Nova Patents
JP6196397B2

Cybersecurity system

Abstract

This record has no abstract on file.

JP6196397B2, drawing sheet 1
Sheet 1 of 15

Term

Projected expiry 16 October 2035.

  1. Priority
  2. Filed
  3. Granted
  4. Today
  5. Projected expiry

29 claims: 5 independent, 24 dependent

  1. 1
    イベントを処理してスコア、警告、及び緩和アクションを生成するサイバーセキュリティシステムにおいて、複数のセンサと、分散型分析プラットフォームと、複数のスコア付けエンジンと、及び、リアルタイム分析エンジンとを含み、前記複数のセンサの各々は、 ネットワークからセンサデータを受信し、 前記 センサデータを処理してイベントを作成し、及び、 前記 イベントを伝送するように構成されており、前記分散型分析プラットフォームは、 前記複数のセンサから 前記 イベントを受信し、 前記 イベントを処理して分析ワークフロー及び分散型分析プラットフォームメッセージを作成し、ここで、 前記 分散型分析プラットフォームメッセージの各々は、警告、第1の分析モデルへの更新、及びサイバー振る舞い情報のうちの少なくとも一つと関連付けられており、 前記 分析ワークフローの各々は、一つ若しくはそれ以上の論理セグメントと関連付けられており、並びに、 前記 第1の分析モデル、第2の分析モデル、ルール、データ変換、及びデータ凝集のうちの、少なくとも一つを含み、 並びに、 前記 分析ワークフロー及び分散型分析プラットフォームメッセージを伝送するように構成されており、前記複数のスコア付けエンジンの各々は、 前記 分散型分析プラットフォームから 前記 分析ワークフローを受信し、 前記 複数のセンサの少なくとも一つから 前記 イベントを受信し、 前記 分析ワークフローを用いて、 前記 受信したイベントを処理してスコア付けエンジンメッセージを生成し、及び、 前記 スコア付けエンジンメッセージを伝送するように構成されており、並びに、前記リアルタイム分析エンジンは、 前記分散型分析プラットフォームから 前記 分析ワークフローを受信し、 分析ワークフローとイベント処理ルールを受信し、 前記複数のスコア付けエンジンから 前記 スコア付けエンジンメッセージを受信し、 前記分散型分析プラットフォームから 前記 分散型分析プラットフォームメッセージを受信し、並びに、 前記分散型分析プラットフォームからの 前記 分析ワークフロー、及び、 前記 分析ワークフローとイベント処理ルールを用いて、 前記 スコア付けエンジンメッセージと 前記 分散型分析プラットフォームメッセージを処理して脅威情報メッセージを作成するように構成されており、 前記 脅威情報メッセージは、前記リアルタイム分析エンジンが伝送するように構成されている、ブロードキャストメッセージと、緩和メッセージであって、前記リアルタイム分析エンジンによる 前記 処理が、緩和アクションが異常アクティビティのインパクトを限定することを示すとき、前記一つ若しくはそれ以上の論理セグメントのうちの第1の論理セグメントと関連付けられる緩和アクションを採るために、前記リアルタイム分析エンジンが前記緩和メッセージをコントロールプレーンエンジンに伝送するように構成されている、緩和メッセージと、及び、モデル更新メッセージであって、前記リアルタイム分析エンジンによる 前記 処理が、 前記 モデル更新メッセージが 前記 異常アクティビティの検出率と偽陽性率の減少との少なくとも一つを 改善 することを示すとき、一つ若しくはそれ以上の分析ワークフローを更新するために、前記リアルタイム分析エンジンが 前記 モデル更新メッセージを伝送するように構成されている、モデル更新メッセージとのうちの少なくとも一つを含み、前記一つ若しくはそれ以上の論理セグメントの各々は、 前記 第1の分析モデル、 前記 第2の分析モデル、第3の分析モデル、分析モデルのセット、及び分析ワークフローのうちの少なくとも一つと、 前記 論理セグメント内部のアクティビティについてのインプットの一つ若しくはそれ以上のソースと、並びに、 前記 論理セグメント内部で発生する 前記 異常アクティビティのインパクトを緩和する、アクションのセットと関連する、システム。
  2. 2
    前記複数のセンサ、前記複数のスコア付けエンジン、前記分散型分析プラットフォーム、前記リアルタイム分析エンジン、及び、前記コントロールプレーンエンジンが、帯域外ネットワークを用いて接続している、請求項1に記載のシステム。
  3. 3
    前記複数のセンサ、前記複数のスコア付けエンジン、前記分散型分析プラットフォーム、前記リアルタイム分析エンジン、及び、前記コントロールプレーンエンジンが、企業体システムバスに亘って関連するメッセージを送信することにより通信する、請求項1に記載のシステム。
  4. 4
    前記複数のセンサ、前記複数のスコア付けエンジン、前記分散型分析プラットフォーム、前記リアルタイム分析エンジン、及び、前記コントロールプレーンエンジンが、企業体システムバスに亘って関連するメッセージを送信することにより通信する、請求項2に記載のシステム。
  5. 5
    更に、摂取アクタモジュールを含み、前記摂取アクタモジュールは、サードパーティアプリケーションとサードパーティデバイスのうちの少なくとも一つからサードパーティアプリケーションデータを受信し、前記複数のスコア付けエンジン、前記分散型分析プラットフォーム、及び前記リアルタイム分析エンジンのうちの少なくとも一つによる更なる処理のために、 前記 サードパーティアプリケーションデータを伝送するように構成されている、請求項1に記載のシステム。
  6. 6
    前記複数のセンサ、前記複数のスコア付けエンジン、前記分散型分析プラットフォーム、前記リアルタイム分析エンジン、前記コントロールプレーンエンジン、及び前記摂取アクタモジュールが、帯域外ネットワークを用いて接続している、請求項5に記載のシステム。
  7. 7
    前記複数のセンサ、前記複数のスコア付けエンジン、前記分散型分析プラットフォーム、前記リアルタイム分析エンジン、前記コントロールプレーンエンジン、及び前記摂取アクタモジュールが、企業体システムバスに亘って関連するメッセージを送信することにより通信する、請求項5に記載のシステム。
  8. 8
    前記スコア付けエンジンが更に、 前記 モデル更新メッセージを受信し、及び、 前記 イベントの処理と同時に、 前記 更新メッセージを処理するように構成されている、請求項1に記載のシステム。
  9. 9
    前記 ブロードキャストメッセージ、 前記 緩和メッセージ、及び 前記 モデル更新メッセージのうちの少なくとも一つを作成するために、前記リアルタイム分析エンジンは更に、前記複数のスコア付けエンジン、前記分散型分析プラットフォーム、及び前記複数のセンサのうちの少なくとも一つから、第1の時間に第1のアウトプットを受信し、 前記 第1のアウトプットに対応する第1の状態情報を検索し、第1のアウトプットデータで 前記 第1の状態情報を更新し、前記リアルタイム分析エンジンと関連付けられる分析ワークフローにより、 前記 更新された第1の状態情報を処理して、処理された更新された第1の状態情報を作成し、 前記 処理された更新された第1の状態情報を前記リアルタイム分析エンジン内に格納し、前記複数のスコア付けエンジン、前記分散型分析プラットフォーム、及び前記複数のセンサのうちの少なくとも一つから、第2の時間に第2のアウトプットを受信し、 前記 第2のアウトプットに対応する第2の状態情報を検索し、第2のアウトプットデータで 前記 第2の状態情報を更新し、前記リアルタイム分析エンジンと関連付けられる 前記 分析ワークフローにより、 前記 更新された第2の状態情報を処理して、処理された更新された第2の状態情報を作成し、 前記 処理された更新された第2の状態情報に基づいて、 前記 ブロードキャストメッセージ、 前記 緩和メッセージ、及び 前記 モデル更新メッセージのうちの 前記 少なくとも一つを作成し、並びに、 前記 処理された更新された第2の状態情報を前記リアルタイム分析エンジン内に格納するように構成されている、請求項1に記載のシステム。
  10. 10
    前記リアルタイム分析エンジンは更に、前記複数のスコア付けエンジン、前記分散型分析プラットフォーム、及び前記複数のセンサのうちの少なくとも一つから、第3の時間に中間アウトプットを受信し、ここで、 前記 第3の時間は 前記 第1の時間の後であり且つ 前記 第2の時間の前であり、 前記 中間アウトプットに対応する中間状態情報を検索し、中間アウトプットデータで 前記 中間状態情報を更新し、前記リアルタイム分析エンジンと関連付けられる 前記 分析ワークフローにより、 前記 更新された中間状態情報を処理して、処理された更新された中間状態情報を作成し、並びに、 前記 処理された更新された中間状態情報を前記リアルタイム分析エンジン内に格納するように構成されている、請求項9に記載のシステム。
  11. 11
    前記 分析ワークフローは、モデル交換フォーマットドキュメントを含み、 前記 モデル交換フォーマットドキュメントは、分析モデルの合成と、分析モデルの区分と、分析モデルのアンサンブルと、ルールによる分析モデルの合成と、前処理及び後処理段階による分析モデルの合成と、及び、分析ワークフローとをサポートし、前処理及び後処理段階は、データ変換とデータ凝集を含み、 前記 分析ワークフローの各々は更に、 前記 分析モデル、 前記 ルール、 前記 データ変換、 前記 データ凝集、 前記 区分及び 前記 アンサンブルのうちの少なくとも一つの合成を、含む、請求項1に記載のシステム。
  12. 12
    前記リアルタイム分析エンジンは更に、 前記 分析ワークフローの一つ若しくはそれ以上への変更が閾値を超えるときに、更新された振る舞いモデルを前記複数のスコア付けエンジンの一つ若しくはそれ以上に伝送するように構成されている、請求項1に記載のシステム。
  13. 13
    前記 イベントは、ネットワークフローについてのデータ、パケットについてのデータ、エンティティについてのデータ、ユーザについてのデータ、ワークステーションとサーバについてのデータ、ルータとスイッチについてのデータ、外部ネットワークエンティティについてのデータ、並びに、 前記 ネットワークと相互作用する内部及び外部デバイスについてのデータのうちの、少なくとも一つを含む、請求項1に記載のシステム。
  14. 14
    前記複数のセンサと前記複数のスコア付けエンジンとのうちの、一つ若しくはそれ以上が、単独のアプリケーション内に統合される、請求項1に記載のシステム。
  15. 15
    前記リアルタイム分析エンジンが、前記複数のスコア付けエンジンのうちの一つ若しくはそれ以上と統合する、請求項1に記載のシステム。
  16. 16
    前記 緩和アクションは、少なくとも一つのポートを閉じること、少なくとも一つのパケットデータを修正すること、パケット若しくはフローの 前記 伝送をコントロールすること、サブネットをブロックすること、一つ若しくはそれ以上のインターネットプロトコル(IP)若しくはIPの範囲をブロックすること、及び、一つ若しくはそれ以上の内部の若しくは外部のIPをブロックすることのうちの少なくとも一つを含む、請求項1に記載のシステム。
  17. 17
    前記 緩和アクションは、サーバ及びワークステーションのオフラインの少なくとも一つを採ること、プロテクトされた画像から、新しい可視化サーバと新しい可視化ワークステーションのうちの少なくとも一つを形成すること、及び、 前記 サーバと 前記 ワークステーションのうちの少なくとも一つと関連付けられるアクションをブロックすることのうちの少なくとも一つを含む、請求項1に記載のシステム。
  18. 18
    前記 異常アクティビティは、偵察、セキュリティ上の弱点を突く手段、侵入、情報漏洩、インサイダ脅威、及び攻撃のうちの、少なくとも一つを含む、請求項1に記載のシステム。
  19. 19
    前記 緩和アクションは、少なくとも一つのパケットを修正すること、パケット若しくはフローの 前記 伝送をコントロールすること、及び、 前記 異常アクティビティと関連付けられるエンティティに対する許可及びアクセス権を除去することのうちの、少なくとも一つを含み、許可及びアクセス権を除去することは、ネットワークアクセスをブロックすること、ネットワークデバイスへのアクセスをブロックすること、サーバへのアクセスをブロックすること、ワークステーションへのアクセスをブロックすること、及び、他のコンピュータデバイスへのアクセスをブロックすることのうちの、少なくとも一つを含む、請求項18に記載のシステム。
  20. 20
    前記 異常アクティビティは、内部の悪いアクタと外部の悪いアクタとのうちの、少なくとも一つと関連付けられる、請求項18に記載のシステム。
  21. 21
    更に可視化エンジンを含み、 前記 可視化エンジンはモニタを含み、 前記 可視化エンジンは、 前記 リアルタイム分析エンジンによるスコア付けエンジンメッセージの 前記 処理と関連付けられる統計及びグラフィック画像を受信し、及び、 前記 モニタ上に 前記 統計及びグラフィック画像を表示するように構成されている、請求項1に記載のシステム。
  22. 22
    複数の、請求項1に記載の 前記 サイバーセキュリティシステムを含む、サイバーセキュリティ ネットワーク において、 前記 複数の 前記 サイバーセキュリティシステムの各々は、選択した脅威情報メッセージを、他のサイバーセキュリティシステムの一つ若しくはそれ以上と交換するように構成されており、 前記 選択した脅威情報メッセージは、暗号化されて、情報を伝送するための機密メカニズムを提供し、 前記 選択した脅威情報メッセージ内の 前記 情報は、 前記 伝送するサイバーセキュリティシステムに関する機密の内部情報を曝すことはしない、サイバーセキュリティ ネットワーク 。
  23. 23
    外部の脅威情報メッセージを、互換性のあるサードパーティシステムと交換するように構成されており、 前記 外部の脅威情報メッセージは、暗号化されて、情報を伝送するための機密メカニズムを提供し、 前記 外部の脅威情報メッセージ内の 前記 情報は、 前記 外部の脅威情報メッセージを伝送するシステムに関する機密の内部情報を曝すことはせず、及び、 前記 外部の脅威情報メッセージは、共通のモデル交換フォーマットでフォーマットされる、請求項1に記載のシステム。
  24. 24
    前記分散型分析プラットフォームは更に、 前記 スコア付けエンジンメッセージを受信し、及び、 前記 スコア付けエンジンメッセージを処理して脅威情報メッセージを作成するように構成されている、請求項1に記載のシステム。
  25. 25
    前記 ブロードキャストメッセージは、情報メッセージ、サイバーイベントメッセージ、及び警告メッセージのうちの、少なくとも一つを含む、請求項1に記載のシステム。
  26. 26
    前記複数の論理セグメントの各々は、 前記 ネットワークの分割、 前記 ネットワーク上の 前記 トラフィックの分割、 前記 ネットワーク上のユーザの分割、 前記 ネットワーク上のデバイスの分割、サードパーティデータに基づく分割、並びに、 前記 ネットワーク、 前記 ネットワーク上の 前記 トラフィック、 前記 ネットワーク上の 前記 ユーザ、 前記 ネットワーク上のデバイス、及び、サードパーティデータに、関する複数の 前記 分割の少なくとも一つと関連するデータのうちの、少なくとも一つと関連付けられる、請求項1に記載のシステム。
  27. 27
    少なくとも第1の分割は、少なくとも第2の分割とオーバラップする、請求項26に記載のシステム。
  28. 28
    前記複数のセンサ、前記複数のスコア付けエンジン、前記分散型分析プラットフォーム、前記リアルタイム分析エンジン、前記コントロールプレーンエンジン、及び、 前記 摂取アクタモジュールが、企業体システムバスに亘って関連するメッセージを送信することにより通信する、請求項27に記載のシステム。
  29. 29
    イベントを処理してスコア、警告、及び緩和アクションを生成するサイバーセキュリティシステムにおいて、複数のセンサと、分散型分析プラットフォームと、スコア付けエンジンと、及び、リアルタイム分析エンジンとを含み、前記複数のセンサの各々は、 ネットワークからセンサデータを受信し、 前記 センサデータを処理してイベントを作成し、及び、 前記 イベントを伝送するように構成されており、前記分散型分析プラットフォームは、 前記複数のセンサから 前記 イベントを受信し、 前記 イベントを処理して分析ワークフロー及び分散型分析プラットフォームメッセージを作成し、ここで、 前記 分散型分析プラットフォームメッセージの各々は、警告、第1の分析モデルへの更新、及びサイバー振る舞い情報のうちの少なくとも一つと関連付けられており、 前記 分析ワークフローの各々は、一つ若しくはそれ以上の論理セグメントと関連付けられており、並びに、 前記 第1の分析モデル、第2の分析モデル、ルール、データ変換、及びデータ凝集のうちの、少なくとも一つを含み、 並びに、 前記 分析ワークフロー及び分散型分析プラットフォームメッセージを伝送するように構成されており、前記スコア付けエンジンは、 前記 分散型分析プラットフォームから 前記 分析ワークフローを受信し、 前記複数のセンサの少なくとも一つから 前記 イベントを受信し、 前記 分析ワークフローを用いて、 前記 イベントを処理してスコア付けエンジンメッセージを生成し、及び、 前記 スコア付けエンジンメッセージを伝送するように構成されており、並びに、前記リアルタイム分析エンジンは、 前記分散型分析プラットフォームから 前記 分析ワークフローを受信し、 分析ワークフローとイベント処理ルールを受信し、 前記 スコア付けエンジンメッセージを受信し、 前記分散型分析プラットフォームから 前記 分散型分析プラットフォームメッセージを受信し、並びに、 前記分散型分析プラットフォームからの 前記 分析ワークフロー、及び、 前記 分析ワークフローとイベント処理ルールを用いて、 前記 スコア付けエンジンメッセージと 前記 分散型分析プラットフォームメッセージを処理して脅威情報メッセージを作成するように構成されており、 前記 脅威情報メッセージは、前記リアルタイム分析エンジンが伝送するように構成されている、ブロードキャストメッセージと、緩和メッセージであって、前記リアルタイム分析エンジンによる 前記 処理が、緩和アクションが異常アクティビティのインパクトを限定することを示すとき、前記一つ若しくはそれ以上の論理セグメントのうちの第1の論理セグメントと関連付けられる緩和アクションを採るために、前記リアルタイム分析エンジンが前記緩和メッセージをコントロールプレーンエンジンに伝送するように構成されている、緩和メッセージと、及び、モデル更新メッセージであって、前記リアルタイム分析エンジンによる 前記 処理が、 前記 モデル更新メッセージが 前記 異常アクティビティの検出率と偽陽性率の減少との少なくとも一つを 改善 することを示すとき、一つ若しくはそれ以上の分析ワークフローを更新するために、前記リアルタイム分析エンジンが 前記 モデル更新メッセージを伝送するように構成されている、モデル更新メッセージとのうちの少なくとも一つを含み、前記一つ若しくはそれ以上の論理セグメントの各々は、 前記 第1の分析モデル、 前記 第2の分析モデル、第3の分析モデル、分析モデルのセット、及び分析ワークフローのうちの少なくとも一つと、 前記 論理セグメント内部のアクティビティについてのインプットの一つ若しくはそれ以上のソースと、並びに、 前記 論理セグメント内部で発生する 前記 異常アクティビティのインパクトを緩和する、アクションのセットと関連する、システム。
Independent claims29