュータ実行可能命令を含む非一時的コンピュータ可読媒体であって、コンピューティングデバイスの少なくとも１つのプロセッサによって実行されると、前記コンピューティングデバイスに、
    少なくとも１つの組織と関連する悪意あるセキュリティイベントを検出することと、
    前記悪意あるセキュリティイベントを、複数のカテゴリーを含む標的型攻撃タクソノミーと比較することであって、各カテゴリーは標的型攻撃の複数の特性を含む、ことと、
    前記悪意あるセキュリティイベントと前記標的型攻撃タクソノミーとの比較に少なくとも部分的に基づいて、
    前記悪意あるセキュリティイベントと前記標的型攻撃タクソノミーとの比較に少なくとも部分的に基づいて、前記標的型攻撃タクソノミーに含まれる前記複数のカテゴリー内の各カテゴリーに対するカテゴリースコアを計算することと、
    前記標的型攻撃タクソノミーで識別された対応する特性と一致する前記悪意あるセキュリティイベントの特徴の数を判断することと、
    各カテゴリースコアと、前記標的型攻撃タクソノミーで識別された対応する特性と一致する前記悪意あるセキュリティイベントの特徴の数とに少なくとも部分的に基づいて、前記悪意あるセキュリティイベントが無差別又は非標的型攻撃ではなく標的型攻撃運動の一部である可能性を表すタクソノミースコアを計算することと、
    前記タクソノミースコアが特定の閾値を上回ると判断することと、
    によって、前記悪意あるセキュリティイベントが前記組織を具体的に標的にしている可能性が高いと判断することと、
    前記悪意あるセキュリティイベントが前記組織を具体的に標的にしている可能性が高いと判断することに応答して、前記セキュリティイベントを、無差別又は非標的型攻撃の代わりに、前記組織を具体的に標的にしている標的型攻撃運動の一部として分類することと、
    を行わせる、非一時的コンピュータ可読媒体。

Images