JP7576561B2 - クラウドユーザの行動異常の検出 - Google Patents

Description

関連出願の相互参照
本願は、各々が引用により本明細書中に援用されている以下の米国仮出願の利益を主張するものである。

・２０１９年４月１８日に出願され「クラウドユーザの行動異常の検出（DETECTING BEHAVIOR ANOMALIES OF CLOUD USERS）」と題された米国仮出願第６２／８３５，９８０号、
・２０１９年４月１８日に出願され「人およびデジタルエンティティについてのエントロピーベースの分類（ENTROPY-BASED CLASSIFICATION OF HUMAN AND DIGITAL ENTITIES）」と題された米国仮出願第６２／８３５，９９３号、ならびに、
・２０１９年４月１８日に出願され「アウトライアアクションに関するクラウドユーザの行動異常の検出（DETECTING BEHAVIOR ANOMALIES OF CLOUD USERS FOR OUTLIER ACTIONS）」と題された米国仮出願第６２／８３５，９８３号。

本願はまた、引用により本明細書中に援用されている以下の同一出願人による米国非仮出願に対する優先権を主張する。

・２０２０年１月２３日に出願され「クラウドユーザの行動異常の検出（DETECTING BEHAVIOR ANOMALIES OF CLOUD USERS）」と題された米国非仮出願第１６／７５０，８５２号。

本願はまた、各々が引用により本明細書中に援用されている以下の同一出願人による米国非仮出願に関するものである。

・２０２０年１月２３日に出願され「人およびデジタルエンティティについてのエントロピーベースの分類（ENTROPY-BASED CLASSIFICATION OF HUMAN AND DIGITAL ENTITIES）」と題された米国非仮出願第１６／７５０，８６３号、ならびに、
・２０２０年１月２３日に出願され「規格外アクションについてのクラウドユーザの行動異常の検出（DETECTING BEHAVIOR ANOMALIES OF CLOUD USERS FOR OUTLIER ACTIONS）」と題された米国非仮出願第１６／７５０，８７４号。

背景
クラウドセキュリティは、クラウドコンピューティングに関連付けられた顧客データ、アプリケーション、およびインフラストラクチャの保護を要する。クラウド環境に関するセキュリティの多くの局面は、オンプレミスのハードウェアおよびソフトウェアに関する局面と同様である。これは、パブリッククラウド、プライベートクラウド、および／またはハイブリッドクラウドにも当てはまる。クラウド環境において特に関心をもたれているセキュリティ問題は、不正なデータ曝露および漏洩、脆弱なアクセス制御、攻撃され易さ、利用可能性の阻害、サービス妨害攻撃等を含む。しかしながら、クラウドセキュリティシステムは、物理サーバおよびストレージデバイスを管理する代わりに、クラウドリソースに出入りする情報の流れを監視および保護するためにソフトウェアベースのセキュリティツールに依拠することが多い。したがって、クラウドコンピューティングセキュリティＩＰは、ポリシー、技術、アプリケーション、サービス、データ、および他の関連付けられたクラウドコンピューティングインフラストラクチャの広範囲のセットを含み得る。

クラウドコンピューティングについてのセキュリティ問題は、（１）アプリケーションをホストするとともにクラウド上にデータを格納する顧客が直面するセキュリティ問題、および、（２）クラウドプロバイダ自体が直面するセキュリティ問題といった２つの広範なカテゴリに大まかに分離することができる。クラウドの顧客のセキュリティ問題は、ユーザ特権の段階的拡大を防止することを目的とし得る。このユーザ特権の段階的拡大とは、或るクラウドユーザに１セットの限られた許可しか割当てられていないにも関わらず、このクラウドユーザがセキュリティ保護されていないＡＰＩを使用したり、システムおよび／またはアプリケーション脆弱性を悪用したり、ガードの弱い個人情報を利用したり、信用証明アクセス管理に潜入したりするなどの悪意ある目的で許可の範囲を超えて自身のアクティビティを段階的に拡充していく状況を説明するものである。

概要
いくつかの実施形態では、クラウド環境における行動異常を検出する方法は、当該クラウド環境において複数の前の時間間隔中に取られたアクションを表わす第１のベクトルを算出するステップと、第１のベクトルと、現在の時間間隔中に取られたアクションのカウントを含む第２のベクトルとの間の類似度を算出するステップと、１つ以上の異常アクションが発生したかどうかを判断するために、当該類似度をベースライン閾値と比較するステップと、当該１つ以上の異常アクションが当該クラウド環境において発生したという判断に少なくとも部分的に基づいてアラートを生成するステップとを含み得る。

いくつかの実施形態では、非一時的なコンピュータ可読媒体は、１つ以上のプロセッサによって実行されると当該１つ以上のプロセッサに動作を実行させる命令を含み得る。当該動作は、クラウド環境において複数の前の時間間隔中に取られたアクションを表わす第１のベクトルを算出する動作と、当該第１のベクトルと、現在の時間間隔中に取られたアクションのカウントを含む第２のベクトルとの間の類似度を算出する動作と、１つ以上の異常アクションが発生したかどうかを判断するために、当該類似度をベースライン閾値と比較する動作と、当該１つ以上の異常アクションがクラウド環境において発生したという判断に少なくとも部分的に基づいてアラートを生成する動作とを含む。

いくつかの実施形態では、システムは、１つ以上のプロセッサと、当該１つ以上のプロセッサによって実行されると当該１つ以上のプロセッサに動作を実行させる命令を含む１つ以上のメモリデバイスとを含み、当該動作は、クラウド環境において複数の前の時間間隔中に取られたアクションを表わす第１のベクトルを算出する動作と、当該第１のベクトルと、現在の時間間隔中に取られたアクションのカウントを含む第２のベクトルとの間の類似度を算出する動作と、１つ以上の異常アクションが発生したかどうかを判断するために、当該類似度をベースライン閾値と比較する動作と、当該１つ以上の異常アクションがクラウド環境において発生したという判断に少なくとも部分的に基づいてアラートを生成する動作とを含む。

いずれの実施形態においても、以下の特徴のいずれかが限定なしに任意の組合わせで含まれ得るか、以下の特徴がいずれも限定無しに如何なる組合せでも含まれ得ないか、または、以下のすべての特徴が限定なしに任意の組合わせで含まれ得る。類似度はコサイン類似度を用いて算出され得る。第１のベクトルにおける各エントリは、複数の前の時間間隔中の平均イベントスコアを含み得る。複数の前の時間間隔の各々は１日であり得る。複数の前の時間間隔は少なくとも６０日の窓を含み得る。複数の前の時間間隔は複数の日のスライディング窓を含み得る。複数の日のスライディング窓は、各時間間隔の後に、当該複数の日のスライディング窓に現在の時間間隔を追加し得るとともに、当該複数の日のスライディング窓から最も古い時間間隔を除去し得る。第１のベクトルは、複数の前の時間間隔の各々に関するイベントカウントのヒストグラムを格納することによって、複数の前の時間間隔中に取られたアクションを表わし得る。当該方法／動作はまた、１つ以上の異常アクションが発生したかどうかをさらに判断するために、類似度を上限閾値と比較するステップ／動作を含み得る。ベースライン閾値は、類似度が疑わしいものと特徴付け得るとともに、上限閾値は、類似度を脅威を表わすものと特徴付け得る。上限閾値は、第１のベクトルにおいて算出される平均値についての予め定められた数の標準偏差に基づいて決定され得る。上限閾値は、類似度を入力として受取るニューラルネットワークによって表わされ得る。ベースライン閾値は、類似度を入力として受取るニューラルネットワークによって表わされ得る。ベースライン閾値は、現在のユーザと同様の複数のユーザに関するピアグループ分析を用いて決定され得る。当該方法／動作はまた、第２のベクトルにおける１つ以上の値を、１つ以上の値に関連付けられた１つ以上のアクションスコアと比較するステップ／動作を含み得る。１つ以上のアクションスコアの各々は、アクションが脅威を表わす悪意あるアクションである可能性を表わし得る。第２のベクトルは、特定のリソースに関して取られたアクションのカウントを含み得る。第１のベクトルにおける複数の値は、アクションが発生した週の日に応じて重み付けされ得る。第２のベクトルは、特定のユーザに対して取られたアクションのカウントを含み得る。

図面の簡単な説明
さまざまな実施形態の性質および利点は、明細書および添付の図面の残りの部分を参照することによってさらに理解され得る。添付の図面においては、いくつかの図全体を通じて同様の構成要素を指すために同様の参照番号が用いられている。場合によっては、複数の同様の構成要素のうちの１つを示すためにサブラベルが参照番号に関連付けられている。既存のサブラベルを指定せずに参照符号に言及する場合、そのような複数の同様の構成要素のすべてを指すことが意図されている。

いくつかの実施形態に従った、いくつかの異なるクラウド顧客についてユーザの行動異常を識別するために用いられ得るクラウドアクセスセキュリティブローカ（Cloud Access Security Broker：ＣＡＳＢ）を示す図である。 いくつかの実施形態に従った、サービスとしてのインフラストラクチャ（Infrastructure as a Service：ＩａａＳ）システムにおいてＣＡＳＢを実現するための代替的なアーキテクチャを示す図である。 いくつかの実施形態に従った、ＣＡＳＢによって監視され得るさまざまな構成制御のうちのいくつかを示す図である。 いくつかの実施形態に従った、データが特定のクラウド環境からＣＡＳＢにどのように渡されるかを示す図である。 特定のユーザによって取られるアクションがＣＡＳＢによって格納されて時間の経過とともに分析されるのを示す図である。 いくつかの実施形態に従った、イベントによってインクリメントされ得るヒストグラムメモリの例を示す図である。 いくつかの実施形態に従った、現在の日と比較したアクティビティ窓の平均を示す図である。 いくつかの実施形態に従った、クラウド環境における異常なユーザ行動を検出する方法についてのフローチャートである。 いくつかの実施形態に従った、疑わしいイベントスコアを生成するためのフローチャートである。 実施形態のいくつかを実現するための分散システムを示す簡略ブロック図である。 一実施形態のシステムのコンポーネントによって提供されるサービスがクラウドサービスとして提供され得るシステム環境のコンポーネントを示す簡略ブロック図である。 さまざまな実施形態が実現され得る例示的なコンピュータシステムを示す図である。

詳細な説明
本明細書では、コサイン類似度スコアをサイバーセキュリティドメインの専門知識と組合わせることによってクラウドユーザの行動異常を検出するための実施形態を説明する。この技術は、プロダクションクラウド環境においてテストされるように、ラベル付けされたデータセットなしでもクラウドユーザの行動異常を検出することができる。この教師なし機械学習アプローチでは、正常および／または異常な行動またはアクションを事前に知っておく必要はない。このアプローチはまた、特権レベル、ジョブ機能、またはアクション許可などのユーザ情報を必要としない。このアプローチは、（１）ユーザ特権の段階的拡大行動を含むクラウドユーザの異常アクションと、（２）さまざまなクラウドアプリケーションまたはサービスにおけるすべてのクラウドテナントにわたる過度の特権アクションとの検出に成功するように設計されている。以下でより詳細に説明するように、ピアグループ分析を用いて行動異常が識別され得る。

図１Ａは、いくつかの実施形態に従った、いくつかの異なるクラウド顧客についてユーザの行動異常を識別するために用いられ得るクラウドアクセスセキュリティブローカ（ＣＡＳＢ）１００を示す。ＣＡＳＢ１００は、クラウドスタック全体に可視性をもたらし得るとともにセキュリティ自動化ツールとして機能し得るクラウドサービスである。ＣＡＳＢ１００は、複数の異なるクラウド環境にわたってアクティビティを同時にリアルタイムで連続的に監視できるようにするものであり得る。これは、クラウドアプリケーションにわたる不正行為または違反についての行動異常および行動パターンを識別する構成およびトランザクションを監視することを含み得る。セキュリティポリシーのセットを用いることで、クラウド環境における機密コンテンツに対する不所望なアクションを発見して防止することができる。これらのセキュリティポリシーは、検出されたセキュリティの脅威に応じて、アドミニストレータが、リアルタイムでのコンテンツの監査、警告、暗号化、および／または隔離を実行するようにＣＡＳＢ１００を構成することを可能にする。脅威を検出することに加えて、ＣＡＳＢ１００はまた、予測されたアクティビティの傾向と共に現在のアクティビティを示すダッシュボードを設けることによって、セキュリティ脅威の発生前にこれらセキュリティ脅威を予測および視覚化するように構成されてもよい。異常がＣＡＳＢ１００によって検出されると、システムは、既知のセキュリティ脅威を隔離し、分析し、かつ封じ込めるために対策を講じるとともに科学捜査を実行することができる。

ＣＡＳＢ１００は複数の異なるクラウド環境を監視し得る。たとえば、ＣＡＳＢ１００は、計算インスタンス、ネットワーキング、データストレージ、データベース、クラウド相互接続、エッジサービス、ロードバランシング、ガバナンスポリシー、データストリーミング、リソース管理、および他のクラウドベースのサービスを提供することができるオラクルクラウドインフラストラクチャ（登録商標）（Oracle cloud Infrastructure：ＯＣＩ）１０２とインターフェイスを取り得る。加えて、ＣＡＳＢ１００はまた、オラクル社のヒューマンキャピタルマネジメント（登録商標）（Human Capital Management：ＨＣＩ）１０４一式、アマゾンウェブサービス（登録商標）（Amazon Web Services：ＡＷＳ）１０８、マイクロソフトオフィス（登録商標）３６５（Microsoft Office 365：ＭＳＯ３６５）１０６などの他のクラウド環境と対話し得る。

これらのさまざまなクラウド環境を監視するために、ＣＡＳＢ１００は、何千もの個々のユーザについてのリアルタイムデータ監視ストリームを受取るように構成され得る。ＣＡＳＢ１００によって監視されているＱ個のさまざまなクラウド環境があり、Ｑ個の環境の各々がＮ個のテナントを含むと仮定すると、これにより、Ｑ×Ｎ個のテナントが同時に監視され得る。さらに、各テナントが少なくともＭ人のユーザを含む場合、ＣＡＳＢ１００は、少なくともＱ×Ｎ×Ｍ人のユーザを同時に監視し得る。

図１Ｂは、いくつかの実施形態に従った、サービスとしてのインフラストラクチャ（ＩａａＳ）システムにおいてＣＡＳＢ１００を実現するための代替的なアーキテクチャを示す。図１Ａとは対照的に、このアーキテクチャは、ＣＡＳＢ１００を特定のクラウドサービスのインフラストラクチャ内に配置する。ＣＡＳＢ１００をインフラストラクチャの一部とすると、ＣＡＳＢ１００は、インフラストラクチャ内で起こる特定のタイプのアクションに対してより多くアクセスし得る。

たとえば、図１Ａのマルチクラウド環境においては、ＣＡＳＢ１００は、さまざまなクラウド環境の各々においてアプリケーションレベルで発生したイベントを監視した。図１Ｂのインフラストラクチャベースのアーキテクチャでは、ＣＡＳＢ１００は、代わりに、リソースレベルで発生するイベントを受取り得る。たとえば、ＣＡＳＢ１００は、インフラストラクチャ内の特定の計算オブジェクト１３０に関連して発生するイベントを受取り得る。ＣＡＳＢ１００はまた、インフラストラクチャ内の特定のネットワークオブジェクト１３２との関連で発生するイベントを受取り得る。加えて、ＣＡＳＢ１００は、アーキテクチャ内の特定のストレージオブジェクト１３４に関連するイベントを受取り得る。このアーキテクチャは、リソースが特定のユーザによってプロビジョニングされるか初期化されるか用いられるかまたは対話されるときに発生するイベントをＣＡＳＢ１００が監視することを可能にする。当該アーキテクチャは、加えて、ＣＡＳＢ１００が、インフラストラクチャ内のユーザ、リソース、アプリケーション、オブジェクト、および／または他の任意のエンティティに基づいてイベントを監視することを可能にする。したがって、ユーザごとに監視されるイベントは、本開示では、単に例として用いられるに過ぎない。ユーザごとにイベントを監視するための以下に記載の技術はいずれも、リソースごとに監視され得る。たとえば、イベントは、特定の計算オブジェクトについて監視されてもよい。計算オブジェクトが悪意ある異常を示すイベントスコアを生成すると、計算リソースが停止されてもよく、または、リソースに対する認識される脅威を最小限にするために他の改善アクションが取られてもよい。以下に示される表１は、ＣＡＳＢ１００によって監視され得るクラウドインフラストラクチャ制御のいくつかを列挙している。

いくつかの実施形態では、図１Ｂにおけるアーキテクチャはまた、イベントのリソース－構成レベルをカバーし得る。たとえば、何らかのオブジェクトまたはリソースがアーキテクチャに格納され得るバケットインスタンスが生成され得る。或るアクション（たとえば、初期化、使用、削除など）がバケット内のそのオブジェクトまたはリソースに対して取られると、以下でより詳細に説明するように、そのイベントに関して既知のベースライン（たとえば、業界ベースライン、ユーザごとのベースライン、テナントごとのベースラインなど）と比較することができるイベントが生成され得る。これによっても、ＣＡＳＢ１００が、個々のリソースの状態を監視することが可能となる。たとえば、或るバケットオブジェクトが作成され、所定の時間窓（たとえば、９０日）の間にわたって特定の状態に留まる場合、状態自体が監視されて所定のベースラインと比較され得る。加えて、状態変化は、以下で説明するように、監視されてベースラインおよび閾値と比較され得る。

図１Ｃは、いくつかの実施形態に従った、ＣＡＳＢ１００によって監視され得るさまざまな構成制御１６０のいくつかを示す。構成制御１６０は、図１Ｃに示す制御条件が満たされたときにイベントを発生させ得る構成および状態または特定のリソースを監視する。たとえば、次の４５日以内にロードバランサＳＳＬ証明が満了すると、アラートが生成されてもよい。別の例では、所定の期限満了間隔内でＫＭＳキーを回転させていなかった場合、アラートが生成される可能性がある。別の例では、アドミニストレータのグループが所定の閾値よりも多くのメンバーを含む場合、アラートが生成される可能性がある。図１Ｃに示されるこれらの構成の各々は、図示されるようにアラートを生成するために監視および使用されてもよい。

図２は、いくつかの実施形態に従って、データが特定のクラウド環境からＣＡＳＢにどのように渡されるかを示す図である。この例では、ＯＣＩ環境１０２などの特定の環境が、分析のためにアクティブテーブル２０２をＣＡＳＢ１００に定期的に渡し得る。ＯＣＩ環境１０２は、図１Ａに示されるようにＣＡＳＢ１００によって同時に監視される多くのクラウド環境のうちの１つであり得る。代替的または付加的には、ＯＣＩ環境１０２は、図１Ｂに示されるように、ＣＡＳＢ１００と同じＩａａＳアーキテクチャの一部であり得る。アクティビティテーブル２０２は、特定のユーザによって取られたアクションを記述する複数のアクティビティベクトルまたはデータ行を含み得る。各行または各ベクトルは、テナントＩＤ、ユーザＩＤ、時間、および／または取られたアクションを、特定のアクションに関連する他のデータとともに含み得る。たとえば、アクティビティテーブル２０２は、「電子メール送信」アクションのための第１の行２０４を含む。このアクションは１２：３４：５６ＰＭに行なわれ、テナント＃１０００２のクラウド環境においてユーザ＃１２４４２によって実行された。アクティビティテーブル２０２における各行は単一のアクションを表わし得るので、アクティビティテーブル２０２は、各ユーザごとにアクションのすべてを記述するために、時間窓にわたって何千ものエントリを含み得る。

データテーブル２０２は、さまざまな間隔で環境からＣＡＳＢ１００に定期的に送信されてもよい。たとえば、いくつかの実施形態は、１時間などの所定の時間間隔中に環境１０２においてアクションのリストを格納し得る。所定の時間間隔の満了時に、アクションのリストは、ＣＡＳＢ１００が毎時ごとに分析するべきアクションの新しいバッチを受取るように、アクティビティテーブル２０２として一緒にＣＡＳＢ１００に送信され得る。いくつかの実施形態は、時間の経過とともに連続的にアクティビティテーブル２０２内の行をストリームし得る。これらの実施形態では、ＣＡＳＢ１００は、アクティビティテーブル２０２内の行が環境１０２において生成されると、アクティブテーブル２０２内のこれらの行をリアルタイムで連続的に受取り得る。Ｃａｓｓａｎｄｒａ（登録商標）またはＫａｆｋａ（登録商標）などのソフトウェアアプリケーションを用いて、これらのデータをＣＡＳＢ１００にストリームしてもよい。いくつかの実施形態は、通常の動作条件中に、行のバッチをＣＡＳＢ１００に定期的に送信し得るとともに、ＣＡＳＢ１００におけるデータの分析結果に基づいて送信が行なわれる頻度を動的に調整し得る。たとえば、アクティビティテーブル２０２は、ユーザのうち１人に関して深刻な行動異常が検出されるまで、１時間に１回送信されてもよい。異常を検出した後、アクティビティテーブル２０２の送信の時間間隔をたとえば５０％だけ短くして、３０分毎に送信してもよい。別の例では、異常が検出されなかった所定の時間間隔の後、１時間というデフォルトの時間間隔を長くしてもよい。いくつかの実施形態は、予め定められた数の行が環境１０２に蓄積されると、アクティビティテーブル２０２内の行を送信し得る。たとえば、データ行は、１００個のこのような行が蓄積されるまで環境１０２に格納されていてもよい。このとき、アクティビティテーブル２０２においてこれらの１００の行がＣＡＳＢ１００に送信され得る。

アクティビティテーブル２０２内のデータがラベル付けされる必要がないことに留意されたい。言い換えれば、「正常」または「異常」とラベル付けされる必要のある行は１つもない。代わりに、ＣＡＳＢ１００は、アクションが許可されるべきか否かについての特徴付けなしに、アクションが取られたという表示を受取るだけである。さらに、ＣＡＳＢ１００は、どのアクションタイプが許可されるべきか、どの特権レベルがそれらの環境において有効であるのか、または異常がどのように検出されるべきかに関して基準またはガイダンスの形式でクラウド環境のいずれからも情報を受取る必要はない。クラウド環境は、単にアクションのリストをＣＡＳＢ１００に送信し、次いで、ＣＡＳＢ１００に依拠して、如何なる情報も追加することなく異常を識別する。このプロセスは、世界中で監視される可能性のあるテナントおよびユーザが多数存在することで複雑になる。

本明細書で説明する実施形態は、すべてのクラウドユーザの行動異常を検出するとともに行動を異常と分類するようにユーザピアグループを策定することによって、これらの課題を克服する。この新しい方法では、クラウドユーザの行動のコサイン類似度スコアが、いくつかのアクティビティに関して内部で生成されたスコアリングシステムと組合わされ得る。これらの方法は、ラベル付けされた入力またはトレーニングデータセットをいずれも必要としないので、教師なし機械学習方法として説明されてもよい。これは、コサイン類似度スコアをさまざまなベースラインおよび閾値を表わすモデルへの入力として用いて各ユーザ、イベント、イベントのベクトルなどについての「異常」および／または「正常」出力を生成する機械学習アルゴリズムとして説明され得る。

ピアグループ分析は、ユーザの個人的特徴および／またはデジタル特徴によってユーザをカテゴリ化するプロセスを含む。このクラウドセキュリティ環境では、これは、アクティブディレクトリ属性（すなわち、タイトル、ジョブ機能、ビジネスユニット、マネージャ等）、所与のクラウドアプリケーション／サービスにおいてユーザに割当てられた許可のタイプ、彼／彼女の地理的位置、会社に対する彼／彼女の関係（契約者、従業員など）、人対ボットの関係などを含む。ユーザとピアグループとの間の典型的な関係は１：Ｎである（すなわち、１人の人は、不確定な量のピアグループに関連付けることができる）。以下で説明するように、閾値およびベースラインを生成するためにさまざまなピアグループが割当てられ得る。上述のこれらのピアグループのいずれかおよび全ては、このようなベースラインおよび閾値を算出するのに用いられ得る。

特権の段階的拡大のプロセスは、限定された許可のセットが正当に割当てられているユーザが何らかの形で許可されており、悪意ある目的のために特権の段階的拡大を悪用することとして定義することができる。内部および外部の悪意ある人は、セキュリティ保護されていないＡＰＩ、システム／アプリケーション脆弱性、根拠の薄弱なアイデンティティ、信用証明アクセス管理、および／または悪意ある内部者を通じて特権の段階的拡大を利用することで何らかの予め計画された目的を達成し得る。内部の悪意ある人は、通常の信用証明を用いて特権の段階的拡大を利用するが、それらの信用証明によって可能となる許可を超えるアクションを実行する可能性がある。

ピアグループ分析は、特定のユーザについてのインテリジェントな仮定を行うために履歴データセットを使用するいくつかの実施形態によって実行されるプロセスである。たとえば、システムは、ユーザを管理ユーザまたは非管理ユーザとしてカテゴリ化するための手段として、特定のユーザの事前のアクションを判断し得る。スコアテーブルは、それぞれのリソースアクションペアが相対的な特権によってランク付けされて、以下に説明されるように特権の段階的拡大に関連する機械学習およびデータ科学モデルについてのラベル付けされたデータセットとして格納された後、作成され得る。アクションは、特定のクラウドイベントを完了するのに必要な特権レベルをカテゴリ化するための手段として、クラウドアプリケーションおよび／またはサービスデフォルトＩＡＭ規格／ポリシーを用いることによって効果的にランク付けすることができる。たとえば、ＯＣＩでは、作成および／または編集ポリシーは、個人および／またはグループの両方に管理許可を動的に割当てるので、管理許可を必要とする可能性があるという基準が存在する。別の例では、追加設定なしの（out-of-the-box）許可により、ＡＷＳにおける固有のテナントルートアドミニストレータに対して排他的に何らかのアクションが提供され得る。

ＣＡＳＢ１００は、上述のように、特定のユーザによって実行されたアクションのリストを受取り得る。次いで、ＣＡＳＢ１００は、ユーザごとにこれらのアクションの各々を格納して分析し得る。図３Ａは、時間の経過とともにＣＡＳＢ１００によって格納されて分析される、特定のユーザによって取られるアクションを示す。たとえば、図３に示されるアクションは、図２のユーザ＃１２４４２に関連付けられてもよい。第１の時間間隔は、第１の時間間隔中に取られるアクションのヒストグラム３００のセットを生成するために用いられ得る。たとえば、第１の時間間隔は、各アクションのインスタンスすべてが各日ごとにまとめて集計されるように、１日であってもよい。ヒストグラム３００におけるビンは別個のアクティビティを表わし得る。したがって、新しいアクティビティ記録が受取られると、そのアクティビティについてのメモリビンがインクリメントされ得る。新しい日が始まると、当該新しい日のヒストグラムについてのメモリ位置の新しい配列が割当てられ得るかまたはリセットされ得る。この場合、各メモリ位置は特定のユーザアクションについてのビンを表わしている。当該新しい日の間にアクションが受取られると、新しいメモリ位置がインクリメントされ得るが、前のメモリ位置は前の日のアクションの履歴記録として変更されないままであり得る。

図３Ａでは、各々の垂直列は、特定の日に取られたユーザアクションのヒストグラムを表わす。水平行の各々は、各日ごとのヒストグラム３００におけるビンを表わす。たとえば、１日目にユーザ＃１２４４２は２２個の電子メールを送信していたかもしれず、２日目にユーザ＃１２４４２は２５個の電子メールを送信していたかもしれない。これらの値はヒストグラム３００のビンに格納されるので、これらの電子メールが送信された特定の時刻が格納される必要がないことに留意されたい。代わりに、その日についてのアクションビンだけは、アクションが起こったことを示すためにインクリメントされる必要がある。他の実施形態では、１時間毎、２時間毎、６時間毎、１２時間毎等のさまざまな時間間隔が用いられてもよい。加えて、いくつかの実施形態は、昼間の時間対夜中の時間、さらには平日対週末などについてさまざまなヒストグラムを用いてもよい。

ヒストグラム３００は、いくつかの異なる時間間隔に関するヒストグラムを含み得る。たとえば、いくつかのヒストグラム３００は、９０日間、１２０日間、３０日間、４５日間等のヒストグラムを含み得る。いくつかの実施形態は、現在の日３０８についてのヒストグラムと比較するために、いくつかの前の日のヒストグラムを選択する分析窓３０６を用い得る。いくつかの実施形態は、分析窓３０６内のすべての時間間隔ごとにヒストグラムを格納する必要はない。代わりに、これらの実施形態は、分析窓３０６内の時間間隔に関するヒストグラムを、時間間隔のすべてを表わす単一のヒストグラムに組合わせてもよい。たとえば、いくつかの実施形態は、現在の日３０８と比較するために、分析窓３０６内の時間間隔に関するヒストグラムの各ビンの値を平均化してもよい。

たとえば、分析窓３０６は、現在の日３０８との比較に用いられる９０日のスライディング窓を含み得る。分析窓３０６において９０日にわたって取られたアクションは、前の９０日を表わす単一の平均ヒストグラムを生成するためにまとめて平均化され得る。次の日に関しては、分析窓３０６において最も古い日のアクションカウントを差し引いて現在の日付３０８のアクションを加えることによって平均値を再算出することができる。分析窓３０６の長さは、１４日、２１日、３０日、４５日、６０日、７５日、９０日、１２０日、６ヶ月、１年などの任意の日数を含み得る。長い分析窓はまた、少なくとも１４日、少なくとも３０日、少なくとも４５日、少なくとも６０日、少なくとも７５日、少なくとも９０日、１４日と３０日との間、３０日と４５日との間、４５日と６０日との間、６ヶ月と１年との間、少なくとも１年、１年と２年との間などの日数の範囲を含み得る。

図３Ｂは、いくつかの実施形態に従った、イベントによってインクリメントされ得るヒストグラムメモリの例を示す。この例では、９０日の分析窓は単なる例として用いられるに過ぎない。９０日窓３５４は、９０日窓３５４内の各時間間隔の各イベントごとにメモリ位置を含み得る。たとえば、各々の日は、各イベントに対応するメモリ位置を含み得る。

現在の日における新しいイベントを記録するために、多数のさまざまな方法を用いて、来たるべきイベントを受取って処理し得る。いくつかの実施形態では、システムは、さまざまなユーザ、リソース、アプリケーションなどによってトリガされたイベントのリストを含むログ３６０を定期的に受取り得る。ログ３６０は、各イベントに関連付けられた特定のユーザ／リソースを識別するために解析され得る。次いで、関連付けられたユーザ／リソースについてのヒストグラムメモリが識別され得るともに、ログ３６０に記録される各イベントごとに、その日のそのイベントについてのメモリ位置に格納されたイベントカウンタがインクリメントされ得る。処理される各イベントと共にメモリ位置の値をインクリメントするために単純なインクリメント関数３６４が用いられてもよい。

いくつかの実施形態では、システムは、イベントがシステムによって生成されるのに応じて受取られるリアルタイムイベントストリーム３６２を受取り得る。これは、特に上述した図１ＢのＩａａＳアーキテクチャにおいて用いられ得る。メモリ位置は、リソース、ユーザ、および／またはイベントタイプに関する特定のイベントストリームにサブスクライブしてもよい。新しいイベントが受取られると、既存の値をインクリメントするために、それらの新しいイベントを特定のメモリ位置に導くことができる。インクリメントされる値は、現在の日付３５８を表わすレジスタのセットであり得る。

９０日窓３５４が、各間隔の終わり（たとえば、各日ごとの終わり）に処理されて、現在の９０日窓３５４についての平均が算出され得る。平均化関数３６６は、イベントタイプごとにヒストグラムメモリ内の日ごとのイベント合計を集計し得る。次いで、平均化関数３６６は、この集計を９０日窓３５４の長さで割って、各イベントタイプごとに平均値３５６を生成し得る。次いで、平均値３５６を現在の日３５８についてのイベントカウントと比較して、イベントが処理されるのに応じてリアルタイムアラートを生成し得る。上述したように、いくつかの実施形態は、窓から外れた最終日３５２（たとえば、９１日目）を差引いて、最新の日を現在の平均値３５６に加え得る。これにより、９０日窓３５４において多数の日を集計する際にシステムによって実行される数学的演算が最小限にされ得る。

後続の時間間隔に移動すると、たとえば次の暦日に移動すると、システムは、現在の日付３５８から９０日窓３５４に値をシフトし得るとともに、現在の日付３５８についての値をリセットし得る。システムはまた、９１日目３５２を差引くとともに９０日窓３５４の長さで割った現在の日付３５８を加えることによって、前の９０日窓についての平均値３５６をアップデートし得る。

図４は、いくつかの実施形態に従った、現在の日３０８と比較したアクティビティ窓４０８の平均を示す。上述したように、アクティビティ窓４０８の平均は、各アクションタイプごとに毎日のヒストグラムの各々に関する時間ビンの各々における値を集計することによって算出され得る。次いで、この値を分析窓３０６の長さで割って、図４に示される平均値を生成し得る。次いで、アクティビティ窓４０８の平均を現在の日付３０８のアクションカウントと比較することによって異常を部分的に検出することができる。本明細書で用いられる場合、「アクション」および「イベント」という語は同義で用いられ得る。アクションは、ユーザによって、または特定のリソースに対して取られた特定のアクションを指し得るものであり、イベントは、それらのアクションについて生成された表示を表わし得る。しかしながら、本開示および特許請求の範囲はこれら２つの語を同義で用いる可能性もある。

アクティビティ窓４０８の平均を現在の日付３０８のアクションと比較するために、さまざまな統計方法を実行することができる。いくつかの実施形態は、各エントリ間のユークリッド（Euclidean）距離を算出し得る。他の実施形態はハミング（Hamming）距離を算出し得る。図４の実施形態は、アクティビティ窓４０８および現在の日３０８の平均についてのヒストグラムをデータベクトルとして扱う。この例は、２つのベクトル４０２と４０４との間の多次元コサイン値をそれらの類似度の推定値として算出する。この算出は、２つのベクトルのドット積を算出することと、結果を２つのベクトルの大きさの積で割ることとを含み得る。第１のベクトルは、上述の分析窓の平均などの、複数の前の時間間隔中に取られたアクションを表わし得る。第２のベクトルは、現在の日の間など、現在の時間間隔中に、特定のユーザによって、特定のリソース上で、特定のアプリケーションを用いるなどして取られたアクションのカウントを含み得る。サンプル式４０６を図４に示す。２つのベクトルの類似度を算出するための擬似コードを以下に示す。

２つのベクトル４０２と４０４との間の類似度の基準を算出することは、日ごとにユーザの行動の異常を特徴付けるのに用いることができる。別の言い方をすれば、現在の日にユーザによって取られたアクティビティが前の日に取られた平均アクティビティとは有意に異なっている場合、これは異常な行動を表わしている可能性がある。この特徴付けは、個々のアクションがユーザによって実行可能であるか否かを知ることなく行なわれてもよい。ユーザには、典型的には、本明細書では「特権レベル」と称される許可または特権のセットが与えられる。ユーザの特権レベルは、結果に関係なく特定のアクションを取ることを可能にする。しかしながら、「特権の段階的拡大」は、ユーザが、彼らの特権レベルによって許可されるアクションを超えるアクションを取ったときに起こる。しかしながら、ＣＡＳＢ１００は、各ユーザの特権レベルを認識しておらず、どのアクションが各特権レベルに関連付けられているかを認識していない。したがって、ＣＡＳＢ１００は、現在のユーザアクションと前のユーザアクションとの比較を用いて、ユーザが許可レベルの範囲外で何かを行なっていることを示し得るアクションを識別する。このことは、ユーザらが顧客についての特定のクラウド環境に捕らわれることなく時間の経過に応じて自身らの特権レベルの範囲を過度に超えて行動することはないという前提で機能する。ＣＡＳＢ１００は、大部分の内部顧客クラウド制御をトリガするのに十分なパターンになるかまたはトリガするのに十分なほど過剰になる前に、そのような行動を識別してフラグを立てることができる。結果は、第１のベクトルと第２のベクトルとの間の類似度として特徴付けられ得る。

図５Ａは、いくつかの実施形態に従った、クラウド環境における異常なユーザ行動を検出する方法についてのフローチャート５００を示す。ステップ５０２では、前の分析窓で起こるアクションのタイプごとの平均イベントスコアなどのアクティビティ窓に関して平均アクションヒストグラムが算出され得る。これは、１つ以上のクラウド環境におけるユーザ、リソース、アプリケーション、および／または他のオブジェクト／エンティティに特有のイベントを受取って処理することによって算出され得る。システムは、図１Ａで上述したように多くのクラウド環境を同時に監視し得るか、または図１Ｂで上述したようにＩａａＳクラウドインフラストラクチャの一部であり得る。平均イベントスコアは、分析窓内の個々の時間間隔からのイベントスコアを集計し、これを窓の長さで割ることによって算出され得る。他の実施形態では、平均スコアに加えて、さまざまな統計方法を用いてイベントスコアを生成してもよい。たとえば、いくつかの実施形態は、中央値またはモード値を用いてもよい。いくつかの実施形態は、イベントスコアを算出する際に平均の閾値を超えるさまざまなアウトライア（外れ値）を除去してもよい。いくつかの実施形態では、分析窓内のいくつかの日のイベントスコアは他の日のイベントスコアよりも重く重み付けされ得る（たとえば、週末に起こるイベントは、仕事日に起こるイベントよりも疑わしいものである可能性がある）。いくつかの実施形態では、分析窓についてのこのイベントスコアは、次の日にイベントが起こったときにこれらイベントと連続的に比較され得るように、分析窓内の各間隔の終わり（たとえば、各々の日の終わり）に生成され得る。分析窓は、上述の図３Ｂに示されるように、新しい値が窓の反対側の端に追加されると、ヒストグラム内の値が当該窓の後端から落ちて外れるスライディング窓であってもよい。

ステップ５０４では、アクティビティ窓についての平均イベントスコアと現在の日のイベントスコアとの間の類似度を算出することができる。この類似度は、上述のコサイン類似度関数を含み得る。しかしながら、コサイン類似度は、例としてのみ用いられるものであって、限定を意図したものではない。他の実施形態は、他の類似度基準または類似度関数を用いて、平均イベントスコアと現在のイベントスコアとの間の類似度を算出し得る。いくつかの実施形態はユークリッド距離またはマンハッタン（Manhattan）距離を用い得る。いくつかの実施形態はミンコフスキー（Minkowski）距離を用い得る。いくつかの実施形態はジャッカード（Jaccard）類似度を用い得る。要約すれば、これらの２つの値を比較する際にいずれかの類似度測定を用いてもよい。

ステップ５０６では、類似度スコアをベースライン閾値と比較して、ユーザ行動を異常と分類することができる。ベースライン閾値は、現在の日についてのイベントスコアを評価するための最小閾値を表わし得る。たとえば、ベースライン閾値を超えることは、このユーザ／リソース／アプリケーションなどについてのこのタイプのイベントに関して異常が発生したという最初の表示を表わし得る。このベースライン閾値は、いくつかの異なる方法を用いて算出され得る。いくつかの実施形態では、ベースライン閾値は、アクティビティ窓についてのイベントスコアからの所定の統計差として算出され得る。たとえば、ベースライン閾値は、平均値算出に基づいたアクティビティ窓の平均値から離れたいくつかの統計偏差であり得る。いくつかの実施形態では、ベースライン閾値は、ユーザに関して、特定のテナントに関して、業界のユーザに関して、システムによって複数のクラウド環境において監視されるユーザに関して、および／またはピアグループ分析のための上述した他の任意のピアグループに関して、集計される平均値を用いて算出され得る。

いくつかの実施形態では、ベースライン閾値は、機械学習アルゴリズムを用いて動的に算出および調整されてもよい。たとえば、機械学習アルゴリズムは、現在の日およびアクティビティ窓に関するイベントスコアについてのイベントスコアを受取るニューラルネットワークを含み得る。ニューラルネットワークは、これらの２つのイベントスコア間で算出された類似度スコアを受取ることもできる。次いで、ニューラルネットワークは、「正常」または「異常」の表示を出力し得る。ニューラルネットワークによって表わされるベースライン閾値は、データがネットワークに連続的に提供されてネットワークをトレーニングするために用いられるときに時間の経過に応じて調整され得る。たとえば、アラートが生成されると、そのアラートに対する応答をトレーニング入力として用いて、ニューラルネットワークの対応する出力が正しかったかどうか（たとえば、アラートが応答アクションを生成したか、またはそれが抑制されたか）が判断され得る。

いくつかの実施形態は、ここで分析を停止し、単に行動異常を顧客クラウド環境に報告するだけでもよい。しかしながら、いくつかの実施形態は、異常行動を許容可能な異常行動または許容できない異常行動としてより適切に分類するために、さらに別の分析ステップを実行してもよい。具体的には、いくつかの異常行動は、考慮すべき問題にならない可能性があり、むしろ、単にほとんどのユーザによって頻繁には実行されない行動であるかもしれない。たとえば、ユーザ特権レベルなどの第１の特権レベルは、ユーザが許容可能なドメインを設定することを可能にし得る。このアクションは、ユーザ特権レベルで許可されてもよいが、１ヶ月に１回など、まれにしか実行されない可能性もある。したがって、このアクションの実行はいずれも、顧客クラウド環境に対して完全に許容可能であるものの、異常であるように見える可能性がある。

本方法はまた、異常が上限閾値を超えるかどうかを判断するステップ（５１０）を含み得る。上限閾値は、上述したようにベースライン閾値を算出した方法と同様の態様で算出されてもよい。上限閾値は、イベントスコアを明確に認証されないものとして特徴付け得る。これらの２つの閾値はともに、イベントスコアのロバストな特徴付けを可能にする。イベントスコアがベースライン閾値を超えると、当該イベントは、害がないものであるとの特徴付けから少なくとも疑わしいものであるとの特徴付けに移行する。そのイベントスコアが上限閾値に向かって上昇し続けると、そのイベントスコアに関する疑いが増大する可能性がある。そのイベントスコアが最終的に上限閾値を超えると、当該イベントスコアがそのユーザ、リソース、アプリケーションおよび／または他のオブジェクトに関連する既知の異常を表わしていることを示すためにアラートが生成され得る（５１２）。

上限閾値上のベースライン閾値の間に収まるイベントスコアの場合、疑わしいイベントスコアがアラートを発生させるべきかどうかを判断するために、追加の処理が実行されてもよい。図５Ｂは、いくつかの実施形態に従った、疑わしいイベントスコアを生成するためのフローチャート５５０を示す。フローチャート５５０は上述のフローチャート５００の続きであり得る。プロセスをさらに改良するために、いくつかの実施形態は、アクションヒストグラムにおける各アクションごとの数値スコアを提供する内部スコアテーブルを生成してもよく、および／または当該内部スコアテーブルにアクセスしてもよい。たとえば、スコアは１～１００の範囲であり得る。スコアが高ければ高いほど、想定される特権レベルは、許可されるべきアクションに対してより高くする必要があるかもしれない。たとえば、電子メールの送信は２のスコアを有し得るのに対して、新しい企業エンティティのインスタンス化は９５のスコアを有し得る。概して、異常アクションに関するスコアは、異常アクションを正常または異常と分類するために用いられ得る。

フローチャート５００に続いて、ステップ５２０において、スコアデータベースがアクセスされ得る。スコアデータベースは、他のアクションに対するアクションについて認識された重大度を示すアクティビティスコアのリストを含み得る。上述の類似度測定を用いても、モデルをトレーニングするための履歴使用に基づいてイベントの発生頻度がベースライン頻度と比較されるだけである。しかしながら、このスコアはより主観的なものであり、イベントの発生頻度ではなくイベントのタイプに特に関連し得る。より高いレベルの認可を必要とするイベントまたは誤用のためにより深刻な結果を伴うイベントは概してより高いスコアになり得る。これらのイベントは通常のユーザによって実行される可能性が低い。

アクティビティスコアデータベースは、いくつかのイベントを特徴付けるアドミニストレータ入力に少なくとも部分的に基づき得る。たとえば、新しい仮想クラウドネットワーク（virtual cloud network：ＶＣＮ）の開始に関連するイベントは、このようなイベントがまれにしか用いられず認可されたユーザによってのみ実行されるべきであるというアドミニストレータの知識に基づいて、より高いスコアを有し得る。いくつかの実施形態では、アクティビティスコアデータベースはまた、機械学習アルゴリズムを用いて自動的に生成および改良され得る。アラートを生成した後に受取ったフィードバックに基づいて、アクティビティスコアデータベースは、イベントスコアを正確に特徴付ける可能性が高くなるように調整され得る。たとえば、イベントスコアに基づいて偽のアラートが生成される場合、アクティビティスコアデータベース内の対応するアクティビティスコアが高くなり得るのに対して、異常が検出されないままであれば、結果としてイベントスコアが小さくなり得る。ニューラルネットワークは、アクティビティスコアの値を表わすために用いられてよく、この場合、ニューラルネットワークの出力は、そのアクティビティの現在の特徴付けに合わせて動的に調整するために時間の経過とともに改良される。

スコアデータベースはスコアテーブルとして格納されてもよい。スコアは、複数のユーザにわたってアクティビティの相対的頻度に基づいてこれらアクティビティをスコア化する機械学習アルゴリズムによって内部で生成され得る。いくつかの実施形態はまた、アドミニストレータによって割当てられたスコアを受取り得る。いくつかの実施形態では、スコアは、上述したベースライン閾値に関するベースラインスコアを表わす０の値、および、上述した上限閾値を表わす１００の値、からの範囲であり得る。したがって、アクティビティスコアデータベースにおけるアクティビティスコアはさらに、イベントスコアを、これら２つの閾値間の起こり得る異常として特徴付ける。スコアデータベースまたはスコアテーブルの例を以下の表１に示す。これがスコアテーブル内に存在し得る実現可能なアクションの小さなサブセットであることに留意されたい。実際には、スコアテーブルは、スコアが関連付けられたより多くのアクションを含む可能性がある。

特定の異常アクションのスコアがアクティビティスコアデータベースによって判断されるステップ５１０における所定の閾値を超える場合、ステップ５１２においてアラートが生成され得る。所定の閾値は、いくつかの異なる方法で生成されてもよい。いくつかの実施形態では、閾値は静的に設定されてもよい。たとえば、７５を超えるスコアを伴う任意の異常アクションは、アラートを生成するためにフラグが立てられてもよい。いくつかの実施形態では、アクションのスコアは、過去に実行された他のアクションのスコアと比較されてもよい。たとえば、異常アクションが９０のスコアを有していたが、ユーザは、同様の高いスコアで過去に定期的にアクションを実行する場合、ユーザは、それらの高スコアのアクションの実行を可能にするより高い特権レベルを有するものと想定され得る。したがって、これらの高スコアのアクションは、めったに実行されない場合であっても、そのユーザのために以前に低頻度であっても定期的に実行されていたので、アラートを発生させる必要がない。

ステップ５１２では、取られたアクションを異常として記述するとともに、追加情報を顧客クラウド環境に提供し得るアラートが生成され得る。たとえば、本方法は、クラウド内でＵｂｕｎｔｕ １６以上を用いてＬｉｎｕｘ（登録商標）ノード上で実行されるＰｙｔｈｏｎおよびさまざまなコードライブラリを用いて実行され得る。これらのコードファイルは、シェルスクリプトによってトリガされて、ユーザアクションのディクショナリファイルおよびさまざまな顧客クラウド環境から受取った日毎の入力ファイルを読込み得る。これらの日毎の入力セットは、たとえばＣＳＶフォーマットで異常アラートおよび説明ファイルを生成するために上記のように分析され得る。加えて、ユーザインターフェイスは、クラウド環境アドミニストレータに関するアラートおよび／または説明を表示し得る。アラートが生成されない場合、ステップ５１４において、次の時間間隔にわたって分析を続けることができる。

図５Ａおよび図５Ｂに示される特定のステップが、本発明のさまざまな実施形態に従ったクラウド環境における異常なユーザ行動を検出する特定の方法を提供することを理解されたい。ステップの他のシーケンスも、代替的な実施形態に従って実行され得る。たとえば、本発明の代替的な実施形態は、上で概説したステップを異なる順序で実行し得る。さらに、図５Ａおよび図５Ｂに示される個々のステップは、個々のステップに応じて適宜さまざまな順序で実行され得る複数のサブステップを含み得る。さらに、特定の用途に応じて付加的なステップが追加または削除されてもよい。当業者であれば、多くの変形例、変更例および代替例を認識するだろう。

本明細書で説明される方法の各々はコンピュータシステムによって実現され得る。これらの方法の各ステップは、コンピュータシステムによって自動的に実行されてもよく、および／または、ユーザが関与する入力／出力が提供されてもよい。たとえば、ユーザは、方法の各ステップに関する入力を提供し得るとともに、これらの入力の各々は、そのような入力を要求する特定の出力に応答し得る。この場合、その出力はコンピュータシステムによって生成される。各入力は、対応する要求出力に応答して受取られてもよい。さらに、入力は、ユーザから受取られてもよく、別のコンピュータシステムからデータストリームとして受取られてもよく、メモリ位置から検索されてもよく、ネットワークを介して検索されてもよく、ウェブサービスから要求されてもよい、等々であり得る。同様に、出力は、ユーザに提供されてもよく、データストリームとして別のコンピュータシステムに提供されてもよく、メモリ位置に保存されてもよく、ネットワークを介して送信されてもよく、ウェブサービスに提供されてもよい、等々であり得る。要約すれば、本明細書に記載される方法の各ステップは、コンピュータシステムによって実行されてもよく、ユーザが関与し得るかまたは関与し得ないコンピュータシステムに対する任意の数の入出力、および／またはコンピュータシステムに対する要求を含んでもよい。ユーザが関与しないこれらのステップは、人の介入なしにコンピュータシステムによって自動的に実行されると言える。したがって、本開示に照らして、本明細書で説明される各方法の各ステップは、ユーザへの入力およびユーザからの出力を含むように変更され得るか、または任意の判断がプロセッサによって行なわれる場合に人の介入なしにコンピュータシステムによって自動的に行なわれ得るものと理解されるだろう。さらに、本明細書で説明する各方法のいくつかの実施形態は、有形のソフトウェアプロダクトを形成するために有形の非一時的記憶媒体に格納された命令のセットとして実現され得る。

図６は、実施形態のうちの１つを実現するための分散システム６００の簡略図を示す。図示した実施形態では、分散システム６００は、１つ以上のネットワーク６１０を介して、ウェブブラウザ、プロプラエタリクライアント（たとえば、オラクル・フォームズ（Oracle Forms））などのクライアントアプリケーションを実行するとともに動作させるように構成される１つ以上のクライアントコンピューティングデバイス６０２、６０４、６０６、および６０８を含む。サーバ６１２は、ネットワーク６１０を介してリモートクライアントコンピューティングデバイス６０２、６０４、６０６、および６０８と通信可能に結合され得る。

さまざまな実施形態では、サーバ６１２は、システムのコンポーネントのうちの１つ以上によって提供される１つ以上のサービスまたはソフトウェアアプリケーションを実行するように適合され得る。いくつかの実施形態では、これらのサービスは、ウェブベースもしくはクラウドサービスとして、またはサービスとしてのソフトウェア（Software as a Service：ＳａａＳ）モデルの下で、クライアントコンピューティングデバイス６０２、６０４、６０６、および／または６０８のユーザに提供され得る。クライアントコンピューティングデバイス６０２、６０４、６０６、および／または６０８を操作するユーザは、次に、サーバ６１２と対話するために１つ以上のクライアントアプリケーションを利用して、これらのコンポーネントによって提供されるサービスを利用し得る。

図に示される構成では、システム６００のソフトウェアコンポーネント６１８、６２０および６２２は、サーバ６１２上で実現されるものとして示されている。他の実施形態では、システム６００のコンポーネントのうちの１つ以上および／またはこれらのコンポーネントによって提供されるサービスは、クライアントコンピューティングデバイス６０２、６０４、６０６、および／または６０８のうちの１つ以上によって実現されてもよい。次いで、クライアントコンピューティングデバイスを操作するユーザは、１つ以上のクライアントアプリケーションを利用して、これらのコンポーネントによって提供されるサービスを用い得る。これらのコンポーネントは、ハードウェア、ファームウェア、ソフトウェア、またはそれらの組み合わせで実現され得る。なお、分散システム６００とは異なり得るさまざまな異なるシステム構成が実現可能であることを理解されたい。したがって、図に示される実施形態は、実施形態システムを実現するための分散システムの一例であり、限定することを意図するものではない。

クライアントコンピューティングデバイス６０２、６０４、６０６、および／または６０８は、携帯型ハンドヘルドデバイス（たとえば、ｉＰｈｏｎｅ（登録商標）、携帯電話、ｉＰａｄ（登録商標）、コンピューティングタブレット、携帯情報端末（personal digital assistant：ＰＤＡ））、またはウェアラブルデバイス（たとえば、グーグル・グラス（Google（登録商標） Glass）（登録商標）頭部装着型ディスプレイ）であってもよく、マイクロソフト・ウィンドウズ（登録商標）モバイル（Microsoft Windows Mobile）（登録商標）などのソフトウェア、および／または、ｉＯＳ、ウィンドウズフォン、アンドロイド（登録商標）、ブラックベリー（登録商標）１０、パームＯＳなどのさまざまなモバイルオペレーティングシステムを実行し、インターネット、電子メール、ショートメッセージサービス（short message service：ＳＭＳ）、ブラックベリー（登録商標）、または他の通信プロトコルに対応していてもよい。クライアントコンピューティングデバイスは、マイクロソフト・ウィンドウズ（登録商標）、アップル・マッキントッシュ（登録商標）、および／またはリナックス（登録商標）オペレーティングシステムのさまざまなバージョンを実行するパーソナルコンピュータおよび／またはラップトップコンピュータを例として含む、汎用パーソナルコンピュータであり得る。クライアントコンピューティングデバイスは、たとえばグーグル・クローム（Google Chrome）ＯＳなどのさまざまなＧＮＵ／リナックスオペレーティングシステムを何ら限定されることなく含む、商業的に入手可能なさまざまなＵＮＩＸ（登録商標）またはＵＮＩＸ様オペレーティングシステムのうちのいずれかを実行するワークステーションコンピュータであり得る。代替的または付加的には、クライアントコンピューティングデバイス６０２、６０４、６０６および６０８は、ネットワーク６１０を介して通信可能である、シンクライアントコンピュータ、インターネット対応ゲーミングシステム（たとえば、Ｋｉｎｅｃｔ（登録商標）ジェスチャー入力デバイス付きまたは無しのマイクロソフトＸｂｏｘゲーミングコンソール）、および／またはパーソナルメッセージングデバイスなどの任意の他の電子デバイスであってもよい。

４つのクライアントコンピューティングデバイスを有する例示的な分散型システム６００が示されているが、任意の数のクライアントコンピューティングデバイスがサポートされてもよい。センサを有するデバイスなどの他のデバイスがサーバ６１２と対話し得る。

分散型システム６００におけるネットワーク６１０は、伝送制御プロトコル／インターネットプロトコル（transmission control protocol/Internet protocol：ＴＣＰ／ＩＰ）、システムネットワークアーキテクチャ（systems network architecture：ＳＮＡ）、インターネットパケット交換（Internet packet exchange：ＩＰＸ）、アップル・トーク（Apple Talk）などを何ら限定されることなく含む、商業的に入手可能なさまざまなプロトコルのうちのいずれかを用いてデータ通信をサポートできる、当業者にはよく知られた任意のタイプのネットワークであり得る。単なる例として、ネットワーク６１０は、イーサネット（登録商標）、トークンリング（Token-Ring）などに基づくものといった、ローカルエリアネットワーク（local area network：ＬＡＮ）であってもよい。ネットワーク６１０はワイドエリアネットワークおよびインターネットであり得る。それは、仮想プライベートネットワーク（virtual private network：ＶＰＮ）、イントラネット、エクストラネット、公衆交換電話網（public switched telephone network：ＰＳＴＮ）、赤外線ネットワーク、無線ネットワーク（たとえば、電気電子技術者協会（the Institute of Electrical and Electronics：ＩＥＥＥ）８０２．１１プロトコルスイート、Bluetooth（登録商標）、および／もしくは任意の他の無線プロトコルのうちのいずれかの下で動作するネットワーク）、ならびに／または、これらのおよび／もしくは他のネットワークの任意の組合せを何ら限定されることなく含む、仮想ネットワークを含み得る。

サーバ６１２は、１つ以上の汎用コンピュータ、専用サーバコンピュータ（ＰＣ（パーソナルコンピュータ）サーバ、ＵＮＩＸ（登録商標）サーバ、ミッドレンジサーバ、メインフレームコンピュータ、ラックマウントサーバなどを例として含む）、サーバファーム、サーバクラスタ、もしくは任意の他の適切な構成および／または組合せで構成されてもよい。さまざまな実施形態では、サーバ６１２は、前述の開示で説明された１つ以上のサービスまたはソフトウェアアプリケーションを実行するように適合されてもよい。たとえば、サーバ６１２は、本開示の一実施形態に従った上述の処理を行なうためのサーバに対応していてもよい。

サーバ６１２は、上述のもののうちのいずれかを含むオペレーティングシステム、および商業的に入手可能な任意のサーバオペレーティングシステムを実行してもよい。サーバ６１２はまた、さまざまな追加のサーバアプリケーションおよび／または中間層アプリケーションのうちのいずれかを実行してもよく、ハイパーテキスト伝送プロトコル（hypertext transport protocol：ＨＴＴＰ）サーバ、ファイル転送プロトコル（file transfer protocol：ＦＴＰ）サーバ、コモンゲートウェイインターフェイス（common gateway interface：ＣＧＩ）サーバ、ＪＡＶＡ（登録商標）サーバ、データベースサーバなどを含む。例示的なデータベースサーバは、オラクル、マイクロソフト、サイベース（Sybase）、ＩＢＭ（International Business Machines：インターナショナル・ビジネス・マシーンズ）などから商業的に入手可能なものを何ら限定されることなく含む。

いくつかの実現例では、サーバ６１２は、クライアントコンピューティングデバイス６０２、６０４、６０６、および６０８のユーザから受取ったデータフィードおよび／またはイベントアップデートを分析して統合するための１つ以上のアプリケーションを含んでいてもよい。一例として、データフィードおよび／またはイベントアップデートは、センサデータアプリケーション、金融ティッカー、ネットワーク性能測定ツール（たとえば、ネットワーク監視およびトラフィック管理アプリケーション）、クリックストリーム分析ツール、自動車交通監視などに関連するリアルタイムイベントを含み得る、１つ以上の第三者情報源および連続データストリームから受取ったツイッター（登録商標）フィード、フェースブック（登録商標）更新またはリアルタイム更新を含み得るが、それらに限定されない。サーバ６１２はまた、クライアントコンピューティングデバイス６０２、６０４、６０６、および６０８の１つ以上のディスプレイデバイスを介してデータフィードおよび／またはリアルタイムイベントを表示するための１つ以上のアプリケーションを含んでいてもよい。

分散型システム６００はまた、１つ以上のデータベース６１４および６１６を含んでいてもよい。データベース６１４および６１６は、さまざまな位置に存在していてもよい。例として、データベース６１４および６１６のうちの１つ以上は、サーバ６１２に対してローカルな（および／または、サーバ６１２内にある）非一時的記憶媒体上に存在していてもよい。代替的には、データベース６１４および６１６は、サーバ６１２からリモートであってもよく、ネットワークベースの接続または専用接続を介してサーバ６１２と通信してもよい。一組の実施形態では、データベース６１４および６１６は、ストレージエリアネットワーク（storage-area network：ＳＡＮ）に存在していてもよい。同様に、サーバ６１２に帰する機能を実行するための任意の必要なファイルが適宜、サーバ６１２上にローカルに格納されてもよく、および／またはリモートに格納されてもよい。一組の実施形態では、データベース６１４および６１６は、ＳＱＬフォーマット化されたコマンドに応答してデータを格納し、アップデートし、検索するように適合された、オラクルによって提供されるデータベースなどのリレーショナルデータベースを含んでいてもよい。

図７は、本開示の一実施形態に従った、実施形態システムの１つ以上のコンポーネントによって提供されるサービスをクラウドサービスとして提供し得るシステム環境７００の１つ以上のコンポーネントの簡略ブロック図である。図示された実施形態では、システム環境７００は、クラウドサービスを提供するクラウドインフラストラクチャシステム７０２と対話するためにユーザによって使用され得る１つ以上のクライアントコンピューティングデバイス７０４、７０６、および７０８を含む。これらのクライアントコンピューティングデバイスは、クラウドインフラストラクチャシステム７０２によって提供されるサービスを使用するためのクラウドインフラストラクチャシステム７０２と対話するためにクライアントコンピューティングデバイスのユーザによって使用され得る、ウェブブラウザ、専用クライアントアプリケーション（たとえば、オラクル・フォームズ）、または何らかの他のアプリケーションなどのクライアントアプリケーションを動作させるように構成されてもよい。

図に示すクラウドインフラストラクチャシステム７０２が図示したもの以外のコンポーネントを有し得ることが理解されるべきである。さらに、図に示す実施形態は、本発明の一実施形態を組込み得るクラウドインフラストラクチャシステムの一例に過ぎない。いくつかの他の実施形態では、クラウドインフラストラクチャシステム７０２は、図示されたものよりも多いかまたは少ないコンポーネントを有していてもよく、２つ以上のコンポーネントを組合せてもよく、または、異なる構成もしくは配置のコンポーネントを有していてもよい。

クライアントコンピューティングデバイス７０４、７０６、および７０８は、６０２、６０４、６０６、および６０８について上述したものと同様のデバイスであってもよい。

３つのクライアントコンピューティングデバイスを有する例示的なシステム環境７００が示されているが、任意の数のクライアントコンピューティングデバイスがサポートされてもよい。センサを有するデバイスなどの他のデバイスがクラウドインフラストラクチャシステム７０２と対話してもよい。

ネットワーク７１０は、クライアント７０４、７０６、および７０８とクラウドインフラストラクチャシステム７０２との間のデータの通信および交換を容易にし得る。各ネットワークは、ネットワーク６１０について上述したものを含む、商業的に入手可能なさまざまなプロトコルのうちのいずれかを用いてデータ通信をサポートできる、当業者にはよく知られた任意のタイプのネットワークであってもよい。

クラウドインフラストラクチャシステム７０２は、サーバ６１２について上述したものを含み得る１つ以上のコンピュータおよび／またはサーバを含んでいてもよい。

特定の実施形態では、クラウドインフラストラクチャシステムによって提供されるサービスは、オンラインデータストレージおよびバックアップソリューション、ウェブベースの電子メールサービス、ホスト型オフィススイートおよび文書コラボレーションサービス、データベース処理、管理された技術サポートサービスなどの、クラウドインフラストラクチャシステムのユーザにとってオンデマンドで利用可能にされる多数のサービスを含んでいてもよい。クラウドインフラストラクチャシステムによって提供されるサービスは、そのユーザのニーズを満たすために動的にスケール変更可能である。クラウドインフラストラクチャシステムによって提供されるサービスの特定のインスタンス化は、本明細書中では「サービスインスタンス」と称される。一般に、クラウドサービスプロバイダのシステムからインターネットなどの通信ネットワークを介してユーザに利用可能とされる任意のサービスは「クラウドサービス」と称される。典型的には、パブリッククラウド環境では、クラウドサービスプロバイダのシステムを構成するサーバおよびシステムは、顧客自身のオンプレミスサーバおよびシステムとは異なっている。たとえば、クラウドサービスプロバイダのシステムはアプリケーションをホストしてもよく、ユーザは、インターネットなどの通信ネットワークを介してオンデマンドでアプリケーションをオーダーして用いてもよい。

いくつかの例では、コンピュータネットワーククラウドインフラストラクチャにおけるサービスは、クラウドベンダーによってユーザに提供されるかまたは当該技術分野において他の態様で公知であるようなストレージ、ホスト型データベース、ホスト型ウェブサーバ、ソフトウェアアプリケーション、または他のサービスへの、保護されたコンピュータネットワークアクセスを含み得る。たとえば、サービスは、インターネットを介した、クラウド上のリモートストレージへの、パスワードで保護されたアクセスを含み得る。別の例として、サービスは、ネットワーク化されたデベロッパによる私的使用のための、ウェブサービスベースのホスト型リレーショナルデータベースおよびスクリプト言語ミドルウェアエンジンを含み得る。別の例として、サービスは、クラウドベンダーのウェブサイト上でホストされる電子メールソフトウェアアプリケーションへのアクセスを含み得る。

ある実施形態では、クラウドインフラストラクチャシステム７０２は、セルフサービスで、サブスクリプションベースで、弾力的にスケーラブルで、確実に、可用性高く、かつ安全な態様で顧客に配信される、アプリケーション、ミドルウェアおよびデータベースサービス提供物一式を含んでいてもよい。このようなクラウドインフラストラクチャシステムの一例として、本譲受人によって提供されるオラクル・パブリック・クラウド（Oracle Public Cloud）がある。

さまざまな実施形態では、クラウドインフラストラクチャシステム７０２は、クラウドインフラストラクチャシステム７０２によって提供されるサービスへの顧客のサブスクリプションを自動的にプロビジョニングし、管理し、追跡するように適合されてもよい。クラウドインフラストラクチャシステム７０２は、さまざまなデプロイメントモデルを介してクラウドサービスを提供し得る。たとえば、サービスは、クラウドインフラストラクチャシステム７０２がクラウドサービスを販売する組織によって所有され（たとえば、オラクルによって所有され）るとともにサービスが一般大衆またはさまざまな産業企業にとって利用可能とされる、パブリッククラウドモデルの下で提供されてもよい。別の例として、サービスは、クラウドインフラストラクチャシステム７０２が単一の組織のためにのみ稼働されるとともにその組織内の１つ以上のエンティティのためのサービスを提供し得る、プライベートクラウドモデルの下で提供されてもよい。クラウドサービスはまた、クラウドインフラストラクチャシステム７０２、およびクラウドインフラストラクチャシステム７０２によって提供されるサービスが或る関連するコミュニティにおけるいくつかの組織によって共有されているコミュニティクラウドモデルの下で提供されてもよい。クラウドサービスはまた、２つ以上の異なるモデルの組合せであるハイブリッドクラウドモデルの下で提供されてもよい。

いくつかの実施形態では、クラウドインフラストラクチャシステム７０２によって提供されるサービスは、サービスとしてのソフトウェア（ＳａａＳ）カテゴリ、サービスとしてのプラットフォーム（Platform as a Service：ＰａａＳ）カテゴリ、サービスとしてのインフラストラクチャ（ＩａａＳ）カテゴリ、または、ハイブリッドサービスを含むサービスの他のカテゴリの下で提供される、１つ以上のサービスを含んでいてもよい。顧客は、クラウドインフラストラクチャシステム７０２によって提供される１つ以上のサービスを、サブスクリプションオーダーを介してオーダーしてもよい。クラウドインフラストラクチャシステム７０２は次に、顧客のサブスクリプションオーダーでサービスを提供するために処理を行なう。

いくつかの実施形態では、クラウドインフラストラクチャシステム７０２によって提供されるサービスは、アプリケーションサービス、プラットフォームサービス、およびインフラストラクチャサービスを、何ら限定されることなく含んでいてもよい。いくつかの例では、アプリケーションサービスは、ＳａａＳプラットフォームを介してクラウドインフラストラクチャシステムによって提供されてもよい。ＳａａＳプラットフォームは、ＳａａＳカテゴリに該当するクラウドサービスを提供するように構成されてもよい。たとえば、ＳａａＳプラットフォームは、統合された開発およびデプロイメントプラットフォーム上にオンデマンドアプリケーション一式を構築して配信するための能力を提供してもよい。ＳａａＳプラットフォームは、ＳａａＳサービスを提供するための基本ソフトウェアおよびインフラストラクチャを管理および制御し得る。ＳａａＳプラットフォームによって提供されるサービスを利用することにより、顧客は、クラウドインフラストラクチャシステム上で実行されるアプリケーションを利用することができる。顧客は、顧客が別々のライセンスおよびサポートを購入する必要なしにアプリケーションサービスを取得することができる。さまざまな異なるＳａａＳサービスが提供されてもよい。例として、大型組織のための販売実績管理、企業統合、およびビジネス柔軟性についてのソリューションを提供するサービスが、限定なしに含まれる。

いくつかの実施形態では、プラットフォームサービスは、ＰａａＳプラットフォームを介してクラウドインフラストラクチャシステムによって提供されてもよい。ＰａａＳプラットフォームは、ＰａａＳカテゴリに該当するクラウドサービスを提供するように構成されてもよい。プラットフォームサービスの例は、（オラクルなどの）組織が共有の共通アーキテクチャ上で既存のアプリケーションを統合できるようにするサービスと、プラットフォームによって提供される共有のサービスを活用する新しいアプリケーションを構築するための能力とを、何ら限定されることなく含み得る。ＰａａＳプラットフォームは、ＰａａＳサービスを提供するための基本ソフトウェアおよびインフラストラクチャを管理および制御し得る。顧客は、顧客が別々のライセンスおよびサポートを購入する必要なく、クラウドインフラストラクチャシステムによって提供されるＰａａＳサービスを取得することができる。プラットフォームサービスの例は、オラクルＪａｖａ（登録商標）クラウドサービス（Java Cloud Service：ＪＣＳ）、オラクル・データベース・クラウド・サービス（Database Cloud Service：ＤＢＣＳ）などを、何ら限定されることなく含む。

ＰａａＳプラットフォームによって提供されるサービスを利用することにより、顧客は、クラウドインフラストラクチャシステムによってサポートされるプログラミング言語およびツールを採用するとともに、デプロイされたサービスを制御することもできる。いくつかの実施形態では、クラウドインフラストラクチャシステムによって提供されるプラットフォームサービスは、データベースクラウドサービス、ミドルウェアクラウドサービス（たとえば、オラクル・フュージョン・ミドルウェア（Oracle Fusion Middleware）サービス）、およびＪａｖａクラウドサービスを含んでいてもよい。一実施形態では、データベースクラウドサービスは、組織がデータベースリソースをプールし、データベースクラウドの形態でサービスとしてのデータベース（Database as a Service）を顧客に提供することを可能にする共有のサービスデプロイメントモデルをサポートし得る。ミドルウェアクラウドサービスは、顧客がさまざまなビジネスアプリケーションを開発してデプロイするためのプラットフォームを提供してもよく、Ｊａｖａクラウドサービスは、顧客がクラウドインフラストラクチャシステムにおいてＪａｖａアプリケーションをデプロイするためのプラットフォームを提供してもよい。

クラウドインフラストラクチャシステムにおいて、さまざまな異なるインフラストラクチャサービスがＩａａＳプラットフォームによって提供されてもよい。これらのインフラストラクチャサービスは、ＳａａＳプラットフォームおよびＰａａＳプラットフォームによって提供されるサービスを利用する顧客のための、ストレージ、ネットワーク、および他の基礎的コンピューティングリソースなどの基本コンピューティングリソースの管理および制御を容易にする。

特定の実施形態では、クラウドインフラストラクチャシステム７０２はまた、クラウドインフラストラクチャシステムの顧客にさまざまなサービスを提供するために用いられるリソースを提供するためのインフラストラクチャリソース７３０を含んでいてもよい。一実施形態では、インフラストラクチャリソース７３０は、ＰａａＳプラットフォームおよびＳａａＳプラットフォームによって提供されるサービスを実行するためのサーバ、ストレージ、およびネットワーキングリソースなどのハードウェアの予め統合され最適化された組合せを含んでいてもよい。

いくつかの実施形態では、クラウドインフラストラクチャシステム７０２におけるリソースは、複数のユーザによって共有されてもよく、要望ごとに動的に再配分されてもよい。加えて、リソースは、さまざまな時間帯にユーザに配分されてもよい。たとえば、クラウドインフラストラクチャシステム７３０は、第１の時間帯における第１のセットのユーザが、特定数の時間にわたってクラウドインフラストラクチャシステムのリソースを利用することを可能にし、次に、異なる時間帯に位置する別のセットのユーザに同じリソースを再配分することを可能にし、これによりリソースの利用を最大化し得る。

特定の実施形態では、クラウドインフラストラクチャシステム７０２のさまざまなコンポーネントまたはモジュールによって共有されるとともに、クラウドインフラストラクチャシステム７０２が提供するサービスによって共有される、いくつかの内部共有サービス７３２が提供され得る。これらの内部共有サービスは、セキュリティおよびアイデンティティサービス、統合サービス、企業リポジトリサービス、企業マネージャサービス、ウィルススキャニングおよびホワイトリストサービス、高可用性、バックアップおよび復旧サービス、クラウドサポートを可能にするためのサービス、電子メールサービス、通知サービス、ファイル転送サービスなどを、何ら限定されることなく含み得る。

特定の実施形態では、クラウドインフラストラクチャシステム７０２は、クラウドインフラストラクチャシステムにおけるクラウドサービス（たとえば、ＳａａＳサービス、ＰａａＳサービス、およびＩａａＳサービス）の包括的管理を提供し得る。一実施形態では、クラウド管理機能は、クラウドインフラストラクチャシステム７０２などが受取った顧客のサブスクリプションをプロビジョニングし、管理し、追跡するための能力を含んでいてもよい。

一実施形態では、図に示すように、クラウド管理機能は、オーダー管理モジュール７２０、オーダーオーケストレーションモジュール７２２、オーダープロビジョニングモジュール７２４、オーダー管理および監視モジュール７２６、ならびにアイデンティティ管理モジュール７２８などの１つ以上のモジュールによって提供されてもよい。これらのモジュールは、汎用コンピュータ、専用サーバコンピュータ、サーバファーム、サーバクラスタ、または任意の他の適切な構成および／もしくは組合せであり得る、１つ以上のコンピュータおよび／またはサーバを含んでいてもよく、またはそれらを用いて提供されてもよい。

例示的な動作７３４では、クライアントデバイス７０４、７０６または７０８などのクライアントデバイスを使用する顧客は、クラウドインフラストラクチャシステム７０２によって提供される１つ以上のサービスを要求するとともに、クラウドインフラストラクチャシステム７０２によって提供される１つ以上のサービスについてサブスクリプションオーダーを出すことにより、クラウドインフラストラクチャシステム７０２と対話してもよい。特定の実施形態では、顧客は、クラウドユーザインターフェイス（User Interface：ＵＩ）、クラウドＵＩ７１２、クラウドＵＩ７１４および／またはクラウドＵＩ７１６にアクセスし、これらのＵＩを介してサブスクリプションオーダーを出してもよい。顧客がオーダーを出したことに応答してクラウドインフラストラクチャシステム７０２が受取ったオーダー情報は、顧客と、顧客が加入するつもりでありクラウドインフラストラクチャシステム７０２によって提供される１つ以上のサービスとを識別する情報を含んでいてもよい。

顧客がオーダーを出した後、オーダー情報がクラウドＵＩ７１２、７１４、および／または７１６を介して受取られる。

動作７３６では、オーダーがオーダーデータベース７１８に格納される。オーダーデータベース７１８は、クラウドインフラストラクチャシステム７１８によって動作されるとともに他のシステム要素とともに動作される、いくつかのデータベースのうちの１つであり得る。

動作７３８では、オーダー情報がオーダー管理モジュール７２０へ転送されてもよい。場合によっては、オーダー管理モジュール７２０は、オーダーを検証し、検証後にオーダーを予約するといった、オーダーに関連する請求機能および課金機能を実行するように構成されてもよい。

動作７４０では、オーダーに関する情報がオーダーオーケストレーションモジュール７２２へ通信される。オーダーオーケストレーションモジュール７２２は、顧客によって出されたオーダーのためのサービスおよびリソースのプロビジョニングをオーケストレーションするために、オーダー情報を利用してもよい。場合によっては、オーダーオーケストレーションモジュール７２２は、オーダープロビジョニングモジュール７２４のサービスを用いて加入済みサービスをサポートするために、リソースのプロビジョニングをオーケストレーションしてもよい。

特定の実施形態では、オーダーオーケストレーションモジュール７２２は、各オーダーに関連付けられたビジネスプロセスの管理を可能にして、オーダーがプロビジョニングへ進むべきかどうかを判断するためにビジネスロジックを適用する。動作１１４２では、新規サブスクリプションについてのオーダーを受取ると、オーダーオーケストレーションモジュール７２２は、リソースを配分してサブスクリプションオーダーの遂行に必要とされるそれらのリソースを構成することを求める要求を、オーダープロビジョニングモジュール７２４に送信する。オーダープロビジョニングモジュール７２４は、顧客によってオーダーされたサービスのためのリソースの配分を可能にする。オーダープロビジョニングモジュール７２４は、クラウドインフラストラクチャシステム７００によって提供されるクラウドサービスと、要求されたサービスを提供するためのリソースをプロビジョニングするために用いられる物理実現層との間の抽象化のレベルを提供する。オーダーオーケストレーションモジュール７２２はこのため、サービスおよびリソースが実際にオンザフライでプロビジョニングされるか否か、または予めプロビジョニングされて要求時にのみ配分／割当てがなされるか否かといった実現例の詳細から切り離されてもよい。

動作７４４では、サービスおよびリソースが一旦プロビジョニングされると、提供されたサービスの通知が、クラウドインフラストラクチャシステム７０２のオーダープロビジョニングモジュール７２４によってクライアントデバイス７０４、７０６、および／または７０８上の顧客へ送信されてもよい。

動作７４６では、顧客のサブスクリプションオーダーが、オーダー管理および監視モジュール７２６によって管理および追跡されてもよい。場合によっては、オーダー管理および監視モジュール７２６は、用いられるストレージの量、転送されるデータの量、ユーザの数、システムアップタイムおよびシステムダウンタイムの量などの、サブスクリプションオーダーにおけるサービスについての使用率統計を収集するように構成されてもよい。

特定の実施形態では、クラウドインフラストラクチャシステム７００はアイデンティティ管理モジュール７２８を含み得る。アイデンティティ管理モジュール７２８は、クラウドインフラストラクチャシステム７００においてアクセス管理および認証サービスなどのアイデンティティサービスを提供するように構成されてもよい。いくつかの実施形態では、アイデンティティ管理モジュール７２８は、クラウドインフラストラクチャシステム７０２によって提供されるサービスを利用したい顧客についての情報を制御してもよい。そのような情報は、そのような顧客のアイデンティティを認証する情報と、さまざまなシステムリソース（たとえば、ファイル、ディレクトリ、アプリケーション、通信ポート、メモリセグメントなど）に対してそれらの顧客がどのアクションを行なうことが認可されているかを記述する情報とを含み得る。アイデンティティ管理モジュール７２８はまた、各顧客についての記述的情報と、その記述的情報が誰によってどのようにアクセスされて修正され得るかについての記述的情報との管理を含んでいてもよい。

図８は、本発明のさまざまな実施形態が実現され得る例示的なコンピュータシステム８００を示す。システム８００は、上述のコンピュータシステムのうちのいずれかを実現するために使用されてもよい。図に示すように、コンピュータシステム８００は、バスサブシステム８０２を介していくつかの周辺サブシステムと通信する処理部８０４を含む。これらの周辺サブシステムは、処理加速部８０６と、Ｉ／Ｏサブシステム８０８と、ストレージサブシステム８１８と、通信サブシステム８２４とを含み得る。ストレージサブシステム８１８は、有形のコンピュータ可読記憶媒体８２２とシステムメモリ８１０とを含む。

バスサブシステム８０２は、コンピュータシステム８００のさまざまなコンポーネントおよびサブシステムを意図通りに互いに通信させるためのメカニズムを提供する。バスサブシステム８０２は単一のバスとして概略的に示されているが、バスサブシステムの代替的な実施形態は複数のバスを利用してもよい。バスサブシステム８０２は、さまざまなバスアーキテクチャのうちのいずれかを使用するメモリバスまたはメモリコントローラ、周辺バス、およびローカルバスを含む、いくつかのタイプのバス構造のうちのいずれかであり得る。たとえば、そのようなアーキテクチャは、業界標準アーキテクチャ（Industry Standard Architecture：ＩＳＡ）バス、マイクロチャネルアーキテクチャ（Micro Channel Architecture：ＭＣＡ）バス、強化ＩＳＡ（ＥＩＳＡ）バス、ビデオエレクトロニクス標準組織（Video Electronics Standards Association：ＶＥＳＡ）ローカルバス、および周辺コンポーネント相互接続（Peripheral Component Interconnect：ＰＣＩ）バスを含んでいてもよく、それは、ＩＥＥＥ Ｐ１３８６．１規格で製造されるメザニンバスとして実現可能である。

１つ以上の集積回路（たとえば、従来のマイクロプロセッサまたはマイクロコントローラ）として実現され得る処理部８０４は、コンピュータシステム８００の動作を制御する。処理部８０４には１つ以上のプロセッサが含まれていてもよい。これらのプロセッサはシングルコアまたはマルチコアプロセッサを含んでいてもよい。特定の実施形態では、処理部８０４は１つ以上の独立した処理部８３２および／または８３４として実現されてもよく、各処理部にはシングルプロセッサまたはマルチコアプロセッサが含まれ得る。他の実施形態では、処理部８０４はまた、２つのデュアルコアプロセッサをシングルチップへと集積することによって形成されるクアッドコア処理部として実現されてもよい。

さまざまな実施形態では、処理部８０４は、プログラムコードに応答してさまざまなプログラムを実行できるとともに、同時に実行される複数のプログラムまたはプロセスを維持できる。任意の所与の時間において、実行されるべきプログラムコードのうちのいくつかまたはすべては、プロセッサ８０４および／またはストレージサブシステム８１８に常駐し得る。好適なプログラミングを通して、プロセッサ８０４は、上述のさまざまな機能を提供できる。コンピュータシステム８００は加えて、デジタル信号プロセッサ（digital signal processor：ＤＳＰ）、専用プロセッサなどを含み得る処理加速部８０６を含んでいてもよい。

Ｉ／Ｏサブシステム８０８は、ユーザインターフェイス入力デバイスとユーザインターフェイス出力デバイスとを含み得る。ユーザインターフェイス入力デバイスは、キーボード、マウスまたはトラックボールなどのポインティングデバイス、ディスプレイに組込まれたタッチパッドまたはタッチスクリーン、スクロールホイール、クリックホイール、ダイヤル、ボタン、スイッチ、キーパッド、音声コマンド認識システム付き音声入力デバイス、マイクロホン、および他のタイプの入力デバイスを含んでいてもよい。ユーザインターフェイス入力デバイスは、たとえば、ジェスチャーおよび口頭コマンドを使用するナチュラルユーザインターフェイスを介してマイクロソフトＸｂｏｘ（登録商標）３６０ゲームコントローラなどの入力デバイスをユーザが制御し、それと対話することを可能にする、マイクロソフトＫｉｎｅｃｔ（登録商標）運動センサなどの運動感知および／またはジェスチャー認識デバイスを含んでいてもよい。ユーザインターフェイス入力デバイスはまた、ユーザから目の活動（たとえば、写真撮影中および／またはメニュー選択中の「まばたき」）を検出し、アイジェスチャーを入力デバイス（たとえば、グーグル・グラス（登録商標））への入力として変換する、グーグル・グラス（登録商標）まばたき検出器などのアイジェスチャー認識デバイスを含んでいてもよい。加えて、ユーザインターフェイス入力デバイスは、ユーザが音声コマンドを通して音声認識システム（たとえば、Ｓｉｒｉ（登録商標）ナビゲータ）と対話することを可能にする音声認識感知デバイスを含んでいてもよい。

ユーザインターフェイス入力デバイスはまた、３次元（３Ｄ）マウス、ジョイスティックまたはポインティングスティック、ゲームパッドおよびグラフィックタブレット、ならびに、音声／視覚デバイス、たとえば、スピーカ、デジタルカメラ、デジタルビデオカメラ、携帯型メディアプレイヤー、ウェブカメラ、画像スキャナ、指紋スキャナ、バーコードリーダ３Ｄスキャナ、３Ｄプリンタ、レーザー測距器、および視線追跡デバイスなどを、何ら限定されることなく含んでいてもよい。加えて、ユーザインターフェイス入力デバイスは、たとえば、コンピュータ断層撮影装置、磁気共鳴撮像装置、ポジトロン放出断層撮影装置、医療用超音波検査装置などの医療用撮像入力デバイスを含んでいてもよい。ユーザインターフェイス入力デバイスはまた、たとえば、ＭＩＤＩキーボード、デジタル楽器などの音声入力デバイスを含んでいてもよい。

ユーザインターフェイス出力デバイスは、ディスプレイサブシステム、表示灯、または、音声出力デバイスなどの非視覚的ディスプレイを含んでいてもよい。ディスプレイサブシステムは、陰極線管（cathode ray tube：ＣＲＴ）、液晶ディスプレイ（liquid crystal display：ＬＣＤ）またはプラズマディスプレイを使用するディスプレイなどのフラットパネルデバイス、投影デバイス、タッチスクリーンなどであってもよい。一般に、「出力デバイス」という語の使用は、コンピュータシステム８００からユーザまたは他のコンピュータへ情報を出力するためのあらゆる可能なタイプのデバイスおよびメカニズムを含むよう意図されている。たとえば、ユーザインターフェイス出力デバイスは、モニタ、プリンタ、スピーカ、ヘッドホン、自動車ナビゲーションシステム、プロッタ、音声出力デバイス、およびモデムなどの、テキスト、グラフィックスおよび音声／映像情報を視覚的に伝えるさまざまなディスプレイデバイスを、何ら限定されることなく含んでいてもよい。

コンピュータシステム８００は、現在システムメモリ８１０内に位置するように示されているソフトウェア要素を含むストレージサブシステム８１８を含んでいてもよい。システムメモリ８１０は、処理部８０４上でロード可能および実行可能なプログラム命令、ならびに、これらのプログラムの実行中に生成されたデータを格納してもよい。

コンピュータシステム８００の構成およびタイプに応じて、システムメモリ８１０は、揮発性（ランダムアクセスメモリ（random access memory：ＲＡＭ）など）および／または不揮発性（読取り専用メモリ（read-only memory：ＲＯＭ）、フラッシュメモリなど）であってもよい。ＲＡＭは、典型的には、処理部８０４に直ちにアクセス可能である、および／または、処理部８０４によって現在操作および実行されている、データおよび／またはプログラムモジュールを含む。いくつかの実現例では、システムメモリ８１０は、スタティックランダムアクセスメモリ（static random access memory：ＳＲＡＭ）またはダイナミックランダムアクセスメモリ（dynamic random access memory：ＤＲＡＭ）などの複数の異なるタイプのメモリを含んでいてもよい。いくつかの実現例では、起動中などにコンピュータシステム８００内の要素間で情報を転送するのに役立つ基本ルーチンを含む基本入力／出力システム（basic input/output system：ＢＩＯＳ）が、典型的にはＲＯＭに格納されてもよい。限定ではなく例示のために、システムメモリ８１０はまた、クライアントアプリケーション、ウェブブラウザ、中間層アプリケーション、リレーショナルデータベース管理システム（relational database management systems：ＲＤＢＭＳ）などを含み得るアプリケーションプログラム８１２と、プログラムデータ８１４と、オペレーティングシステム８１６とを示す。例として、オペレーティングシステム８１６は、マイクロソフト・ウィンドウズ（登録商標）、アップル・マッキントッシュ（登録商標）、および／またはリナックスオペレーティングシステムのさまざまなバージョン、商業的に入手可能なさまざまなＵＮＩＸ（登録商標）またはＵＮＩＸ様オペレーティングシステム（さまざまなＧＮＵ／リナックスオペレーティングシステム、グーグル・クローム（登録商標）ＯＳなどを何ら限定されることなく含む）、および／または、ｉＯＳ、ウィンドウズ（登録商標）フォン、アンドロイド（登録商標）ＯＳ、ブラックベリー（登録商標）１０ＯＳ、パーム（登録商標）ＯＳオペレーティングシステムなどのモバイルオペレーティングシステムを含んでいてもよい。

ストレージサブシステム８１８はまた、いくつかの実施形態の機能を提供するデータ構造および基本プログラミングを格納するための有形のコンピュータ可読記憶媒体を提供し得る。プロセッサによって実行されると上述の機能を提供するソフトウェア（プログラム、コードモジュール、命令）が、ストレージサブシステム８１８に格納されてもよい。これらのソフトウェアモジュールまたは命令は、処理部８０４によって実行されてもよい。ストレージサブシステム８１８はまた、本発明に従って用いられるデータを格納するためのリポジトリを備えてもよい。

ストレージサブシステム８００はまた、コンピュータ可読記憶媒体８２２にさらに接続され得るコンピュータ可読記憶媒体リーダ８２０を含んでいてもよい。コンピュータ可読記憶媒体８２２は、システムメモリ８１０とともに、およびオプションでシステムメモリ８１０と組合わされて、リモート、ローカル、固定および／またはリムーバブルの記憶装置に加えて、コンピュータ可読情報を一時的におよび／またはより永続的に含み、格納し、伝送し、検索するための記憶媒体を包括的に表わし得る。

コードまたはコードの一部を含むコンピュータ可読記憶媒体８２２はまた、情報の格納および／または伝送のための任意の方法または技術において実現された揮発性および不揮発性、リムーバブルおよび非リムーバブルの媒体などを含むがこれらに限定されない記憶媒体および通信媒体を含む、当該技術分野において公知であるかまたは当該技術分野において使用されている任意の適切な媒体を含み得る。これは、ＲＡＭ、ＲＯＭ、電子的消去可能プログラマブルＲＯＭ（electronically erasable programmable ROM：ＥＥＰＲＯＭ）、フラッシュメモリまたは他のメモリ技術、ＣＤ－ＲＯＭ、デジタル多用途ディスク（digital versatile disk：ＤＶＤ）、または他の光学記憶装置、磁気カセット、磁気テープ、磁気ディスク記憶装置、もしくは他の磁気記憶装置、または他の有形のコンピュータ可読媒体といった、有形のコンピュータ可読記憶媒体を含み得る。これはまた、所望の情報を伝送するために使用可能であり得るとともにコンピューティングシステム８００によってアクセス可能であるデータ信号、データ伝送、または任意の他の媒体などの非有形のコンピュータ可読媒体を含み得る。

例として、コンピュータ可読記憶媒体８２２は、非リムーバブルな不揮発性磁気媒体との間で読出および書込を行なうハードディスクドライブ、リムーバブルな不揮発性磁気媒体との間で読出および書込を行なう磁気ディスクドライブ、ならびに、ＣＤ ＲＯＭ、ＤＶＤ、Ｂｌｕ－Ｒａｙ（登録商標）ディスク、または他の光学媒体などのリムーバブルな不揮発性光ディスクとの間で読出および書込を行なう光ディスクドライブを含んでいてもよい。コンピュータ可読記憶媒体８２２は、Ｚｉｐ（登録商標）ドライブ、フラッシュメモリカード、ユニバーサルシリアルバス（universal serial bus：ＵＳＢ）フラッシュドライブ、セキュアデジタル（secure digital：ＳＤ）カード、ＤＶＤディスク、デジタルビデオテープなどを含み得るがこれらに限定されない。コンピュータ可読記憶媒体８２２はまた、フラッシュメモリベースのソリッドステートドライブ（solid-state drive：ＳＳＤ）、エンタープライズフラッシュドライブ、ソリッドステートＲＯＭなどの、不揮発性メモリに基づいたＳＳＤ、ソリッドステートＲＡＭ、ダイナミックＲＡＭ、スタティックＲＡＭ、ＤＲＡＭベースのＳＳＤ、磁気抵抗ＲＡＭ（ＭＲＡＭ）ＳＳＤなどの、揮発性メモリに基づいたＳＳＤ、および、ＤＲＡＭベースのＳＳＤとフラッシュメモリベースのＳＳＤとの組合せを使用するハイブリッドＳＳＤを含んでいてもよい。ディスクドライブおよびそれらの関連するコンピュータ可読媒体は、コンピュータシステム８００のためのコンピュータ可読命令、データ構造、プログラムモジュール、および他のデータの不揮発性ストレージを備えてもよい。

通信サブシステム８２４は、他のコンピュータシステムおよびネットワークへのインターフェイスを提供する。通信サブシステム８２４は、コンピュータシステム８００とは別のシステムからデータを受取り、別のシステムにデータを送信するためのインターフェイスとして機能する。たとえば、通信サブシステム８２４は、コンピュータシステム８００がインターネットを介して１つ以上のデバイスに接続できるようにしてもよい。いくつかの実施形態では、通信サブシステム８２４は、（たとえば、３Ｇ、４Ｇ、またはＥＤＧＥ（enhanced data rates for global evolution：エンハンスト・データレート・フォー・グローバル・エボリューション）、ＷｉＦｉ（ＩＥＥＥ８０２．１１ファミリー規格）、もしくは他のモバイル通信技術、もしくはそれらの任意の組合せといった携帯電話技術、高度なデータネットワーク技術を使用した）無線音声および／もしくはデータネットワークにアクセスするための無線周波数（radio frequency：ＲＦ）トランシーバコンポーネント、全地球測位システム（global positioning system：ＧＰＳ）受信機コンポーネント、ならびに／または他のコンポーネントを含み得る。いくつかの実施形態では、通信サブシステム８２４は、無線インターフェイスに加えて、またはその代わりに、有線ネットワーク接続（たとえば、イーサネット（登録商標））を提供することができる。

いくつかの実施形態では、通信サブシステム８２４はまた、入力通信を構造化および／または非構造化データフィード８２６、イベントストリーム８２８、イベントアップデート８３０などの形態で、コンピュータシステム８００を使用し得る１人以上のユーザのために受取ってもよい。

例として、通信サブシステム８２４は、ツイッター（登録商標）フィード、フェースブック（登録商標）アップデート、リッチ・サイト・サマリー（Rich Site Summary：ＲＳＳ）フィードなどのウェブフィード、および／または１つ以上の第三者情報源からのリアルタイムアップデートなどの、ソーシャルネットワークおよび／または他の通信サービスのユーザからのデータフィード８２６をリアルタイムで受取るように構成されてもよい。

加えて、通信サブシステム８２４はまた、リアルタイムイベントのイベントストリーム８２８および／またはイベントアップデート８３０を含み得る、明確な終わりがなく本質的に連続的または無限であり得る連続データストリームの形態でデータを受取るように構成されてもよい。連続データを生成するアプリケーションの例は、たとえば、センサデータアプリケーション、金融ティッカー、ネットワーク性能測定ツール（たとえば、ネットワーク監視およびトラフィック管理アプリケーション）、クリックストリーム分析ツール、自動車交通監視などを含んでいてもよい。

通信サブシステム８２４はまた、構造化および／または非構造化データフィード８２６、イベントストリーム８２８、イベントアップデート８３０などを、コンピュータシステム８００に結合された１つ以上のストリーミングデータソースコンピュータと通信し得る１つ以上のデータベースに出力するように構成されてもよい。

コンピュータシステム８００は、ハンドヘルド携帯デバイス（たとえば、ｉＰｈｏｎｅ（登録商標）携帯電話、ｉＰａｄ（登録商標）コンピューティングタブレット、ＰＤＡ）、ウェアラブルデバイス（たとえば、グーグル・グラス（登録商標）頭部装着型ディスプレイ）、ＰＣ、ワークステーション、メインフレーム、キオスク、サーバラック、または任意の他のデータ処理システムを含む、さまざまなタイプのうちの１つであり得る。

コンピュータおよびネットワークが絶えず変化するという性質を持っているため、図に示されるコンピュータシステム８００の説明は特定の一例として意図されるものに過ぎない。図に示されるシステムよりも多いかまたは少ないコンポーネントを有する多くの他の構成が実現可能である。たとえば、カスタマイズされたハードウェアが使用されてもよく、および／または、特定の要素がハードウェア、ファームウェア、ソフトウェア（アプレットを含む）または組合せて実現されてもよい。さらに、ネットワーク入力／出力デバイスなどの他のコンピューティングデバイスへの接続が採用されてもよい。ここに提供される開示および教示に基づくと、当業者であれば、さまざまな実施形態を実現するための他のやり方および／または方法を理解するであろう。

前述の記載では、本発明のさまざまな実施形態の完全な理解を提供するために、説明の目的で、多くの特定の詳細が述べられた。しかしながら、これらの特定の詳細のうちのいくつかがなくても本発明の実施形態が実施され得ることは、当業者には明らかであるだろう。他の例では、周知の構造およびデバイスはブロック図の形で示される。

前述の記載は例示的な実施形態のみを提供しており、この開示の範囲、利用可能性、または構成を限定するようには意図されていない。むしろ、例示的な実施形態の前述の記載は、例示的な実施形態を実現するための実施可能な説明を当業者に提供するだろう。添付の特許請求の範囲で述べられるような本発明の精神および範囲から逸脱することなく、要素の機能および配置にさまざまな変更がなされ得ることが理解されるはずである。

前述の記載では、実施形態の完全な理解を提供するために具体的な詳細が与えられる。しかしながら、これらの具体的な詳細がなくても実施形態が実施され得ることが当業者に理解されるだろう。たとえば、実施形態を必要以上に詳細に記して不明瞭にすることがないように、回路、システム、ネットワーク、プロセス、および他のコンポーネントはブロック図の形のコンポーネントとして示されていることもある。他の例では、実施形態を不明瞭にしないように、周知の回路、プロセス、アルゴリズム、構造、および技術は不要な詳細なしで示されている可能性もある。

また、個々の実施形態は、フローチャート、フロー図、データフロー図、構造図、またはブロック図として示されるプロセスとして説明されている可能性もあることに留意されたい。フローチャートでは動作が順次プロセスとして説明されている可能性もあるが、動作の多くは並行にまたは同時に行なうことが可能である。加えて、動作の順序は並べ替えられてもよい。プロセスは、その動作が完了すると終了するが、図に含まれない追加のステップを有していてもよい。プロセスは、方法、機能、手順、サブルーチン、サブプログラムなどに対応していてもよい。プロセスがある機能に対応している場合、その終了は、その機能が呼出し元の機能または主機能に戻ることに対応し得る。

「コンピュータ可読媒体」という語は、命令および／またはデータを格納、収容または担持することができる、携帯型または固定式記憶装置、光学記憶装置、無線チャネル、ならびにさまざまな他の媒体を含むが、それらに限定されない。コードセグメントまたはマシン実行可能命令は、手順、機能、サブプログラム、プログラム、ルーチン、サブルーチン、モジュール、ソフトウェアパッケージ、クラス、または、命令、データ構造もしくはプログラム文の任意の組合せを表わし得る。コードセグメントは、情報、データ、引数、パラメータ、またはメモリ内容を渡すことによって、および／または受取ることによって、別のコードセグメントまたはハードウェア回路に結合されてもよい。情報、引数、パラメータ、データなどは、メモリ共有、メッセージパッシング、トークンパッシング、ネットワーク伝送などを含む任意の好適な手段を介して渡されてもよく、転送されてもよく、または伝送されてもよい。

さらに、実施形態は、ハードウェア、ソフトウェア、ファームウェア、ミドルウェア、マイクロコード、ハードウェア記述言語、またはそれらの任意の組合せによって実現されてもよい。ソフトウェア、ファームウェア、ミドルウェアまたはマイクロコードで実現される場合、必要なタスクを行なうためのプログラムコードまたはコードセグメントが、マシン可読媒体に格納されてもよい。プロセッサが必要なタスクを行なってもよい。

前述の明細書では、本発明の局面がその特定の実施形態に関連付けて説明されているが、当業者であれば、本発明がそれらに限定されないことを認識するだろう。上述の発明のさまざまな特徴および局面は、個々にまたはともに使用されてもよい。さらに、実施形態は、明細書のより広範な精神および範囲から逸脱することなく、ここに説明されたものを超える任意の数の環境および用途において利用され得る。したがって、明細書および添付の図面は、限定的ではなく例示的なものとみなされるべきである。

加えて、例示のために、方法は特定の順序で説明されてきた。代替的な実施形態では、これらの方法が説明されたものとは異なる順序で実行され得ることが認識されるはずである。上述の方法はハードウェアコンポーネントによって実行されてもよく、または、汎用もしくは専用プロセッサ、または命令でプログラミングされた論理回路などのマシンに当該方法を行なわせるために使用され得るマシン実行可能命令のシーケンスで具現化され得ることも認識されるはずである。これらのマシン実行可能命令は、１つ以上のマシン可読媒体、たとえば、ＣＤ－ＲＯＭまたは他のタイプの光ディスク、フロッピー（登録商標）ディスケット、ＲＯＭ、ＲＡＭ、ＥＰＲＯＭ、ＥＥＰＲＯＭ、磁気カードもしくは光カード、フラッシュメモリ、または、電子命令を格納するのに適した他のタイプのマシン可読媒体に格納されてもよい。代替的には、当該方法はハードウェアとソフトウェアとの組合せによって実行されてもよい。

Claims (19)

1. クラウド環境におけるユーザによる異常行動を検出する方法であって、
   前記クラウド環境において複数の前の時間間隔のスライディング窓中に前記ユーザによって取られたアクションの平均のカウントを表わす第１のベクトルを算出するステップと、
   現在の時間間隔の間、前記ユーザによって取られたアクションのカウントを集計することによって第２のベクトルを算出するステップと、
   前記第１のベクトルと、前記第２のベクトルとの間の類似度を算出するステップと、
   前記類似度をベースライン閾値と比較して、前記第２のベクトルが前記第１のベクトルから前記ベースライン閾値の量よりも大きく離れているかどうかを判断するステップと、
   前記第２のベクトルが前記第１のベクトルから前記ベースライン閾値の量よりも大きく離れているとの判断に少なくとも部分的に基づいて、前記第２のベクトルにおけるアクションに対するアラート生成のためにアクティビティスコアにアクセスするステップと、
   前記アクティビティスコアと閾値とを比較して、１つ以上の異常アクションが発生したか否かを判断するステップと、
   前記１つ以上の異常アクションが前記クラウド環境において発生したという判断に少なくとも部分的に基づいてアラートを生成するステップとを含む、方法。
2. 前記類似度はコサイン類似度を用いて算出される、請求項１に記載の方法。
3. 前記複数の前の時間間隔の各々は１日を含む、請求項１または２に記載の方法。
4. 前記複数の前の時間間隔は少なくとも６０日の窓を含む、請求項１～３のいずれか１項に記載の方法。
5. 前記複数の前の時間間隔の前記スライディング窓は複数の日のスライディング窓を含み、前記複数の日のスライディング窓は、各時間間隔の後に、前記現在の時間間隔を前記複数の日のスライディング窓に追加し、前記複数の日のスライディング窓から最も古い時間間隔を除去する、請求項１～４のいずれか１項に記載の方法。
6. 前記第１のベクトルは、前記複数の前の時間間隔の各々に関するイベントカウントのヒストグラムを格納することによって、前記複数の前の時間間隔中に取られたアクションを表わす、請求項１～５のいずれか１項に記載の方法。
7. １つ以上のプロセッサによって実行されると前記１つ以上のプロセッサに動作を実行させる命令を備えるコンピュータプログラムであって、前記動作は、
   クラウド環境において複数の前の時間間隔のスライディング窓中にユーザによって取られたアクションの平均のカウントを表わす第１のベクトルを算出する動作と、
   現在の時間間隔の間、前記ユーザによって取られたアクションのカウントを集計することによって第２のベクトルを算出する動作と
   前記第１のベクトルと、前記第２のベクトルとの間の類似度を算出する動作と、
   前記類似度をベースライン閾値と比較して、前記第２のベクトルが前記第１のベクトルから前記ベースライン閾値の量よりも大きく離れているかどうかを判断する動作と、
   前記第２のベクトルが前記第１のベクトルから前記ベースライン閾値の量よりも大きく離れているとの判断に少なくとも部分的に基づいて、前記第２のベクトルにおけるアクションに対するアラート生成のためにアクティビティスコアにアクセスする動作と、
   前記アクティビティスコアと閾値とを比較して、１つ以上の異常アクションが発生したか否かを判断する動作と、
   前記１つ以上の異常アクションが前記クラウド環境において発生したという判断に少なくとも部分的に基づいてアラートを生成する動作とを含む、コンピュータプログラム。
8. 前記動作はさらに、
   前記類似度を上限閾値と比較して、１つ以上の異常アクションが発生したかどうかをさらに判断する、請求項７に記載のコンピュータプログラム。
9. 前記ベースライン閾値は、前記類似度を疑わしいものであると特徴付け、前記上限閾値は、前記類似度を脅威を表わすものとして特徴付ける、請求項８に記載のコンピュータプログラム。
10. 前記上限閾値は、前記第１のベクトルにおいて算出される平均値についての予め定められた数の標準偏差に基づいて決定される、請求項８または９に記載のコンピュータプログラム。
11. 前記上限閾値は、前記類似度を入力として受取るニューラルネットワークによって表わされる、請求項８または９に記載のコンピュータプログラム。
12. 前記ベースライン閾値は、前記類似度を入力として受取るニューラルネットワークによって表わされる、請求項７～１１のいずれか１項に記載のコンピュータプログラム。
13. 前記ベースライン閾値は、現在のユーザと同様の複数のユーザに関するピアグループ分析を用いて決定される、請求項７～１１のいずれか１項に記載のコンピュータプログラム。
14. システムであって、
    １つ以上のプロセッサと、
    前記１つ以上のプロセッサによって実行されると前記１つ以上のプロセッサに動作を実行させる命令を備える１つ以上のメモリデバイスとを含み、前記動作は、
    クラウド環境において複数の前の時間間隔のスライディング窓中にユーザによって取られたアクションの平均のカウントを表わす第１のベクトルを算出する動作と、
    現在の時間間隔の間、前記ユーザによって取られたアクションのカウントを集計することによって第２のベクトルを算出する動作と、
    前記第１のベクトルと、前記第２のベクトルとの間の類似度を算出する動作と、
    前記類似度をベースライン閾値と比較して、前記第２のベクトルが前記第１のベクトルから前記ベースライン閾値の量よりも大きく離れているかどうかを判断する動作と、
    前記第２のベクトルが前記第１のベクトルから前記ベースライン閾値の量よりも大きく離れているとの判断に少なくとも部分的に基づいて、前記第２のベクトルにおけるアクションに対するアラート生成のためにアクティビティスコアにアクセスする動作と、
    前記アクティビティスコアと閾値とを比較して、１つ以上の異常アクションが発生したか否かを判断する動作と、
    前記１つ以上の異常アクションが前記クラウド環境において発生したという判断に少なくとも部分的に基づいてアラートを生成する動作とを含む、システム。
15. 前記動作はさらに、
    前記第２のベクトルにおける１つ以上の値を、前記１つ以上の値に関連付けられた１つ以上のアクションスコアと比較する動作を含む、請求項１４に記載のシステム。
16. 前記１つ以上のアクションスコアの各々は、前記アクションが脅威を表わす悪意あるアクションである可能性を表わす、請求項１５に記載のシステム。
17. 前記第２のベクトルは、特定のリソースに対して取られたアクションのカウントを含む、請求項１４～１６のいずれか１項に記載のシステム。
18. 前記第１のベクトルにおける複数の値は、アクションが発生した週の日に応じて重み付けされる、請求項１４～１７のいずれか１項に記載のシステム。
19. 前記第２のベクトルは、特定のユーザに対して取られたアクションのカウントを含む、請求項１４～１８のいずれか１項に記載のシステム。

Images