JP6736657B2 - 標準化されたフォーマットでサイバー脅威情報を安全に配送し交換するコンピュータ化されたシステム - Google Patents

Description

（関連出願の相互参照）
本特許出願は、２０１５年４月１７日出願の米国仮特許出願番号６２／１４９，１２１について、３５Ｕ．Ｓ．Ｃ．セクション１１９（ｅ）に基づく利益を受けるものであり、そのすべてを本出願に組み込むものとする。

本発明は、公共施設が標準化されたフォーマットでサイバー脅威情報を安全に交換し、分配し、そして受け取るようにするためのコンピュータで実施されるシステム及び方法に関する。より詳しくは、本発明は、ａ）サイバー脅威情報を分散型ローカルリポジトリ同士で直接的に安全に交換させるのみならず、中央リポジトリと分散型ローカルリポジトリとの間で安全に交換させるシステム、及び、ｂ）サイバー脅威情報を公共施設同士で安全に交換させる標準化された方法に関する。

過去数十年にわたって、公共施設も個人も含めて、世界経済は、ますますコンピュータ化されたシステムに依存するようになってきている。毎日コンピュータシステム及びユーザにより作られるデータ量は、すでに大量になっており（２０１２年では、１日当たり約２．５エクサバイト）、個人及び公共施設のコンピュータシステムへの依存は、最近の携帯デバイス、クラウドコンピューティング、及びいわゆる「モノのインターネット」によりさらに増大すると見込まれている。

このようにコンピュータの能力が増大することで生産性及び効率が上がるという利点がある一方、（ハッカー、サイバー犯罪者、巧妙な組織化された犯罪集団、及びテロリストを含む）悪事を働く者に対する動機づけも増大させている。これらの悪事を働く者は、さまざまな理由により、コンピュータ化されたシステムのセキュリティをしばしば破ろうとする。例えば、このような悪事を働く者は、個人情報の着服、企業からの企業秘密の取得、政府の秘密事項や軍事機密の暴露、或いは、公共施設の重要な構造基盤への危害をもくろむことがある。

このようなサイバー脅威は、数が増えているだけでなく、その複雑性や影響力も大きくなっている。「クラウド中の」リポジトリにデータを置いている公共施設は、情報を盗まれる可能性及び、単一のリポジトリにアクセス権を得たハッカーにより危機に陥る可能性に直面している。従業員に安全なコンピュータ化されたシステムにアクセスすることのできるパーソナル携帯デバイスを使うことを許可している会社は、これら個人のパーソナルスマートフォンに導入された有害ソフトに対して脆弱性を有する。サイバー攻撃により加えられる潜在的な損害の可能性が増大しているので、悪意のあるエンティティによりそのような攻撃を加える方法もまた増えている。

個人や公共施設が直面しているサイバー攻撃の脅威は、深刻なものとなる可能性があると思われる一方、悪意のある者に対する防御は単純なものとすることができる。すなわち、対象となる個人と公共施設との間でサイバー脅威情報を公然と共有することである。サイバー脅威情報を共有し分配するシステムは、一人のメンバーにより検出されたサイバー攻撃の攻撃源及び攻撃方法を共有することで「免疫システム」としての役割を果たすことができ、システムの残りのメンバーにはこのようなサイバー脅威に対して「予防接種」を行うことができることになる。例えば、悪意のあるＩＰアドレスを情報共有システムの他のユーザに分配することができ、このユーザはこのＩＰアドレスが自分たちのネットワークにアクセスすることを防止することができる。検出されたマルウェアのファイルネームの一部を他の会社と共有することができ、他の会社は従業員にこの悪意のあるソフトウェアをパーソナル機器にダウンロード又はインストールしないよう警告することができる。従って、サイバー攻撃が成功しても、この成功した攻撃についての情報を共有することは、サイバー攻撃を行った者の将来行おうとする企てを検出し防止することの手助けとなる。

脅威の共有という概念は単純であると思われる一方、脅威情報の共有を通じてサイバー脅威に効果的に立ち向かうシステム及び方法を実装する試みは不十分であった。例えば、米国国土安全保障省のＣｙｂｅｒｓｅｃｕｒｉｔｙ ａｎｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｈａｒｉｎｇ ａｎｄ Ｃｏｌｌａｂｏｒａｔｉｏｎ Ｐｒｏｇｒａｍ（ＣＩＳＣＰ）は、現時点のセキュリティの脅威及びシステムの脆弱性、システムへの脅威に立ち向かい処置する方法、及び一般大衆への最良のプラクティスについて共有する文書を発行することで、サイバー脅威に立ち向かおうとしてきた。ＣＩＳＣＰの提言は有益であるが、エンティティは、各文書に記載された脅威に対して手動で対処しなければならず、特定した修復方法を手動で実行しなければならず、時間とコストの掛かる処理となっている。１つのＣＩＳＣＰ情報文書を処理するために平均７時間かかり、全ＣＩＳＣＰ情報文書を処理するために１つの施設当たり数千万ドルのコストが必要と見積もられている。その結果、参加しているエンティティは、ＣＩＳＣＰにより発行されたサイバー脅威の一部に対して処理し防止しているのみである。

既存のサイバー脅威共有ネットワークの他の例として、Ｒｅｓｅａｒｃｈ ａｎｄ Ｅｄｕｃａｔｉｏｎ Ｎｅｔｗｏｒｋｉｎｇ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｈａｒｉｎｇ ａｎｄ Ａｎａｌｙｓｉｓ Ｃｅｎｔｅｒ（ＲＥＮ−ＩＳＡＣ）があり、研究及び高等教育施設の国際的な共同体である。残念ながら、ＲＥＮ−ＩＳＡＣのメンバーである単科大学や総合大学は、ＲＥＮ-ＩＳＡＣは、標準化されたフォーマットで脅威情報を共有していないので、ＣＩＳＣＰのように脅威情報を自動的に共有し処理するようになっていない。メンバーである学校は、好みのどのような独自のフォーマットででも脅威情報を共有することができ、他のメンバーである施設に各脅威情報を手動で処理し作用させるという時間のかかる処理を強要する。

組織が直面する増大するサイバー脅威を手動で処理するコスト（時間資源および経済資源の両方）が増大しているので、特定されたサイバー脅威に対する防衛的対策の実行のみならず、サイバー脅威情報の共有及び処理を自動化する方法が必要とされている。脅威情報共有システムを自動化することにより、これらのコンピュータ化したシステムの力が、脅威となる悪意を持つエンティティに対して発揮される。同時に、しかしながら、サイバー脅威による攻撃は細心の注意を払うべき特性を有するので、施設や個人は、細心の注意を払うべきプライバシー、セキュリティ、及び、世評に損傷を与えるのを防止するために、共有すべき検出されたサイバー脅威、脅威の共有方法、共有している他のエンティティについて制御する能力を有することが望ましい。

本発明は、特定の実施の形態において、観測された事象又は特性を共通言語で記述する第１の項目を、脅威情報を保存し分配するための第１のリポジトリにて作成するステップと、脅威情報を保存し分配するための少なくとも１つの他のリポジトリに前記第１の項目を分配するステップとを含む、脅威情報を分配するためのコンピュータ化された方法を指向するものである。

本発明の特定の実施の形態において、前記第１の項目を作成するステップには、前記観測された事象又は特性を前記第１のリポジトリのカスタマイズされた言語で記述する既存の項目を、前記観測された事象又は特性を前記共通言語で記述する前記第１の項目に変換するステップが含まれる。

本発明の特定の実施の形態において、前記コンピュータ化された方法には、脅威情報を保存し分配するための少なくとも１つの他のリポジトリにおいて、前記観測された事象又は特性を前記少なくとも１つの他のリポジトリのカスタマイズされた言語で記述する第２の項目に、前記第１の項目を変換するステップがさらに含まれる。

本発明の特定の実施の形態において、前記共通言語ＳＴＩＸ言語であり、前記第１の項目は、ＴＡＸＩＩ仕様に従い分配される。本発明のさらなる特定の実施の形態において、前記第１の項目は、例えば、観測された事象又は特性、対応する観測された活動のパターン、前記観測された事象又は特性に関連づけられた一連の関連するシステム又はネットワーク活動、観測可能な事象又は特性を引き起こすエンティティの振る舞い又はやり方の説明、前記観測可能な事象又は特性の潜在的な被害者の脆弱性、弱点、又は、構成上の問題、前記観測可能な事象又は特性による影響を防止し、緩和し、修復するためにとることのできる特定のアクション、前記観測可能な事象又は特性を引き起こすエンティティにより実施される関連する活動、及び、前記観測可能な事象又は特性の原因を引き起こすエンティティ、についての記述を含有する。

本発明の特定の実施の形態において、前記第１の項目を分配するステップには、前記第１の項目を他の複数のリポジトリに伝送するステップが含まれ、前記第１のリポジトリ及び前記他の複数のリポジトリは、アクセス管理グループのメンバーである。

本発明の特定の実施の形態において、前記コンピュータ化された方法には、少なくとも１つの他のリポジトリにおいて、前記第１の項目を手動分析または自動分析するステップが含まれる。本発明のさらなる実施の形態において、前記第１の項目を自動分析するステップには、前記観測された事象又は特性に対する応答を実行するか否かを自動的に決定するステップが含まれる。

本発明の特定の実施の形態において、前記コンピュータ化された方法には、前記脅威情報を保存し分配するための前記第１のリポジトリにおいて、複数の観測された事象又は特性を分析するステップがさらに含まれる。本発明のさらなる特定の実施の形態において、前記コンピュータ化された方法には、前記複数の観測された事象又は特性を記述する複数の項目を分析することにより、異なるタイプの情報のグループから少なくとも１つの情報について判断するステップがさらに含まれ、前記異なるタイプの情報には、例えば、前記観測された事象又は特性のうち少なくとも１つを引き起こすエンティティの振る舞い又はやり方の説明、前記観測された事象又は特性のうち少なくとも１つ被害者の脆弱性、弱点、又は、構成上の問題、前記観測された事象又は特性のうち少なくとも１つによる影響を防止し、緩和し、修復するためにとることのできる特定のアクション、前記観測された事象又は特性のうち少なくとも１つを引き起こすエンティティ、及び将来観測される事象又は特性のうち少なくとも１つの予測が含まれる。本発明のさらなる特定の実施の形態において、前記コンピュータ化された方法には、前記少なくとも１つの情報を前記複数の項目のうちの少なくとも１つに追加するステップがさらに含まれる。

本発明の特定の実施の形態において、前記コンピュータ化された方法には、前記観測された事象又は特性を記述する前記第１の項目に品質基準を割り当てるステップがさらに含まれる。本発明のさらなる特定の実施の形態において、信頼性基準は、自動的に割り当てられ、そして、前記観測された事象又は特性を記述する前記第１の項目の作成を引き起こすエンティティの正体、前記観測された事象又は特性のタイプ、前記観測された事象又は特性に関連付けられた関連する一連のシステム又はネットワーク活動、及び、前記観測された事象又は特性の原因を引き起こすエンティティのうちの少なくとも１つに基づく。

本発明は、特定の実施の形態において、脅威情報を保存し分配するためのコンピュータ化されたシステムを指向するものであり、前記システムには、脅威情報を保存し分配するための中央リポジトリ、脅威情報を保存し分配するための複数のローカルリポジトリ、及び、前記中央リポジトリと前記複数のローカルリポジトリとを接続するネットワークが含まれ、前記ネットワークは、脅威情報の項目を前記複数のローカルリポジトリのうちの少なくとも１つから前記中央リポジトリへ伝送し、そして、脅威情報の項目を前記中央リポジトリから前記複数のローカルリポジトリのうちの少なくとも１つへ伝送する。

本発明の特定の実施の形態において、脅威情報を保存し分配するための前記中央リポジトリは、例えば、脅威情報を前記中央リポジトリに伝送するメーカー独自のフィード、脅威情報を前記中央リポジトリに伝送する公的なフィード、及び脅威情報を前記中央リポジトリに伝送する政府のフィードのうちの少なくとも１つと接続されている。

本発明の特定の実施の形態において、脅威情報を保存し分配するための前記複数のローカルリポジトリは、例えば、脅威情報を前記中央リポジトリに伝送するメーカー独自のフィード、脅威情報を前記中央リポジトリに伝送する公的なフィード、及び脅威情報を前記中央リポジトリに伝送する政府のフィードのうちの少なくとも１つと接続されている。

本発明の特定の実施の形態において、前記複数のローカルリポジトリのうちの第１の１つは、脅威情報の項目のうちの少なくとも１つを前記ネットワークを通じて前記中央リポジトリを介して前記複数のローカルリポジトリのうちの少なくとも第２の１つに伝送する。

本発明の特定の実施の形態において、前記複数のローカルリポジトリのうちの第１の１つは、脅威情報のうちの少なくとも１つを前記ネットワークを通じて、直接、前記複数のローカルリポジトリのうちの第２の１つに伝送する。

本発明は、特定の実施の形態において、自動的に脅威情報を交換するためのコンピュータ化されたシステムを指向するものであり、少なくとも１つのマルチコアプロセッサを具備する集中型サーバーであって、前記集中型サーバーは、複数の集中化された脅威情報を含有する中央リポジトリを司り、前記中央リポジトリＭｏｎｇｏＤＢデータベースを具備し、前記集中型サーバーは、ＳＳＬ認証を有することを特徴とする集中型サーバーと、複数の分散サーバーであって、前記分散サーバーの各々は、複数の局部的な脅威情報を含有するローカルリポジトリを司り、前記集中型サーバーは、ＳＳＬ暗号化を用いて、前記複数の集中化された脅威情報のうちの少なくとも一部を前記複数の局部的な脅威情報の少なくとも一部と交換することで、前記複数の分散サーバーの各々と同期することを特徴とする分散サーバーとを含む。

特定の実施の形態において、前記複数の分散サーバーのうちの少なくとも第１の分散サーバーもまた、ＳＳＬ暗号化を用いて、前記第１の分散サーバーのローカルリポジトリからの前記複数の局部的な脅威情報のうちの一部を前記第２の分散サーバーのローカルリポジトリからの前記複数の局部的な脅威情報のうちの一部と交換することで、前記複数の分散サーバーのうちの少なくとも第２の分散サーバーと同期する。

本発明は、特定の実施の形態において、安全に脅威情報を交換する方法を指向するものであり、第１の分散サーバーにて、マシンリーダブル言語にて脅威情報の第１の項目を入力するステップと、前記第１の分散サーバーのＴＡＸＩＩインターフェースにて、脅威情報の前記第１の項目を前記マシンリーダブル言語から前記ＳＴＩＸ言語に変換するステップと、前記第１の分散サーバーのＴＡＸＩＩインターフェースにて、前記変換された脅威情報の第１の項目を、ＳＳＬ暗号化を用いて、集中化されたサーバーに伝送するステップと、暗号化された脅威情報の第２の項目を受け取るステップであって、前記第２の項目は、ＳＴＩＸ言語によるものであり、ＳＳＬ暗号化を用いて暗号化がなされていることを特徴とするステップと、前記ＳＴＩＸ言語による前記第２の項目のＸＭＬスキーマを検証するステップと、前記ＳＴＩＸ言語による暗号化された前記第２の項目を分析するステップと、前記第２の項目を前記ＳＴＩＸフォーマットからマシンリーダブルフォーマットに変換するステップと、前記変換された第２の項目をローカルリポジトリに挿入するステップであって、前記ローカルリポジトリはＭｏｎｇｏＤＢデータベースであることを特徴とするステップと、を含む。

脅威情報を共有するための「ハブアンドスポーク」でコンピュータ化されたシステムの線図である。 アクセス管理グループを含む脅威情報を共有するための「ハブアンドスポーク」でコンピュータ化されたシステムの線図である。 脅威情報を共有するための「ハブアンドスポーク」及び「ピアツーピア」でコンピュータ化されたシステムの線図である。 脅威情報を共有するためのピュータ化されたシステムの線図である。

上述したように、ＲＥＮ‐ＩＳＡＣやＣＩＳＣＰのような例示した脅威情報を共有するための既存の関連付けでは、脅威情報を第１の手動の処理により処理し、処理した脅威情報を（通常、カスタマイズされた又は独自の言語又はフォーマットでメンバーに）分配することで、関連性を共有する他のメンバーと脅威情報を共有する。これらの他のメンバーは、次に、受け取った脅威情報をカスタマイズされた言語から他のメンバーのシステムが理解できる１以上の言語に変換しなければならない。

本発明は、複数の異なるリポジトリに脅威情報を保存し分配するためのコンピュータ化された方法及びシステムを指向するものであり、前記情報は、共通言語でそのリポジトリに分配されリポジトリの間で交換される。共通言語で脅威情報を分配することにより、異なるリポジトリを操作するメンバー個人、公共施設、組織、会社、及び、機関は、サイバー脅威情報の自動化された共有を通じてより効率的にサイバー攻撃の影響を防止し和らげることが出来る。そのようなシステムの１つは、Ｆｉｎａｎｃｉａｌ Ｓｅｒｖｉｃｅｓ−Ｉｎｆｏｒｍａｔｉｏｎ Ｓｈａｒｉｎｇ ａｎｄ Ａｎａｌｙｓｉｓ Ｃｅｎｔｅｒ（ＦＳ−ＩＳＡＣ）のサイバー情報リポジトリである。このリポジトリは、https://www.fsisac.com/sites/default/files/Avalanche%20One-Sheet%2020Nov2013.pdfで入手可能であり、参照としてすべてを本願に組み込むこととした「Ｃｙｂｅｒ Ｉｎｔｅｌｌｉｇｅｎｃｅ Ｓｈａｒｉｎｇ Ｖｉｓｉｏｎ」で記述されている。

すでに生じたサイバー攻撃のタイプ、攻撃をどのように検出し認識することが出来るか、このような攻撃を（まだ生じていない場合は）防止することが出来るか、又は（もう生じている場合は）緩和することが出来るかを明確にすることにより、脅威情報共有システムのメンバーエンティティは、これらの攻撃により生じる損害を限定すること、又は（理想的な状況では）このようなことが全く生じないようにすることが出来る。同様に、脅威となる悪意のある者、その対象と目的、（歴史的に用いてきた方策、技術、及び、手法における形態の）その能力、及び、それらの悪意のある者が標的とする弱点のタイプ、誤った設定、又は弱点を明確にすることにより、メンバーエンティティは、予想される脅威及び脅威の背後にある悪意のある者を特定することによりとるべき防御手段の優先順位を付けることが出来る。

本発明のいくつかの実施の形態において、脅威情報を共有するためのシステム及び方法は完全に自動化され、他のエンティティにより受け取られた脅威情報を自動的に識別し、フィルタリングし、そして、適切に対応するだけでなく、（行動のパターンを認識することにより）将来の脅威を予測してあらかじめ対処し、システム内で脅威が実行される前に適切な防止及び防御手段を適用することが出来る。

図１は、「ハブアンドスポークシステム」として知られている本発明の脅威情報共有システム及び方法の第１の特定の例示的実施の形態１００を示す。このタイプのシステム１００において、１以上の中央リポジトリ１０２と複数のユーザ１０４ａ、１０４ｂ、１０４ｃ、及び１０４ｄは、共通言語で脅威情報の項目と通信し、これらの脅威情報の項目を共通の仕様に従い分配する。

１以上の中央リポジトリ１０２は、それぞれ１以上のサーバーで動作することが出来る。本発明のいくつかの実施の形態において、各サーバーは少なくとも１つのマルチコアプロセッサを動作させる。本発明のいくつかの実施の形態において、中央リポジトリ１０２は、１以上のサーバーにロードされ動作するソフトウェアイメージである。

本発明のいくつかの実施の形態において、中央リポジトリ１０２は、ドキュメント指向のＮｏＳＱＬデータベースである。本発明の特定の実施の形態において、ドキュメント指向のＮｏＳＱＬデータベースはＭｏｎｇｏＤＢデータベースである。

「ハブアンドスポーク」スタイルのシステム１００において、システムは、中央リポジトリ１０２に加えて、複数のメンバーエンティティ１０４ａ、１０４ｂ、１０４ｃ、及び１０４ｄを動作させる。本発明の実施の形態において、中央リポジトリ１０２は集中化されたサーバーで動作し、メンバーエンティティ１０４ａ、１０４ｂ、１０４ｃ、及び１０４ｄは、１以上の分散サーバーで動作し、インターネットのようなネットワークを介して中央リポジトリに接続される。

システム１００中のローカルエンティティ１０４ａ、１０４ｂ、１０４ｃ、及び１０４ｄには、個人、会社、政府機関、及び、団体が含まれる。ローカルエンティティ１０４ａ、１０４ｂ、１０４ｃ、及び１０４ｄの各々は、それぞれ１以上のセンサー及び制御装置１０６ａ、１０６ｂ、１０６ｃ、及び１０６ｄから脅威情報の項目を受け取る。本発明の特定の実施の形態において、これらのセンサー及び制御装置１０６ａ、１０６ｂ、１０６ｃ、及び１０６ｄは、リアルタイムに既知の及び未知のサイバー攻撃及び事象を監視し、特定し、場所を示すことが出来るセキュリティ情報及び事象管理（ＳＩＥＭ）技術である。そのような監視の例として、不法侵入、異常、脆弱性の検出が含まれる。

ＳＩＥＭセンサー及び制御装置１０６ａ、１０６ｂ、１０６ｃ、及び１０６ｄが事象又は特性を観測すると、本発明の特定の実施の形態において、これらのＳＩＥＭセンサー及び制御装置１０６ａ、１０６ｂ、１０６ｃ、及び１０６ｄは、特定のローカルエンティティにより用いられるマシン・リーダブルなカスタマイズされた言語にてこれらの事象又は特性を記述する脅威情報の１以上の項目を作成する。脅威情報のこれらの項目は、ローカルエンティティ１０４ａ、１０４ｂ、１０４ｃ、及び１０４ｄにて自動又は手動にて作成されさらに詳細なメタデータをローカルエンティティ１０４ａ、１０４ｂ、１０４ｃ、及び１０４ｄにより作成された情報の特定の項目に付け加えることが出来る。

これらの情報の１以上の項目を作成した後、ローカルエンティティ１０４ａ、１０４ｂ、１０４ｃ、及び１０４ｄは、これらの脅威情報の項目を脅威情報の項目を記述するためにマシン・リーダブルなカスタマイズされた言語からシステム１００により用いられる共通言語に変換する。いったん変換されると、脅威情報の項目は、情報の伝送のための共通仕様に従い各ローカルエンティティ１０４ａ、１０４ｂ、１０４ｃ、及び１０４ｄから集中化されたリポジトリ１０２に伝送される。

本発明の特定の実施の形態において、脅威情報の項目は、情報の伝送のための共通仕様及び暗号プロトコルに従い伝送される。本発明の実施の形態において、脅威情報の伝送の間にシステム１００により用いられる暗号プロトコルはセキュア・ソケット・レイヤー（ＳＳＬ）、又は、トランスポート層セキュリティ（ＴＬＳ）であり、中央リポジトリ１０２は、ＳＳＬ又はＴＬＳ認証を有する集中化されたサーバーにて動作する。

脅威情報の項目を受け取った後、本発明の特定の実施の形態において、集中化されたリポジトリ１０２は、共通言語で記述された脅威情報の１以上の項目のＸＭＬスキーマを有効にし、次いで受け取った脅威情報の項目をフィルタリングし分析する。特定の実施の形態において、フィルタリングには、重複し、又は不正確な、又は破損した脅威情報の項目を除去し、系統化し、構造化し、中央リポジトリ１０２に保存するために受け取った脅威情報の項目を仕分けし、分類することを含むことが出来る。

本発明の実施の形態において、受け取った脅威情報の項目の中央リポジトリ１０２での分析には、（以下に限定するものではないが）受け取った脅威情報の項目を先に保存してある脅威情報の項目と比較するステップと、受け取った脅威情報の項目に付加的なメタデータを追加するステップと、受け取った脅威情報の項目及び保存してある脅威情報の項目のパターンを測定するステップと、これらの脅威情報の項目の関係を形成し分解するステップと、中央リポジトリ１０２にて、受け取った脅威情報の項目及び保存してある脅威情報に基づき将来の予測を行うステップと、を含むことが出来る。

例えば、中央リポジトリ１０２で行われる分析により中央リポジトリ１０２は、振る舞い又はやり方の説明又は、複数の観測された事象又は特性、脆弱性、弱点、又は、これらの複数の観測された事象又は特性のうちの少なくとも１つの被害者の構成上の問題、これらの複数の観測された事象又は特性の影響を防止し、緩和し、又は修復するためにとることができる特定の操作、これらの複数の観測された事象又は特性のうちの少なくとも１つを引き起こすエンティティの説明を確定することができ、及び／又は、脅威情報のすでに観測された項目と関連する少なくとも１つの将来の事象又は特性の予測を行うことができる。

本発明の特定の実施の形態において、この分析は、自動化されたソフトウェア又はハードウェアツールにより、中央リポジトリ１０２にて自動的に行うことができる。本発明の他の実施の形態において、この分析は、コンピュータ化されたソフトウェア及びハードウェアツールの助けを借り又は借りないで中央リポジトリ１０２を操作する人による分析手段により行われる。

受け取り保存した脅威情報の項目を分析することに加えて、中央リポジトリ１０２はまた、脅威情報の項目をローカルエンティティ１０４ａ、１０４ｂ、１０４ｃ、及び１０４ｄに分配することもできる。

本発明の特定の実施の形態において、中央リポジトリ１０２は、このリポジトリ１０２に保存されているすべての脅威情報の項目をローカルエンティティ１０４ａ、１０４ｂ、１０４ｃ、及び１０４ｄに分配する。本発明の他の実施の形態において、中央リポジトリ１０２は、それぞれローカルエンティティ１０４ａ、１０４ｂ、１０４ｃ、及び１０４ｄの各々に分配すべき脅威情報の固有のサブセットを決定することができる。

本発明のいくつかの実施の形態において、ローカルエンティティ１０４ａ、１０４ｂ、１０４ｃ、及び１０４ｄが検出された脅威情報の項目を計画通り同期させて中央リポジトリ１０２に供給するのと同時に、脅威情報の項目を中央リポジトリ１０２からローカルエンティティ１０４ａ、１０４ｂ、１０４ｃ、及び１０４ｄへと分配することができる。本発明の他の実施の形態において、ローカルエンティティ１０４ａ、１０４ｂ、１０４ｃ、及び１０４ｄは、脅威情報の新しい項目が作成するのと同時にリアルタイムで、脅威情報の項目を中央リポジトリ１０２に「プッシュ」し、要求に応じて脅威情報の項目を中央リポジトリ１０２から「プル」する。同様に、中央リポジトリ１０２は、必要に応じて脅威情報の項目をローカルエンティティ１０４ａ、１０４ｂ、１０４ｃ、及び１０４ｄに「プッシュ」することができ、要求に応じて脅威情報の項目をローカルエンティティ１０４ａ、１０４ｂ、１０４ｃ、及び１０４ｄから「プル」することができる。

一旦脅威情報の項目がローカルエンティティ１０４ａ、１０４ｂ、１０４ｃ、及び１０４ｄで受け取られると、これらの脅威情報の項目は、ローカルエンティティ１０４ａ、１０４ｂ、１０４ｃ、及び１０４ｄの各々で用いられるカスタマイズされたマシンリーダブル言語に変換することができ、ＳＩＥＭセンサー及び制御装置１０６ａ、１０６ｂ、１０６ｃ、及び１０６ｄに提供され、これらのセンサー及び制御装置１０６ａ、１０６ｂ、１０６ｃ、及び１０６ｄが、受け取られた脅威情報に記述され予測されたサイバー脅威に対する修復手段及び防止手段を実行することができるようにする。

一旦ローカルエンティティ１０４ａ、１０４ｂ、１０４ｃ、又は１０４ｄが脅威情報の項目を受け取ると、そのローカルエンティティ１０４ａ、１０４ｂ、１０４ｃ、又は１０４ｄが、脅威情報の項目についてさらなる情報又は事情を要求した場合、ローカルエンティティは、さらなる情報を求めて脅威情報の項目を提供するエンティティと接触することができる。本発明のいくつかの実施の形態において、しかしながら、脅威又は攻撃にさらされているエンティティ自体が、そのエンティティ及び／又はそのメンバーに対して、注意すべきものであり、又は有害であり、厄介である可能性があるという事実により、脅威情報の項目を提供する元のエンティティ／リポジトリ１０４ａ、１０４ｂ、１０４ｃ、又は１０４ｄそのものが安全性と匿名性を保たれる。

脅威情報の項目の出所が匿名となっているこれらの実施の形態において、システム中のすべてのエンティティ及び／又はリポジトリに送られる脅威情報の項目に関連付けられたコード又は識別子を含むメッセージである、「情報要求」（「ＲＦＩ」）をローカルエンティティ１０４ａ、１０４ｂ、１０４ｃ、又は１０４ｄは送りだすことができる。このメッセージの出所であるエンティティ又はリポジトリだけがこの特定のコード／識別子を含有するので、ＲＦＩにより、システム中のエンティティが脅威情報の項目についての追加の事情、詳細、その他の情報を要求することができる一方、脅威情報の項目の元の出所の匿名性を維持する。いくつかの実施の形態において、ＲＦＩを受け取る脅威情報の項目の元の出所に対してさえ、ＲＦＩの出所も匿名となる。他の実施の形態において、ＲＦＩの出所は公然であり明白である。

図２は、「アクセス管理」又は「トラスト」グループ２１２、及び、ローカルリポジトリ２０４ａ、２０４ｂ、及び２０４ｃを組み入れた「ハブアンドスポークシステム」の第２の例示的実施の形態２００を示す。中央リポジトリ２０２と同様に、これらのローカルリポジトリ２０４ａ、２０４ｂ、及び２０４ｃは、ＳＩＥＭセンサー及び制御装置２０６ａ、２０６ｂ、２０８ａ、２０８ｂ、及び２０８ｃにより検出された脅威情報の項目を保存し、フィルタリングし、分析し、そして分配することができる。

本発明の特定の実施の形態において、カスタマイズされたマシンリーダブル言語で脅威情報の項目を作成し処理する２０８ａ、２０８ｂ、及び２０８ｃのようなＳＩＥＭセンサー及び制御装置の代わりに、２０６ａ及び２０６ｂのようないくつかのＳＩＥＭセンサー及び制御装置は脅威情報共有システム２００の共通言語にて脅威情報の項目を作成し影響を与える。本発明のこの実施の形態において、２０４ａ及び２０４ｂのようなローカルリポジトリは、脅威情報の項目を中央リポジトリ２０２に伝送する前に、ＳＩＥＭセンサー及び制御装置２０６ａ及び２０６ｂから受け取った情報を変換する必要がない。

しばしば「トラストグループ」として知られる「アクセス管理グループ」２１２は、エンティティを困らせるか或いは、エンティティのプライバシー、評判、動作、資源、又はセキュリティを棄損する、細心の注意を払うべき脅威情報又はメーカー独自の脅威情報の特定のカテゴリーにアクセスする権限を与えられたエンティティ及び／又はリポジトリのグループを定義する。エンティティは、必要な多くの又は少数のアクセス管理グループ２１２のメンバーとすることができ、各アクセス管理グループ２１２は、そのグループ２１２中の他のエンティティからの様々なプライバシーレベルの情報にアクセスすることができるので特定のエンティティのグループを指定することができる。

この例示的実施の形態において、アクセス管理グループ２１２には、ローカルリポジトリ２０４ａ、２０４ｂ、及び２０４ｃと中央リポジトリ２０２とが含まれるが、ローカルエンティティ２１０は含まれない。この実施の形態において、一般公衆に暴露されてしまった場合、施設運用２０４ａにおける評判に害を与えると思われる、ローカルリポジトリ２０４ａにより検出された脅威情報は、アクセス管理グループ２１２の外部にあるローカルエンティティ２１０とではなく、リポジトリ２０２、２０４ａ、及び２０４ｂとのみ共有される。一方、ローカルリポジトリ２０４ａのＳＩＥＭセンサー２０６ａ及び２０８ａにより検出された細心の注意を払う必要のない情報は、ローカルエンティティ２１０を含むシステム２００のすべてのエンティティと共有される。

本発明の特定の実施の形態において、アクセス管理グループは、Ｕｎｉｔｅｄ Ｓｔａｔｅｓ Ｃｏｍｐｕｔｅｒ Ｅｍｅｒｇｅｎｃｙ Ｒｅａｄｉｎｅｓｓ Ｔｅａｍ（ＵＳ‐ＣＥＲＴ）のＴｒａｆｆｉｃ Ｌｉｇｈｔ Ｐｒｏｔｏｃｏｌ（ＴＬＰ）に従い動作する。ＴＬＰは、https://www.us-cert.gov/sites/default/files/TLP.pdfで見ることができる「ＴＬＰ：Ｔｒａｆｆｉｃ Ｌｉｇｈｔ Ｐｒｏｔｏｃｏｌ」により記述され、そのすべてを本出願に組み込むものとする。

本発明のこれらの実施の形態において、本発明の脅威情報共有システムには、エンティティ及び／又はリポジトリの１以上の「コミュニティ」を含むことができ、各コミュニティは、１以上のアクセス管理グループ２１２を含有することができる。コミュニティは、１以上の管理者により作成すること及び／又は動作させるができる。これらの実施の形態において、コミュニティは、公衆のコミュニティ（メンバーエンティティ及び／又はリポジトリではない人に対して可視的であり、参加のために管理者からの許可を必要としないコミュニティ）、メーカー独自のコミュニティ（メンバーエンティティ及び／又はリポジトリではない人に対して可視的であり、参加のために管理者からの許可を必要とするコミュニティ）、又は秘密コミュニティ（メンバーエンティティ及び／又はリポジトリではない人に対して可視的でなく、参加のために管理者からの許可を必要とするコミュニティ）であることができる。

いくつかの実施の形態では、コミュニティの１以上の管理者は、特定のコミュニティに対してＴＬＰの動作をカスタマイズすることができる。例えば、ＴＬＰ標準により、「赤」とコード化された情報は、最初に開示された特定の交流、ミーティング、又は会話以外では、外部の団体とは共有されない。従って、例示的実施の形態において、コミュニティの管理者はそのコミュニティに対しＴＬＰをカスタマイズすることができ、リポジトリ又はエンティティが脅威情報共有システムを介して「赤」とコード化された脅威情報の項目の分配を試みた場合、脅威情報のこの項目が脅威情報共有システムにより自動的に排除されるように、すなわち、そのような細心の注意を払うべき情報が偶然に又は認可されずに分配されることを自動的に防ぐようにすることができる。他の例示的実施の形態において、コミュニティの管理者はそのコミュニティに対しＴＬＰをカスタマイズすることができ、「黄」又は「アンバー」とコード化された脅威情報の項目を、脅威情報のこれらの項目の表示にアクセスしないエンティティ又はリポジトリにより修復することが可能である場合、「黄」又は「アンバー」とコード化された脅威情報の項目が情報共有システムにより自動的に排除されるようにすることができる。

図３は、「ハブアンドスポーク」に加えて「ピアツーピア」システムとして知られている、本発明の脅威情報共有システム及び方法の第３の例示的実施の形態３００を示す。この例示的システム３００において、ローカルリポジトリ３０４ａ、３０４ｂ、３０４ｃ及びローカルエンティティ３０６は、ＳＩＥＭセンサー及び制御装置３０８ａ、３０８ｂ、３０８ｃ、及び３０８ｄにより検出された脅威情報を中央リポジトリ３０２に提供することができ、中央リポジトリ３０２は、（図１及び２に示すように）受け取った脅威情報の項目を他のローカルサーバーに「ハブアンドスポーク」モードで分配することができる。

「ハブアンドスポーク」モードに加え、しかしながら、例示的脅威情報共有システム３００はまた「ピアツーピアモード」でも動作することができ、ローカルリポジトリ３０４ａは、図３で示されるようにローカルリポジトリ３０４ｂのような他のローカルリポジトリと直接脅威情報を共有することができる。

本発明のいくつかの実施の形態において、ローカルリポジトリ３０４ａ及び３０４ｂは、予定した時刻に、保持する脅威情報と同期させることができる。本発明の他の実施の形態において、ローカルリポジトリ３０４ａ及び３０４ｂは、要求により、リアルタイムで、脅威情報の項目をお互いに「プッシュ」又は「プル」することができる。例えば、ローカルリポジトリ３０４ａは、脅威情報の項目を直接複数の他の（３０４ｂのような）ローカルリポジトリにピアツーピアモードで同時に「プッシュ」することができる。

本発明の特定の実施の形態において、集中化されたサーバーは必要ではなく、ローカルリポジトリ３０４ａ、３０４ｂ、及び３０４ｃは完全にピアツーピアモードで動作することができ、脅威情報を自分たちで直接交換する。

上述したいくつかの本発明のピアツーピアの実施の形態において、ローカルリポジトリ３０４ａ、３０４ｂ、及び３０４ｃはそれぞれ、他のローカルリポジトリ３０４ａ、３０４ｂ、及び３０４ｃからアクセスできるように、自分達独自の脅威情報の項目の「フィード」を発行することができる。いくつかの実施の形態において、これらのフィードのすべて又はサブセットは、ローカルリポジトリ３０４ａ、３０４ｂ、又は３０４ｃのオペレータが、接続又は記名するために、他のローカルリポジトリのフィードのリストにアクセスすることができるディレクトリ（不図示）中に登録することができる。いくつかの実施の形態において、ローカルリポジトリ３０４ａ、３０４ｂ、又は３０４ｃのオペレータは、ディレクトリ中に登録されたすべてのフィードのリストをブラウズし、検索基準を満足するディレクトリ中のフィードを検索し、及び／又はオペレータのリポジトリとの類似性及びこれらの提案されたフィードを提供するリポジトリに基づき、ディレクトリ自身により提案された１以上のフィードを見ることができる。オペレータは、登録された「記名する」ためのディレクトリから１以上のフィードを選択することができ、これらの１以上の記名するべきフィードに、脅威情報の発行された項目のすべて又はサブセットを自動的にオペレータのリポジトリにプッシュするか又は、オペレータのリポジトリに、脅威情報の発行された項目のすべて又はサブセットを記名するべきフィードから自動的に「プル」する。

図４は、脅威情報を共有するためのコンピュータ化されたシステム４００の例示的実施の形態を示す。中央リポジトリ４０２は、ネットワークを介して、ローカルリポジトリ４０４ａ及び４０４ｂと、ローカルエンティティ４０６とに接続される。

この例示的システム４００において、ローカルリポジトリ４０４ａ及び４０４ｂに加えて、集中化されたサーバー４０２もまたネットワークを介して、脅威情報の出所に公然とアクセス可能にし、ネットワークを介して集中化されたサーバー４０２に脅威アプリケーションを伝送するよう構成された、公的なフィード４１４に接続される。集中化されたサーバー４０２はまた、支払いと引き換えに商品化された脅威情報を提供するメーカー独自のフィード４１２、及び脅威情報を受け取るのに十分な国の秘密取扱許可を有する４０２のような、これらのエンティティに脅威情報を提供する政府のフィード４０８と接続される。ローカルリポジトリ４０４ａ及び４０４ｂはまた、公的なフィード４１４、メーカー独自のフィード４１２、及び政府のフィード４０８と直接接続することができる。

公的なフィード４１４、メーカー独自のフィード４１２、及び政府のフィード４０８に加えて、情報共有システム４００の集中化されたサーバー４０２はまた、１以上の他の情報共有システム４１１の１以上の集中化されたサーバー４１０に接続される。例えば、情報共有システムは、防衛施設のための情報システム共有システム、エネルギー施設のためのシステム、及び／又は、教育施設のためのシステムに（少なくとも一部の）脅威情報を接続及び共有することができる。

ローカルリポジトリ４０４ｂは、システム４００で用いられる共通言語で脅威情報を提供するローカルＳＩＥＭ制御装置及びセンサー４１８ａ及び４１８ｂからの、及び、ローカルリポジトリ４０４ｂのＳＩＥＭ分析及び緩和ツール４１６に対して慣例となっているマシンリーダブル言語で脅威情報を提供するローカルＳＩＥＭ制御装置及びセンサー４２０ａ及び４２０ｂからの脅威情報を受け取る。

本発明の特定の実施の形態において、脅威情報を保存し分配する複数のリポジトリで用いられる共通言語は、Ｓｔｒｕｃｔｕｒｅｄ Ｔｈｒｅａｔ Ｉｎｆｏｒｍａｔｉｏｎ ｅＸｐｒｅｓｓｉｏｎ（ＳＴＩＸ）言語である。ＳＴＩＸ言語は、http://stix.mitre.org/about/documents/STIX_Whitepaper_vl.1.pdfで見つけることができ、すべてを本出願に組み込むものとする「Ｓｔａｎｄａｒｄｉｚｉｎｇ Ｃｙｂｅｒ Ｔｈｒｅａｔ Ｉｎｔｅｌｌｉｇｅｎｃｅ Ｉｎｆｏｒｍａｔｉｏｎ ｗｉｔｈ ＳＴＩＸ」で記述されている。

いくつかの実施の形態において、ＳＴＩＸ言語は、ｅＸｔｅｎｓｉｂｌｅ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ（ＸＭＬ）スキーマを用いて実行される。しかし、セマンティック・ウェブ（ＲＤＦ／ＯＷＬ）、ＪＳＯＮ−ｃｅｎｔｒｉｃ、及びプロトコル・バッファによる実行を含む、他の可能性のある実施も想定される。

ＳＴＩＸ言語は、各々が別々のサイバー脅威情報の特徴を表す多数の異なるタイプの「構成」で作り上げられた構造を用いて観察された事象又は特性を記述することで、構造化されたサイバー脅威情報を伝達する。各構成は他の構成と相互に関係づけられ、別の詳細なサイバー脅威情報を提供する。

ＳＴＩＸ言語の「ベース」構成は、「可観測」である。可観測性は、コンピュータ及びネットワークの動作に対して適切なステートフルな特性又は事象である。可観測性の例として（これらに限定されるわけではないが）、（ファイルネーム、ハッシュ、又はサイズのような）ファイルについての情報、レジストリキー値（又はキーの作成又は削除）、開始した又は変更したサービス、送られた（又は受け取った）ＨＴＴＰリクエスト、受け取った（又は送られた）イーメール、特定のＩＰアドレスのネットワークトラフィック、特定のポートでの通信、が含まれる。特定の実施の形態において、ＳＴＩＸは可観測性を表すためにＣｙｂｅｒ Ｏｂｓｅｒｖａｂｌｅ ｅＸｐｒｅｓｓｉｏｎスキーマを用いる。

ＣｙＢＯＸは、サイバー可観測性についての標準化された忠実度の高い情報をコード化し伝達するためのスキーマである。ＣｙＢＯＸスキーマは、「Ｃｙｂｅｒ Ｏｂｓｅｒｖａｂｌｅ ｅｘｐｒｅｓｓｉｏｎ − ＣｙｂＯＸ：サイバー可観測性についての１つの構造化言語」、これは、http://makingsecuritymeasurable.mitre.org/docs/cybox-intro-handout.pdfで見つけることができ、そのすべてを本出願に組み込むものとする。

ＳＴＩＸ言語の他の構成は「インジケーター」である。インジケーターは、可観測性の特定のパターンについての情報を伝達し、文脈上の情報と結合し、サイバーセキュリティの文脈内で関心のある振る舞いを表現するためのものである。インジケーターは、例えば、方策、手法、手順（ＴＴＰ）（他の構成のタイプ）にマッピングすることが潜在的にできる、可観測性の１以上のパターンからなる。このインジケーターは、（これらに限定されるわけではないが）、インジケーターの主張の信頼性、限定の取り扱い、時間窓の有効性、起こりうるインパクト、インジケーターの見どころ、検出のための構造化されたテスト機能、関連するキャンペーン、推奨される操作指針、関連するインジケーター、及びインジケーターの出所を記述するメタデータを含むことができる。

他のＳＴＩＸ言語の構造は、「インシデント」である。インシデントは、どのようにこのインシデントに応答するかについての調査中に発見又は決定された情報とともに、インジケーターが組織に影響を与える離散的なインスタンスである。インシデントには（例えば）、時間関連情報、インシデントの関係者、インシデントの影響を受けるアセット、インシデントの影響の評価、関連するインジケーター、関連する可観測性、インシデントにおける１以上のＴＴＰの影響力、１以上の脅威の原因となった者（別のタイプの構成）、意図した効果、（もしあれば）インシデントと妥協したものの特性、採用された敏感な操作計画（別のタイプの構成）、インシデントの特徴付けの信頼性、インシデントの取り扱いにおける手引き、インシデント情報の出所、及び、インシデントの間それに応答した操作の記録のようなデータが含まれる。

他の構成は、方策、手法、又は手順（ＴＴＰ）であり、サイバー当事者の振る舞い又はやり方の説明である。この構成は、さまざまな段階で敵対者が行うことを特徴づける情報を含有する。ＴＴＰ構成に含まれる情報には、（これらに限定するものではないが）公然化された特定の敵対者の振る舞い（例えば、攻撃パターン、マルウェア、功績）、てこにした資源（例えば、ツール、社会資本、人）、標的とされた被害者についての情報（例えば、誰が、何を、どこで）、関連する標的とされた目標（他の構成）、その振る舞いにより意図された効果、関連する「キルチェーン」フェーズ、ハンドリングの手引き、及び、ＴＴＰ情報の出所が含まれる。

説明目的のため、ＴＴＰの例として、開封すると実行される悪意のあるコードを含有する添付書類とともに可能性のある被害者にターゲット・イーメールを送ることで、クレジットカードの信任状を盗み取るマルウェアを用いること、そのコードを用いたキーストロークからクレジットカード情報を捕捉すること、及びｈｔｔｐを使ってこのクレジットカード情報を伝送するために命令・制御サーバーと通信することが含まれる。別の例では、オープンソースにより調査すること、最新のアンチビールス検出をバイパスするマルウェアを伴う社交的に設計されたイーメール及び書面をうまく作ること、これらの個人にこれらの書面／イーメールの信ぴょう性を確信させる命令・制御サーバー及びイーメールを確立することにより潜在的な騙されやすい個人を特定する。

本発明の特定の実施の形態において、ＣｙｂＯＸスキーマは、ＴＴＰツール及びインフラストラクチャを特徴づけるために用いることができる。本発明の他の実施の形態において、Ｍａｌｗａｒｅ Ａｔｔｒｉｂｕｔｅ Ｅｎｕｍｅｒａｔｉｏｎ ａｎｄ Ｃｈａｒａｃｔｅｒｉｚａｔｉｏｎ（ＭＡＥＣ）言語をＴＴＰマルウェアを特徴づけるために用いることができる。ＭＡＥＣ言語は、http://maec.mitre.org/about/docs/MAEC_Overview.pdfで見つけることができる「ＭＡＥＣ言語：オーバービュー」で記述されており、そのすべてを本出願に組み込むものとする。本発明の他の実施の形態において、Ｃｏｍｍｏｎ Ａｔｔａｃｋ Ｐａｔｔｅｒｎ Ｅｎｕｍｅｒａｔｉｏｎ ａｎｄ Ｃｌａｓｓｉｆｉｃａｔｉon（ＣＡＰＥＣ）スキーマがＴＴＰ攻撃パターンを特徴づけるために用いられる。ＣＡＰＥＣスキーマは、「Ｃｏｍｍｏｎ Ａｔｔａｃｋ Ｐａｔｔｅｒｎ Ｅｎｕｍｅｒａｔｉｏｎ ａｎｄ Ｃｌａｓｓｉｆｉｃａｔｉon − ＣＡＰＥＣ」に記載されており、これは、http://makingsecuritymeasurable.mitre.org/docs/capec-intro-handout.pdfで見つけることができ、そのすべてを本出願に組み込むものとする。

ＳＴＩＸ言語におけるもう１つの構成は攻撃活動であり、インシデント及び／又はＴＴＰを通し、おそらく組織を横断して対象物を追跡する１以上の攻撃者のインスタンス（別のタイプの構成）を表す。攻撃活動の構成内に含まれる情報には、（これらに限定されるものではないが）１以上の攻撃者により意図されたことが疑われる影響、攻撃活動内で用いられる関連するＴＴＰ、攻撃活動の一部だと信じられる１以上のインシデント、攻撃活動に寄与したと思われる１以上の攻撃者、特定の攻撃活動に関連すると思われる他の攻撃活動、攻撃活動の意図及び特徴の特定における確度、攻撃活動に対応して行われる活動、攻撃活動についての情報の出所、及び、攻撃活動及びその成分インシデントの扱いについての手引きが含まれる。

ＳＴＩＸ言語における他の構成は攻撃者であり、１以上の悪意のある者又はサイバー攻撃の脅威の原因となる敵対者についての特徴づけであり、推定されるこれらの者の意図及びこれまで観察されてきた振る舞いが含まれる。攻撃者の構成内の情報には、（これらに限定されるものではないが）攻撃者の身元についての特徴づけ、疑うべき攻撃者の動機、攻撃者がかかわったと信じられている１以上の今までの（又は現在の）攻撃活動、攻撃者と関係していると信じられているか又は攻撃者と関係していることが知られている他の攻撃者、攻撃者の特徴についての主張の確度、及び、攻撃者の情報についての出所が含まれる。

ＳＴＩＸ言語における他の構成は搾取ターゲットであり、攻撃者のＴＴＰが利用することで、ターゲットとされる（又はされていた）可能性のあるソフトウェア、システム、ネットワーク、又は構造中の潜在的な脆弱性又は弱点を表す。搾取ターゲットには、（これらに限定されるものではないが）脆弱性の識別又は特徴づけ、弱点の識別又は特徴づけ、構成の識別又は特徴づけ、１以上の潜在的なＣｏｕｒｓｅＯｆＡｃｔｉｏｎ（別のタイプの構成）、搾取ターゲットの情報の出所、及び取り扱いの手引きを表す。

本発明の特定の実施の形態において、明らかにされた脆弱性のプライバシーは、Ｏｐｅｎ Ｓｏｕｒｃｅ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｄａｔａｂａｓｅ（ＯＳＶＤＢ）を用いて識別され、その識別子はＣｏｍｍｏｎ Ｖｕｌｎｅｒａｂｉｌｉｔｉｅｓ ａｎｄ Ｅｘｐｏｓｕｒｅｓ（ＣＶＥ）辞書で組み立てられる。本発明の特定の実施の形態において、Ｃｏｍｍｏｎ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｒｅｐｏｒｔｉｎｇ Ｆｒａｍｅｗｏｒｋ（ＣＶＲＦ）フレームワークは、公然とは認識されていない脆弱性（いわゆる「ゼロデイ脆弱性」）の構造的特性を詳述するために用いられ、Ｃｏｍｍｏｎ Ｗｅａｋｎｅｓｓ Ｅｎｕｍｅｒａｔｉｏｎ（ＣＷＥ）は、弱点の識別のために用いられ、Ｃｏｍｍｏｎ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｅｎｕｍｅｒａｔｉｏｎ（ＣＣＥ）は、構成上の問題の識別のために用いられる。

ＳＴＩＸ言語における他の構成は、ＣｏｕｒｓｅＯｆＡｃｔｉｏｎ（ＣＯＡ）であり、これは、サイバー脅威に対処するためにとるべき１以上の具体的な手段を表現するものである。ＣＯＡは、１以上の搾取ターゲットに対処するか、又は、インシデントの影響を撃退又は緩和するために、修正的（すでに生じたサイバー脅威に対処するために動作する）又は予防的（将来的、まだ生じていな将来のサイバー脅威を防止するために動作する）とすることができる。ＣＯＡには、（これらに限定されるものではないが）サイバー脅威管理における対応する段階（例えば、搾取ターゲットの修復、又はインシデントに対する応答）、ＣＯＡのタイプ、ＣＯＡの記述、ＣＯＡの対象、（ＩＰＳルール又は自動化されたパッチ又は修復のような）ＣＯＡの構造的表現、ＣＯＡで生じうる効果、ＣＯＡで生じうるコスト、推定されるＣＯＡの効果、ＣＯＡの観測可能なパラメータ、及び取り扱いの手引きが含まれる。

各タイプの構成中に含まれる種々の特有の情報及び、構成同士の種々の相互関係を上述したが、ＳＴＩＸ言語における構成は独立であり、柔軟性を有し、再利用可能なので、上述の記載は単に説明のための記述である。ＳＴＩＸの構成の各タイプは、各タイプにより記述された特定のサイバー脅威の状況により必要とされるものと同じくらい少なく（ゼロの場合も含む）又は同じくらい多くのＳＴＩＸの構成と関連付けることができる。加えて、各ＳＴＩＸの構成は、特徴を示すための特定の特性又は項目を記述するのに必要な少ない（又は多くの）情報、及び情報のタイプを含有することができる。

本発明の特定の実施の形態において、品質基準、又は品質スコアは、自動的にＳＴＩＸ言語の構成に割り当てることができる。この品質基準は、ＳＴＩＸ言語の構成内に含まれる情報の有効性及び精度の尺度であり、構成を提供するリポジトリにより（又は構成を受け取るリポジトリにより）構成に自動的に割り当てることができ、又は、脅威情報共有システムのユーザにより手動で割り当てることができる。

本発明の特定の実施の形態において、品質基準は、ＳＴＩＸ言語の構成に自動又は手動で割り当てられている信頼基準又は信頼スコアに基づく。信頼基準は、（これらに限定されるものではないが）観測された事象又は特性を記述する第１の項目を作成する責務を負っていたエンティティの身元、観測された事象又は特性のタイプ、観測された事象又は特性と関連づけられた一連の関係あるシステム又はネットワーク活動、及び、観測された事象又は特性を生じさせる原因となったエンティティを含む要因に基づくことができる。

例えば、最初に脅威を観測したエンティティがサイバー攻撃を正確に特徴づける長い歴史的な記録を持つ場合は、構成中に含まれる情報が正確であることについて高い信頼基準及び品質基準がある可能性があり、この構成は、一般的で簡単に特定できる脅威のタイプを記述し、最近生じそして識別され確認された多くの類似する脅威があり、サイバー脅威の原因であると特定された悪意のあるエンティティは、同様のサイバー脅威を起こした長いよく知られた歴史的な記録を有する。

一方、サイバー脅威を特定したエンティティが情報共有ネットワークに参加したばかりであり、正確にサイバー脅威を特定した経歴がない場合（又は、逆にエンティティが長い間メンバーであり、サイバー脅威を特定することにおいて、正確性についてひどい記録がある場合）、そのＳＴＩＸ言語の構成について信頼基準及び品質基準は比較的低くなる。同様に、サイバー脅威が今まで見られなかったタイプ又は十分理解できなかったタイプである場合、又は、サイバー脅威を引き起こした攻撃者が今まで見られなかった場合、又は予想できない振る舞い又は混沌とした振る舞いで有名な場合は、低い信頼基準／品質基準となることがある。

本発明の特定の実施の形態において、メンバーエンティティは、低い信頼基準／品質基準スコアを持つ構成に対して、その脅威情報に対して自動的に応答しないこと、又は、低品質の脅威情報をフィルタリングして無視することで応答することを選択することができる。逆に、メンバーエンティティは、高い信頼基準／品質基準スコアを持つ構成に対して、その情報に対す応答を自動的に実行するか又は、さらなる分析のためにその情報にフラグを立てることで応答することを選択することができる。

本発明のいくつかの実施の形態において、リポジトリは、ＳＴＩＸ言語に脅威情報を保存又は作成することが出来る。本発明の他の実施の形態において、リポジトリは、カスタマイズされた又はメーカー独自のマシンリーダブルフォーマットで脅威情報を保存又は作成することが出来、情報共有システム中の他のリポジトリとの互換性を持たせるために、脅威情報を伝送する前にＳＴＩＸ言語へと構文解析するか、又は脅威情報を受け取った後にＳＴＩＸ言語から構文解析する必要がある。いくつかの実施の形態において、リポジトリにより作成されたか又は保存された、いくつかの情報はＳＴＩＸ言語である一方、他の情報は、カスタマイズされた又はメーカー独自のマシンリーダブルフォーマットで同じリポジトリにて作成されたか又は保存される。ＳＴＩＸ言語で作成されたか又は保存された情報は、さらに処理されることなく他のリポジトリに伝送することが出来る一方、カスタマイズされた又はメーカー独自のフォーマットで作成されたか又は保存された情報は、他のリポジトリに伝送する前にＳＴＩＸ言語に変換しなければならない。

本発明の情報共有システムを通して作成され処理されるデータが大量であるため、システム及び／又はローカルリポジトリは、脅威情報の項目にアクセスしクエリーを行うため、脅威情報を理解しやすく／予備処理すること及び索引を付けることが出来る。

本発明の特定の実施の形態において、観測された事象又は特性を記述する１以上の項目は、Ｔｒｕｓｔｅｄ Ａｕｔｏｍａｔｅｄ ｅＸｃｈａｎｇｅ ｏｆ Ｉｎｄｉｃａｔｏｒ Ｉｎｆｏｒｍａｔｉｏｎ（ＴＡＸＩＩ）仕様を用いて脅威情報を保存し分配するためにリポジトリ間で分配される。

ＴＡＸＩＩ仕様は、http://taxii.mitre.org/specif1cations/versionl.l/TAXII_Overview.pdfで見つけることが出来る「ＴＡＸＩＩ Ｏｖｅｒｖｉｅｗ， Ｖｅｒｓｉｏｎ １．１」、http://taxii.mitre.org/specifications/versionl.l/TAXII_Services_Specification.pdfで見つけることが出来る「ＴＡＸＩＩ Ｓｅｒｖｉｃｅｓ Ｓｐｅｃｉｆｉｃａｔｉｏｎ， Ｖｅｒｓｉｏｎ １．１」、http://taxii.mitre.org/specifications/version1.0/http1.0/TAXII_HTTPProtocolBinding_Specification.pdfで見つけることが出来る「ＴＡＸＩＩ ＨＴＴＰ Ｐｒｏｔｏｃｏｌ Ｂｉｎｄｉｎｇ Ｓｐｅｃｉｆｉｃａｔｉｏｎ， Ｖｅｒｓｉｏｎ 1.0」、及び、http://taxii.mitre.org/specif1cations/versionl.l/TAXII_XMLMessageBinding_Specif1cation.pdfで見つけることが出来る「ＴＡＸＩＩ ＸＭＬ Ｍｅｓｓａｇｅ Ｂｉｎｄｉｎｇ Ｓｐｅｃｉｆｉｃａｔｉｏｎ， Ｖｅｒｓｉｏｎ １．１」で記載され、そのすべてを本出願に組み込むものとする。

ＴＡＸＩＩ仕様は、メンバー間で脅威情報の項目の共有を可能とするサービス及びメッセージの交換（例えば、概念、プロトコル、メッセージ）を定義する。ＴＡＸＩＩによるサービス及びメッセージの交換は、脅威情報のネットワークプロトコル、メッセージフォーマット、コンテンツタイプ、及びクエリータイプの実施を共有するためのシステムの詳細とは別に定義される。これにより、メンバーが他のメンバーと同じタイプのネットワークプロトコル又はメッセージフォーマットを共有する必要のないシステムに加わることが出来る。異なるネットワークプロトコル又はメッセージフォーマットを用いる２人のメンバーがＴＡＸＩＩメッセージ及びサービスを用いている場合、彼らはお互いに直接通信することが出来ないが、ＴＡＸＩＩゲートウェイを通じて通信することが出来、２人のメンバーは脅威情報の交換が可能になる。

脅威情報の項目の出所となる（人、組織、代理人、会社のような）エンティティは、ＴＡＸＩＩ仕様で、「プロデューサー」として定義される。脅威情報の項目の受信者であるエンティティは、ＴＡＸＩＩ仕様で、「消費者」として定義される。これらの役割はお互いに排他的ではなく、１つのエンティティは、ＴＡＸＩＩ仕様において、プロデューサーであり、かつ脅威情報の消費者の両者であることが出来る。

ＴＡＸＩＩ仕様は、いくつかの異なる「機能単位」を必要とする。各機能単位は、ＴＡＸＩＩ仕様における役割を定める要素であるが、各機能単位は別々のソフトウェア／ハードウェアを必要とせず、単一のソフトウェア又はハードウェアプリケーションが複数の機能単位を包含することが出来、或いは複数のアプリケーションが協同して単一の機能単位として作用する。

１つの機能単位は、ＴＡＸＩＩ Ｔｒａｎｓｆｅｒ Ａｇｅｎｔ（ＴＴＡ）であり、ネットワークに接続された機能単位は、ネットワークを介してＴＡＸＩＩメッセージを送信及び／又は受信し、他のＴＴＡと相互作用するネットワークに接続された機能単位である。他の機能単位は、ＴＡＸＩＩ Ｍｅｓｓａｇｅ Ｈａｎｄｌｅｒ（ＴＭＨ）であり、入ってきたＴＡＸＩＩメッセージの構文解析し出てゆくＴＡＸＩＩメッセージを組み立てる、ＴＡＸＩＩメッセージを作成し消費する機能単位である。ＴＭＨは、ネットワークを介して伝送させるためにＴＡＸＩＩメッセージをＴＴＡに提供し、ＴＴＡは、ネットワークを介して他のＴＴＡからＴＴＡにより受け取った、ＴＭＨからのＴＡＸＩＩメッセージを提供する。この構成により、ＴＴＡは（ＴＭＨの知らない可能性のある）ネットワークプロトコルの詳細を扱うことが出来、ＴＭＨは、（ＴＴＡの知らない可能性のある）ＴＡＸＩＩメッセージの内容の詳細を扱うことが出来る。

ＴＡＸＩＩ仕様は、ＴＡＸＩＩシステム中の単一のプロデューサー又は消費者又は消費者のすべてのＴＡＸＩＩ機能単位を「ＴＡＸＩＩアーキテクチャ」として記述する。ＴＡＸＩＩアーキテクチャには、ＴＴＡ及びＴＭＨの外部にあるＴＡＸＩＩアーキテクチャ中のすべての機能単位を含む、ＴＴＡ、ＴＭＨ、及び「ＴＡＸＩＩバックエンド」が含まれる。これらの機能単位は、（これらに限定するものではないが）データ保存、加入者管理、アクセス管理の決定、及び、配布に先立つフィルタリングを含むタスクに関与することが出来る。ＴＡＸＩＩ仕様は、ＴＡＸＩＩバックエンドがＴＭＨと互換性を持たねばならないこととは別に、ＴＡＸＩＩバックエンド中でこれらの機能がどのように実施されるかについての要件を指示するものではない。このような柔軟性により、ＴＡＸＩＩ仕様の個人開発者が、どのＴＡＸＩＩバックエンド能力が自分たちのエンティティに必要なのか、及びどのように自分たちのリポジトリ中でこの機能を実行することを望むのかについて決定することが出来る。

本発明のいくつかの実施の形態において、すでにＴＭＨにより送られ受け取ったＴＡＸＩＩメッセージと互換性があるフォーマットを満たす脅威情報をＴＡＸＩＩバックエンド内の機能単位は保存し、受取、作成することが出来る。本発明の他の実施の形態において、ＴＡＸＩＩバックエンドの機能単位は、ＴＭＨにより送られ受け取ったＴＡＸＩＩメッセージと互換性があることを確かめるために構文解析しなければならない、カスタマイズされた、又はメーカー独自のフォーマットで脅威情報を作成し又は保存することが出来る。いくつかの実施の形態において、ＴＡＸＩＩバックエンドにより作成され又は保存された、いくつかの情報はＴＡＸＩＩと互換性があるかもしれないが、他の情報は、同じＴＡＸＩＩバックエンドによりカスタマイズされたフォーマット又はメーカー独自のフォーマットで作成され保存され、その情報がＴＭＨへと又はＴＭＨから送信されるときＴＡＸＩＩ互換性を持たせるために処理されなければならない。

本発明の実施の形態は説明のために記載したものである。当業者であればこの記載から記載された実施の形態は限定するためのものではないこと、本発明の種々の実施の形態及びその均等物を広く保護するために、このような変更や修正を含む添付の特許請求の範囲の技術思想及び範囲によりより限定される変更や修正により実行することが出ることを認識するであろう。

Claims (4)

1. 少なくとも１つのマルチコアプロセッサを具備する集中型サーバーであって、
   前記集中型サーバーは、複数の集中化された脅威情報を含有する中央リポジトリを司り、前記中央リポジトリはＭｏｎｇｏＤＢデータベースを具備し、
   前記集中型サーバーは、ＳＳＬ認証を有することを特徴とする、
   集中型サーバーと、
   複数の分散サーバーであって、
   前記分散サーバーの各々は、複数の局部的な脅威情報を含有するローカルリポジトリを司ることを特徴とする、
   複数の分散サーバーと、
   を具備し、
   前記集中型サーバーは、ＳＳＬ暗号化を用いて、前記複数の集中化された脅威情報のうちの少なくとも一部を前記複数の局部的な脅威情報の少なくとも一部と交換することで、前記複数の集中化された脅威情報を前記複数の分散サーバーの各々に含まれる前記複数の局部的な脅威情報と同期させるよう構成され、
   前記中央リポジトリは、受け取った脅威情報の項目を先に保存してある脅威情報の項目と比較し、受け取った前記脅威情報の項目に付加的なメタデータを追加し、受け取った脅威情報の項目及び保存してある脅威情報の項目のパターンを測定し、受け取った脅威情報の項目及び保存してある脅威情報に基づき将来の予測を行うことを特徴とする、
   自動的に脅威情報を交換するためのコンピュータ化されたシステム。
2. 第１の分散サーバーにおいて、
   マシンリーダブル言語にて脅威情報の第１の項目を作成するステップと、
   前記脅威情報の第１の項目を前記マシンリーダブル言語からＳＴＩＸ言語に変換するステップと、
   前記第１の分散サーバーのＴＡＸＩＩインターフェースにて、ＳＳＬ暗号化を用いて、前記変換された脅威情報の第１の項目を集中化されたサーバーへ安全に伝送するステップと、
   前記第１の分散サーバーのＴＡＸＩＩインターフェースにて、暗号化された脅威情報の第２の項目を受け取るステップであって、前記第２の項目はＳＴＩＸ言語になっており、ＳＳＬ暗号化を用いて暗号化されていることを特徴とする、ステップと、
   前記暗号化された脅威情報の第２の項目のＸＭＬスキーマを検証するステップと、
   前記第２の項目を前記ＳＴＩＸ言語から前記マシンリーダブル言語に変換するステップと、
   前記変換された第２の項目をローカルリポジトリに挿入するステップであって、前記ローカルリポジトリは、ＭｏｎｇｏＤＢデータベースであることを特徴とするステップと、
   中央リポジトリにおいて、
   受け取った脅威情報の項目を先に保存してある脅威情報の項目と比較するステップと、
   受け取った前記脅威情報の項目に付加的なメタデータを追加するステップと、
   受け取った脅威情報の項目及び保存してある脅威情報の項目のパターンを測定するステップと、
   受け取った脅威情報の項目及び保存してある脅威情報に基づき将来の予測を行うステップと、
   を具備する、安全に脅威情報を交換するためのコンピュータ化された方法。
3. 脅威情報を保存し分配する第１のリポジトリにて、観測された事象又は特性を共通言語で記述する第１の項目を作成するステップと、
   脅威情報を保存し分配するために少なくとも１つの他のリポジトリに前記第１の項目を分配するステップと、
   中央リポジトリにおいて、
   受け取った脅威情報の項目を先に保存してある脅威情報の項目と比較するステップと、
   受け取った前記脅威情報の項目に付加的なメタデータを追加するステップと、
   受け取った脅威情報の項目及び保存してある脅威情報の項目のパターンを測定するステップと、
   受け取った脅威情報の項目及び保存してある脅威情報に基づき将来の予測を行うステップと、
   を具備する脅威情報を分配するためのコンピュータ化された方法。
4. 脅威情報を保存し分配するための中央リポジトリと、
   脅威情報を保存し分配するための複数のローカルリポジトリと、
   前記中央リポジトリと前記複数のローカルリポジトリとを接続するネットワークと、
   を具備し、
   前記ネットワークは、脅威情報の１以上の項目を前記複数のローカルリポジトリのうちの少なくとも１つから前記中央リポジトリへ伝送するよう構成され、そして、脅威情報の１以上の項目を前記中央リポジトリから前記複数のローカルリポジトリのうちの少なくとも１つへ伝送するよう構成され、
   前記中央リポジトリは、受け取った脅威情報の項目を先に保存してある脅威情報の項目と比較し、受け取った前記脅威情報の項目に付加的なメタデータを追加し、受け取った脅威情報の項目及び保存してある脅威情報の項目のパターンを測定し、受け取った脅威情報の項目及び保存してある脅威情報に基づき将来の予測を行うことを特徴とする、
   脅威情報を保存し分配するためのコンピュータ化されたシステム。

Images