JP6764500B2 - 無認可のネットワーク侵入から保護するシステム及び方法 - Google Patents

Description

私設ネットワークの保護は、家庭から政府にまで及ぶ組織に突き付けられている重要な課題である。かかる組織は、様々な従来方法を使用して私設ネットワークの保護を試みることがある。例えば、組織の管理者は、コンピュータに特定の媒体アクセス制御（ＭＡＣ）アドレスを与え、認可されたＭＡＣアドレスを有するコンピュータのみに、ネットワークへのアクセスを許可することがある。別の例として、組織の管理者は、私設ネットワークをパスワードで保護し、適正なパスワードの入力に成功したコンピュータのみに、ネットワークへのアクセスを許可することがある。残念ながら、例えば、認可されたＭＡＣアドレスを違法に複製することにより、かつ／又はネットワークのパスワードを力づくで入手する意図で、多数の連続したパスワードの推測を生成することにより、無認可のコンピュータのユーザーが、これら従来の防護手段を巧みに回避する可能性がある。したがって、本開示は、無認可のネットワーク侵入から保護するための、さらなる改善されたシステム及び方法に対する必要性を識別し、それに対処する。

更に詳細に後述するように、本開示は、ネットワークへのアクセスを試行しているデバイスからの信号を識別し、次に、識別された信号に少なくとも部分的に基づいて、そのアクセス試行が悪意的であるか否かを判断することによって、無認可のネットワーク侵入から保護するための様々なシステム及び方法について記載する。１つの実施例では、無認可のネットワーク侵入から保護するコンピュータ実装方法は、（１）ネットワークの１つ以上のアンテナによって受信した、ネットワークへのアクセスを試行しているデバイスの送受信器からの信号を識別するステップと、（２）ネットワークへのアクセス試行と関連して、ネットワークのアンテナによって受信した信号の１つ以上の信号強度を検出するステップと、（３）信号の信号強度に少なくとも部分的に基づいて、ネットワークへのアクセス試行が悪意的である可能性を判断するステップと、ネットワークへのアクセス試行が悪意的である可能性があるという判断に応答して、（４）悪意的である可能性があるネットワークへのアクセス試行に対処する、少なくとも１つの安全対策を開始するステップとを含んでもよい。

一実施形態では、コンピュータ実装方法は、ネットワークのアンテナによって受信した信号の信号強度に少なくとも部分的に基づいて、ネットワークのアンテナによって受信した信号の信号プロファイルを生成するステップを、更に含んでもよい。いくつかの実施例では、ネットワークへのアクセス試行が悪意的である可能性を判断するステップは、（１）ネットワークへのアクセス試行失敗の閾値数と関連して、過去に検出された疑わしい信号プロファイルを規定するポリシーを識別するステップと、（２）信号プロファイルが、ポリシーで規定された疑わしい信号プロファイルの少なくとも１つと合致することを判断するステップと、次に、（３）信号プロファイルがポリシーで規定された疑わしい信号プロファイルの少なくとも１つと合致することに少なくとも部分的に起因して、ネットワークへのアクセス試行が悪意的である可能性があると判断するステップとを含んでもよい。

一実施形態では、ネットワークのアンテナによって受信した信号の１つ以上の信号強度を検出するステップは、ネットワークのアンテナ内の第１のアンテナを介して、識別された信号の第１の強度を検出するステップと、ネットワークのアンテナ内の少なくとも１つの追加のアンテナを介して、識別された信号の少なくとも１つの追加の強度を検出するステップとを含んでもよい。この実施形態では、信号の信号プロファイルを生成するステップは、信号プロファイルに少なくとも部分的に基づいて、受信した信号の第１の強度と少なくとも１つの追加の強度との間の分散を識別するステップを含んでもよい。それに加えて、又は別の方法として、ネットワークへのアクセス試行が悪意的である可能性を判断するステップは、（１）ネットワークのアンテナによって受信した信号の信号強度における疑わしい分散を規定するポリシーを識別するステップと、（２）受信した信号の第１の強度と少なくとも１つの追加の強度との間の分散が、ポリシーで規定された疑わしい分散の少なくとも１つと合致することを判断するステップと、次に、（３）第１の強度と少なくとも１つの追加の強度との間の分散がポリシーで規定された疑わしい分散の少なくとも１つと合致することに少なくとも部分的に起因して、ネットワークへのアクセス試行が悪意的である可能性があると判断するステップとを含んでもよい。

いくつかの実施例では、ネットワークへのアクセス試行が悪意的である可能性を判断するステップは、信号プロファイルが、無認可の信号プロファイルのデータベースのエントリと合致すること、及び／又は信号プロファイルが、認可された信号プロファイルのデータベースにおけるエントリと合致しないことを判断するステップを含んでもよい。

いくつかの実施例では、ネットワークへのアクセス試行が悪意的である可能性を判断するステップは、（１）信号プロファイル及びＭＡＣアドレスの１つ以上の疑わしい組み合わせをブラックリストに載せるポリシーを検出するステップと、（２）信号プロファイルと、ネットワークへのアクセス試行で使用されたデバイスのＭＡＣアドレスとが、ポリシーによってブラックリストに載せられた疑わしい組み合わせの少なくとも１つと合致することを判断するステップと、（３）信号プロファイル及びデバイスのＭＡＣアドレスがポリシーによってブラックリストに載せられた疑わしい組み合わせの少なくとも１つと合致することに少なくとも部分的に起因して、ネットワークへのアクセス試行が悪意的である可能性があると判断するステップとを含んでもよい。

いくつかの実施例では、ネットワークへのアクセス試行が悪意的である可能性を判断するステップは、（１）ネットワークへのアクセス試行で使用されたデバイスのＭＡＣアドレスが、１つ以上の過去に成功したネットワークへのアクセス試行で使用されていたことを判断するステップと、（２）過去に成功したネットワークへのアクセス試行の間のＭＡＣアドレスと関連して、信号プロファイルが過去に使用されていないことを判断するステップと、次に、（３）ＭＡＣアドレスが過去に成功した試行で使用されていたこと、及び過去の成功した試行の間のＭＡＣアドレスと関連して、信号プロファイルが過去に使用されていなかったことに少なくとも部分的に起因して、ネットワークへのアクセス試行が悪意的である可能性があると判断するステップとを含んでもよい。

いくつかの実施例では、ネットワークへのアクセス試行が悪意的である可能性を判断するステップは、（１）異なるＭＡＣアドレスが関与した過去のアクセス試行と関連して、信号プロファイルが検出されていることを判断するステップと、（２）次に、異なるＭＡＣアドレスが関与した過去のアクセス試行と関連して、信号プロファイルが検出されていることに少なくとも部分的に起因して、ネットワークへのアクセス試行が悪意的である可能性があると判断するステップとを含んでもよい。

いくつかの実施例では、ネットワークへのアクセス試行が悪意的である可能性を判断するステップは、（１）ネットワークへのアクセス試行で使用されたデバイスのＭＡＣアドレスを識別するステップと、（２）ネットワークへのアクセス試行の開始時間がＭＡＣアドレスに特徴的でないと判断するステップと、（３）ネットワークへのアクセス試行の開始時間がＭＡＣアドレスに特徴的でないことに少なくとも部分的に起因して、ネットワークへのアクセス試行が悪意的である可能性があると判断するステップとを含んでもよい。

一実施形態では、コンピュータ実装方法は、（１）１つ以上のネットワークへのアクセス試行を監視するステップと、（２）アクセス試行を監視しながら、監視したアクセス試行と関連して１つ以上の信号プロファイルを識別し、信号プロファイルに少なくとも部分的に基づいて、監視したアクセス試行の一連の属性を識別するステップと、（３）一連の属性から、悪意的なネットワークアクセス試行を識別するための機械学習ベースの分類モ
デルを構築するステップと、（４）機械学習ベースの分類モデルを使用して、悪意的であ
る可能性があるアクセス試行を識別するためのポリシーを作成するステップと、次に、（
５）悪意的である可能性があるアクセス試行を識別するためのポリシーに少なくとも部分
的に基づいて、ネットワークへのアクセス試行が悪意的である可能性があると判断するス
テップとを更に含んでもよい。

いくつかの実施例では、１つ以上のアクセス試行を監視するステップは、（１）ネットワークへの１つ以上のアクセス試行を監視するステップと、（２）セキュリティベンダーによって監視されているネットワークの中のネットワークへの１つ以上のアクセス試行を監視するステップと、（３）既知のＭＡＣアドレスと関連付けられた１つ以上のアクセス試行を監視するステップと、及び／又は（４）既知の信号プロファイルと関連付けられた１つ以上のアクセス試行を監視するステップとを含んでもよい。

いくつかの実施例では、コンピュータ実装方法は、ネットワークへのアクセス試行の少なくとも１つの属性を、機械学習ベースの分類モデルに入力するステップを更に含んでもよい。いくつかの実施例では、安全対策を開始するステップは、ネットワークへのアクセス試行が悪意的である可能性があることを、ネットワーク管理者に警告するステップを含んでもよい。

一実施形態では、コンピュータ実装方法は、警告に対するネットワーク管理者の応答を監視するステップと、応答に少なくとも部分的に基づいて、機械学習ベースの分類モデルを介して、悪意的である可能性があるアクセス試行を識別するためのポリシーを調節するステップとを更に含んでもよい。いくつかの実施例では、安全対策を開始するステップは、ネットワークへのアクセス試行をブロックするステップと、及び／又はネットワークへのアクセス前に認証プロセスを問題なく完了させることをデバイスに要求するステップとを含んでもよい。一実施形態では、識別するステップ、検出するステップ、判断するステップ、及び開始するステップは、ネットワークのルータ上で動いているエージェントによって実施されていてもよい。

一実施形態では、上述の方法を実現するシステムは、（１）ネットワークの１つ以上のアンテナによって受信した、ネットワークへのアクセスを試行しているデバイスの送受信器からの信号を識別する、メモリに格納された、識別モジュールと、（２）ネットワークへのアクセス試行と関連して、ネットワークのアンテナによって受信した信号の１つ以上の信号強度を検出する、メモリに格納された、検出モジュールと、（３）信号の信号強度に少なくとも部分的に基づいて、ネットワークへのアクセス試行が悪意的である可能性を判断する、メモリに格納された、判断モジュールと、（４）ネットワークへのアクセス試行が悪意的である可能性があるという判断に応答して、悪意的である可能性があるネットワークへのアクセス試行に対処する、少なくとも１つの安全対策を開始する、メモリに格納された、開始モジュールと、（５）識別モジュール、検出モジュール、判断モジュール、及び開始モジュールを実行するように構成された、少なくとも１つの物理的プロセッサとを含んでもよい。

いくつかの実施例では、上述の方法は、非一時的コンピュータ可読媒体上のコンピュータ可読命令としてコード化されてもよい。例えば、コンピュータ可読媒体は、コンピューティングデバイスの少なくとも１つのプロセッサによって実行されると、コンピューティングデバイスに、（１）ネットワークの１つ以上のアンテナによって受信した、ネットワークへのアクセスを試行しているデバイスの送受信器からの信号を識別することと、（２）ネットワークへのアクセス試行と関連して、ネットワークのアンテナによって受信した信号の１つ以上の信号強度を検出することと、（３）信号の信号強度に少なくとも部分的に基づいて、ネットワークへのアクセス試行が悪意的である可能性を判断することと、（４）ネットワークへのアクセス試行が悪意的である可能性があるという判断に応答して、悪意的である可能性があるネットワークへのアクセス試行に対処する、少なくとも１つの安全対策を開始することと、を行わせる１つ以上のコンピュータ実行可能命令を含んでもよい。

上述の実施形態のいずれかによる特徴は、本明細書に記載される一般原理に従って、互いに組み合わせて使用されてもよい。これら及び他の実施形態、特徴、及び利点は、添付の図面及び特許請求の範囲と併せて以下の発明を実施するための形態を読むことによって更に十分に理解されるだろう。

添付の図面は、いくつかの例示的な実施形態を例証するものであり、本明細書の一部である。以下の説明と併せて、これらの図面は、本開示の様々な原理を実証及び説明する。
無認可のネットワーク侵入から保護する例示的なシステムのブロック図である。 無認可のネットワーク侵入から保護する追加の例示的なシステムのブロック図である。 無認可のネットワーク侵入から保護する例示的なシステムのフローチャートである。 監視されてもよいネットワークアクセス試行の例示的な属性のブロック図である。 無認可のネットワーク侵入から保護するための例示的なポリシーのブロック図である。 本明細書に記載及び／又は例証される実施形態のうち１つ以上を実現することができる例示的なコンピューティングシステムのブロック図である。 本明細書に記載及び／又は例証される実施形態のうち１つ以上を実現することができる例示的なコンピューティングネットワークのブロック図である。

図面を通して、同一の参照符号及び記述は、必ずしも同一ではないが、類似の要素を示す。本明細書で説明される例示的な実施形態は、様々な修正物及び代替的な形態が可能であるが、特定の実施形態が例として図面に示されており、本明細書に詳細に記載される。しかしながら、本明細書に記載される例示的な実施形態は、開示される特定の形態に限定されることを意図しない。むしろ、本開示は、添付の特許請求の範囲内にある全ての修正物、等価物、及び代替物を網羅する。

本開示は、概して、無認可のネットワーク侵入から保護するシステム及び方法を対象とする。更に詳細に後述するように、悪意的である可能性があるアクセス試行と関連して送信された信号に基づいて、ネットワークへのそれらのアクセス試行を識別することによって、本明細書に開示するシステム及び方法は、別の方法では検出されずにいたであろう悪意的な試行を識別してもよい。例えば、本明細書に記載する様々なシステム及び方法は、ネットワークへのアクセス試行を観察し、悪意的として分類されたネットワークへのアクセス試行の部分集合を識別し、悪意的な試行と関連して送信された信号を含む試行の部分集合から一連の属性を抽出し、次に、抽出した一連の属性に少なくとも部分的に基づいて、ネットワークへの悪意的なアクセス試行を今後識別する際に使用するポリシーを作成してもよい。

以下、図１〜図２を参照して、無認可のネットワーク侵入から保護する例示的なシステムの詳細な説明を提供する。それに対応するコンピュータ実装方法についてもまた、図３〜図５と関連して詳細に説明する。それに加えて、本明細書に記載される実施形態のうち１つ以上を実現することができる、例示的なコンピューティングシステム及びネットワークアーキテクチャの詳細な説明を、それぞれ図６及び図７と関連して提供する。

図１は、無認可のネットワーク侵入から保護する例示的なシステム１００のブロック図である。この図に例証されるように、例示的なシステム１００は、１つ以上のタスクを実施するための１つ以上のモジュール１０２を含んでもよい。例えば、更に詳細に後述するように、例示的なシステム１００は、ネットワークの１つ以上のアンテナによって受信した、ネットワークへのアクセスを試行しているデバイスの送受信器からの信号を識別する、識別モジュール１０４を含んでもよい。例示的なシステム１００は、それに加えて、ネットワークへのアクセス試行と関連して、ネットワークのアンテナによって受信した信号の１つ以上の信号強度を検出する、検出モジュール１０６を含んでもよい。例示的なシステム１００はまた、信号の信号強度に少なくとも部分的に基づいて、ネットワークへのアクセス試行が悪意的である可能性があると判断する、判断モジュール１０８を含んでもよい。例示的なシステム１００は、それに加えて、ネットワークへのアクセス試行が悪意的である可能性があるという判断に応答して、悪意的である可能性があるネットワークへのアクセス試行に対処する、少なくとも１つの安全対策を開始する、開始モジュール１１０を含んでもよい。

別々の要素として例証されるが、図１のモジュール１０２のうちの１つ以上は、単一のモジュール又はアプリケーションの部分を表してもよい。特定の実施形態では、図１のモジュール１０２のうち１つ以上は、コンピューティングデバイスによって実行されると、コンピューティングデバイスに１つ以上のタスクを実施させてもよい、１つ以上のソフトウェアアプリケーション又はプログラムを表してもよい。例えば、更に詳細に後述するように、モジュール１０２のうち１つ以上は、図２に示されるデバイス（例えば、コンピューティングデバイス２０２、ネットワーク２０４、及び／又はサーバ２０６）、図６のコンピューティングシステム６１０、並びに／あるいは図７の例示的なネットワークアーキテクチャ７００の部分など、１つ以上のコンピューティングデバイスに格納され、その上で動くように構成された、ソフトウェアモジュールを表してもよい。図１のモジュール１０２のうち１つ以上はまた、１つ以上のタスクを実施するように構成された１つ以上の専用コンピュータの全て又は一部を表してもよい。

図１の例示的なシステム１００は、様々な方法で実装されてもよい。例えば、例示的なシステム１００の全て又は一部は、図２における例示的なシステム２００の部分を表してもよい。図２に示されるように、システム２００は、コンピューティングデバイス２０２、サーバ２０６、及びネットワーク２０４を含んでもよい。図２では別個の実体として示されるが、サーバ２０６はネットワーク２０４の一部分を表してもよい。一実施例では、コンピューティングデバイス２０２は、モジュール１０２のうち１つ以上を用いてプログラムされてもよく、かつ／又はＭＡＣアドレス２１０を含んでもよい。「媒体アクセス制御アドレス」という用語、及びその省略形の「ＭＡＣアドレス」は、本明細書で使用するとき、一般に、ネットワークに接続されているか又はネットワークへの接続を試行しているコンピューティングデバイスに割り当てられたアドレスを指す。

それに加えて、又は別の方法として、サーバ２０６は、モジュール１０２の１つ以上を用いてプログラムされてもよく、並びに／あるいは信号プロファイル２１４及び／又はポリシー２２０を含んでもよい。「信号プロファイル」という用語は、本明細書で使用するとき、一般に、特定の信号に関する情報を描写するデータ構造を指す。「信号」という用語は、本明細書で使用するとき、一般に、デバイスの送受信器からの情報を搬送する電磁波形を指す。いくつかの実施例では、信号は電波を指してもよい。これらの実施例では、ネットワークへのアクセスを試行するデバイスは、データを電波へと転換し、電波をネッ
トワークの１つ以上のアンテナに送信することによって、信号を作成してもよい。

一実施例では、信号プロファイル２１４は、アンテナ２１２（１）〜（Ｎ）によって受
信した１つ以上の信号強度２１６（１）〜（Ｎ）を含んでもよく、かつ／又はそれを識別
してもよい。信号プロファイル２１４はまた、信号強度２１６（１）〜（Ｎ）の総計であ
る強度スコアを含んでもよい。それに加えて、又は別の方法として、信号プロファイル２
１４は分散パターン２１８を含んでもよく、かつ／又はそれを識別してもよい。

「信号強度」という用語は、本明細書で使用するとき、一般に、アンテナによって受信
した信号の強度を指す。例えば、信号強度２１６（１）は、アンテナ２１２（１）によっ
て受信され、３２ｄＢｍの信号強度を表してもよい。それに加えて、又は別の方法として
、信号強度２１６（Ｎ）は、アンテナ２１２（Ｎ）によって受信され、５８ｄＢｍの信号
強度を表してもよい。いくつかの実施例では、信号強度２１６（１）及び信号強度２１６
（Ｎ）は、（３２ｄＢｍ＋５８ｄＢｍ）÷２＝４５ｄＢｍの総強度スコアを有してもよい
。

「分散パターン」という用語は、本明細書で使用するとき、一般に、複数のアンテナで
受信した信号の強度の差を指す。例えば、分散パターン２１８は、信号強度２１６（１）
と信号強度２１６（Ｎ）との間の分散を含んでもよく、かつ／又はそれを識別してもよい
。この実施例では、分散パターン２１８は、（５８ｄＢｍ−３２ｄＢｍ）＝２６ｄＢｍの
分散を表してもよい。

「ポリシー」という用語は、本明細書で使用するとき、一般に、疑わしい信号プロファ
イルを規定する、１つ以上のガイドライン、アルゴリズム、及び／又は分類を指す。本明
細書で使用するとき、「疑わしい信号プロファイル」という用語は、一般に、悪意的なネ
ットワークへのアクセス試行と関連付けられる可能性が特定の閾値を上回っている信号か
ら得られる、信号プロファイルを指す。

それに加えて、又は別の方法として、ネットワーク２０４は、モジュール１０２の１つ
以上を用いてプログラムされてもよく、かつ／又はアンテナ２１２（１）〜（Ｎ）の１つ
以上を含んでもよい。「アンテナ」という用語は、本明細書で使用するとき、一般に、信
号を送信若しくは受信するのに使用される、任意のロッド、ワイヤ、及び／又は他の電気
デバイスを指す。いくつかの実施例では、アンテナ２１２（１）〜２１２（Ｎ）は、クラ
スタ化アンテナ環境の一部を形成する。本明細書で使用するとき、「クラスタ化アンテナ
環境」という用語は、一般に、地理的区域内で空間的に分離され、同じネットワークの一
部として動作する、複数のアンテナを指す。

一実施形態では、図１のモジュール１０２のうち１つ以上は、コンピューティングデバイス２０２、ネットワーク２０４、及び／又はサーバ２０６の少なくとも１つのプロセッサによって実行されると、コンピューティングデバイス２０２、ネットワーク２０４、及び／又はサーバ２０６が、無認可のネットワーク侵入から保護するのを可能にしてもよい。例えば、更に詳細に後述するように、識別モジュール１０４は、ネットワーク２０４の１つ以上のアンテナによって受信した、ネットワーク２０４及び／又はサーバ２０６へのアクセスを試行しているデバイス（コンピューティングデバイス２０２など）の送受信器からの信号を識別してもよい。検出モジュール１０６は、ネットワーク２０４及び／又はサーバ２０６へのアクセス試行と関連して、ネットワーク２０４のアンテナによって受信した信号の１つ以上の信号強度（信号強度２１６（１）〜２１６（Ｎ）など）を検出してもよい。検出モジュール１０６は更に、１つ以上の信号強度に少なくとも部分的に基づいて、信号プロファイル（信号プロファイル２１４など）を生成してもよい。判断モジュール１０８は、信号の信号強度に少なくとも部分的に基づいて、ネットワーク２０４及び／又はサーバ２０６へのアクセス試行が悪意的である可能性を判断してもよい。開始モジュール１１０は、ネットワーク２０４及び／又はサーバ２０６へのアクセス試行が悪意的である可能性があるという判断に応答して、悪意的である可能性があるネットワーク２０４へのアクセス試行に対処する、少なくとも１つの安全対策を開始してもよい。

少なくとも１つの安全対策は、コンピューティングデバイス２０２に向けたものであってもよい。例えば、開始モジュール１１０は、コンピューティングデバイス２０２がネットワーク２０４及び／又はサーバ２０６にアクセスするのをブロックしてもよい。それに加えて、又は別の方法として、安全対策はサーバ２０６に向けたものであってもよい。例えば、開始モジュール１１０は、サーバ２０６の管理者に対して通知を送ってもよい。

コンピューティングデバイス２０２は、一般に、コンピュータ実行可能命令を読み取ることができる任意のタイプ又は形態のコンピューティングデバイスを表す。コンピューティングデバイス２０２の例としては、非限定的に、ラップトップ、タブレット、デスクトップ、サーバ、携帯電話、携帯情報端末（ＰＤＡ）、マルチメディアプレーヤー、埋め込みシステム、ウェアラブルデバイス（例えば、スマートウォッチ、スマートグラスなど）、ゲーム機、それらの１つ以上の組み合わせ、図６の例示的なコンピューティングシステム６１０、あるいは他の任意の好適なコンピューティングデバイスが挙げられる。

サーバ２０６は、一般に、無認可のネットワーク侵入から保護することができる任意のタイプ又は形態のコンピューティングデバイスを表す。サーバ２０６の例としては、非限定的に、様々なネットワーク、切換え、経路指定、若しくはデータベースサービスを提供
する、かつ／又は特定のソフトウェアアプリケーションを実行するように構成される、ネ
ットワークデバイス、スイッチ、ルータ、ゲートウェイ、アプリケーションサーバ、並び
にデータベースサーバが挙げられる。

ネットワーク２０４は、一般に、通信若しくはデータ転送を容易にすることが可能な、
任意の媒体又はアーキテクチャを表す。ネットワーク２０４の例としては、非限定的に、
イントラネット、広域ネットワーク（Wide Area Network）（ＷＡＮ）、ローカルエリア
ネットワーク（Local Area Network）（ＬＡＮ）、パーソナルエリアネットワーク（Pers
onal Area Network）（ＰＡＮ）、インターネット、電力線通信（ＰＬＣ）、セルラーネ
ットワーク（例えば、Ｇｌｏｂａｌ Ｓｙｓｔｅｍ ｆｏｒ Ｍｏｂｉｌｅ Ｃｏｍｍｕ
ｎｉｃａｔｉｏｎｓ〔ＧＳＭ（登録商標）〕ネットワーク）、図７の例示的なネットワー
クアーキテクチャ７００などが挙げられる。ネットワーク２０４は、無線接続又は有線接
続を使用して、通信又はデータ転送を容易にしてもよい。一実施形態では、ネットワーク
２０４は、コンピューティングデバイス２０２とサーバ２０６との間の通信を容易にして
もよい。いくつかの実施例では、ネットワーク２０４は、ネットワーク２０４のアンテナ
２１２（１）〜２１２（Ｎ）で、コンピューティングデバイス２０２の送受信器から信号
を受信してもよい。いくつかの実施例では、ネットワーク２０４は、住居で管理される無
線ネットワークなどの私設ネットワークを表してもよい。それに加えて、又は別の方法と
して、ネットワーク２０４は、企業又は政府が管理するネットワークを表してもよい。

図３は、無認可のネットワーク侵入から保護する例示的なコンピュータ実装方法３００
のフローチャートである。図３に示されるステップは、任意の好適なコンピュータ実行可
能コード及び／又はコンピューティングシステムによって実施されてもよい。いくつかの
実施形態では、図３に示されるステップは、図１のシステム１００、図２のシステム２０
０、図６のコンピューティングシステム６１０、及び／又は図７の例示的なネットワーク
アーキテクチャ７００の部分の構成要素のうち１つ以上によって実施されてもよい。

図３に示されるように、ステップ３０２で、本明細書に記載するシステムの１つ以上は
、ネットワークの１つ以上のアンテナによって受信した、ネットワークへのアクセスを試
行しているデバイスの送受信器からの信号を識別してもよい。例えば、識別モジュール１
０４は、図２のサーバ２０６及び／又はネットワーク２０４の一部として、ネットワーク２０４のアンテナ２１２（１）〜２１２（Ｎ）によって受信した、ネットワーク２０４へのアクセスを試行しているコンピューティングデバイス２０２の送受信器からの信号を識別してもよい。

識別モジュール１０４は、様々なやり方で、ネットワークのアンテナによって受信した
信号を識別してもよい。いくつかの実施例では、識別モジュール１０４は、ネットワーク
２０４及び／又はサーバ２０６の一部として動作し、アンテナ２１２（１）〜２１２（Ｎ
）から信号を受信する際に信号を識別してもよい。それに加えて、又は別の方法として、
識別モジュール１０４は、第三者のサーバ（セキュリティベンダーのサーバなど）の一部
として動作してもよく、アンテナ２１２（１）〜２１２（Ｎ）及び／又はネットワーク２
０４から信号を受信する際に信号を識別してもよい。

図３に戻ると、ステップ３０４で、本明細書に記載するシステムの１つ以上は、ネットワークへのアクセス試行と関連して、ネットワークのアンテナによって受信した信号の１つ以上の信号強度を検出してもよい。例えば、検出モジュール１０６は、図２のサーバ２０６及び／又はネットワーク２０４の一部として、コンピューティングデバイス２０２によるネットワーク２０４へのアクセス試行と関連して、ネットワーク２０４のアンテナ２１２（１）〜２１２（Ｎ）によって受信した信号の信号強度２１６（１）〜２１６（Ｎ）を検出してもよい。

検出モジュール１０６は、様々なやり方で、アンテナによって受信した信号の信号強度を検出してもよい。いくつかの実施例では、ネットワークの単一のアンテナが信号を受信してもよい。例えば、アンテナ２１２（１）が信号強度２１６（１）を受信してもよい。これらの実施例では、検出モジュール１０６は、単一のアンテナを介して信号の強度を検出してもよい。例えば、信号強度２１６（１）は３２ｄＢｍの信号強度を表してもよい。アンテナ２１２（１）が信号を受信すると、検出モジュール１０６は、信号の強度が３２ｄＢｍであると判断してもよい。

他の実施例では、ネットワークのクラスタ化アンテナ環境内の２つ以上のアンテナが信号を受信してもよい。例えば、アンテナ２１２（１）〜（Ｎ）が信号強度２１６（１）〜２１６（Ｎ）を受信してもよい。これらの実施例では、クラスタ化アンテナ環境内の各アンテナが異なる強度の信号を受信してもよい。例えば、アンテナ２１２（１）は、３２ｄＢｍの信号強度を表す信号強度２１６（１）を受信してもよく、アンテナ２１２（Ｎ）は、５８ｄＢｍの信号強度を表す信号強度２１６（Ｎ）を受信してもよい。

いくつかの例では、各アンテナによって受信する信号強度の差は、クラスタ化アンテナ
環境内の各アンテナに対するデバイスの相対的な近接性に少なくとも部分的に起因しても
よい。これらの例では、クラスタ化アンテナ環境内でデバイスに対して物理的に最も近い
アンテナが、最大強度の信号を受信してもよく、クラスタ化アンテナ環境内でデバイスに
対して物理的に最も遠いアンテナが、最小強度の信号を受信してもよい。例えば、アンテ
ナ２１２（Ｎ）は、コンピューティングデバイス２０２から１０フィート（３．０５ｍ）
であってもよく、アンテナ２１２（１）は、コンピューティングデバイス２０２から１０
０フィート（３０．４８ｍ）であってもよい。結果として、アンテナ２１２（Ｎ）は、ア
ンテナ２１２（１）によって受信する信号強度２１６（１）よりも２６ｄＢｍ強い信号強
度２１６（Ｎ）を受信してもよい。

別の実施例として、各アンテナによって受信する信号強度の差は、デバイスが信号を送
信している方向に少なくとも部分的に起因してもよい。多くの例では、デバイスは信号を
全ての方向で送信してもよく、したがって信号は全方向性であってもよい。しかしながら
、他の例では、デバイスは信号を一方向で増幅してもよい。これらの例では、クラスタ化
アンテナ環境内の一方向に向けられているアンテナは、クラスタ化アンテナ環境内の一方
向に向けられていないアンテナによって受信する信号強度よりも著しく強い信号強度を受
信してもよい。したがって、様々なアンテナに対するデバイスの物理的な近接性は、様々
なアンテナによって受信する信号の信号強度に対してほとんど、又は全く影響を有さない
ことがある。それに加えて、又は別の方法として、様々なアンテナに対するデバイスの物
理的な近接性は、受信信号の強度における最も顕著な因子ではないことがある。

ネットワークの２つ以上のアンテナが信号を受信する場合、検出モジュール１０６は、
それに加えて、クラスタ化アンテナ環境内の各アンテナによって受信する信号強度間の分
散を検出してもよい。例えば、検出モジュール１０６は、信号強度２１６（１）〜２１６
（Ｎ）それぞれの間の分散を描写する分散パターン２１８を検出してもよい。

いくつかの実施例では、検出モジュール１０６は、ネットワーク２０４及び／又はサー
バ２０６の一部として動作し、アンテナ２１２（１）〜２１２（Ｎ）から信号を受信する
際に信号強度２１６（１）〜２１６（Ｎ）を検出してもよい。それに加えて、又は別の方
法として、検出モジュール１０６は、第三者のサーバ（セキュリティベンダーのサーバな
ど）の一部として動作し、アンテナ２１２（１）〜２１２（Ｎ）及び／又はネットワーク２０４から信号を受信する際に信号の信号強度を検出してもよい。

一実施形態では、検出モジュール１０６はまた、ネットワークのアンテナによって受信した信号の信号強度に少なくとも部分的に基づいて、信号の信号プロファイルを生成してもよい。例えば、検出モジュール１０６は、信号強度２１６（１）〜２１６（Ｎ）に少なくとも部分的に基づいて、信号プロファイル２１４を生成してもよい。

図３に戻ると、ステップ３０６で、本明細書に記載するシステムの１つ以上は、信号の信号強度に少なくとも部分的に基づいて、ネットワークへのアクセス試行が悪意的である可能性があると判断してもよい。例えば、判断モジュール１０８は、図２のコンピューティングデバイス２０２の一部として、ネットワーク２０４へのアクセス試行が悪意的である可能性があると判断してもよい。この実施例では、判断は、信号の信号強度２１６（１）〜２１６（Ｎ）に少なくとも部分的に基づいてもよい。

本明細書で使用するとき、「悪意的である可能性がある試行」という用語は、一般に、既知の悪意的であるネットワークへのアクセス試行と一致する１つ以上の特性を有する、任意のタイプ又は形態のアクセス試行を指す。「悪意的であるネットワークへのアクセス試行」という語句は、本明細書で使用するとき、一般に、無認可である、並びに／あるいはネットワーク及び／又はネットワークと関連付けられたデバイスにとって有害であるか若しくはそれに潜入するように構成された、任意のタイプ又は形態のアクセス試行を指す。

判断モジュール１０８は、信号の信号強度に少なくとも部分的に基づいて、様々なやり方で、ネットワークへのアクセス試行が悪意的である可能性があると判断してもよい。いくつかの実施例では、判断モジュール１０８は、ポリシー２２０で規定された特定の疑わしい信号プロファイルを識別してもよい。一実施例では、ポリシー２２０は、ネットワーク２０４及び／又は同じセキュリティサービスによって監視される別のネットワークへのアクセス試行失敗の閾値数と関連して、特定の信号プロファイルが過去に検出されているときに、それらの信号プロファイルが疑わしいことを示してもよい。

判断モジュール１０８は、次に、生成した信号プロファイルが、ポリシーで規定した疑わしい信号プロフィルの少なくとも１つの記述と合致していることを判断してもよい。例えば、判断モジュール１０８は、ポリシー２２０で規定したようなネットワーク２０４へのアクセス試行失敗の閾値数と関連して、信号プロファイル２１４が過去に検出されていると判断してもよい。

最後に、判断モジュール１０８は、生成した信号プロファイルがポリシーで規定した疑
わしい信号プロファイルの少なくとも１つと合致することに少なくとも部分的に起因して
、ネットワークへのアクセス試行が悪意的である可能性があると判断してもよい。例えば
、判断モジュール１０８は、ポリシー２２０で規定したようなネットワーク２０４へのア
クセス試行失敗の閾値数と関連して、信号プロファイル２１４が過去に検出されているこ
とに少なくとも部分的に起因して、ネットワーク２０４へのアクセス試行が悪意的である
可能性があると判断してもよい。

いくつかの実施形態では、ポリシー２２０は、信号の信号強度における疑わしい分散を
規定してもよい。これらの実施形態では、判断モジュール１０８は、分散パターン２１８
がポリシー２２０で規定した疑わしい分散の少なくとも１つと合致すると判断することに
よって、ネットワーク２０４へのアクセス試行が悪意的である可能性があると判断しても
よい。例えば、アンテナ２１２（Ｎ）で受信した信号の信号強度は、一般的に、アンテナ
２１２（１）で受信した同じ信号の信号強度よりも強くてもよい。結果として、ポリシー
２２０は、アンテナ２１２（１）で受信した信号の信号強度がアンテナ２１２（Ｎ）で受
信した同じ信号の信号強度よりも強いとき、分散が疑わしいことを示してもよい。

この実施例では、検出モジュール１０６は、アンテナ２１２（１）によって受信した信
号の信号強度３２ｄＢｍを表す信号強度２１６（１）と、アンテナ２１２（Ｎ）によって
受信した信号の信号強度５８ｄＢｍを表す信号強度２１６（Ｎ）とを検出してもよい。検
出モジュール１０６は、次に、分散パターン２１８を識別し、分散パターン２１８を信号
プロファイル２１４に含めることによって、信号プロファイル２１４を生成してもよい。
一実施例では、分散パターン２１８は、信号強度２１６（１）と信号強度２１６（Ｎ）と
の間に２６ｄＢｍの分散が存在すること、及び／又は信号強度２１６（Ｎ）が信号強度２
１６（１）よりも強いことを示してもよい。

次に、判断モジュール１０８は、信号強度２１６（Ｎ）が信号強度２１６（１）よりも
強いことに少なくとも部分的に基づいて、分散パターン２１８がポリシー２２０で規定し
た疑わしい分散の少なくとも１つと合致すると判断してもよい。最後に、判断モジュール
１０８は、分散パターン２１８がポリシー２２０で規定した疑わしい分散の少なくとも１
つと合致することに少なくとも部分的に基づいて、ネットワーク２０４へのアクセス試行
が悪意的である可能性があると判断してもよい。

いくつかの実施例では、ポリシー２２０は、既知の悪意的であるネットワークへのアク
セス試行と関連して、過去に検出されている特定の疑わしい分散パターンを識別してもよ
い。例えば、判断モジュール１０８は、悪意的であるネットワークへのアクセス試行が場
合によっては指向性の増幅を伴うと判断してもよい。それに加えて、又は別の方法として、判断モジュール１０８は、１つのネットワークアンテナが、他の全てのネットワークアンテナによって受信された信号の信号強度よりも特定量の分強い信号強度を受信すると、信号が指向性の増幅を使用して送られる可能性が高いと判断してもよい。結果として、ポリシー２２０は、１つのネットワークアンテナで受信した信号強度が、他の全てのネットワークアンテナで受信した信号強度よりも、その特定量の分強いとき、分散パターンが疑わしいことを示してもよい。

いくつかの実施形態では、判断モジュール１０８は、信号プロファイルが、無認可の信号プロファイルのデータベースにおけるエントリと合致すると判断することによって、ネットワークへのアクセス試行が悪意的である可能性があると判断してもよい。それに加えて、又は別の方法として、判断モジュール１０８は、信号プロファイルが、認可された信号プロファイルのデータベースにおけるエントリと合致しないと判断することによって、ネットワークへのアクセス試行が悪意的である可能性があると判断してもよい。これらの実施形態では、無認可の信号プロファイルのデータベースは、システム管理者及び／又は機械学習型の分類システムによって、無認可であると過去に指定されている信号プロファイルのデータベースであってもよい。同様に、認可された信号プロファイルのデータベースは、システム管理者及び／又は機械学習型の分類システムによって、認可されたものと過去に指定されている信号プロファイルのデータベースであってもよい。

いくつかの実施例では、ポリシー２２０は、信号プロファイル及びＭＡＣアドレスの１つ以上の疑わしい組み合わせをブラックリストに載せてもよい。これらの実施例では、判断モジュール１０８は、信号プロファイル２１４及びＭＡＣアドレス２１０が、ポリシー２２０によってブラックリストに載せられた疑わしい組み合わせの少なくとも１つと合致すると判断することによって、ネットワーク２０４へのアクセス試行が悪意的である可能性があると判断してもよい。ポリシー２２０によってブラックリストに載せられる組み合わせは、非限定的に、成功したネットワークへのアクセス試行において特定の回数よりも多く使用されているＭＡＣアドレスと、成功したネットワークへのアクセス試行において特定の回数よりも少なく使用されている信号プロファイル、ネットワークへのアクセス試行において特定の回数よりも少なく使用されているＭＡＣアドレスと、ネットワークへのアクセス試行において特定の率で使用されている信号プロファイル、ネットワークへのアクセス試行において使用されたことがないＭＡＣアドレスと、ネットワークへのアクセス試行において特定の回数よりも多く失敗して使用されている信号プロファイル、特定の数よりも多い異なる信号プロファイルと関連して使用されているＭＡＣアドレス、それらのうち１つ以上の変形、それらのうち１つ以上の組み合わせ、及び／又は他の任意の好適な組み合わせを含んでもよい。

いくつかの実施形態では、判断モジュール１０８は、認可されたＭＡＣアドレスの複製
である可能性があるＭＡＣアドレスを有するデバイスを識別し、複製である可能性がある
ＭＡＣアドレスを有するデバイスが悪意的である可能性があると判断してもよい。本明細
書で使用するとき、「ＭＡＣアドレスの複製」という語句は、一般に、デバイスのソフト
ウェアでエミュレートされたものであるが、デバイスの実際のＭＡＣアドレスではないＭ
ＡＣアドレスを指す。例えば、判断モジュール１０８は、ＭＡＣアドレス２１０が１つ以
上の過去の成功したネットワーク２０４へのアクセス試行で使用されていることを判断し
てもよい。

いくつかの実施例では、ＭＡＣアドレス２１０は、ネットワーク２０４の管理者によっ
て維持されているホワイトリストに含まれてもよい。これらの実施例では、ホワイトリス
トは、ネットワーク２０４へのアクセスを許可されている特定のＭＡＣアドレスを識別し
てもよい。判断モジュール１０８はまた、信号プロファイル２１４が、１つ以上の過去の
成功した試行と関連して使用されなかったことを判断してもよい。これらの判断の結果と
して、判断モジュール１０８は、ＭＡＣアドレス２１０がネットワーク２０４へのアクセ
ス試行のために複製されたものである可能性がある、かつ／又はネットワーク２０４への
アクセス試行が悪意的である可能性があると判断することができてもよい。

いくつかの実施形態では、ネットワーク２０４へのアクセス試行は、信号プロファイル
２１４を用いた急速な連続したネットワーク２０４へのアクセス試行の一部を形成しても
よい。本明細書で使用するとき、「急速な連続したネットワークへのアクセス試行」とい
う語句は、一般に、特定の時間量内で開始される、閾値数よりも多いネットワークへのア
クセス試行を指す。急速な連続したネットワークへのアクセス試行は、ネットワークへの
アクセスを認可されていないユーザーが、力づくでネットワークへのアクセスを試行して
いることを示してもよい。これらの実施形態では、判断モジュール１０８は、ネットワー
ク２０４へのアクセス試行が異なるＭＡＣアドレスの閾値数と関連付けられていることを
判断してもよい。それに応答して、判断モジュール１０８は、閾値数の異なるＭＡＣアド
レスが関与した複数の過去のアクセス試行と関連して、信号プロファイル２１４が検出さ
れていることに少なくとも部分的に起因して、ネットワーク２０４へのアクセス試行が悪
意的である可能性があると判断してもよい。

いくつかの実施例では、判断モジュール１０８は、ネットワークへのアクセス試行の開始時間がデバイスのＭＡＣアドレスに特徴的でないことに少なくとも部分的に基づいて、ネットワークへのアクセス試行が悪意的である可能性があると判断してもよい。本明細書で使用するとき、「特徴的でない開始時間」は、一般に、デバイスのＭＡＣアドレスと関連付けられたことがない、かつ／又はデバイスのＭＡＣアドレスと関連付けられたのが閾値回数未満である、開始時間を指す。例えば、判断モジュール１０８は、ＭＡＣアドレス２１０が成功したネットワーク２０４へのアクセス試行で過去に使用されており、過去の成功した試行の全てが午前８時から午後５時の間に行われたと判断してもよい。この実施例では、判断モジュール１０８はまた、ネットワーク２０４へのアクセス試行が午後１１時に発生したと判断してもよい。結果として、判断モジュール１０８は、午後１１時の開始時間がＭＡＣアドレス２１０に特徴的でないものであり、ネットワーク２０４へのアクセス試行が悪意的である可能性があることを判断してもよい。

上述したように、様々な実施形態では、判断モジュール１０８は、ポリシー２２０に少なくとも部分的に基づいて、ネットワーク２０４へのアクセス試行が悪意的である可能性があると判断してもよい。いくつかの実施形態では、ポリシー２２０は信号プロファイルの疑わしい特性を規定してもよい。本明細書で使用するとき、「信号プロファイルの疑わしい特性」という用語は、一般に、ネットワークへの悪意的なアクセス試行に関連する信号プロファイルの特性を指す。

ポリシー２２０は様々なやり方で作成されてもよい。いくつかの実施例では、判断モジュール１０８は、１つ以上のネットワークへの１つ以上のアクセス試行を監視することによって、ポリシーを作成してもよい。例えば、図４に示されるように、判断モジュール１０８は、ネットワーク２０４へのアクセスを試行したがアクセスが拒否された、失敗したアクセス試行４００を監視してもよい。失敗したアクセス試行４００の監視の一部として、判断モジュール１０８は、失敗したアクセス試行４００の一連の属性を識別してもよい。例えば、判断モジュール１０８は、失敗したアクセス試行４００の信号プロファイル４０２、分散パターン４０４、開始時間４０６、及びＭＡＣアドレス４０８を識別してもよい。

それに加えて、又は別の方法として、判断モジュール１０８は、ネットワーク２０４へ
のアクセスが許可された、成功したアクセス試行４１０及び／又は成功したアクセス試行
４４０を監視してもよい。成功したアクセス試行４１０及び／又は成功したアクセス試行
４４０の監視の一部として、判断モジュール１０８は、成功したアクセス試行４１０及び
／又は成功したアクセス試行４４０の一連の属性を識別してもよい。例えば、判断モジュ
ール１０８は、成功したアクセス試行４１０の信号プロファイル４１２、分散パターン４
１４、開始時間４１６、及びＭＡＣアドレス４１８、並びに／あるいは成功したアクセス
試行４４０の信号プロファイル４４２、分散パターン４４４、開始時間４４６、及びＭＡ
Ｃアドレス４４８を識別してもよい。

それに加えて、又は別の方法として、判断モジュール１０８は、悪意的であるものと指
定された悪意的なアクセス試行４２０を監視してもよい。悪意的なアクセス試行４２０の
監視の一部として、判断モジュール１０８は、悪意的なアクセス試行４２０の一連の属性
を識別してもよい。例えば、判断モジュール１０８は、悪意的なアクセス試行４２０の信
号プロファイル４０２、分散パターン４２４、開始時間４０６、及びＭＡＣアドレス４２
８を識別してもよい。

それに加えて、又は別の方法として、判断モジュール１０８は、ネットワーク２０４へ
のアクセスが認可されないものとして指定された無認可のアクセス試行４３０を監視して
もよい。無認可のアクセス試行４３０の監視の一部として、判断モジュール１０８は、無
認可のアクセス試行４３０の一連の属性を識別してもよい。例えば、判断モジュール１０
８は、無認可のアクセス試行４３０の信号プロファイル４０２、分散パターン４３４、開
始時間４０６、及びＭＡＣアドレス４３８を識別してもよい。

それに加えて、又は別の方法として、判断モジュール１０８は、ネットワーク２０４へ
のアクセスが認可されたものとして指定された、認可されたアクセス試行４５０を監視し
てもよい。認可されたアクセス試行４５０の監視の一部として、判断モジュール１０８は
、認可されたアクセス試行４５０の一連の属性を識別してもよい。例えば、判断モジュー
ル１０８は、認可されたアクセス試行４５０の信号プロファイル４０２、分散パターン４
５４、開始時間４５６、及びＭＡＣアドレス４５８を識別してもよい。

いくつかの実施例では、１つ以上のアクセス試行の監視は、ネットワーク２０４への１
つ以上のアクセス試行を監視することを含んでもよい。それに加えて、又は別の方法とし
て、１つ以上のアクセス試行の監視は、単一のセキュリティベンダーによって監視される
複数のネットワーク内のネットワークへの１つ以上のアクセス試行を監視することを含ん
でもよい。それに加えて、又は別の方法として、１つ以上のアクセス試行の監視は、既知
のＭＡＣアドレスと関連付けられた１つ以上のアクセス試行を監視することを含んでもよ
い。それに加えて、又は別の方法として、１つ以上のアクセス試行の監視は、既知の信号プロファイルと関連付けられた１つ以上のアクセス試行を監視することを含んでもよい。

いくつかの実施形態では、判断モジュール１０８は、図４に示される識別された一連の属性から、悪意的なネットワークへのアクセス試行を識別するための機械学習ベースの分類モデルを構築し、機械学習ベースの分類モデルを使用して、ポリシー２２０、ポリシー５００、及び／又はポリシー５２０など、悪意的である可能性があるアクセス試行を識別するためのポリシーを作成してもよい。

例えば、機械学習ベースの分類モデルは、信号プロファイル４０２と、失敗したアクセス試行又は悪意的であるものと類別されたアクセス試行（例えば、失敗したアクセス試行４００、悪意的なアクセス試行４２０、及び無認可のアクセス試行４３０）との関連に少なくとも部分的に基づいて、信号プロファイル４０２が疑わしいことを示してもよい。それに応答して、判断モジュール１０８は、信号プロファイル４０２が疑わしいと規定してもよい。同様に、機械学習ベースの分類モデルは、開始時間４０６と組み合わされた信号プロファイル４０２が疑わしいことを示してもよいが、その理由としては、かかる組み合わせが、失敗した、悪意的な、かつ／又は無認可のアクセス試行（失敗したアクセス試行４００、悪意的なアクセス試行４２０、及び／又は無認可のアクセス試行４３０）と関連付けられるためである。それに応答して、判断モジュール１０８は、開始時間４０６と組み合わされた信号プロファイル４０２が疑わしい組み合わせであると規定してもよい。それに加えて、又は別の方法として、機械学習ベースの分類モデルは、開始時間４５６と組み合わされた信号プロファイル４０２は疑わしくないことを示してもよいが、その理由としては、かかる組み合わせが、認可されているアクセス試行（認可されたアクセス試行４５０など）と関連付けられるためである。

いくつかの実施形態では、図５に示されるように、ネットワーク２０４によって使用されるポリシー５００は、上述の監視に少なくとも部分的に基づいて、信号プロファイル４０２及び／又は分散パターン５１４が疑わしい（例えば、それぞれ疑わしい特性５０２及び疑わしい特性５０４）と規定してもよい。この実施例では、判断モジュール１０８は、信号プロファイル４０２に対応する信号プロファイル２１４及び／又は分散パターン５１４に対応する分散パターン２１８に少なくとも部分的に基づいて、ネットワーク２０４へのアクセス試行が悪意的であると判断してもよい。

同様に、ネットワーク２０４によって使用されるポリシー５２０は、上述の監視に基づいて、信号プロファイル４０２及び開始時間４０６が疑わしい組み合わせであり、並びに／あるいは分散パターン５４２、ＭＡＣアドレス５４４、及び開始時間５４６が疑わしい組み合わせである（例えば、それぞれ疑わしい組み合わせ５２２及び疑わしい組み合わせ
５２４）と規定してもよい。これらの実施例では、判断モジュール１０８は、信号プロフ
ァイル４０２に対応する信号プロファイル２１４、及び開始時間４０６に行われるネット
ワーク２０４へのアクセス試行に少なくとも部分的に基づいて、ネットワーク２０４への
アクセス試行が悪意的であると判断してもよい。それに加えて、又は別の方法として、判
断モジュール１０８は、分散パターン５４２に対応する分散パターン２１８、ＭＡＣアド
レス５４４に対応するＭＡＣアドレス２１０、及び／又は開始時間５４６に行われるネッ
トワーク２０４へのアクセス試行に少なくとも部分的に基づいて、ネットワーク２０４へ
のアクセス試行が悪意的であると判断してもよい。

いくつかの実施例では、判断モジュール１０８は、ネットワーク２０４へのアクセス試
行の少なくとも１つの属性を、機械学習ベースの分類モデルに入力してもよい。「機械学
習ベースの分類モデル」という語句は、本明細書で使用するとき、一般に、機械学習技術
を使用して生成されるデータ分類のための複雑な数学的モデルを指す。いくつかの実施例
では、ネットワーク２０４及び／又はサーバ２０６の一部として動作するモジュールがポ
リシーを作成してもよい。それに加えて、又は別の方法として、第三者のセキュリティベ
ンダーの一部として動作するモジュールがポリシーを作成してもよい。

ステップ３０８で、本明細書に記載するシステムの１つ以上は、ネットワークへのアク
セス試行が悪意的である可能性があることに応答して、悪意的である可能性があるネット
ワークへのアクセス試行に対処する少なくとも１つの安全対策を開始してもよい。例えば
、開始モジュール１１０は、図２のサーバ２０６及び／又はネットワーク２０４の一部と
して、悪意的である可能性があるネットワーク２０４へのアクセス試行に対処する少なく
とも１つの安全対策を開始してもよい。この実施例では、安全対策は、ネットワーク２０
４へのアクセス試行が悪意的である可能性があるという判断に応答して開始されてもよい
。

開始モジュール１１０は、様々な方法で安全対策を開始してもよい。いくつかの実施例
では、開始モジュール１１０は、ネットワークへのアクセス試行が悪意的である可能性が
あることを、ネットワーク管理者に警告することによって、安全対策を開始してもよい。
これらの実施例では、開始モジュール１１０は、警告に対するネットワーク管理者の応答
を監視し、応答に少なくとも部分的に基づいて、悪意的である可能性があるアクセス試行
の識別を容易にするように、ポリシー２２０を調節してもよい。それに加えて、又は別の
方法として、開始モジュール１１０は、ネットワーク２０４へのアクセス試行をブロック
し、かつ／又はネットワーク２０４へのアクセス前に認証プロセスを問題なく完了させる
ことをデバイスに要求することによって、安全対策を開始してもよい。

上述したように、本開示は、ネットワークへのアクセスを試行しているデバイスからの信号を識別し、次に、信号に少なくとも部分的に基づいて、試行が悪意的なものであるか否かを判断することによって、無認可のネットワーク侵入から保護するための様々なシステム及び方法について記載している。ネットワークへの悪意的なアクセス試行の識別が、ネットワークへのアクセス試行と関連して使用される信号に基づくことによって、本明細書に開示するシステム及び方法は、別の方法では検出されずにいたであろう悪意的な試行を識別してもよい。

図６は、本明細書に記載及び／又は例証される実施形態のうち１つ以上を実現することができる例示的なコンピューティングシステム６１０のブロック図である。例えば、コンピューティングシステム６１０の全て又は一部は、単独で又は他の要素と組み合わせて、（図３に例証されるステップのうち１つ以上などの）本明細書に記載されるステップのうち１つ以上を実施してもよく、かつ／又はそれを実施するための手段であってもよい。コンピューティングシステム６１０の全て又は一部はまた、本明細書に記載及び／又は例証される他の任意のステップ、方法、若しくは処理を実施してもよく、並びに／あるいはそれを実施するための手段であってもよい。

コンピューティングシステム６１０は、コンピュータ可読命令を実行することが可能な任意のシングル若しくはマルチプロセッサのコンピューティングデバイス又はシステムを幅広く表す。コンピューティングシステム６１０の例としては、非限定的に、ワークステーション、ラップトップ、クライアント側端末、サーバ、分散型コンピューティングシステム、ハンドヘルドデバイス、又は他の任意のコンピューティングシステム若しくはデバイスが挙げられる。その最も基本的な構成において、コンピューティングシステム６１０は、少なくとも１つのプロセッサ６１４及びシステムメモリ６１６を含んでもよい。

プロセッサ６１４は、一般に、データの処理又は命令の解釈及び実行が可能な任意のタイプ若しくは形態の物理的処理装置（例えば、ハードウェア実装型中央処理装置）を表す。特定の実施形態では、プロセッサ６１４は、ソフトウェアアプリケーション又はモジュールから命令を受信してもよい。これらの命令は、プロセッサ６１４に、本明細書に記載及び／又は例証される例示的な実施形態のうち１つ以上の機能を実施させてもよい。

システムメモリ６１６は、一般に、データ及び／又は他のコンピュータ可読命令を格納することが可能な、任意のタイプ若しくは形態の揮発性又は不揮発性記憶デバイス若しくは媒体を表す。システムメモリ６１６の例としては、非限定的に、ランダムアクセスメモ
リ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）、フラッシュメモリ、又は他の任意の好適
なメモリデバイスが挙げられる。必須ではないが、特定の実施形態では、コンピューティ
ングシステム６１０は、揮発性メモリユニット（例えば、システムメモリ６１６など）、
及び不揮発性記憶デバイス（例えば、詳細に後述するような、一次記憶デバイス６３２な
ど）の両方を含んでもよい。一実施例では、図１のモジュール１０２の１つ以上がシステ
ムメモリ６１６にロードされてもよい。

特定の実施形態では、例示的なコンピューティングシステム６１０はまた、プロセッサ
６１４及びシステムメモリ６１６に加えて、１つ以上の構成要素又は要素を含んでもよい
。例えば、図６に示されるように、コンピューティングシステム６１０は、メモリコント
ローラ６１８、入力／出力（Ｉ／Ｏ）コントローラ６２０、及び通信インターフェース６
２２を含んでもよく、それらはそれぞれ通信基盤６１２を介して相互接続されてもよい。
通信基盤６１２は、一般に、コンピューティングデバイスの１つ以上の構成要素間の通信
を容易にすることができる、任意のタイプ若しくは形態の基盤を表す。通信基盤６１２の
例としては、非限定的に、通信バス（産業標準アーキテクチャ（ＩＳＡ）、周辺装置相互
接続（ＰＣＩ）、ＰＣＩエクスプレス（ＰＣＩｅ）、又は類似のバスなど）、及びネット
ワークが挙げられる。

メモリコントローラ６１８は、一般に、メモリ若しくはデータを扱うか、又はコンピュ
ーティングシステム６１０の１つ以上の構成要素間の通信を制御することができる、任意
のタイプ若しくは形態のデバイスを表す。例えば、特定の実施形態では、メモリコントロ
ーラ６１８は、通信基盤６１２を介して、プロセッサ６１４、システムメモリ６１６、及
びＩ／Ｏコントローラ６２０の間の通信を制御してもよい。

Ｉ／Ｏコントローラ６２０は、一般に、コンピューティングデバイスの入出力機能を調
整及び／又は制御することができる、任意のタイプ若しくは形態のモジュールを表す。例
えば、特定の実施形態では、Ｉ／Ｏコントローラ６２０は、プロセッサ６１４、システム
メモリ６１６、通信インターフェース６２２、ディスプレイアダプタ６２６、入力インタ
ーフェース６３０、及び記憶インターフェース６３４など、コンピューティングシステム
６１０の１つ以上の要素間におけるデータの転送を制御するか又は容易にしてもよい。

通信インターフェース６２２は、例示的なコンピューティングシステム６１０と１つ以上の追加のデバイスとの間の通信を容易にすることができる、任意のタイプ若しくは形態の通信デバイス又はアダプタを広く表す。例えば、特定の実施形態では、通信インターフェース６２２は、コンピューティングシステム６１０と、追加のコンピューティングシステムを含む私設又は公衆ネットワークとの間の通信を容易にしてもよい。通信インターフェース６２２の例としては、非限定的に、有線ネットワークインターフェース（ネットワークインターフェースカードなど）、無線ネットワークインターフェース（無線ネットワークインターフェースカードなど）、モデム、及び他の任意の好適なインターフェースが挙げられる。少なくとも１つの実施形態では、通信インターフェース６２２は、インターネットなどのネットワークへの直接リンクを介して、リモートサーバへの直接接続を提供してもよい。通信インターフェース６２２はまた、例えば、ローカルエリアネットワーク（イーサネット（登録商標）ネットワークなど）、パーソナルエリアネットワーク、電話若しくはケーブルネットワーク、セルラー電話接続、衛星データ接続、又は他の任意の好適な接続を通して、かかる接続を間接的に提供してもよい。

特定の実施形態では、通信インターフェース６２２はまた、外部バス又は通信チャネルを介して、コンピューティングシステム６１０と１つ以上の追加のネットワーク又は記憶デバイスとの間の通信を容易にするように構成された、ホストアダプタを表してもよい。ホストアダプタの例としては、非限定的に、小型コンピュータシステムインターフェース（ＳＣＳＩ）ホストアダプタ、ユニバーサルシリアルバス（ＵＳＢ）ホストアダプタ、米国電気電子学会（ＩＥＥＥ）１３９４ホストアダプタ、アドバンストテクノロジーアタッチメント（ＡＴＡ）、パラレルＡＴＡ（ＰＡＴＡ）、シリアルＡＴＡ（ＳＡＴＡ）、及び外部ＳＡＴＡ（ｅＳＡＴＡ）ホストアダプタ、ファイバーチャネルインターフェースアダプタ、イーサネット（登録商標）アダプタなどが挙げられる。通信インターフェース６２２はまた、コンピューティングシステム６１０が分散型又はリモートコンピューティングに関与することを可能にしてもよい。例えば、通信インターフェース６２２は、実行のためにリモートデバイスから命令を受信するか又はリモートデバイスに命令を送信してもよい。

図６に示されるように、コンピューティングシステム６１０はまた、ディスプレイアダプタ６２６を介して通信基盤６１２に連結される少なくとも１つのディスプレイデバイス６２４を含んでもよい。ディスプレイデバイス６２４は、一般に、ディスプレイアダプタ６２６によって転送される情報を視覚的に表示することができる、任意のタイプ若しくは形態のデバイスを表す。同様に、ディスプレイアダプタ６２６は、一般に、ディスプレイデバイス６２４に表示するために、通信基盤６１２から（又は当該技術分野において既知であるように、フレームバッファから）グラフィックス、テキスト、及び他のデータを転送するように構成された、任意のタイプ若しくは形態のデバイスを表す。

図６に示されるように、例示的なコンピューティングシステム６１０はまた、入力イン
ターフェース６３０を介して通信基盤６１２に連結される少なくとも１つの入力デバイス
６２８を含んでもよい。入力デバイス６２８は、一般に、コンピュータ又は人間のいずれ
かが生成した入力を、例示的なコンピューティングシステム６１０に提供することができ
る、任意のタイプ若しくは形態の入力デバイスを表す。入力デバイス６２８の例としては
、非限定的に、キーボード、ポインティングデバイス、音声認識デバイス、又は他の任意
の入力デバイスが挙げられる。

図６に示されるように、例示的なコンピューティングシステム６１０はまた、記憶イン
ターフェース６３４を介して通信基盤６１２に連結される、一次記憶デバイス６３２及び
バックアップ記憶デバイス６３３を含んでもよい。記憶デバイス６３２及び６３３は、一
般に、データ及び／又は他のコンピュータ可読命令を格納することができる、任意のタイ
プ若しくは形態の記憶デバイス又は媒体を表す。例えば、記憶デバイス６３２及び６３３
は、磁気ディスクドライブ（例えば、いわゆるハードドライブ）、ソリッドステートドラ
イブ、フロッピーディスクドライブ、磁気テープドライブ、光ディスクドライブ、フラッ
シュドライブなどであってもよい。記憶インターフェース６３４は、一般に、記憶デバイ
ス６３２及び６３３とコンピューティングシステム６１０の他の構成要素との間でデータ
を転送するための、任意のタイプ若しくは形態のインターフェース又はデバイスを表す。

特定の実施形態では、記憶デバイス６３２及び６３３は、コンピュータソフトウェア、
データ、又は他のコンピュータ可読情報を格納するように構成された、取外し可能な記憶
ユニットから読み取り、かつ／又はそれに書き込むように構成されてもよい。好適な取外
し可能な記憶ユニットの例としては、非限定的に、フロッピーディスク、磁気テープ、光
ディスク、フラッシュメモリデバイスなどが挙げられる。記憶デバイス６３２及び６３３
はまた、コンピュータソフトウェア、データ、又は他のコンピュータ可読命令が、コンピ
ューティングシステム６１０にロードされることを可能にする、他の同様の構造体又はデ
バイスを含んでもよい。例えば、記憶デバイス６３２及び６３３は、ソフトウェア、デー
タ、又は他のコンピュータ可読情報を読み取り、かつこれを書き込むように構成されても
よい。記憶デバイス６３２及び６３３はまた、コンピューティングシステム６１０の一部
であってもよく、又は他のインターフェースシステムを介してアクセスされる別個のデバ
イスであってもよい。

他の多くのデバイス又はサブシステムがコンピューティングシステム６１０に接続され
てもよい。反対に、図６に示される構成要素及びデバイスの全てが、本明細書に記載及び
／又は例証される実施形態を実践するために存在する必要があるわけではない。上記で言及したデバイス及びサブシステムはまた、図６に示されるのとは異なる形で相互接続されてもよい。コンピューティングシステム６１０はまた、任意の数のソフトウェア、ファームウェア、及び／又はハードウェアの構成を用いてもよい。例えば、本明細書で開示する例示的な実施形態の１つ以上は、コンピュータ可読媒体上で、コンピュータプログラム（コンピュータソフトウェア、ソフトウェアアプリケーション、コンピュータ可読命令、又はコンピュータ制御論理とも称される）としてコード化されてもよい。「コンピュータ可読媒体」という用語は、本明細書で使用するとき、一般に、コンピュータ可読命令を格納又は保有することができる、任意の形態のデバイス、キャリア、又は媒体を指す。コンピュータ可読媒体の例としては、非限定的に、搬送波などの伝送型媒体、並びに磁気記憶媒体（例えば、ハードディスクドライブ、テープドライブ、及びフロッピーディスク）、光学記憶媒体（例えば、コンパクトディスク（ＣＤ）、デジタルビデオディスク（ＤＶＤ）、及びブルーレイ〔ＢＬＵ−ＲＡＹ（登録商標）〕ディスク）、電子記憶媒体（例えば、ソリッドステートドライブ及びフラッシュメディア）、及び他の分散システムなどの非一時的媒体が挙げられる。

コンピュータプログラムを包含するコンピュータ可読媒体は、コンピューティングシステム６１０にロードされてもよい。次に、コンピュータ可読媒体に格納されたコンピュータプログラムの全て又は一部は、システムメモリ６１６に、並びに／又は記憶デバイス６３２及び６３３の様々な部分に格納されてもよい。プロセッサ６１４によって実行されると、コンピューティングシステム６１０にロードされたコンピュータプログラムは、プロセッサ６１４に、本明細書に記載及び／又は例証される例示的な実施形態のうち１つ以上の機能を実施させてもよく、かつ／又はそれらを実施するための手段であってもよい。追加的に又は代替案として、本明細書に記載及び／又は例証される例示的な実施形態の１つ以上は、ファームウェア及び／又はハードウェアに実装されてもよい。例えば、コンピューティングシステム６１０は、本明細書に開示される例示的な実施形態の１つ以上を実現するように適合された、特定用途向け集積回路（ＡＳＩＣ）として構成されてもよい。

図７は、クライアントシステム７１０、７２０、及び７３０、並びにサーバ７４０及び７４５がネットワーク７５０に連結されてもよい、例示的なネットワークアーキテクチャ７００のブロック図である。上記で詳述したように、ネットワークアーキテクチャ７００の全て又は一部は、単独で又は他の要素と組み合わせて、本明細書に開示されるステップの１つ以上（図３に示されるステップの１つ以上など）を実施してもよく、並びに／あるいはそれを実施するための手段であってもよい。ネットワークアーキテクチャ７００の全て又は一部はまた、本開示に記載される他のステップ及び特徴を実施するのに使用されてもよく、並びに／あるいはそれを実施するための手段であってもよい。

クライアントシステム７１０、７２０、及び７３０は、一般に、図６の例示的なコンピューティングシステム６１０など、任意のタイプ若しくは形態のコンピューティングデバイス又はシステムを表す。同様に、サーバ７４０及び７４５は、一般に、様々なデータベースサービスを提供し、かつ／又は特定のソフトウェアアプリケーションを実行するように構成された、アプリケーションサーバ若しくはデータベースサーバなどの、コンピューティングデバイス又はシステムを表す。ネットワーク７５０は、一般に、例えばイントラネット、ＷＡＮ、ＬＡＮ、ＰＡＮ、又はインターネットを含む、任意の電気通信又はコンピュータネットワークを表す。一実施例では、クライアントシステム７１０、７２０、及び／若しくは７３０、並びに／又はサーバ７４０及び／若しくは７４５は、図１からのシステム１００の全て又は一部を含んでもよい。

図７に示されるように、１つ以上の記憶デバイス７６０（１）〜（Ｎ）はサーバ７４０に直接取り付けられてもよい。同様に、１つ以上の記憶デバイス７７０（１）〜（Ｎ）はサーバ７４５に直接取り付けられてもよい。記憶デバイス７６０（１）〜（Ｎ）及び記憶デバイス７７０（１）〜（Ｎ）は、一般に、データ及び／又は他のコンピュータ可読命令を格納することができる、任意のタイプ若しくは形態の記憶デバイス又は媒体を表す。特定の実施形態では、記憶デバイス７６０（１）〜（Ｎ）及び記憶デバイス７７０（１）〜（Ｎ）は、ネットワークファイルシステム（ＮＦＳ）、サーバメッセージブロック（ＳＭＢ）、又は共通インターネットファイルシステム（ＣＩＦＳ）などの様々なプロトコルを使用して、サーバ７４０及び７４５と通信するように構成されたネットワーク接続ストレージ（ＮＡＳ）デバイスを表してもよい。

サーバ７４０及び７４５はまた、ストレージエリアネットワーク（ＳＡＮ）ファブリック７８０に接続されてもよい。ＳＡＮファブリック７８０は、一般に、複数の記憶デバイス間の通信を容易にすることができる、任意のタイプ若しくは形態のコンピュータネットワーク又はアーキテクチャを表す。ＳＡＮファブリック７８０は、サーバ７４０及び７４５と、複数の記憶デバイス７９０（１）〜（Ｎ）及び／又はインテリジェント記憶アレイ７９５との間の通信を容易にしてもよい。ＳＡＮファブリック７８０はまた、記憶デバイス７９０（１）〜（Ｎ）及びインテリジェント記憶アレイ７９５が、クライアントシステム７１０、７２０、及び７３０にローカルで取り付けられたデバイスとして現れるような方式で、ネットワーク７５０並びにサーバ７４０及び７４５を介して、クライアントシステム７１０、７２０、及び７３０と、デバイス７９０（１）〜（Ｎ）及び／又はアレイ７９５との間の通信を容易にしてもよい。記憶デバイス７６０（１）〜（Ｎ）及び記憶デバイス７７０（１）〜（Ｎ）と同様に、記憶デバイス７９０（１）〜（Ｎ）及びインテリジェント記憶アレイ７９５は、一般に、データ及び／又は他のコンピュータ可読命令を格納することができる任意のタイプ若しくは形態の記憶デバイス又は媒体を表す。

特定の実施形態では、図６の例示的なコンピューティングシステム６１０を参照して、図６の通信インターフェース６２２などの通信インターフェースは、それぞれのクライアントシステム７１０、７２０、及び７３０とネットワーク７５０との間の接続を提供するために使用されてもよい。クライアントシステム７１０、７２０、及び７３０は、例えば、ウェブブラウザ又は他のクライアントソフトウェアを使用して、サーバ７４０又は７４５上の情報にアクセスすることが可能であってもよい。かかるソフトウェアは、クライアントシステム７１０、７２０、及び７３０が、サーバ７４０、サーバ７４５、記憶デバイス７６０（１）〜（Ｎ）、記憶デバイス７７０（１）〜（Ｎ）、記憶デバイス７９０（１）〜（Ｎ）、又はインテリジェント記憶アレイ７９５によってホストされるデータにアクセスすることを可能にしてもよい。図７は、データを交換するために（インターネットなどの）ネットワークを使用することを示しているが、本明細書に記載及び／又は例証される実施形態は、インターネット又は任意の特定のネットワークベースの環境に限定されない。

少なくとも１つの実施形態では、本明細書に開示される例示的な実施形態のうち１つ以上の全て又は一部は、コンピュータプログラムとしてコード化され、サーバ７４０、サーバ７４５、記憶デバイス７６０（１）〜（Ｎ）、記憶デバイス７７０（１）〜（Ｎ）、記憶デバイス７９０（１）〜（Ｎ）、インテリジェント記憶アレイ７９５、又はこれらの任意の組み合わせ上にロードされ、これらによって実行されてもよい。本明細書に開示される例示的な実施形態のうち１つ以上の全て又は一部はまた、コンピュータプログラムとしてコード化され、サーバ７４０に記憶され、サーバ７４５によって作動し、ネットワーク７５０上でクライアントシステム７１０、７２０、及び７３０に配信されてもよい。

上で詳述したように、コンピューティングシステム６１０、及び／又はネットワークアーキテクチャ７００の１つ以上の構成要素は、単独で又は他の要素と組み合わせて、無認可のネットワーク侵入から保護するための例示的な方法の１つ以上のステップを実施ししてもよく、かつ／又は実施するための手段であってもよい。

前述の開示は、特定のブロック図、フローチャート、及び実施例を使用して様々な実施形態を記載しているが、本明細書に記載及び／又は例証されるそれぞれのブロック図の構成要素、フローチャートのステップ、動作、及び／又は構成要素は、個別にかつ／又は集合的に、広範なハードウェア、ソフトウェア、又はファームウェア（若しくはそれらの任意の組み合わせ）の構成を使用して実現されてもよい。それに加えて、同じ機能性を達成するように他の多くのアーキテクチャを実現することができるので、他の構成要素内に包含される構成要素のあらゆる開示は、本質的に例示と見なされるべきである。

いくつかの実施例では、図１の例示的なシステム１００の全て又は一部は、クラウドコンピューティング環境又はネットワークベースの環境の一部を表してもよい。クラウドコンピューティング環境は、インターネットを介して、様々なサービス及びアプリケーションを提供してもよい。これらのクラウドベースのサービス（例えば、サービスとしてのソフトウェア、サービスとしてのプラットフォーム、サービスとしての基盤など）は、ウェブブラウザ又は他のリモートインターフェースを通してアクセス可能であってもよい。本明細書に記載する様々な機能は、リモートデスクトップ環境又は他の任意のクラウドベースのコンピューティング環境を通して提供されてもよい。

様々な実施形態では、図１の例示的なシステム１００の全て又は一部は、クラウドベースのコンピューティング環境内におけるマルチテナンシーを容易にしてもよい。換言すれば、本明細書に記載するソフトウェアモジュールは、本明細書に記載する機能の１つ以上に対するマルチテナンシーを容易にするように、コンピューティングシステム（例えば、サーバ）を構成してもよい。例えば、本明細書に記載するソフトウェアモジュールの１つ以上は、２つ以上のクライアント（例えば、顧客）がサーバ上で作動しているアプリケーションを共有するのを可能にするように、サーバをプログラムしてもよい。このようにプログラムされたサーバは、複数の顧客（即ち、テナント）の間で、アプリケーション、オペレーティングシステム、処理システム、及び／又は記憶システムを共有してもよい。本明細書に記載するモジュールの１つ以上はまた、ある顧客が別の顧客のデータ及び／又は設定情報にアクセスできないように、顧客ごとにマルチテナントアプリケーションのデータ及び／又は設定情報を分割してもよい。

様々な実施形態によれば、図１の例示的なシステム１００の全て又は一部は仮想環境内で実現されてもよい。例えば、本明細書に記載するモジュール及び／又はデータは、仮想機械内で常駐及び／又は実行してもよい。本明細書で使用するとき、「仮想機械」という用語は、一般に、仮想機械マネージャ（例えば、ハイパーバイザ）によってコンピューティングハードウェアから抽出される、任意のオペレーティングシステム環境を指す。それに加えて、又は別の方法として、本明細書に記載するモジュール及び／又はデータは、仮想化層内で常駐及び／又は実行してもよい。本明細書で使用するとき、「仮想化層」という用語は、一般に、オペレーティングシステム環境にオーバーレイする、並びに／あるいはそこから抽出される、任意のデータ層及び／又はアプリケーション層を指す。仮想化層は、基礎となる基本オペレーティングシステムの一部であるかのように仮想化層を提示する、ソフトウェア仮想化ソリューション（例えば、ファイルシステムフィルタ）によって管理されてもよい。例えば、ソフトウェア仮想化ソリューションは、最初に基本ファイルシステム及び／又はレジストリ内の場所に方向付けられる呼び出しを、仮想化層内の場所にリダイレクトしてもよい。

いくつかの実施例では、図１の例示的なシステム１００の全て又は一部は、モバイルコンピューティング環境の一部を表してもよい。モバイルコンピューティング環境は、携帯電話、タブレットコンピュータ、電子ブックリーダー、携帯情報端末、ウェアラブルコンピューティングデバイス（例えば、ヘッドマウントディスプレイを備えたコンピューティングデバイス、スマートウォッチなど）などを含む、広範なモバイルコンピューティングデバイスによって実現されてもよい。いくつかの実施例において、モバイルコンピューティング環境は、例えば、バッテリ電力への依存、任意の所与の時間での１つのみのフォアグラウンドアプリケーションの提示、リモート管理特性、タッチスクリーン特性、位置及び移動データ（例えば、グローバルポジショニングシステム、ジャイロスコープ、加速度計などによって提供される）、システムレベルの構成への修正を制限する、及び／又は第３者のソフトウェアが他のアプリケーションの挙動を検査する能力を限定する、アプリケーションのインストールを制限するように（例えば、認可されたアプリケーションストアからのみ生じるように）制御するなど、制限されたプラットフォームを含む、１つ以上の個別の特性を有することができる。本明細書で説明される様々な機能は、モバイルコンピューティング環境に対して提供され得る、及び／又はモバイルコンピューティング環境と相互作用し得る。

それに加えて、図１の例示的なシステム１００の全て又は一部は、情報管理のための１つ以上のシステムの部分を表してもよく、それと相互作用してもよく、それによって生成されるデータを消費してもよく、かつ／又はそれによって消費されるデータを生成してもよい。本明細書で使用するとき、「情報管理」という用語は、データの保護、組織化、及び／又は記憶を指してもよい。情報管理のためのシステムの例としては、非限定的に、記憶システム、バックアップシステム、アーカイブシステム、複製システム、高可用性システム、データ検索システム、仮想化システムなどを挙げることができる。

いくつかの実施形態では、図１の例示的なシステム１００の全て又は一部は、情報セキュリティのための１つ以上のシステムの部分を表してもよく、それによって保護されるデータを生成してもよく、かつ／又はそれと通信してもよい。本明細書で使用するとき、「情報セキュリティ」という用語は、保護されたデータに対するアクセスの制御を指してもよい。情報セキュリティのためのシステムの例としては、非限定的に、管理されたセキュリティサービスを提供するシステム、データ損失防止システム、本人認証システム、アクセス制御システム、暗号化システム、ポリシー遵守システム、侵入検出及び防止システム、電子証拠開示システムなどを挙げることができる。

いくつかの実施例によれば、図１の例示的なシステム１００の全て又は一部は、エンドポイントセキュリティのための１つ以上のシステムの部分を表してもよく、それと通信してもよく、かつ／又はそれから保護を受けてもよい。本明細書で使用するとき、「エンドポイントセキュリティ」という用語は、不正及び／若しくは違法な使用、アクセス、並びに／又は制御からのエンドポイントシステムの保護を指してもよい。エンドポイント保護のためのシステムの例としては、非限定的に、アンチマルウェアシステム、ユーザー認証システム、暗号化システム、プライバシーシステム、スパムフィルタリングサービスなどを挙げることができる。

本明細書に記載及び／又は例証されるプロセスパラメータ及びステップの順序は、単なる例として与えられるものであり、所望に応じて変更することができる。例えば、本明細書に例証及び／又は記載されるステップは特定の順序で図示又は考察されることがあるが、これらのステップは、必ずしも例証又は考察される順序で実施される必要はない。本明細書に記載及び／又は例証される様々な例示的な方法はまた、本明細書に記載若しくは例証されるステップの１つ以上を省略するか、又は開示されるものに加えて追加のステップを含んでもよい。

様々な実施形態を、完全に機能的なコンピューティングシステムの文脈で本明細書に記載及び／又は例証してきたが、これらの例示的な実施形態の１つ以上は、実際に配布を実施するのに使用されるコンピュータ可読媒体の特定のタイプにかかわらず、様々な形態のプログラム製品として配布されてもよい。本明細書に開示される実施形態はまた、特定のタスクを実施するソフトウェアモジュールを使用して実現されてもよい。これらのソフトウェアモジュールは、コンピュータ可読記憶媒体又はコンピューティングシステムに格納されてもよい、スクリプト、バッチ、若しくは他の実行可能ファイルを含んでもよい。いくつかの実施形態では、これらのソフトウェアモジュールは、本明細書に開示される例示的な実施形態の１つ以上を実施するようにコンピューティングシステムを構成してもよい。

それに加えて、本明細書に記載するモジュールの１つ以上は、データ、物理的デバイス、及び／又は物理的デバイスの表現を、１つの形態から別の形態へと変換してもよい。例えば、本明細書に列挙されるモジュールの１つ以上は、信号を、アクセス試行の安全性判断に変換してもよい。それに加えて、又は別の方法として、本明細書に列挙されるモジュールの１つ以上は、コンピューティングデバイス上で実行し、コンピューティングデバイスにデータを格納し、並びに／あるいは別の方法でコンピューティングデバイスと相互作用することによって、プロセッサ、揮発性メモリ、不揮発性メモリ、及び／又は物理的コンピューティングデバイスの他の任意の部分を、１つの形態から別の形態へと変換してもよい。

上述の記載は、本明細書に開示される例示的な実施形態の様々な態様を他の当業者が最良に利用するのを可能にするために提供されてきた。この例示的な記載は、網羅的であることを意図するものではなく、又は開示される任意の正確な形態に限定することを意図するものではない。本開示の趣旨及び範囲から逸脱することなく、多くの修正及び変形が可能である。本明細書に開示される実施形態は、あらゆる点で例示的であり、限定的ではないものと見なされるべきである。本開示の範囲を決定する際に、添付の特許請求の範囲及びそれらの等価物を参照するべきである。

別途記載のない限り、「〜に接続される」及び「〜に連結される」という用語（並びにそれらの派生語）は、本明細書及び特許請求の範囲で使用するとき、直接的接続及び間接的接続（即ち、他の要素若しくは構成要素を介する）の両方を許容するものとして解釈されるものである。それに加えて、「ａ」又は「ａｎ」という用語は、本明細書及び特許請求の範囲で使用するとき、「〜のうち少なくとも１つ」を意味するものとして解釈されるものである。最後に、簡潔にするため、「含む」及び「有する」という用語（並びにそれらの派生語）は、本明細書及び特許請求の範囲で使用するとき、「備える」という単語と互換性があり、同じ意味を有する。

Claims (13)

1. 無認可のネットワーク侵入から保護するコンピュータ実装方法であって、前記方法の少なくとも一部分が少なくとも１つのプロセッサを備えるコンピューティングデバイスによって実施され、前記方法が、
   ネットワークの１つ以上のアンテナによって受信した、前記ネットワークへアクセス試行しているデバイスの送受信器からの信号を識別するステップと、
   前記ネットワークへの前記アクセス試行と関連して、前記ネットワークの前記アンテナによって受信した前記信号の１つ以上の信号強度を、
   前記ネットワークの前記アンテナ内の第１のアンテナを介して、前記識別された信号の第１の強度を検出することと、
   前記ネットワークの前記アンテナ内の少なくとも１つの追加のアンテナを介して、前記識別された信号の少なくとも１つの追加の強度を検出することと、によって検出するステップと、
   前記受信した信号の前記第１の強度と前記少なくとも１つの追加の強度との間の差分を識別するステップと、
   前記第１の強度と、前記受信された信号の前記少なくとも１つの追加の強度との間の前記差分に少なくとも部分的に基づいて、前記ネットワークの前記アンテナによって受信された前記信号の信号プロファイルを生成するステップであって、前記信号の前記信号プロファイルはデータ構造を含み、前記データ構造は、前記ネットワークへアクセス試行する前記デバイスの前記送受信器からの前記信号についての情報を記述する、ステップと、
   前記ネットワークへの失敗したアクセス試行の閾値数と関連して、過去に検出された疑わしい信号プロファイルを規定するポリシーを識別することと、
   前記信号プロファイルが前記ポリシーに規定された前記疑わしい信号プロファイルの少なくとも１つに一致すると判定することと、
   によって前記ネットワークへの前記アクセス試行が悪意的である可能性を判断するステップと、
   前記ネットワークへの前記アクセス試行が悪意的である可能性があるという判断に応答して、前記悪意的である可能性がある前記ネットワークへのアクセス試行に対処する、少なくとも１つの安全対策を開始するステップと、
   を含み、更に、
   前記ネットワークのアンテナが他の全てのアンテナによって受信された信号の信号強度よりも少なくとも特定量の分強い信号強度を受信したときに、前記信号が指向性の増幅を使用して送信された可能性が高いと判断することによって、前記ネットワークへの前記アクセス試行が悪意的である可能性があると判断するステップを含む、コンピュータ実装方法。
2. 前記第１の強度と前記追加の強度との間の前記差分に少なくとも部分的に基づいて、前記ネットワークへの前記アクセス試行が悪意的である可能性を判断するステップが、
   前記ネットワークの前記アンテナによって受信した信号の信号強度における疑わしい差分を規定するポリシーを識別するステップと、
   前記受信した信号の前記第１の強度と前記少なくとも１つの追加の強度との間の前記差分が、前記ポリシーで規定された前記疑わしい差分の少なくとも１つと合致することを判断するステップと、
   前記第１の強度と前記少なくとも１つの追加の強度との間の前記差分が前記ポリシーで規定された前記疑わしい差分の前記少なくとも１つと合致することに少なくとも部分的に起因して、前記ネットワークへの前記アクセス試行が悪意的である可能性があると判断するステップと、
   を含む、請求項１に記載のコンピュータ実装方法。
3. 前記ネットワークへの前記アクセス試行が悪意的である可能性を判断するステップが、
   前記信号プロファイルが、無認可の信号プロファイルのデータベースのエントリと合致すること、
   前記信号プロファイルが、認可された信号プロファイルのデータベースにおけるエントリと合致しないこと、のうち少なくとも１つを判断するステップを含む、請求項１に記載のコンピュータ実装方法。
4. 前記ネットワークへの前記アクセス試行が悪意的である可能性を判断するステップが、
   信号プロファイル及び媒体アクセス制御（ＭＡＣ）アドレスの１つ以上の疑わしい組み合わせをブラックリストに載せるポリシーを検出するステップと、
   前記信号プロファイルと、前記ネットワークへの前記アクセス試行で使用された前記デバイスのＭＡＣアドレスとが、前記ポリシーによってブラックリストに載せられた前記疑わしい組み合わせの少なくとも１つと合致することを判断するステップと、
   前記信号プロファイル及び前記デバイスの前記ＭＡＣアドレスが前記ポリシーによってブラックリストに載せられた前記疑わしい組み合わせの前記少なくとも１つと合致することに少なくとも部分的に起因して、前記ネットワークへの前記アクセス試行が悪意的である可能性があると判断するステップと、
   を含む、請求項１に記載のコンピュータ実装方法。
5. 前記ネットワークへの前記アクセス試行が悪意的である可能性を判断するステップが、
   前記ネットワークへの前記アクセス試行で使用された前記デバイスのＭＡＣアドレスが、１つ以上の過去に成功した前記ネットワークへのアクセス試行で使用されていたことを判断するステップと、
   前記過去に成功した前記ネットワークへのアクセス試行の間の前記ＭＡＣアドレスと関連して、前記信号プロファイルが過去に使用されていないことを判断するステップと、
   前記ＭＡＣアドレスが前記過去に成功した試行で使用されていたこと、及び前記過去の成功した試行の間の前記ＭＡＣアドレスと関連して、前記信号プロファイルが過去に使用されていなかったことに少なくとも部分的に起因して、前記ネットワークへの前記アクセス試行が悪意的である可能性があると判断するステップと、
   を含む、請求項１に記載のコンピュータ実装方法。
6. 前記ネットワークへの前記アクセス試行が悪意的である可能性を判断するステップが、
   複数の異なるＭＡＣアドレスが関与した複数の過去のアクセス試行と関連する前記信号プロファイルが検出されていることを判断するステップと、
   前記複数の異なるＭＡＣアドレスが関与した前記複数の過去のアクセス試行と関連する前記信号プロファイルが検出されていることに少なくとも部分的に起因して、前記ネットワークへの前記アクセス試行が悪意的である可能性があると判断するステップと、
   を含む、請求項１に記載のコンピュータ実装方法。
7. 前記ネットワークへの前記アクセス試行が悪意的である可能性を判断するステップが、
   前記ネットワークへの前記アクセス試行で使用された前記デバイスのＭＡＣアドレスを識別するステップと、
   前記ネットワークへの前記アクセス試行の開始時間が前記ＭＡＣアドレスに特徴的でないと判断するステップと、
   前記ネットワークへの前記アクセス試行の前記開始時間が前記ＭＡＣアドレスに特徴的でないことに少なくとも部分的に起因して、前記ネットワークへの前記アクセス試行が悪意的である可能性があると判断するステップと、
   を含む、請求項１に記載のコンピュータ実装方法。
8. １つ以上のネットワークへの１つ以上のアクセス試行を監視するステップと、
   前記アクセス試行を監視しながら、
   前記監視したアクセス試行と関連して、１つ以上の信号プロファイルを識別するステップと、
   前記信号プロファイルに少なくとも部分的に基づいて、前記監視したアクセス試行の一連の属性を識別するステップと、
   前記一連の属性から、悪意的なネットワークアクセス試行を識別するための機械学習ベースの分類モデルを構築するステップと、
   前記機械学習ベースの分類モデルを使用して、悪意的である可能性があるアクセス試行を識別するためのポリシーを作成するステップと、
   悪意的である可能性があるアクセス試行を識別するための前記ポリシーに少なくとも部分的に基づいて、前記ネットワークへの前記アクセス試行が悪意的である可能性があると判断するステップと、
   を更に含む、請求項１に記載のコンピュータ実装方法。
9. 前記１つ以上のアクセス試行を監視するステップが、
   前記ネットワークへの１つ以上のアクセス試行を監視するステップと、
   セキュリティベンダーによって監視されている複数のネットワークの中のネットワークへの１つ以上のアクセス試行を監視するステップと、
   既知のＭＡＣアドレスと関連付けられた１つ以上のアクセス試行を監視するステップと、
   既知の信号プロファイルと関連付けられた１つ以上のアクセス試行を監視するステップと、
   のうち少なくとも１つを含む、請求項８に記載のコンピュータ実装方法。
10. 前記ネットワークへの前記アクセス試行の少なくとも１つの属性を、前記機械学習ベースの分類モデルに入力するステップを更に含む、請求項８に記載のコンピュータ実装方法。
11. 前記安全対策を開始するステップが、前記ネットワークへの前記アクセス試行が悪意的である可能性があることを、ネットワーク管理者に警告するステップを含む、請求項１に記載のコンピュータ実装方法。
12. 無認可のネットワーク侵入から保護するシステムであって、
    ネットワークの１つ以上のアンテナによって受信した、前記ネットワークへアクセス試行しているデバイスの送受信器からの信号を識別する、メモリに格納された、識別モジュールと、
    メモリに格納された、検出モジュールであって、
    前記ネットワークへの前記アクセス試行と関連して、前記ネットワークの前記アンテナによって受信した前記信号の１つ以上の信号強度を、
    前記ネットワークの前記アンテナ内の第１のアンテナを介して、前記識別された信号の第１の強度を検出することと、
    前記ネットワークの前記アンテナ内の少なくとも１つの追加のアンテナを介して、前記識別された信号の少なくとも１つの追加の強度を検出することと、によって検出し、
    前記受信した信号の前記第１の強度と前記少なくとも１つの追加の強度との間の差分を識別し、
    前記第１の強度と、前記受信された信号の前記少なくとも１つの追加の強度との間の前記差分に少なくとも部分的に基づいて、前記ネットワークの前記アンテナによって受信された前記信号の信号プロファイルを生成し、前記信号の前記信号プロファイルはデータ構造を含み、前記データ構造は、前記ネットワークへアクセス試行する前記デバイスの前記送受信器からの前記信号についての情報を記述する、
    検出モジュールと、
    前記ネットワークへの失敗したアクセス試行の閾値数と関連して、過去に検出された疑わしい信号プロファイルを規定するポリシーを識別することと、
    前記信号プロファイルが前記ポリシーに規定された前記疑わしい信号プロファイルの少なくとも１つに一致すると判定することと、
    によって前記ネットワークへの前記アクセス試行が悪意的である可能性を判断する、メモリに格納された、判断モジュールと、
    前記ネットワークへの前記アクセス試行が悪意的である可能性があるという前記判断に応答して、前記悪意的である可能性がある前記ネットワークへのアクセス試行に対処する、少なくとも１つの安全対策を開始する、メモリに格納された、開始モジュールと、
    前記識別モジュール、前記検出モジュール、前記判断モジュール、及び前記開始モジュールを実行するように構成された、少なくとも１つの物理的プロセッサと、
    を備え、
    前記判断モジュールは更に、前記ネットワークのアンテナが他の全てのアンテナによって受信された信号の信号強度よりも少なくとも特定量の分強い信号強度を受信したときに、前記信号が指向性の増幅を使用して送信された可能性が高いと判断することによって、前記ネットワークへの前記アクセス試行が悪意的である可能性があると判断する、システム。
13. １つ以上のコンピュータ可読命令を含む非一時的コンピュータ可読記憶媒体であって、コンピューティングデバイスの少なくとも１つのプロセッサによって実行されると、前記コンピューティングデバイスに、
    ネットワークの１つ以上のアンテナによって受信した、前記ネットワークへアクセス試行しているデバイスの送受信器からの信号を識別することと、
    前記ネットワークへの前記アクセス試行と関連して、前記ネットワークの前記アンテナによって受信した前記信号の１つ以上の信号強度を、
    前記ネットワークの前記アンテナ内の第１のアンテナを介して、前記識別された信号の第１の強度を検出することと、
    前記ネットワークの前記アンテナ内の少なくとも１つの追加のアンテナを介して、前記識別された信号の少なくとも１つの追加の強度を検出することと、によって検出することと、
    前記受信した信号の前記第１の強度と前記少なくとも１つの追加の強度との間の差分を識別することと、
    前記第１の強度と、前記受信された信号の前記少なくとも１つの追加の強度との間の前記差分に少なくとも部分的に基づいて、前記ネットワークの前記アンテナによって受信された前記信号の信号プロファイルを生成することであって、前記信号の前記信号プロファイルはデータ構造を含み、前記データ構造は、前記ネットワークへアクセス試行する前記デバイスの前記送受信器からの前記信号についての情報を記述する、ことと、
    前記ネットワークへの失敗したアクセス試行の閾値数と関連して、過去に検出された疑わしい信号プロファイルを規定するポリシーを識別することと、
    前記信号プロファイルが前記ポリシーに規定された前記疑わしい信号プロファイルの少なくとも１つに一致すると判定することと、
    によって前記ネットワークへの前記アクセス試行が悪意的である可能性を判断することと、
    前記ネットワークへの前記アクセス試行が悪意的である可能性があるという前記判断に応答して、前記悪意的である可能性がある前記ネットワークへのアクセス試行に対処する、少なくとも１つの安全対策を開始することと、を行わせ、
    更に、前記ネットワークのアンテナが他の全てのアンテナによって受信された信号の信号強度よりも少なくとも特定量の分強い信号強度を受信したときに、前記信号が指向性の増幅を使用して送信された可能性が高いと判断することによって、前記ネットワークへの前記アクセス試行が悪意的である可能性があると判断することを行わせる、非一時的コンピュータ可読記憶媒体。