JP6560368B2 - ユーザ行為に基づく悪意のあるダウンロードリスクを判定するためのシステム及び方法 - Google Patents

Description

マルウエアは、個々のユーザ及び組織の両方についての不断の問題である。悪意のあるアプリケーションが、コンピュータを減速させ、重要データを暗号化又は削除し、機密情報を盗み、そして、無数の別の問題を生じさせることがある。多くの資源が、コンピューティングデバイスをマルウエアから保護するタスク、例えば、ファイアウォール、アンチウィルスアプリケーション、スパムフィルタ、及びアンチスパイウェアアプリケーション等に既に投入されている。これらのアンチマルウエアアプリケーションのうちの多くは、コンピューティングデバイスに既にある悪意のあるファイルを除去することに専用のものとされるが、理想的なアンチマルウエアアプリケーションは、マルウエア感染の発生を防止するものである。

いくつかの従来のシステムは、感染していないユーザがマルウエアをダウンロードすることを防止し得るけれども、多くのアプリケーションが、不注意なユーザによって今にもダウンロードされるかもしれない数及びタイプが絶えず増加する、悪意のあるアプリケーションに遅れをとらないように苦労している。いくつかの従来のシステムは、ユーザのダウンロード又は設定変更を制限することにより、コンピューティングデバイスの使用性を減退させるという犠牲を払ってユーザの保護を強化する場合がある。アンチマルウエアアプリケーションは、コンピューティングリソースを消費するので、大部分のユーザは、必要以上により多くのアンチマルウエアアプリケーションを作動させることを望まない。どのような種類のマルウエア防止システムが特定のユーザにとって必要かを判定することは、ユーザがマルウエアに遭遇する可能性を予測する機能を必要とする。したがって、本開示は、マルウエアを検出するために付加及び改善されるシステム及び方法についての必要事項を識別して対象にする。

下記で更に詳細に説明するように、本開示は、ユーザが将来においてマルウエアをダウンロードする可能性がある場合に、ダウンロード行為についてのユーザパターンを監視することと、ダウンロード行為のパターンをマルウエアに感染した別のユーザのダウンロード行為と比較することと、比較に基づいて判定することと、によって、ユーザ行為に基づく悪意のあるダウンロードリスクを判定するための様々なシステム及び方法を説明する。

一例では、ユーザ行為に基づく悪意のあるダウンロードリスクを判定するためのコンピュータ実装方法は、（１）悪意のあるダウンロードに対してハイリスクであるユーザの集合と悪意のあるダウンロードに対してローリスクであるであるユーザの集合とを識別することと、（２）ハイリスクユーザの集合によって共有され、かつローリスクユーザの集合によっては共有されないダウンロード行為のハイリスクパターンを判定することと、（３）ダウンロード行為をハイリスク又はローリスクに分類するために、所定の期間にわたって分類されていないユーザのダウンロード行為を解析することと、（４）分類されていないユーザのダウンロード行為が、ダウンロード行為のハイリスクパターンの所定の類似度閾値内に入ると判定することに応じて、分類されていないユーザをハイリスクユーザに分類することと、を含んでもよい。

いくつかの例では、コンピュータ実装方法は、マルウエアに感染するハイリスクユーザのリスクを低減するために、ハイリスクユーザのセキュリティ体制を強化することを更に含んでもよい。別の例では、コンピュータ実装方法は、マルウエア感染を予測することでのダウンロード行為のハイリスクパターンの精度を改善するために、及び／又は追加のマルウエア感染予測システムの精度を改善するために、ハイリスクユーザについての追加データを収集することを更に含んでもよい。追加的に又は代替案として、コンピュータ実装方法は、マルウエアに感染する組織によって使用されるコンピューティングデバイスのリスクを低減するために、ハイリスクユーザを含むことがある組織のセキュリティ体制を強化することを更に含んでもよい。

いくつかの実施形態では、ハイリスクユーザの集合とローリスクユーザの集合とを識別することは、所定のダウンロード監視期間にわたって、分類されていないユーザの集合のダウンロード行為を監視することを含んでもよい。この実施形態では、ユーザを識別することは、所定のダウンロード監視期間中にマルウエアに感染したコンピューティングデバイスのユーザをハイリスクユーザの集合に分類することと、所定のダウンロード監視期間中にマルウエアに感染しなかったコンピューティングデバイスのユーザをローリスクユーザの集合に分類することと、を更に含んでもよい。

一例では、ダウンロード行為のハイリスクパターンは、（１）ファイルをダウンロードするためにハイリスクユーザによって使用されるコンピューティングデバイスでのファイルの総数、（２）ファイルをダウンロードするためにハイリスクユーザによって使用されるコンピューティングデバイスでの少なくとも１つのファイルに適用され、かつ所定の評判スコア閾値以下である評判スコア、（３）ファイルをダウンロードするためにハイリスクユーザによって使用されるコンピューティングデバイスにあり、かつ別のユーザによって使用されるコンピューティングデバイスでの所定の度数閾値以下である少なくとも１つのファイル、（４）ファイルをダウンロードするためにハイリスクユーザによって使用されるコンピューティングデバイスでの少なくとも１つのファイルのダウンロードのタイムスタンプ、及び／又は（５）ファイルをダウンロードするためにハイリスクユーザによって使用されるコンピューティングデバイスでの少なくとも１つのファイルの分類を含んでもよい。別の例では、ダウンロード行為のハイリスクパターンは、（１）ファイルをダウンロードするためにハイリスクユーザによって使用されるコンピューティングデバイスでの異なるファイルネームの総数、（２）ファイルをダウンロードするためにハイリスクユーザによって使用されるコンピューティングデバイスでの少なくとも１つの異なるファイルネームに適用され、かつ所定の評判スコア閾値以下である評判スコア、（３）ファイルをダウンロードするためにハイリスクユーザによって使用されるコンピューティングデバイスにあり、かつ別のユーザによって使用されるコンピューティングデバイスでの所定の度数閾値以下である少なくとも１つの異なるファイルネーム、及び／又は（４）ファイルをダウンロードするためにハイリスクユーザによって使用されるコンピューティングデバイスでの少なくとも１つの異なるファイルネームのダウンロードのタイムスタンプ、を含んでもよい。追加的に又は代替案として、ダウンロード行為のハイリスクパターンは、（１）ファイルをダウンロードするためにハイリスクユーザによって使用されるコンピューティングデバイスでの異なるファイルパスの総数、（２）ファイルをダウンロードするためにハイリスクユーザによって使用されるコンピューティングデバイスでの少なくとも１つの異なるファイルパスに適用され、かつ所定の評判スコア閾値以下である評判スコア、（３）ファイルをダウンロードするためにハイリスクユーザによって使用されるコンピューティングデバイスにあり、かつ別のユーザによって使用されるコンピューティングデバイスでの所定の度数閾値以下である少なくとも１つの異なるファイルパス、及び／又は（４）ファイルをダウンロードするためにハイリスクユーザによって使用されるコンピューティングデバイスでの少なくとも１つの異なるファイルパスの生成のタイムスタンプ、を含んでもよい。

一実施形態では、コンピュータ実装方法は、ダウンロード行為をハイリスク又はローリスクに分類するために、追加の所定の期間にわたって割り当てられたリスクカテゴリを有する、以前に分類されたユーザの追加のダウンロード行為を定期的に解析することと、以前に分類されたユーザのダウンロード行為が、ダウンロード行為のハイリスクパターンに関して変化したと判定することに応じて、以前に分類されたユーザの割り当てられたリスクカテゴリを調節することと、を更に含んでもよい。追加的に又は代替案として、コンピュータ実装方法は、悪意のあるダウンロードに対してハイリスクであるユーザの新しい集合を識別することと、ハイリスクユーザの集合とハイリスクユーザの新しい集合との間のダウンロード行為の少なくとも１つの変化に応じて、ダウンロード行為のハイリスクパターンを更新することと、を更に含んでもよい。

一実施形態では、上記の方法を実装するためのシステムは、（１）悪意のあるダウンロードに対してハイリスクであるユーザの集合と悪意のあるダウンロードに対してローリスクであるユーザの集合とを識別する、メモリに格納された識別モジュール、（２）ハイリスクユーザの集合によって共有され、かつローリスクユーザの集合によっては共有されないダウンロード行為のハイリスクパターンを判定する、メモリに格納された判定モジュール、（３）ダウンロード行為をハイリスク又はローリスクに分類するために、所定の期間にわたって分類されていないユーザのダウンロード行為を解析する、メモリに格納された解析モジュール、（４）分類されていないユーザのダウンロード行為がダウンロード行為のハイリスクパターンの所定の類似度閾値内に入ると判定することに応じて、分類されていないユーザをハイリスクユーザに分類する、メモリに格納された分類モジュール、及び（５）識別モジュール、判定モジュール、解析モジュール、及び分類モジュールを実行させるように構成された少なくとも１つの物理的プロセッサ、を備えてもよい。

いくつかの例では、上記の方法は、非一時的コンピュータ可読媒体にコンピュータ可読命令としてコード化されてもよい。例えば、コンピュータ可読媒体は、コンピューティングデバイスの少なくとも１つのプロセッサによって実行されるとき、（１）悪意のあるダウンロードに対してハイリスクであるユーザの集合と悪意のあるダウンロードに対してローリスクであるユーザの集合とを識別すること、（２）ハイリスクユーザの集合によって共有され、かつローリスクユーザの集合によっては共有されないダウンロード行為のハイリスクパターンを判定すること、（３）ダウンロード行為をハイリスク又はローリスクに分類するために、所定の期間にわたって分類されていないユーザのダウンロード行為を解析すること、及び（４）分類されていないユーザのダウンロード行為がダウンロード行為のハイリスクパターンの所定の類似度閾値内に入ると判定することに応じて、分類されていないユーザをハイリスクユーザに分類すること、をコンピューティングデバイスに行わせる１つ以上のコンピュータ可読命令を含んでもよい。

上述の実施形態のいずれかによる特徴は、本明細書に記載される一般原理に従って、互いに組み合わせて使用されてもよい。これら及び他の実施形態、特徴、及び利点は、添付の図面及び特許請求の範囲と併せて以下の発明を実施するための形態を読むことによって更に十分に理解されるだろう。

添付の図面は、いくつかの例示的な実施形態を図示するものであり、本明細書の一部である。以下の説明と併せて、これらの図面は、本開示の様々な原理を実証及び説明する。
ユーザ行為に基づく悪意のあるダウンロードリスクを判定するための例示的なシステムのブロック図である。 ユーザ行為に基づく悪意のあるダウンロードリスクを判定するための更なる例示的なシステムのブロック図である。 ユーザ行為に基づく悪意のあるダウンロードリスクを判定するための例示的な方法のフロー図である。 ユーザ行為に基づく悪意のあるダウンロードリスクを判定するための例示的な方法のフロー図である。 ユーザ行為に基づく悪意のあるダウンロードリスクを判定するための例示的なコンピューティングシステムのブロック図である。 本明細書で説明及び／又は図示される実施形態のうちの１つ以上を実装できる例示的なコンピューティングシステムのブロック図である。 本明細書で説明及び／又は図示される実施形態のうちの１つ以上を実装できる例示的なコンピューティングネットワークのブロック図である。

図面を通して、同一の参照符号及び記述は、必ずしも同一ではないが、類似の要素を示す。本明細書で説明される例示的実施形態は、様々な修正物及び代替的な形態が可能であるが、特定の実施形態が例として図面に示されており、本明細書に詳細に記載される。しかしながら、本明細書に記載される例示的実施形態は、開示される特定の形態に限定されることを意図しない。むしろ、本開示は、添付の特許請求の範囲内にある全ての修正物、等価物、及び代替物を網羅する。

本開示は、ユーザ行為に基づく悪意のあるダウンロードリスクを判定するためのシステム及び方法を概して目的とする。以下で更に詳細に説明するように、将来の悪意のあるダウンロード行為のリスクを予測するために、無害のダウンロード行為を使用することによって、本明細書で説明するシステムは、ハイリスクのユーザをユーザが感染する前に保護し、ハイリスクのユーザのダウンロード習慣についての有益情報を集め、及び／又は組織がそれらの構成メンバーのハイリスク行為によって危険にさらされることから保護することができる場合がある。

以下において、図１、図２、及び図５を参照して、ユーザ行為に基づく悪意のあるダウンロードリスクを判定するための例示的なシステムについて詳細に説明する。対応するコンピュータ実装方法についての詳細な説明もまた、図３〜図４と関連して提供されることになる。更に、本明細書で説明される実施形態のうちの１つ以上を実装できる例示的なコンピューティングシステム及びネットワークアーキテクチャについての詳細な説明が、それぞれ、図６及び図７と関連して提供されることになる。

図１は、ユーザ行為に基づく悪意のあるダウンロードリスクを判定するための例示的なシステム１００のブロック図である。この図に図示されるように、例示的なシステム１００は、１つ以上のタスクを実施するための１つ以上のモジュール１０２を含んでもよい。例えば、そして、以下で更に詳細に説明するように、例示的なシステム１００は、悪意のあるダウンロードに対してハイリスクであるユーザの集合と悪意のあるダウンロードに対してローリスクであるユーザの集合とを識別する識別モジュール１０４を含んでもよい。例示的なシステム１００は、ハイリスクユーザの集合によって共有され、かつローリスクユーザの集合によっては共有されないダウンロード行為のハイリスクパターンを判定する判定モジュール１０６を付加的に含んでもよい。例示的なシステム１００は、また、ダウンロード行為をハイリスク又はローリスクに分類するために、分類されていないユーザのダウンロード行為を所定の期間にわたって解析する解析モジュール１０８を含んでもよい。例示的なシステム１００は、分類されていないユーザのダウンロード行為が、ダウンロード行為のハイリスクパターンの所定の類似度閾値内に入ると判定することに応じて、分類されていないユーザをハイリスクユーザに分類する分類モジュール１１０を付加的に含んでもよい。別々の要素として図示されるが、図１のモジュール１０２のうちの１つ以上は、単一のモジュール又はアプリケーションの部分を表してもよい。

特定の実施形態では、図１のモジュール１０２のうち１つ以上は、コンピューティングデバイスによって実行されると、コンピューティングデバイスに１つ以上のタスクを実施させ得る、１つ以上のソフトウェアアプリケーション又はプログラムを表し得る。例えば、以下で更に詳細に説明するように、モジュール１０２のうちの１つ以上は、図２のコンピューティングデバイス２０２、図６のコンピューティングシステム６１０、及び／又は図７の例示的なネットワークアーキテクチャ７００の部分等の１つ以上のコンピューティングデバイスに格納されて、そこにおいて作動するように構成されているソフトウェアモジュールを表してもよい。図１のモジュール１０２のうち１つ以上はまた、１つ以上のタスクを実施するように構成された１つ以上の専用コンピュータの全て又は一部を表し得る。

図１に示すように、例示的なシステム１００はまた、データベース１２０などの１つ以上のデータベースを含んでもよい。一例では、データベース１２０は、ダウンロード行為のハイリスクパターン１２２等の、以前に識別されたダウンロード行為のパターンを格納するように構成されてもよい。データベース１２０は、単一のデータベース若しくはコンピューティングデバイスの部分、又は複数のデータベース若しくはコンピューティングデバイスの部分を表してもよい。例えば、データベース１２０は、図６のコンピューティングシステム６１０の一部分、及び／又は図７の例示的なネットワークアーキテクチャ７００の部分を表してもよい。あるいは、図１のデータベース１２０は、図６のコンピューティングシステム６１０、及び／又は図７の例示的なネットワークアーキテクチャ７００の部分等のコンピューティングデバイスがアクセスできる１つ以上の物理的に別個のデバイスを表してもよい。

図１の例示的なシステム１００は、様々な方法で実装され得る。例えば、例示的なシステム１００の全て又は一部は、図２における例示的なシステム２００の部分を表してもよい。図２に示すように、システム２００は、コンピューティングデバイス２０２を含んでもよい。一実施例では、コンピューティングデバイス２０２は、モジュール１０２のうち１つ以上を用いてプログラムされてもよく、かつ／又はデータベース１２０内のデータの全て若しくは一部分を記憶することができる。

一実施形態では、図１のモジュール１０２のうちの１つ以上は、コンピューティングデバイス２０２の少なくとも１つのプロセッサによって実行されるとき、コンピューティングデバイス２０２がユーザ行為に基づく悪意のあるダウンロードリスクを判定することを可能にする。例えば、そして、以下で更に詳細に説明するように、識別モジュール１０４は、悪意のあるダウンロードに対してハイリスクであるユーザの集合２１０と、悪意のあるダウンロードに対してローリスクであるユーザの集合２０８と、を識別することができる。次に、判定モジュール１０６は、ハイリスクユーザの集合２１０によって共有され、かつローリスクユーザの集合２０８によっては共有されないダウンロード行為のハイリスクパターン１２２を判定することができる。その後に、解析モジュール１０８は、ダウンロード行為をハイリスク又はローリスクに分類するために、所定の期間にわたって分類されていないユーザ２１２のダウンロード行為を解析することができる。最後に、分類モジュール１１０は、分類されていないユーザ２１２のダウンロード行為がダウンロード行為のハイリスクパターン１２２の所定の類似度閾値内に入ると判定することに応じて、分類されていないユーザ２１２をハイリスクユーザに分類することができる。

コンピューティングデバイス２０２は、一般に、コンピュータ実行可能命令を読み取ることができる任意のタイプ又は形態のコンピューティングデバイスを表す。コンピューティングデバイス２０２の例としては、非限定的に、ラップトップ、タブレット、デスクトップ、サーバ、携帯電話、携帯情報端末（ＰＤＡ）、マルチメディアプレーヤー、埋め込みシステム、ウェアラブルデバイス（例えば、スマートウォッチ、スマートグラスなど）、ゲーム機、それらの１つ以上の組み合わせ、図６の例示的なコンピューティングシステム６１０、あるいは他の任意の好適なコンピューティングデバイスが挙げられる。

図３は、ユーザ行為に基づく悪意のあるダウンロードリスクを判定するための例示的なコンピュータ実装方法３００のフロー図である。図３に示されるステップは、任意の好適なコンピュータ実行可能コード及び／又はコンピューティングシステムによって実施されてもよい。いくつかの実施形態では、図３に示すステップは、図１のシステム１００、図２のシステム２００、図６のコンピューティングシステム６１０、及び／又は図７の例示的なネットワークアーキテクチャ７００の部分の構成要素のうち１つ以上によって実行されてもよい。

図３に示すように、ステップ３０２では、本明細書で説明するシステムのうちの１つ以上は、悪意のあるダウンロードに対してハイリスクであるユーザの集合と、悪意のあるダウンロードに対してローリスクであるユーザの集合と、を識別することができる。例えば、識別モジュール１０４は、図２のコンピューティングデバイス２０２の一部分として、悪意のあるダウンロードに対してハイリスクであるユーザの集合２１０と、悪意のあるダウンロードに対してローリスクであるユーザの集合２０８とを識別することができる。

用語「悪意のあるダウンロード」は、本明細書で使用されるとき、コンピューティングデバイスにおいて不必要なアクションを実行することがある、任意のタイプのファイル、スクリプト、及び／又はアプリケーションを概して指す。いくつかの例では、悪意のあるダウンロードは、１個のマルウエア、及び／又は１個のマルウエアをダウンロードするアプリケーションを含んでもよい。悪意のあるダウンロードは、ユーザによって故意に、又は故意ではなく開始されてもよい。悪意のあるダウンロードの例としては、ウィルス、キーロガー、トロイの木馬、スパイウェア、及び／又はスパムウェアが挙げられるが、これらに限定されない。

識別モジュール１０４は、ハイリスクユーザの集合と、ローリスクユーザの集合とを様々な方法で識別することができる。例えば、識別モジュール１０４は、所定のダウンロード監視期間にわたって、分類されていないユーザの集合のダウンロード行為を監視することによって、ハイリスクユーザの集合と、ローリスクユーザの集合とを識別することができる。この例では、識別モジュール１０４は、所定のダウンロード監視期間中にマルウエアに感染したコンピューティングデバイスのユーザをハイリスクユーザに分類し、そして、所定のダウンロード監視期間中にマルウエアに感染しなかったコンピューティングデバイスのユーザをローリスクユーザに分類することができる。識別モジュール１０４は、任意のタイプのマルウエア−検出アプリケーションを使用することによって、感染したユーザを識別することができる。追加的に又は代替案として、識別モジュール１０４は、スピアフィッシング電子メールの標的等のサイバー攻撃の標的であった任意のユーザをハイリスクユーザに分類することができる。

いくつかの実施形態では、識別モジュール１０４は、ユーザをハイリスクとローリスクの２つのリスクカテゴリのみに分類することができる。別の実施形態では、識別モジュール１０４は、ユーザをノーリスクから超ハイリスクまで等の連続領域に分類してもよい。例えば、識別モジュール１０４は、まったくダウンロード活動がないユーザをノーリスクに分類し、いくらかのダウンロード活動があるが、マルウエアに遭遇していないユーザをローリスクに分類し、ただ１個の比較的無害なマルウエア（例えば広告付きブラウザツールバー）をダウンロードするユーザを中程度リスクに分類し、多数個のマルウエアをダウンロードするユーザをハイリスクに分類し、及び／又は大量のマルウエアをダウンロードするユーザを超ハイリスクに分類してもよい。追加的に又は代替案として、識別モジュール１０４は、ユーザが所定の期間中にマルウエアをダウンロードするであろうというパーセンテージ可能性等の数値スコアを使用してユーザを分類してもよい。

ステップ３０４では、本明細書で説明する１つ以上のシステムは、ハイリスクユーザの集合によって共有され、かつローリスクユーザの集合によっては共有されないダウンロード行為のハイリスクパターンを判定してもよい。例えば、判定モジュール１０６は、図２のコンピューティングデバイス２０２の一部分として、ハイリスクユーザの集合２１０によって共有され、かつローリスクユーザの集合２０８によっては共有されないダウンロード行為のハイリスクパターン１２２を判定してもよい。

用語「ダウンロード行為」は、本明細書で使用されとき、外部源からのファイルがコンピューティングデバイスにコピーされるか、及び／又はそこで生成される任意の場合を概して指す。いくつかの実施形態では、ダウンロード行為は、インターネットからダウンロードされるファイル及び／又はフォルダを指す場合がある。ダウンロード行為は、ユーザによって、例えば、リンクをクリックすることによって、又は、自動的に最新版をダウンロードするアプリケーション等、すでにユーザのデバイスにあるファイルによって開始されてもよい。ダウンロード行為のパターンは、何時ファイルがダウンロードされるか、幾つのファイルがダウンロードされるか、何処からファイルがダウンロードされるか、何処にファイルがダウンロードされるか、ダウンロードされたファイルについてのメタデータ等の情報、及び／又は、ファイルダウンロードに関する任意の別の情報を含んでもよい。

判定モジュール１０６は、ダウンロード行為についてのハイリスクパターンを様々な方法で判定してもよい。例えば、判定モジュール１０６は、ローリスクユーザのダウンロード行為を解析してもよく、ハイリスクユーザのダウンロード行為を解析してもよく、そして、ハイリスクユーザ全体に共通するが、ローリスクユーザでは稀である任意のダウンロード行為をハイリスクのダウンロード行為に分類してもよい。ダウンロード行為のハイリスクパターンは、判定モジュール１０６によって見出されるハイリスクダウンロード行為のうちの一部又はその全部を含んでもよい。いくつかの実施形態では、判定モジュール１０６は、ダウンロード行為のハイリスクパターンを計算するときに、異なるダウンロード行為に異なる重みを付与してもよい。一実施形態では、判定モジュール１０６は、機械学習アルゴリズムを使用して、ダウンロード行為のハイリスクパターンを判定してもよい。例えば、判定モジュール１０６は、サポートベクターマシンを使用して、ダウンロード行為のハイリスクパターンを判定してもよい。

いくつかの実施形態では、判定モジュール１０６は、ユーザのコンピュータにあるファイルの属性を見ることによって、ハイリスクダウンロード行為を検出してもよい。用語「ファイル」は、本明細書で使用されるとき、ファイルのコード及び／又はメタデータ、ファイルの名前、及び／又は、ファイルのハッシュ及び／又はファイルのフィンガープリント等のファイルの任意の固有表現を指す場合がある。

一実施形態では、ダウンロード行為のハイリスクパターンは、ファイルをダウンロードするためにハイリスクユーザによって使用されるコンピューティングデバイスでのファイルの総数を含んでもよい。いくつかの例では、判定モジュール１０６は、コンピューティングデバイスにあるファイルの総数、及び／又は、ダウンロード監視期間中にコンピューティングデバイスにダウンロードされるファイルの総数を調査してもよい。判定モジュール１０６は、また、ファイルのサイズ、ファイルの評判、及び／又はファイルのカテゴリ等のファイルについての別の特徴を調査してもよい。例えば、判定モジュール１０６は、所定の評判スコア閾値以下になる１つ以上のファイルをダウンロードすることが、ハイリスクダウンロード行為であると判定してもよい。別の例では、判定モジュール１０６は、「ギャンブルアプリケーション」カテゴリのファイルをダウンロードすることが、「ソフトウェア開発アプリケーション」カテゴリのファイルをダウンロードすることよりもリスクが高いと判定してもよい。ファイルカテゴリの別の例としては、コンピュータセキュリティツール、ファイル共有アプリケーション、エンジニアリングツール、取引ツール、マルチメディアアプリケーション、及び／又はゲームアプリケーションが挙げられるが、これらに限定されない。いくつかの実施形態では、判定モジュール１０６は、ファイルの署名者に少なくとも部分的に基づいてファイルのカテゴリを判定してもよい。

いくつかの実施形態では、ダウンロード行為のハイリスクパターンは、ファイルをダウンロードするためにハイリスクユーザによって使用されるコンピューティングデバイスにあり、かつ別のユーザによって使用されるコンピューティングデバイスでの所定の度数閾値以下である少なくとも１つのファイルを含んでもよい。例えば、１つのファイルが別のユーザによって使用されるコンピューティングデバイスのうちの１％未満で見出される場合、判定モジュール１０６は、そのファイルをダウンロードすることが、ハイリスクダウンロード行為であると判定してもよい。別の例では、ファイルが別のユーザによって使用されるコンピューティングデバイスのうちの５０％以上で見出される場合、判定モジュール１０６は、そのファイルをダウンロードすることがハイリスクダウンロード行為ではないと判定してもよい。一例では、判定モジュール１０６は、別のユーザのコンピューティングデバイスのうちの１０％足らずにしか現れないファイルを型通りにダウンロードするユーザの大部分は、ハイリスクユーザカテゴリになり、したがって、所定の度数閾値は、１０％であると判定してもよい。

追加的に又は代替案として、ダウンロード行為のハイリスクパターンは、ファイルをダウンロードするためにハイリスクユーザによって使用されるコンピューティングデバイスでの少なくとも１つのファイルのダウンロードについてのタイムスタンプを含んでもよい。いくつかの例では、アプリケーションが更新するとき、又はマルウエアアプリケーションが制御サーバと接触するとき等の特定のときに、ファイルが自動的にダウンロードしてもよい。これらの例では、判定モジュール１０６は、合法的アプリケーションが、マルウエアアプリケーションと異なるときに最新版をダウンロードする可能性があると判定してもよい。別の例では、様々な時間にインターネットから定期的にファイルをダウンロードするユーザは、アプリケーションカテゴリに関して異なるダウンロードパターンを有する場合がある。例えば、ユーザが通常の勤務時間中にマルウエア感染したギャンブルアプリケーションをダウンロードする可能性は、比較的低い場合がある。一例では、判定モジュール１０６が、午前２時に定期的にファイルをダウンロードするユーザは、悪意のあるファイルをダウンロードすることに対してハイリスクであり、一方、一般的に午前９時と午後５時との間にだけファイルをダウンロードするユーザは、悪意のあるファイルをダウンロードすることに対してローリスクであると判定してもよい。この例では、判定モジュール１０６は、夜遅くにファイルをダウンロードすることがハイリスクダウンロード行為であると判定してもよい。

いくつかの実施形態では、判定モジュール１０６は、ユーザが最初にファイルをダウンロードし、ダウンロードされたファイルを格納し、及び／又はダウンロードされたファイルを実行するファイルパスを調査することによって、ダウンロード行為のハイリスクパターンを判定してもよい。一実施例では、ダウンロード行為のハイリスクパターンは、ファイルをダウンロードするためにハイリスクユーザによって使用されるコンピューティングデバイスにある異なるファイルパスの総数を含んでもよい。例えば、判定モジュール１０６は、単一のダウンロードディレクトリ（例えば自身のブラウザのデフォルトダウンロードディレクトリ）に自身のダウンロードファイルの全部を格納するユーザは、様々なディレクトリにファイルをダウンロードするユーザよりも悪意のあるダウンロードに対してよりハイリスクであると判定してもよい。別の例では、判定モジュール１０６は、（例えば、同一の評判のよいパブリッシャーから複数の様々なアプリケーションをダウンロードすることによって）同一の数少ないディレクトリに多くのファイルをダウンロードするユーザは、多くの様々なディレクトリに多くのファイルをダウンロードするユーザよりも悪意のあるダウンロードに対してローリスクであると判定してもよい。

いくつかの例では、ダウンロード行為のハイリスクパターンは、ファイルをダウンロードするためにハイリスクユーザによって使用されるコンピューティングデバイスにある少なくとも１つの異なったファイルパスに適用され、かつ所定の評判スコア閾値以下である評判スコアを含んでもよい。例えば、判定モジュール１０６は、低い評判ファイルパス「Ｃ：＼Ｐｒｏｇｒａｍ Ｆｉｌｅｓ＼ＭａｌｗａｒｅＤｉｓｔｒｉｂｕｔｏｒｓＩｎｃ」にファイルをダウンロードするユーザが、悪意のあるダウンロードに対してハイリスクであると判定してもよい。

別の例では、ダウンロード行為のハイリスクパターンは、ファイルをダウンロードするためにハイリスクユーザによって使用されるコンピューティングデバイスにあり、かつ別のユーザによって使用されるコンピューティングデバイスでの所定の度数閾値以下である少なくとも１つの異なるファイルパスを含んでもよい。ファイルパスはパブリッシャーに従ってしばしば分離されるので、一般的ではないファイルパスは、ユーザが、有名でなく、おそらく評判のよくないパブリッシャーからファイルをダウンロードしていることを示してもよい。例えば、判定モジュール１０６は、別のユーザのコンピューティングデバイスのうちの５％足らずのものに現れるファイルパスに型通りにファイルをダウンロードするユーザの大部分が、ハイリスクユーザカテゴリに入り、そのため、所定の度数閾値が５％であると判定してもよい。

追加的に又は代替案として、ダウンロード行為のハイリスクパターンは、ファイルをダウンロードするためにハイリスクユーザによって使用されるコンピューティングデバイスに少なくとも１つの異なるファイルパスを生成することについてのタイムスタンプを含んでもよい。判定モジュール１０６は、上記で更に詳細に説明したように、判定モジュール１０６がファイルダウンロード回数について判定し得るのと同様の方法で、ファイルパス生成回数について判定してもよい。

いくつかの実施形態では、判定モジュール１０６は、ダウンロード行為のハイリスクパターンを定期的に更新してもよい。これらの実施形態では、識別モジュール１０４は、悪意のあるダウンロードに対してハイリスクであるユーザの新しい集合を識別してもよく、そして、判定モジュール１０６は、ハイリスクユーザの集合とハイリスクユーザの新しい集合との間にあるダウンロード行為の少なくとも１つの変化に応じて、ダウンロード行為のハイリスクパターンを更新してもよい。例えば、判定モジュール１０６は、以前に無害であったファイルパス「Ｃ：＼Ｐｒｏｇｒａｍ Ｆｉｌｅｓ＼Ｍａｌｉｃｉｏｕｓ Ｔｏａｓｔｅｒ Ｇａｍｅｓ Ｉｎｃ」が、現在、所定の評判スコア閾値以下の評判を有し、したがって、そのディレクトリへのダウンロードが、現在、ハイリスクダウンロード行為と見なされるべきであると判定してもよい。別の例では、判定モジュール１０６は、ハイリスクユーザの新しい集合に見られるダウンロード行為に基づいて、多産な１個のマルウエアのためのコマンド及び制御サーバが、現在、グリニッジ標準時午前１２時の代わりに同午前３時にファイルをダウンロードするためのコマンドを送信していると判定してもよい。この例では、判定モジュール１０６は、グリニッジ標準時午前１２時でのファイルダウンロードが、以前にダウンロード行為のハイリスクパターン内にあったときよりも小さい重みが付けられなければならず、一方、グリニッジ標準時午前３時でのファイルダウンロードが、ダウンロード行為のハイリスクパターンの一部分として大きい重みが付けられなければならないと判定してもよい。

いくつかの実施形態では、ハイリスクユーザの新しい集合は、ハイリスクユーザの元の集合と重複してもよい。別の実施態様では、ハイリスクユーザの新しい集合は、以前には監視されていなかったまったく新しいユーザから構成されもよい。図４は、ユーザを監視することによってダウンロード行為のハイリスクパターンを作成及び改良するサイクルを示す、ユーザ行為に基づく悪意のあるダウンロードリスクを判定するための例示的な方法４００のフロー図である。図４に示すように、ステップ４０２では、本明細書で説明するシステムが、所定の期間にわたってユーザの集合のダウンロード行為を監視してもよい。所定の期間は、１週間、１ヵ月間、数カ月間、及び／又は任意の別の好適な期間であってもよい。ステップ４０４では、本明細書で説明するシステムが、マルウエアに感染しているユーザをハイリスクユーザに分類してもよく、そして、感染しなかったユーザをローリスクユーザに分類してもよい。いくつかの実施形態では、本明細書で説明するシステムは、それらが監視期間中にマルウエアに感染した場合にのみ、ユーザをハイリスクに分類することができる。別の実施形態では、本明細書で説明するシステムは、それらがマルウエア感染についての監視期間を開始した場合、ユーザをハイリスクに分類することができる。ステップ４０６では、本明細書で説明するシステムは、ハイリスクユーザによって共有されるハイリスクダウンロード行為を判定してもよい。いくつかの実施形態では、本明細書で説明するシステムは、ダウンロード行為のハイリスクパターンを判定するために機械学習アルゴリズムを使用してもよい。ステップ４０８では、本明細書で説明するシステムが、ユーザの全てを監視し続けてもよい。本明細書で説明するシステムは、次いで、ステップ４０６に戻って、ユーザを適切であると再分類することができる。例えば、マルウエアに感染したローリスクユーザは、ハイリスクユーザに再分類することができる。ステップ４１０では、本明細書で説明するシステムは、ユーザの新しい集合を監視し始めてもよい。いくつかの例では、本明細書で説明するシステムは、解析に利用可能なより大きいサンプルサイズのユーザ及びダウンロード行為を有することによって、ハイリスクダウンロード行為を構成するものについての追加データを見出してもよい。

図３に戻って、ステップ３０６では、本明細書で説明するシステムのうちの１つ以上のものは、ダウンロード行為をハイリスク又はローリスクに分類するために、所定の期間にわたって分類されていないユーザのダウンロード行為を解析してもよい。例えば、解析モジュール１０８は、ダウンロード行為をハイリスク又はローリスクに分類するために、図２のコンピューティングデバイス２０２の一部分として、所定の期間にわたって分類されていないユーザ２１２のダウンロード行為を解析してもよい。

解析モジュール１０８は、分類されていないユーザのダウンロード行為を様々な方法で解析してもよい。例えば、解析モジュール１０８は、類似点を検出するためにユーザのダウンロード行為をダウンロード行為のハイリスクパターンと比較してもよい。いくつかの実施形態では、解析モジュール１０８は、実時間にダウンロード行為を収集して、それぞれの新しいファイルダウンロードについての情報をそれが起きたときに記録してもよい。別の実施態様では、解析モジュール１０８は、所定の間隔でダウンロード行為を収集してもよい。例えば、１時間毎に、解析モジュール１０８は、過去の１時間にダウンロードされた全ての新しいファイルについてのデータを記録してもよい。

ステップ３０８では、本明細書で説明するシステムのうちの１つ以上のものが、分類されていないユーザのダウンロード行為がダウンロード行為のハイリスクパターンの所定の類似度閾値内に入ると判定することに応じて、分類されていないユーザをハイリスクユーザに分類してもよい。例えば、分類モジュール１１０は、図２のコンピューティングデバイス２０２の一部分として、分類されていないユーザ２１２のダウンロード行為がダウンロード行為のハイリスクパターン１２２の所定の類似度閾値内に入ると判定することに応じて、分類されていないユーザ２１２をハイリスクユーザに分類してもよい。

分類モジュール１１０は、様々な方法でユーザを分類してもよい。例えば、分類モジュール１１０は、ユーザの行為が、ダウンロード行為のハイリスクパターンに９０％類似している場合、ユーザをハイリスクに分類してもよい。別の例では、分類モジュール１１０は、ユーザのダウンロード行為についての重み付きスコアが、リスクのあるダウンロード行為に対する最小閾値を上回る場合、ユーザをハイリスクに分類してもよい。追加的に又は代替案として、分類モジュール１１０は、機械学習技術を使用することによって、ユーザをハイリスクに分類してもよい。

いくつかの実施形態では、分類モジュール１１０は、ユーザを時々再分類してもよい。一実施形態では、解析モジュール１０８は、ダウンロード行為をハイリスク又はローリスクに分類するために、追加の所定の期間にわたって割り当てられたリスクカテゴリを有する、以前に分類されたユーザの追加のダウンロード行為を定期的に解析してもよい。この実施形態では、分類モジュール１１０は、以前に分類されたユーザのダウンロード行為が、ダウンロード行為のハイリスクパターンに関して変化したと判定することに応じて、以前に分類されたユーザの割り当てられたリスクカテゴリを調節してもよい。例えば、以前にローリスクであったユーザが、ダウンロード行為のそれらのパターンをダウンロード行為のハイリスクパターンにより近く似るように変化させてもよく、そして、現在、ハイリスクユーザであってもよい。別の例では、以前にハイリスクであったユーザが、それらのリスクのあるダウンロード行為を減少させてもよく、そして、現在、ローリスクユーザであってもよい。いくつかの例では、分類モジュール１１０は、ダウンロード行為のユーザの新たなパターンが以前よりもハイリスクである場合、中程度リスクとハイリスクとの間等のリスクカテゴリの間にユーザを動かしてもよい。いくつかの実施形態では、解析モジュール１０８は、月に一度等の設定間隔でユーザの行為を再解析してもよく、そして、分類モジュール１１０は、それぞれの間隔の終わりにユーザの分類を調節してもよい。

いくつかの実施形態では、本明細書で説明するシステムは、分類モジュール１１０がユーザをハイリスクに分類することに応じて、１つ以上のセキュリティアクションを実行してもよい。図５は、ユーザ行為に基づく悪意のあるダウンロードリスクを判定して、適切なセキュリティアクションをとるための例示的なコンピューティングシステム５００のブロック図である。図５に示すように、モジュール１０２は、コンピューティングデバイス５０４でのユーザ５０２のダウンロード行為を解析してもよく、そして、セキュリティモジュール５０６にユーザ５０２の分類を送信してもよい。セキュリティモジュール５０６は、組織５１０に属するセキュリティシステム５０８及び／又はコンピューティングデバイスと通信してもよい。

セキュリティモジュール５０６は、多くの様々なアクションを行ってもよい。いくつかの例では、セキュリティモジュール５０６は、ユーザ５０２がマルウエアに感染するリスクを低減するために、ユーザ５０２のセキュリティ体制を強化することができる。例えば、セキュリティモジュール５０６は、コンピューティングデバイス５０４のファイアウォール、スパムフィルタ、及び／又は別の類似のアプリケーションにおける設定についての制限を強化することができる。別の例では、セキュリティモジュール５０６は、コンピューティングデバイス５０４でのより頻繁なアンチウィルススキャンを提起及び／又はスケジュールしてもよい。いくつかの例では、セキュリティモジュール５０６は、コンピューティングデバイス５０４での追加のセキュリティアプリケーションを推奨及び／又はインストールしてもよい。追加的に又は代替案として、セキュリティモジュール５０６は、ユーザ５０２にそれらのリスクのあるダウンロード行為についての警告を表示してもよい。

いくつかの例では、セキュリティモジュール５０６は、ユーザ５０２のハイリスクダウンロード行為に起因してマルウエアに感染する組織５１０によって使用されるコンピューティングデバイスのリスクを低減するために、組織５１０のセキュリティ体制を強化することができる。例えば、セキュリティモジュール５０６は、マルウエアが組織の残りの部分に拡散することを防止するためにコンピューティングデバイス５０４からの通信量を制限してもよい。別の例では、セキュリティモジュール５０６は、組織５１０によって使用されるコンピューティングデバイスに更なるセキュリティアプリケーションを推奨及び／又はインストールしてもよい。追加的に又は代替案として、セキュリティモジュール５０６は、組織５１０によって使用されるファイアウォール、ルーター、スパムフィルタ、及び／又は別の類似のシステムについての設定の制限を強化することができる。いくつかの実施形態では、セキュリティモジュール５０６は、ハイリスクユーザに分類される組織５１０に属するユーザの数が所定の閾値を上回る場合にのみ、組織５１０のセキュリティ体制を強化することができる。例えば、セキュリティモジュール５０６は、組織５１０内のユーザのうちの少なくとも１０％がハイリスクユーザに分類される場合にのみ、組織５１０のセキュリティ体制を強化することができる。いくつかの例では、セキュリティモジュール５０６は、組織５１０内のユーザ５０２及び／又は任意の別のハイリスクユーザを組織５１０内の管理者に身元確認してもよい。

追加的に又は代替案として、セキュリティモジュール５０６は、マルウエア感染を予測することでダウンロード行為のハイリスクパターンの精度を改善するために、及び／又は追加のマルウエア−感染−予測システムの精度を改善するために、ユーザ５０２についての追加のデータを収集することができる。例えば、セキュリティモジュール５０６は、ユーザ５０２の閲覧傾向及び／又はコンピューティングデバイス５０４の構成についてのデータを収集してもよい。いくつかの実施形態では、モジュール１０２は、将来のユーザをローリスク又はハイリスクにより良好に分類するための追加のデータを使用してもよい。追加的に又は代替案として、セキュリティモジュール５０６は、セキュリティシステム５０８に追加のデータを送信してもよい。いくつかの実施形態では、セキュリティシステム５０８は、モジュール１０２と異なるデータ及び／又は異なるアルゴリズムを使用するマルウエア−感染−予測アルゴリズムを含んでもよい。別の実施形態では、セキュリティシステム５０８は、コンピューティングデバイス５０４が接続されるコンピューティングデバイス５０４及び／又はネットワークを保護でき、かつそれらの機能をユーザ５０２の行為についてのデータに基づいて調節するセキュリティアプリケーションを含んでもよい。

上記の方法３００と関連して説明すると、本明細書で説明するシステム及び方法は、ユーザのダウンロード行為を使用してそれらのユーザがマルウエアに感染することになるリスクを予測することによって、ユーザ及び／又は組織をマルウエアから保護することを支援してもよい。本明細書で説明するシステムは、初期のユーザの集合を監視することにより、リスクのあるダウンロード行為を構成するものに関するグラウンドトルースのデータの集合を構築してもよく、次いで、ユーザダウンロード行為及びそれに続くマルウエア感染率についての連続的に集まる情報によってそのデータを改良し続けてもよい。本明細書で説明するシステムは、次いで、リスクのあるダウンロード行為についてのデータを使用することにより、分類されていないユーザが、それらのダウンロード行為に基づいてマルウエアに遭遇することになる可能性を予測してもよい。どのユーザが、近い将来において、マルウエアを故意に又は故意にではなくダウンロードすることになるかについて正確に予測することによって、本明細書で説明するシステムが、セキュリティシステムがより良好にユーザ及び組織を保護するように調節されることを可能にしてもよい。

図６は、本明細書に記載及び／又は図示される実施形態のうち１つ以上を実装できる例示的なコンピューティングシステム６１０のブロック図である。例えば、コンピューティングシステム６１０の全て又は一部は、単独で又は他の要素と組み合わせて、（図３に示されるステップのうち１つ以上等の）本明細書に記載されるステップのうち１つ以上を実施してもよく、及び／又はそれを実施するための手段であってもよい。コンピューティングシステム６１０の全て又は一部は、また、本明細書に記載及び／又は図示される他の任意のステップ、方法、若しくは処理を実施し、及び／又はそれを実施するための手段となり得る。

コンピューティングシステム６１０は、コンピュータ可読命令を実行することが可能な任意のシングル若しくはマルチプロセッサのコンピューティングデバイス又はシステムを幅広く表す。コンピューティングシステム６１０の例としては、ワークステーション、ラップトップ、クライアント側端末、サーバ、分散型コンピューティングシステム、ハンドヘルドデバイス、又は他の任意のコンピューティングシステム若しくはデバイスが挙げられるが、それらに限定されない。その最も基本的な構成において、コンピューティングシステム６１０は、少なくとも１つのプロセッサ６１４及びシステムメモリ６１６を含んでもよい。

プロセッサ６１４は、データの処理又は命令の解釈及び実行が可能な任意のタイプ若しくは形式の物理的処理ユニット（例えば、ハードウェア実装型中央処理ユニット）を、一般に表す。特定の実施形態では、プロセッサ６１４は、ソフトウェアアプリケーション又はモジュールから命令を受信してもよい。これらの命令は、プロセッサ６１４に、本明細書において記載及び／又は図示される例示的な実施形態のうちの１つ以上の機能を実施させてもよい。

システムメモリ６１６は、データ及び／又は他のコンピュータ可読命令を格納することが可能な、任意のタイプ又は形式の揮発性若しくは不揮発性記憶デバイス又は媒体を、一般に表す。システムメモリ６１６の例としては、ランダムアクセスメモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）、フラッシュメモリ、又は任意の他の好適なメモリデバイスが挙げられるが、それらに限定されない。必須ではないが、特定の実施形態では、コンピューティングシステム６１０は、揮発性メモリユニット（例えば、システムメモリ６１６等）、及び不揮発性記憶デバイス（例えば、詳細に後述するような、一次記憶デバイス６３２等）の両方を含み得る。１つの実施例では、図１のモジュール１０２のうちの１つ以上がシステムメモリ６１６にロードされ得る。

特定の実施形態では、例示的なコンピューティングシステム６１０は、また、プロセッサ６１４及びシステムメモリ６１６に加えて、１つ以上の構成要素又は要素を含んでもよい。例えば、図６に示されるように、コンピューティングシステム６１０は、メモリコントローラ６１８、入力／出力（Ｉ／Ｏ）コントローラ６２０、及び通信インターフェース６２２を含んでもよいが、それらはそれぞれ通信基盤６１２を介して相互接続されてもよい。通信基盤６１２は、コンピューティングデバイスの１つ以上の構成要素間の通信を容易にすることができる、任意のタイプ又は形式の基盤を、一般に表す。通信基盤６１２の例としては、通信バス（産業標準アーキテクチャ（ＩＳＡ）、周辺装置相互接続（ＰＣＩ）、ＰＣＩエクスプレス（ＰＣＩｅ）、又は類似のバスなど）、及びネットワークが挙げられるが、それらに限定されない。

メモリコントローラ６１８は、メモリ若しくはデータを扱うこと、又はコンピューティングシステム６１０の１つ以上の構成要素間の通信を制御することが可能な、任意のタイプ又は形式のデバイスを、一般に表す。例えば、特定の実施形態では、メモリコントローラ６１８は、通信基盤６１２を介して、プロセッサ６１４、システムメモリ６１６、及びＩ／Ｏコントローラ６２０の間の通信を制御してもよい。

Ｉ／Ｏコントローラ６２０は、コンピューティングデバイスの入出力機能を調整及び／又は制御することが可能な、任意のタイプ又は形式のモジュールを、一般に表す。例えば、特定の実施形態では、Ｉ／Ｏコントローラ６２０は、プロセッサ６１４、システムメモリ６１６、通信インターフェース６２２、ディスプレイアダプタ６２６、入力インターフェース６３０、及び記憶インターフェース６３４など、コンピューティングシステム６１０の１つ以上の要素間におけるデータの転送を制御し、又はそれを容易にし得る。

通信インターフェース６２２は、例示的なコンピューティングシステム６１０と１つ以上の追加のデバイスとの間の通信を容易にすることができる、任意のタイプ又は形式の通信デバイス又はアダプタを広く表す。例えば、特定の実施形態では、通信インターフェース６２２は、コンピューティングシステム６１０と、追加のコンピューティングシステムを含む私設又は公衆ネットワークとの間の通信を容易にし得る。通信インターフェース６２２の例としては、有線ネットワークインターフェース（ネットワークインターフェースカードなど）、無線ネットワークインターフェース（無線ネットワークインターフェースカードなど）、モデム、及び他の任意の好適なインターフェースが挙げられるが、それらに限定されない。少なくとも１つの実施形態では、通信インターフェース６２２は、インターネット等のネットワークへの直接リンクを介して、リモートサーバへの直接接続を提供し得る。通信インターフェース６２２はまた、例えば、ローカルエリアネットワーク（イーサネット（登録商標）ネットワークなど）、パーソナルエリアネットワーク、電話若しくはケーブルネットワーク、セルラー電話接続、衛星データ接続、又は他の任意の好適な接続を通して、リモートサーバへの接続を間接的に提供し得る。

特定の実施形態では、通信インターフェース６２２はまた、外部バス又は通信チャネルを介して、コンピューティングシステム６１０と１つ以上の追加のネットワーク又は記憶デバイスとの間の通信を容易にするように構成された、ホストアダプタを表し得る。ホストアダプタの例としては、非限定的に、小型コンピュータシステムインターフェース（ＳＣＳＩ）ホストアダプタ、ユニバーサルシリアルバス（ＵＳＢ）ホストアダプタ、米国電気電子学会（ＩＥＥＥ）１３９４ホストアダプタ、アドバンストテクノロジーアタッチメント（ＡＴＡ）、パラレルＡＴＡ（ＰＡＴＡ）、シリアルＡＴＡ（ＳＡＴＡ）、及び外部ＳＡＴＡ（ｅＳＡＴＡ）ホストアダプタ、ファイバーチャネルインターフェースアダプタ、イーサネット（登録商標）アダプタなどが挙げられる。通信インターフェース６２２はまた、コンピューティングシステム６１０が分散型又はリモートコンピューティングに関与することを可能にし得る。例えば、通信インターフェース６２２は、実行のためにリモートデバイスから命令を受信、又はリモートデバイスに命令を送信し得る。

図６に示すように、コンピューティングシステム６１０はまた、ディスプレイアダプタ６２６を介して通信基盤６１２に連結される少なくとも１つのディスプレイデバイス６２４を含み得る。ディスプレイデバイス６２４は、ディスプレイアダプタ６２６によって転送される情報を視覚的に表示することができる、任意のタイプ若しくは形態のデバイスを、一般に表す。同様に、ディスプレイアダプタ６２６は、ディスプレイデバイス６２４に表示するために、通信基盤６１２から（又は当該技術分野において既知であるように、フレームバッファから）グラフィックス、テキスト、及び他のデータを転送するように構成された、任意のタイプ若しくは形態のデバイスを、一般に表す。

図６に示すように、例示的なコンピューティングシステム６１０はまた、入力インターフェース６３０を介して通信基盤６１２に連結される少なくとも１つの入力デバイス６２８を含み得る。入力デバイス６２８は、コンピュータ又は人間のいずれかが生成した入力を、例示的なコンピューティングシステム６１０に提供することができる、任意のタイプ若しくは形態の入力デバイスを、一般に表す。入力デバイス６２８の例としては、キーボード、ポインティングデバイス、音声認識デバイス、又は他の任意の入力デバイスが挙げられるが、それらに限られない。

図６に示すように、例示的なコンピューティングシステム６１０はまた、記憶インターフェース６３４を介して通信基盤６１２に連結される、一次記憶デバイス６３２及びバックアップ記憶デバイス６３３を含み得る。記憶デバイス６３２及び６３３は、データ及び／又は他のコンピュータ可読命令を格納することができる、任意のタイプ若しくは形式の記憶デバイス又は媒体を、一般に表す。例えば、記憶デバイス６３２及び６３３は、磁気ディスクドライブ（例えば、いわゆるハードドライブ）、ソリッドステートドライブ、フロッピーディスクドライブ、磁気テープドライブ、光ディスクドライブ、フラッシュドライブなどであり得る。記憶インターフェース６３４は、記憶デバイス６３２及び６３３とコンピューティングシステム６１０の他の構成要素との間でデータを転送するための、任意のタイプ若しくは形式のインターフェース又はデバイスを、一般に表す。一実施例では、図１のデータベース１２０は、一次記憶デバイス６３２内に格納され得る。

特定の実施形態では、記憶デバイス６３２及び６３３は、コンピュータソフトウェア、データ、又は他のコンピュータ可読情報を格納するように構成された取外し可能な記憶ユニットから読み取る、及び／又はそれに書き込むように構成され得る。好適な取外し可能な記憶ユニットの例としては、非限定的に、フロッピーディスク、磁気テープ、光ディスク、フラッシュメモリデバイスなどが挙げられる。記憶デバイス６３２及び６３３はまた、コンピュータソフトウェア、データ、又は他のコンピュータ可読命令が、コンピューティングシステム６１０にロードされることを可能にする、他の同様の構造体又はデバイスを含み得る。例えば、記憶デバイス６３２及び６３３は、ソフトウェア、データ、又は他のコンピュータ可読情報を読み取るように、及びこれを書き込むように構成され得る。記憶デバイス６３２及び６３３はまた、コンピューティングシステム６１０の一部であってもよく、又は他のインターフェースシステムを介してアクセスされる別個のデバイスであってもよい。

他の多くのデバイス又はサブシステムが、コンピューティングシステム６１０に接続され得る。反対に、図６に示す構成要素及びデバイスの全てが、本明細書に記載及び／又は図示される実施形態を実践するために存在する必要があるわけではない。上記で言及したデバイス及びサブシステムはまた、図６に示されるのとは異なる方法で相互接続され得る。コンピューティングシステム６１０はまた、任意の数のソフトウェア、ファームウェア、及び／又はハードウェアの構成を用い得る。例えば、本明細書で開示する例示的な実施形態の１つ以上は、コンピュータ可読媒体上で、コンピュータプログラム（コンピュータソフトウェア、ソフトウェアアプリケーション、コンピュータ可読命令、又はコンピュータ制御論理とも称される）としてコード化されてもよい。「コンピュータ可読媒体」という用語は、本明細書で使用するとき、一般に、コンピュータ可読命令を格納又は保有することができる、任意の形態のデバイス、キャリア、又は媒体を指す。コンピュータ可読媒体の例としては、非限定的に、搬送波などの伝送型媒体、並びに磁気記憶媒体（例えば、ハードディスクドライブ、テープドライブ、及びフロッピーディスク）、光学記憶媒体（例えば、コンパクトディスク（ＣＤ）、デジタルビデオディスク（ＤＶＤ）、及びブルーレイ（ＢＬＵ−ＲＡＹ）ディスク）、電子記憶媒体（例えば、ソリッドステートドライブ及びフラッシュメディア）、及び他の分散システムなどの非一時的媒体が挙げられる。

コンピュータプログラムを包含するコンピュータ可読媒体は、コンピューティングシステム６１０にロードされ得る。コンピュータ可読媒体に格納されたコンピュータプログラムの全て又は一部は、次に、システムメモリ６１６に、及び／又は記憶デバイス６３２及び６３３の様々な部分に格納され得る。プロセッサ６１４によって実行されると、コンピューティングシステム６１０にロードされたコンピュータプログラムは、プロセッサ６１４に、本明細書に記載及び／又は図示される例示的な実施形態のうちの１つ以上の機能を実施させ、及び／又はそれらを実施するための手段となり得る。追加的に又は代替案として、本明細書に記載及び／又は図示される例示的な実施形態の１つ以上は、ファームウェア及び／又はハードウェアに実装されてもよい。例えば、コンピューティングシステム６１０は、本明細書に開示される例示的な実施形態のうちの１つ以上を実装するように適合された特定用途向け集積回路（ＡＳＩＣ）として構成され得る。

図７は、クライアントシステム７１０、７２０、及び７３０、並びにサーバ７４０及び７４５がネットワーク７５０に連結され得る、例示的なネットワークアーキテクチャ７００のブロック図である。上記に詳述したように、ネットワークアーキテクチャ７００の全て又は一部は、単独で又は他の要素と組み合わせて、本明細書に開示されるステップのうちの１つ以上（図３に示されるステップのうちの１つ以上等）を実施し得るが、及び／又はそれを実施するための手段となり得る。ネットワークアーキテクチャ７００の全て又は一部はまた、本開示に記載される他のステップ及び特徴を実施するのに使用され得るか、及び／又はそれを実施するための手段となり得る。

クライアントシステム７１０、７２０、及び７３０は、一般に、図６の例示的なコンピューティングシステム６１０など、任意のタイプ若しくは形態のコンピューティングデバイス又はシステムを表す。同様に、サーバ７４０及び７４５は、様々なデータベースサービスを提供し、及び／又は特定のソフトウェアアプリケーションを実行するように構成された、アプリケーションサーバ又はデータベースサーバなどのコンピューティングデバイス又はシステムを、一般に表す。ネットワーク７５０は、例えばイントラネット、ＷＡＮ、ＬＡＮ、ＰＡＮ、又はインターネットを含む、任意の電気通信又はコンピュータネットワークを、一般に表す。一実施例では、クライアントシステム７１０、７２０、及び／若しくは７３０、並びに／又はサーバ７４０及び／若しくは７４５は、図１からのシステム１００の全て、又は一部を含み得る。

図７に示すように、１つ以上の記憶デバイス７６０（１）〜（Ｎ）はサーバ７４０に直接取り付けられてもよい。同様に、１つ以上の記憶デバイス７７０（１）〜（Ｎ）は、サーバ７４５に直接取り付けられ得る。記憶デバイス７６０（１）〜（Ｎ）及び記憶デバイス７７０（１）〜（Ｎ）は、データ及び／又は他のコンピュータ可読命令を格納することができる、任意のタイプ若しくは形態の記憶デバイス又は媒体を、一般に表す。特定の実施形態では、記憶デバイス７６０（１）〜（Ｎ）及び記憶デバイス７７０（１）〜（Ｎ）は、ネットワークファイルシステム（ＮＦＳ）、サーバメッセージブロック（ＳＭＢ）、又は共通インターネットファイルシステム（ＣＩＦＳ）などの様々なプロトコルを使用して、サーバ７４０及び７４５と通信するように構成されたネットワーク接続ストレージ（ＮＡＳ）デバイスを表し得る。

サーバ７４０及び７４５はまた、ストレージエリアネットワーク（ＳＡＮ）ファブリック７８０に接続され得る。ＳＡＮファブリック７８０は、複数の記憶デバイス間の通信を容易にすることができる、任意のタイプ若しくは形式のコンピュータネットワーク又はアーキテクチャを、一般に表す。ＳＡＮファブリック７８０は、サーバ７４０及び７４５と、複数の記憶デバイス７９０（１）〜（Ｎ）及び／又はインテリジェント記憶アレイ７９５との間の通信を容易にし得る。ＳＡＮファブリック７８０はまた、記憶デバイス７９０（１）〜（Ｎ）及びインテリジェント記憶アレイ７９５が、クライアントシステム７１０、７２０、及び７３０にローカルで取り付けられたデバイスとして現れるような方式で、ネットワーク７５０並びにサーバ７４０及び７４５を介して、クライアントシステム７１０、７２０、及び７３０と、記憶デバイス７９０（１）〜（Ｎ）及び／又はインテリジェント記憶アレイ７９５との間の通信を容易にし得る。記憶デバイス７６０（１）〜（Ｎ）及び記憶デバイス７７０（１）〜（Ｎ）と同様に、記憶デバイス７９０（１）〜（Ｎ）及びインテリジェント記憶アレイ７９５は、データ及び／又は他のコンピュータ可読命令を格納することができる任意のタイプ若しくは形態の記憶デバイス又は媒体を、一般に表す。

特定の実施形態では、また図６の例示的なコンピューティングシステム６１０を参照すると、図６の通信インターフェース６２２などの通信インターフェースは、それぞれのクライアントシステム７１０、７２０、及び７３０とネットワーク７５０との間の接続を提供するために使用され得る。クライアントシステム７１０、７２０、及び７３０は、例えば、ウェブブラウザ又は他のクライアントソフトウェアを使用して、サーバ７４０又は７４５上の情報にアクセスすることが可能であり得る。かかるソフトウェアは、クライアントシステム７１０、７２０、及び７３０が、サーバ７４０、サーバ７４５、記憶デバイス７６０（１）〜（Ｎ）、記憶デバイス７７０（１）〜（Ｎ）、記憶デバイス７９０（１）〜（Ｎ）、又はインテリジェント記憶アレイ７９５によってホストされるデータにアクセスすることを可能にし得る。図７は、データを交換するために（インターネットなどの）ネットワークを使用することを示しているが、本明細書に記載及び／又は図示される実施形態は、インターネット又は任意の特定のネットワークベースの環境に限定されない。

少なくとも１つの実施形態では、本明細書に開示される例示的な実施形態のうちの１つ以上の全て又は一部は、コンピュータプログラムとしてコード化され、サーバ７４０、サーバ７４５、記憶デバイス７６０（１）〜（Ｎ）、記憶デバイス７７０（１）〜（Ｎ）、記憶デバイス７９０（１）〜（Ｎ）、インテリジェント記憶アレイ７９５、又はこれらの任意の組み合わせ上にロードされ、これらによって実行され得る。本明細書に開示される例示的な実施形態のうちの１つ以上の全て又は一部はまた、コンピュータプログラムとしてコード化され、サーバ７４０に記憶され、サーバ７４５によって作動し、ネットワーク７５０上でクライアントシステム７１０、７２０、及び７３０に配信されてもよい。

上記に詳述されたように、コンピューティングシステム６１０及び／又はネットワークアーキテクチャ７００の１つ以上の構成要素は、単独で、又は他の要素と組み合わせて、ユーザ行為に基づく悪意のあるダウンロードリスクを判定するための例示的な方法のうちの１つ以上のステップを実施し得る、及び／又は実施するための手段であり得る。

前述の開示は、特定のブロック図、フローチャート、及び実施例を使用して様々な実施形態を記載しているが、本明細書に記載及び／又は図示されるそれぞれのブロック図の構成要素、フローチャートのステップ、動作、及び／又は構成要素は、個別にかつ／又は集合的に、広範なハードウェア、ソフトウェア、又はファームウェア（若しくはそれらの任意の組み合わせ）の構成を使用して実現されてもよい。それに加えて、同じ機能性を達成するように他の多くのアーキテクチャを実現することができるので、他の構成要素内に包含される構成要素のあらゆる開示は、本質的に例示と見なされるべきである。

一部の実施例では、図１の例示的なシステム１００の全て又は一部は、クラウドコンピューティング環境又はネットワークベースの環境の一部を表してもよい。クラウドコンピューティング環境は、インターネットを介して、様々なサービス及びアプリケーションを提供してもよい。これらのクラウドベースのサービス（例えば、サービスとしてのソフトウェア、サービスとしてのプラットフォーム、サービスとしての基盤など）は、ウェブブラウザ又は他のリモートインターフェースを通してアクセス可能であってもよい。本明細書に記載する様々な機能は、リモートデスクトップ環境又は他の任意のクラウドベースのコンピューティング環境を通して提供されてもよい。

様々な実施形態では、図１の例示的なシステム１００の全て又は一部は、クラウドベースのコンピューティング環境内におけるマルチテナンシーを容易にしてもよい。換言すれば、本明細書に記載するソフトウェアモジュールは、本明細書に記載する機能の１つ以上に対するマルチテナンシーを容易にするように、コンピューティングシステム（例えば、サーバ）を構成してもよい。例えば、本明細書に記載するソフトウェアモジュールの１つ以上は、２つ以上のクライアント（例えば、顧客）がサーバ上で作動しているアプリケーションを共有するのを可能にするように、サーバをプログラムしてもよい。このようにプログラムされたサーバは、複数の顧客（即ち、テナント）の間で、アプリケーション、オペレーティングシステム、処理システム、及び／又は記憶システムを共有してもよい。本明細書に記載するモジュールの１つ以上はまた、ある顧客が別の顧客のデータ及び／又は設定情報にアクセスできないように、顧客ごとにマルチテナントアプリケーションのデータ及び／又は設定情報を分割してもよい。

様々な実施形態によれば、図１の例示的なシステム１００の全て又は一部は仮想環境内で実現されてもよい。例えば、本明細書に記載するモジュール及び／又はデータは、仮想機械内で常駐及び／又は実行してもよい。本明細書で使用するとき、「仮想機械」という用語は、一般に、仮想機械マネージャ（例えば、ハイパーバイザ）によってコンピューティングハードウェアから抽出される、任意のオペレーティングシステム環境を指す。それに加えて、又は別の方法として、本明細書に記載するモジュール及び／又はデータは、仮想化層内で常駐及び／又は実行してもよい。本明細書で使用するとき、「仮想化層」という用語は、一般に、オペレーティングシステム環境にオーバーレイする、並びに／あるいはそこから抽出される、任意のデータ層及び／又はアプリケーション層を指す。仮想化層は、基礎となる基本オペレーティングシステムの一部であるかのように仮想化層を提示する、ソフトウェア仮想化ソリューション（例えば、ファイルシステムフィルタ）によって管理されてもよい。例えば、ソフトウェア仮想化ソリューションは、最初に基本ファイルシステム及び／又はレジストリ内の場所に方向付けられる呼び出しを、仮想化層内の場所にリダイレクトしてもよい。

一部の実施例では、図１の例示的なシステム１００の全て又は一部は、モバイルコンピューティング環境の一部を表してもよい。モバイルコンピューティング環境は、携帯電話、タブレットコンピュータ、電子ブックリーダー、携帯情報端末、ウェアラブルコンピューティングデバイス（例えば、ヘッドマウントディスプレイを備えたコンピューティングデバイス、スマートウォッチなど）などを含む、広範なモバイルコンピューティングデバイスによって実現されてもよい。一部の実施例において、モバイルコンピューティング環境は、例えば、バッテリ電力への依存、任意の所与の時間での１つのみのフォアグラウンドアプリケーションの提示、リモート管理特性、タッチスクリーン特性、位置及び移動データ（例えば、グローバルポジショニングシステム、ジャイロスコープ、加速度計などによって提供される）、システムレベルの構成への修正を制限する、及び／又は第３者のソフトウェアが他のアプリケーションの挙動を検査する能力を限定する制限されたプラットフォーム、アプリケーションのインストールを（例えば、認可されたアプリケーションストアからのみ生じるように）制限する制御などを含む、１つ以上の個別の特性を有することができる。本明細書で説明される様々な機能は、モバイルコンピューティング環境に対して提供され得る、及び／又はモバイルコンピューティング環境と相互作用し得る。

それに加えて、図１の例示的なシステム１００の全て又は一部は、情報管理のための１つ以上のシステムの部分を表してもよく、それと相互作用してもよく、それによって生成されるデータを消費してもよく、かつ／又はそれによって消費されるデータを生成してもよい。本明細書で使用するとき、「情報管理」という用語は、データの保護、組織化、及び／又は記憶を指してもよい。情報管理のためのシステムの例としては、非限定的に、記憶システム、バックアップシステム、アーカイブシステム、複製システム、高可用性システム、データ検索システム、仮想化システムなどを挙げることができる。

一部の実施形態では、図１の例示的なシステム１００の全て又は一部は、情報セキュリティのための１つ以上のシステムの部分を表してもよく、それによって保護されるデータを生成してもよく、かつ／又はそれと通信してもよい。本明細書で使用するとき、「情報セキュリティ」という用語は、保護されたデータに対するアクセスの制御を指してもよい。情報セキュリティのためのシステムの例としては、非限定的に、管理されたセキュリティサービスを提供するシステム、データ損失防止システム、本人認証システム、アクセス制御システム、暗号化システム、ポリシー遵守システム、侵入検出及び防止システム、電子証拠開示システムなどを挙げることができる。

一部の実施例によれば、図１の例示的なシステム１００の全て又は一部は、エンドポイントセキュリティのための１つ以上のシステムの部分を表してもよく、それと通信してもよく、かつ／又はそれから保護を受けてもよい。本明細書で使用するとき、「エンドポイントセキュリティ」という用語は、不正及び／若しくは違法な使用、アクセス、並びに／又は制御からのエンドポイントシステムの保護を指してもよい。エンドポイント保護のためのシステムの例としては、非限定的に、アンチマルウェアシステム、ユーザ認証システム、暗号化システム、プライバシーシステム、スパムフィルタリングサービスなどを挙げることができる。

本明細書に記載及び／又は図示されるプロセスパラメータ及びステップの順序は、単なる例として与えられるものであり、所望に応じて変更することができる。例えば、本明細書に図示及び／又は記載されるステップは特定の順序で図示又は考察されることがあるが、これらのステップは、必ずしも図示又は考察される順序で実施される必要はない。本明細書に記載及び／又は図示される様々な例示的な方法はまた、本明細書に記載若しくは図示されるステップの１つ以上を省略するか、又は開示されるものに加えて追加のステップを含んでもよい。

様々な実施形態を、完全に機能的なコンピューティングシステムの文脈で本明細書に記載及び／又は図示してきたが、これらの例示的な実施形態の１つ以上は、実際に配布を実施するのに使用されるコンピュータ可読媒体の特定のタイプにかかわらず、様々な形態のプログラム製品として配布されてもよい。本明細書に開示される実施形態はまた、特定のタスクを実施するソフトウェアモジュールを使用して実現されてもよい。これらのソフトウェアモジュールは、コンピュータ可読記憶媒体又はコンピューティングシステムに格納されてもよい、スクリプト、バッチ、若しくは他の実行可能ファイルを含んでもよい。一部の実施形態では、これらのソフトウェアモジュールは、本明細書に開示される例示的な実施形態の１つ以上を実施するようにコンピューティングシステムを構成してもよい。

それに加えて、本明細書に記載するモジュールの１つ以上は、データ、物理的デバイス、及び／又は物理的デバイスの表現を、１つの形態から別の形態へと変換してもよい。例えば、本明細書で列挙されたモジュールのうちの１つ以上のものは、変換されるべきダウンロードデータを受け取ってもよく、ダウンロードデータをダウンロード行為のパターンに変換してもよく、データベースに変換の結果を出力してもよく、悪意のあるダウンロードリスクを判定するために変換の結果を使用してもよく、そして、データベースに変換の結果を格納してもよい。それに加えて、又は別の方法として、本明細書に列挙されるモジュールの１つ以上は、コンピューティングデバイス上で実行し、コンピューティングデバイスにデータを格納し、並びに／あるいは別の方法でコンピューティングデバイスと相互作用することによって、プロセッサ、揮発性メモリ、不揮発性メモリ、及び／又は物理的コンピューティングデバイスの他の任意の部分を、１つの形態から別の形態へと変換してもよい。

上述の記載は、本明細書に開示される例示的な実施形態の様々な態様を他の当業者が最良に利用するのを可能にするために提供されてきた。この例示的な記載は、網羅的であることを意図するものではなく、又は開示される任意の正確な形態に限定することを意図するものではない。本開示の趣旨及び範囲から逸脱することなく、多くの修正及び変形が可能である。本明細書に開示される実施形態は、あらゆる点で例示的であり、限定的ではないものと見なされるべきである。本開示の範囲を決定する際に、添付の特許請求の範囲及びそれらの等価物を参照するべきである。

別途記載のない限り、「〜に接続される」及び「〜に連結される」という用語（並びにそれらの派生語）は、本明細書及び特許請求の範囲で使用するとき、直接的接続及び間接的接続（即ち、他の要素若しくは構成要素を介する）の両方を許容するものとして解釈されるものである。それに加えて、「ａ」又は「ａｎ」という用語は、本明細書及び特許請求の範囲で使用するとき、「〜のうち少なくとも１つ」を意味するものとして解釈されるものである。最後に、簡潔にするため、「含む」及び「有する」という用語（並びにそれらの派生語）は、本明細書及び特許請求の範囲で使用するとき、「備える」という単語と互換性があり、同じ意味を有する。

Claims (15)

1. ユーザ行為に基づく悪意のあるダウンロードリスクを判定するためのコンピュータ実装方法であって、前記方法の少なくとも一部分が、少なくとも１つのプロセッサを備えるコンピューティングデバイスによって実行され、前記方法は、
   悪意のあるダウンロードに対してハイリスクであるハイリスクユーザの集合と、悪意のあるダウンロードに対してローリスクであるローリスクユーザの集合とを識別することと、
   前記コンピューティングデバイスで実行する機械学習アルゴリズムによって、前記ハイリスクユーザの集合によって共有され、かつ前記ローリスクユーザの集合によっては共有されないダウンロード行為のハイリスクパターンを判定することと、
   ダウンロード行為をハイリスク又はローリスクに分類するために、所定の期間にわたって分類されていないユーザの前記ダウンロード行為を解析することと、
   前記分類されていないユーザの前記ダウンロード行為が、前記ダウンロード行為のハイリスクパターンの所定の類似度閾値内に入ると判定することに応じて、前記分類されていないユーザをハイリスクユーザに分類することと、
   を含み、前記ダウンロード行為のハイリスクパターンは、他のユーザによって使用されるコンピューティングデバイスのうち所定のパーセンテージに満たないコンピューティングデバイスにて見出される少なくとも１つのファイルをダウンロードすることを含む、コンピュータ実装方法。
2. マルウエアに感染する前記ハイリスクユーザのリスクを低減するために、前記ハイリスクユーザのセキュリティ体制を強化することを更に含む、請求項１に記載のコンピュータ実装方法。
3. 前記ハイリスクユーザについての追加のデータを収集することを更に含み、それにより、
   マルウエア感染を予測することでの前記ダウンロード行為のハイリスクパターンの精度を改善することと、
   追加のマルウエア感染予測システムの精度を改善することと、
   のうちの少なくとも１つを行う、請求項１に記載のコンピュータ実装方法。
4. マルウエアに感染する組織によって使用されるコンピューティングデバイスのリスクを低減するために、前記ハイリスクユーザを含む前記組織のセキュリティ体制を強化することを更に含む、請求項１に記載のコンピュータ実装方法。
5. 前記ハイリスクユーザの集合と前記ローリスクユーザの集合とを識別することが、
   所定のダウンロード監視期間にわたって分類されていないユーザの集合のダウンロード行為を監視することと、
   前記所定のダウンロード監視期間中にマルウエアに感染したコンピューティングデバイスのユーザを前記ハイリスクユーザの集合に分類することと、
   前記所定のダウンロード監視期間中にマルウエアに感染しなかったコンピューティングデバイスのユーザを前記ローリスクユーザの集合に分類することと、
   を含む、請求項１に記載のコンピュータ実装方法。
6. 前記ダウンロード行為のハイリスクパターンが、
   ファイルをダウンロードするために前記ハイリスクユーザによって使用されるコンピューティングデバイスでのファイルの総数と、
   ファイルをダウンロードするために前記ハイリスクユーザによって使用されるコンピューティングデバイスでの少なくとも１つのファイルに適用され、かつ所定の評判スコア閾値以下である評判スコアと、
   ファイルをダウンロードするために前記ハイリスクユーザによって使用されるコンピューティングデバイスにあり、かつ別のユーザによって使用されるコンピューティングデバイスでの所定の度数閾値以下である少なくとも１つのファイルと、
   ファイルをダウンロードするために前記ハイリスクユーザによって使用されるコンピューティングデバイスでの少なくとも１つのファイルのダウンロードのタイムスタンプと、
   ファイルをダウンロードするために前記ハイリスクユーザによって使用されるコンピューティングデバイスでの少なくとも１つのファイルの分類と、
   のうちの少なくとも１つを含む、請求項１に記載のコンピュータ実装方法。
7. 前記ダウンロード行為のハイリスクパターンが、
   ファイルをダウンロードするために前記ハイリスクユーザによって使用されるコンピューティングデバイスでの異なるファイルネームの総数と、
   ファイルをダウンロードするために前記ハイリスクユーザによって使用されるコンピューティングデバイスでの少なくとも１つの異なるファイルネームに適用され、かつ所定の評判スコア閾値以下である評判スコアと、
   ファイルをダウンロードするために前記ハイリスクユーザによって使用されるコンピューティングデバイスにあり、かつ別のユーザによって使用されるコンピューティングデバイスでの所定の度数閾値以下である少なくとも１つの異なるファイルネームと、
   ファイルをダウンロードするために前記ハイリスクユーザによって使用されるコンピューティングデバイスでの少なくとも１つの異なるファイルネームのダウンロードのタイムスタンプと、
   のうちの少なくとも１つを含む、請求項１に記載のコンピュータ実装方法。
8. ユーザ行為に基づく悪意のあるダウンロードリスクを判定するためのシステムであって、前記システムは、
   悪意のあるダウンロードに対してハイリスクであるハイリスクユーザの集合と悪意のあるダウンロードに対してローリスクであるローリスクユーザの集合とを識別するための手段と、
   コンピューティングデバイスで実行する機械学習アルゴリズムによって、前記ハイリスクユーザの集合によって共有され、かつ前記ローリスクユーザの集合によっては共有されないダウンロード行為のハイリスクパターンを判定するための手段と、
   ダウンロード行為をハイリスク又はローリスクに分類するために、所定の期間にわたって分類されていないユーザの前記ダウンロード行為を解析するための手段と、
   前記分類されていないユーザのダウンロード行為が、前記ダウンロード行為の前記ハイリスクパターンの所定の類似度閾値内に入ると判定することに応じて、前記分類されていないユーザをハイリスクユーザに分類するための手段であって、前記ダウンロード行為のハイリスクパターンは、他のユーザによって使用されるコンピューティングデバイスのうち所定のパーセンテージに満たないコンピューティングデバイスにて見出される少なくとも１つのファイルをダウンロードすることを含む、手段と、
   前記識別するための手段、前記判定するための手段、前記解析するための手段、及び前記分類するための手段を実行するように構成された少なくとも１つの物理的プロセッサと、
   を備える、システム。
9. マルウエアに感染する前記ハイリスクユーザのリスクを低減するために、前記ハイリスクユーザのセキュリティ体制を強化するための手段を更に備える、請求項８に記載のシステム。
10. 前記ハイリスクユーザについての追加のデータを収集するための手段を更に備え、それにより、
    マルウエア感染を予測することでの前記ダウンロード行為のハイリスクパターンの精度を改善することと、
    追加のマルウエア感染予測システムの精度を改善することと、
    のうちの少なくとも１つを行う、請求項８に記載のシステム。
11. マルウエアに感染する組織によって使用されるコンピューティングデバイスのリスクを低減するために、前記ハイリスクユーザを含む組織のセキュリティ体制を強化するための手段を更に備える、請求項８に記載のシステム。
12. 前記識別するための手段が、前記ハイリスクユーザの集合と前記ローリスクユーザの集合とを、
    所定のダウンロード監視期間にわたって分類されていないユーザの集合のダウンロード行為を監視することと、
    前記所定のダウンロード監視期間中にマルウエアに感染したコンピューティングデバイスのユーザを前記ハイリスクユーザの集合に分類することと、
    前記所定のダウンロード監視期間中にマルウエアに感染しなかったコンピューティングデバイスのユーザを前記ローリスクユーザの集合に分類することと、
    によって識別する、請求項８に記載のシステム。
13. 前記ダウンロード行為のハイリスクパターンが、
    ファイルをダウンロードするために前記ハイリスクユーザによって使用されるコンピューティングデバイスでのファイルの総数と、
    ファイルをダウンロードするために前記ハイリスクユーザによって使用されるコンピューティングデバイスでの少なくとも１つのファイルに適用され、かつ所定の評判スコア閾値以下である評判スコアと、
    ファイルをダウンロードするために前記ハイリスクユーザによって使用されるコンピューティングデバイスにあり、かつ別のユーザによって使用されるコンピューティングデバイスでの所定の度数閾値以下である少なくとも１つのファイルと、
    ファイルをダウンロードするために前記ハイリスクユーザによって使用されるコンピューティングデバイスでの少なくとも１つのファイルのダウンロードのタイムスタンプと、
    ファイルをダウンロードするために前記ハイリスクユーザによって使用されるコンピューティングデバイスでの少なくとも１つのファイルの分類と、
    のうちの少なくとも１つを含む、請求項８に記載のシステム。
14. 前記ダウンロード行為のハイリスクパターンが、
    ファイルをダウンロードするために前記ハイリスクユーザによって使用されるコンピューティングデバイスでの異なるファイルネームの総数と、
    ファイルをダウンロードするために前記ハイリスクユーザによって使用されるコンピューティングデバイスでの少なくとも１つの異なるファイルネームに適用され、かつ所定の評判スコア閾値以下である評判スコアと、
    ファイルをダウンロードするために前記ハイリスクユーザによって使用されるコンピューティングデバイスにあり、かつ別のユーザによって使用されるコンピューティングデバイスでの所定の度数閾値以下である少なくとも１つの異なるファイルネームと、
    ファイルをダウンロードするために前記ハイリスクユーザによって使用されるコンピューティングデバイスでの少なくとも１つの異なるファイルネームのダウンロードのタイムスタンプと、
    のうちの少なくとも１つを含む、請求項８に記載のシステム。
15. １つ以上のコンピュータ可読命令を含む非一時的コンピュータ可読媒体であって、前記命令は、コンピューティングデバイスの少なくとも１つのプロセッサによって実行されるとき、前記コンピューティングデバイスに、
    悪意のあるダウンロードに対してハイリスクであるハイリスクユーザの集合と悪意のあるダウンロードに対してローリスクであるローリスクユーザの集合とを識別することと、
    前記コンピューティングデバイスで実行する機械学習アルゴリズムによって、前記ハイリスクユーザの集合によって共有され、かつ前記ローリスクユーザの集合によっては共有されないダウンロード行為のハイリスクパターンを判定することと、
    ダウンロード行為をハイリスク又はローリスクに分類するために、所定の期間にわたって分類されていないユーザの前記ダウンロード行為を解析することと、
    前記分類されていないユーザの前記ダウンロード行為が前記ダウンロード行為のハイリスクパターンの所定の類似度閾値内に入ると判定することに応じて、前記分類されていないユーザをハイリスクユーザに分類することであって、前記ダウンロード行為のハイリスクパターンは、他のユーザによって使用されるコンピューティングデバイスのうち所定のパーセンテージに満たないコンピューティングデバイスにて見出される少なくとも１つのファイルをダウンロードすることを含む、ことと、
    を行わせる、非一時的コンピュータ可読媒体。
    

Images