特許ウォッチ

公開番号2025160169
公報種別公開特許公報(A)
公開日2025-10-22
出願番号2025106354,2023538131
出願日2025-06-24,2021-01-11
発明の名称人工知能でセキュリティ問題を自動修復するための技術
出願人オラクル・インターナショナル・コーポレイション
代理人弁理士法人深見特許事務所
主分類G06F 21/50 20130101AFI20251015BHJP(計算;計数)
要約【課題】人工知能でセキュリティ問題を自動修復する方法、メモリを提供する。
【解決手段】方法は、ユーザに関連するエミッターからの信号内で検出された問題を取得することと、セキュリティアーキテクチャを利用してすべてのユーザの嗜好についての問題と対応とのマッピングから大域的に学習された大域的モデルパラメータセットを有するグローバルモデルを用いて、第1対応を推論することと、ユーザの嗜好についての問題と対応とのマッピングから局所的に学習された局所的モデルパラメータセットを有するローカルモデルを用いて、第2対応を推論することと、基準を用いて第1対応と第2対応とを評価することと、第1対応及び第2対応の評価に基づいて、問題に対する最終対応を決定することと、最終対応に基づいて、対応部のセットの中から対応部を選択することと、を含む。対応部は、問題に対応するために1つ以上の措置を講じることと、を含む。
【選択図】図3
特許請求の範囲【請求項１】
方法であって、
セキュリティアーキテクチャの対応システムが、ユーザに関連するエミッターからの信号内で検出された問題を取得することと、
前記問題を入力として取る前記対応システムの一部として実装されるグローバルモデルを用いて、第１対応を推論することとを含み、前記グローバルモデルは、前記セキュリティアーキテクチャを利用してすべてのユーザの嗜好についての問題と対応とのマッピングから大域的に学習された大域的モデルパラメータセットを含み、前記方法は、さらに、
前記問題を入力として取る前記対応システムの一部として実装されるローカルモデルを用いて、第２対応を推論することを含み、前記ローカルモデルは、前記ユーザの嗜好についての問題と対応とのマッピングから局所的に学習された局所的モデルパラメータセットを含み、前記方法は、さらに、
前記対応システムが、基準を用いて前記第１対応および前記第２対応を評価することを含み、前記基準は、（１）前記第１対応および前記第２対応の各々に対応付けられた信頼スコアと、（２）前記グローバルモデルおよび前記ローカルモデルの各々に対応付けられた重みとを含み、前記方法は、さらに、
前記対応システムが、前記第１対応および前記第２対応の前記評価に基づいて、前記問題に対する最終対応を決定することと、
前記対応システムが、前記最終対応に基づいて、対応部のセットの中から対応部を選択することとを含み、前記対応部は、前記問題に対応するために１つ以上の措置を講じるように適合される、方法。
続きを表示（約 3,700 文字）【請求項２】
前記対応部を選択する前に、前記対応システムを用いて前記最終対応の正解率を評価することをさらに含み、前記正解率は、前記最終対応と、前記問題に対して前記ユーザが好むであろうグラウンドトゥルース対応との比較に基づいて評価され、前記比較に基づいて前記最終対応が前記グラウンドトゥルース対応と一致した場合、前記最終対応の前記正解率は容認できると判断され、前記比較に基づいて前記最終対応が前記グラウンドトゥルース対応と一致しない場合、前記正解率は容認できないと判断され、
前記方法は、さらに、前記正解率が容認できないと判断されたことに応じて、
前記問題のラベルを生成することを含み、前記ラベルは、前記グラウンドトゥルース対応を含み、
前記方法は、さらに、前記正解率が容認できないと判断されたことに応じて、
前記グラウンドトゥルースと前記問題とを含む前記ラベルをローカルデータストアに格納することと、
前記最終対応ではなく前記グラウンドトゥルースに基づいて、前記対応部のセットの中から前記対応部を選択することとを含み、
前記方法は、さらに、前記正解率が容認できると判断されたことに応じて、
前記問題のラベルを生成することを含み、前記ラベルは、前記最終対応を含み、
前記方法は、さらに、前記正解率が容認できると判断されたことに応じて、
前記最終対応と前記問題とを含む前記ラベルを前記ローカルデータストアおよび前記グローバルデータストアに格納することと、
前記最終対応に基づいて、前記対応部のセットの中から前記対応部を選択することとを含む、請求項１に記載の方法。
【請求項３】
前記正解率が容認できないと判断されたことに応じて、
前記グラウンドトゥルースと問題とを含む前記ラベルを、管理者による評価のために全体的なデータストアに格納するまたはデータキューに入れることと、
前記グラウンドトゥルースと前記問題とを含む前記ラベルについて何ら措置を講じないという対応、または前記グラウンドトゥルースと前記問題とを含む前記ラベルを用いて前
記グローバルモデルを訓練するという対応のいずれかを前記管理者から受けることと、
対応が何ら措置を講じないという対応であることに応じて、前記データストアまたは前記データキューから前記グラウンドトゥルースと前記問題とを含む前記ラベルを削除することと、
前記対応が前記グローバルモデルを訓練するという対応であることに応じて、前記グラウンドトゥルースと前記問題とを含む前記ラベルを前記グローバルリポジトリに格納することとをさらに含む、請求項２に記載の方法。
【請求項４】
前記最終対応と前記問題とを含む前記ラベルを含む、前記グローバルリポジトリからのグローバル訓練データで前記グローバルモデルを訓練することと、
前記最終対応と前記問題とを含む前記ラベルを含む、前記ローカルリポジトリからのローカル訓練データで前記ローカルモデルを訓練することとをさらに含む、請求項２に記載の方法。
【請求項５】
前記グラウンドトゥルース対応と前記問題とを含む前記ラベルを含む、前記ローカルリポジトリからのローカル訓練データで前記ローカルモデルを訓練することをさらに含む、請求項２に記載の方法。
【請求項６】
前記グラウンドトゥルース対応と前記問題とを含む前記ラベルを含む、前記グローバルリポジトリからのグローバル訓練データで前記グローバルモデルを訓練することと、
前記グラウンドトゥルース対応と前記問題とを含む前記ラベルを含む、前記ローカルリポジトリからのローカル訓練データで前記ローカルモデルを訓練することとをさらに含む、請求項３に記載の方法。
【請求項７】
前記対応システムが、前記問題に応じるために前記１つ以上の措置を講じることをさらに含む、請求項１に記載の方法。
【請求項８】
１つ以上のプロセッサによって実行可能な複数の命令を記憶した非一時的なコンピュータ読み取り可能なメモリであって、前記複数の命令は、前記１つ以上のプロセッサによって実行されると、前記１つ以上のプロセッサに処理を実行させる命令を含み、前記処理は、
セキュリティアーキテクチャの対応システムが、ユーザに関連するエミッターからの信号内で検出された問題を取得することと、
前記問題を入力として取る前記対応システムの一部として実装されるグローバルモデルを用いて、第１対応を推論することとを含み、前記グローバルモデルは、前記セキュリティアーキテクチャを利用してすべてのユーザの嗜好についての問題と対応とのマッピングから大域的に学習された大域的モデルパラメータセットを含み、前記処理は、さらに、
前記問題を入力として取る前記対応システムの一部として実装されるローカルモデルを用いて、第２対応を推論することを含み、前記ローカルモデルは、前記ユーザの嗜好についての問題と対応とのマッピングから局所的に学習された局所的モデルパラメータセットを含み、前記処理は、さらに、
前記対応システムが、基準を用いて前記第１対応および前記第２対応を評価することを含み、前記基準は、（１）前記第１対応および前記第２対応の各々に対応付けられた信頼スコアと、（２）前記グローバルモデルおよび前記ローカルモデルの各々に対応付けられた重みとを含み、前記処理は、さらに、
前記対応システムが、前記第１対応および前記第２対応の前記評価に基づいて、前記問題に対する最終対応を決定することと、
前記対応システムが、前記最終対応に基づいて、対応部のセットの中から対応部を選択することとを含み、前記対応部は、前記問題に対応するために１つ以上の措置を講じるように適合される、非一時的なコンピュータ読み取り可能なメモリ。
【請求項９】
前記処理は、さらに、
前記対応部を選択する前に、前記対応システムを用いて前記最終対応の正解率を評価することを含み、前記正解率は、前記最終対応と、前記問題に対して前記ユーザが好むであろうグラウンドトゥルース対応との比較に基づいて評価され、前記比較に基づいて前記最終対応が前記グラウンドトゥルース対応と一致した場合、前記最終対応の前記正解率は容認できると判断され、前記比較に基づいて前記最終対応が前記グラウンドトゥルース対応と一致しない場合、前記正解率は容認できないと判断され、
前記処理は、さらに、前記正解率が容認できないと判断されたことに応じて、
前記問題のラベルを生成することを含み、前記ラベルは、前記グラウンドトゥルース対応を含み、
前記処理は、さらに、前記正解率が容認できないと判断されたことに応じて、
前記グラウンドトゥルースと前記問題とを含む前記ラベルをローカルデータストアに格納することと、
前記最終対応ではなく前記グラウンドトゥルースに基づいて、前記対応部のセットの中から前記対応部を選択することとを含み、
前記処理は、さらに、前記正解率が容認できると判断されたことに応じて、
前記問題のラベルを生成することを含み、前記ラベルは、前記最終対応を含み、
前記処理は、さらに、前記正解率が容認できると判断されたことに応じて、
前記最終対応と前記問題とを含む前記ラベルを前記ローカルデータストアおよび前記グローバルデータストアに格納することと、
前記最終対応に基づいて、前記対応部のセットの中から前記対応部を選択することとを含む、請求項８に記載の非一時的なコンピュータ読み取り可能なメモリ。
【請求項１０】
前記処理は、さらに、
前記正解率が容認できないと判断されたことに応じて、
前記グラウンドトゥルースと問題とを含む前記ラベルを、管理者による評価のために一般的なデータストアに格納するまたはデータキューに入れることと、
前記グラウンドトゥルースと前記問題とを含む前記ラベルについて何ら措置を講じないという対応、または前記グラウンドトゥルースと前記問題とを含む前記ラベルを用いて前記グローバルモデルを訓練するという対応のいずれかを前記管理者から受けることと、
対応が何ら措置を講じないという対応であることに応じて、前記データストアまたは前記データキューから前記グラウンドトゥルースと前記問題とを含む前記ラベルを削除することと、
前記対応が前記グローバルモデルを訓練するという対応であることに応じて、前記グラウンドトゥルースと前記問題とを含む前記ラベルを前記グローバルリポジトリに格納することとを含む、請求項９に記載の非一時的なコンピュータ読み取り可能なメモリ。
（【請求項１１】以降は省略されています）
発明の詳細な説明【技術分野】
【０００１】
関連出願の相互参照
本願は、２０２０年１２月２２日に出願され、「ＴＥＣＨＮＩＱＵＥＳＦＯＲＡＵＴＯ－ＲＥＭＥＤＩＡＴＩＮＧＳＥＣＵＲＩＴＹＩＳＳＵＥＳＷＩＴＨＡＲＴＩＦＩＣＩＡＬＩＮＴＥＬＬＩＧＥＮＣＥ（人工知能でセキュリティ問題を自動修復するための技術）」と題された米国特許出願第１７／１３０，８６７号の利益および優先権を主張するものであり、そのすべての記載内容を引用により本明細書に援用する。
続きを表示（約 3,800 文字）【０００２】
発明の分野
本開示は、概して、サイバーセキュリティに関し、特に、人工知能でセキュリティ問題を自動修復するための技術に関する。
【背景技術】
【０００３】
背景
ＳＩＥＭ（セキュリティ情報イベント管理）とは、ソフトウェアソリューションおよびソフトウェアツールによってＳＩＭ（セキュリティ情報管理）とＳＥＭ（セキュリティイベント管理）とが組み合わされた、サイバーセキュリティ分野の下位区分である。これらのソフトウェアソリューションおよびソフトウェアツールは、アプリケーションおよびネットワークハードウェアによって生成されたセキュリティ通知のリアルタイム解析を行う。ＳＩＥＭソフトウェアは、組織のインフラストラクチャ全体にあるホストシステム、セキュリティデバイスおよびセキュリティアプリケーションが生成するログおよびイベントデータを収集し、ログおよびイベントデータを集中プラットフォーム上で整理することによって機能する。ＳＩＥＭソフトウェアソリューションおよびソフトウェアツールは、分類ルールに基づいてこのデータ（たとえば、アンチウイルスイベントおよびファイアウォールログ）内の様々なアクティビティを識別し、これらのアクティビティをマルウェアアクティビティ、ログイン失敗およびログイン成功、ならびにその他の悪意のある可能性のあるアクティビティなどのカテゴリーに振り分ける。組織に対する脅威を示し得るアクティビティをソフトウェアが識別した場合、潜在的なセキュリティ問題を示すための通知が生成される。予め規定されたルールのセットを用いて、これらの通知に様々な優先順位を設定できる。たとえば、ユーザアカウントが一定期間にわたって複数回のログイン試行の失敗を生じさせた場合、怪しいアクティビティとしてフラグを立てられる可能性もあるが、ユーザがログイン内容を忘れてしまっている可能性が最も高いため、最も低い優先順位に設定される。しかしながら、短い一定期間にわたるアカウントへの大量のログイン試行の失敗があった場合、ブルートフォース攻撃が実行中である可能性のほうが高く、非常に重大なインシデントとしてフラグが立てられる。
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ＳＩＥＭソフトウェアソリューションおよびソフトウェアツールは、複数のソースから関連性のあるデータを集約しており、このデータ収集は有意義である一方で、ＳＩＥＭ内のこれらの工程は、その有効性を維持しつつ、セキュリティチームが対応すると想定し得る通知よりも多くの通知を生成する傾向がある。これらのタスクについてセキュリティチームを支援するために、ＳＯＡＲ（ＳｅｃｕｒｉｔｙＯｒｃｈｅｓｔｒａｔｉｏｎ，Ａｕｔｏｍａｔｉｏｎ，ａｎｄＲｅｓｐｏｎｓｅ（セキュリティのオーケストレーション、自動化、および対応））と称されるソフトウェアソリューションとソフトウェアツールの集まりにより、セキュリティチームは、脅威および脆弱性を管理でき、インシデントやセキュリティイベントに対応できるようになる。オーケストレーションコンポーネントは
、様々なソフトウェアソリューションおよびソフトウェアツール同士を協調させてシームレスに統合して互いに通信させ、反復可能、実施可能、測定可能、かつ有効なインシデント対応プロセスおよびワークフローを構築する。自動化コンポーネントは、ルールやポリシーを使用したシステムを利用して直線ベースのタスクおよび工程に半自動的に対処して、実行しなければならないありきたりな操作を減らしたりなくしたりする。対応コンポーネントは、トリアージ、封じ込め、修復、公式化されたワークフロー、報告、および共同作業を含む通知が確認されると、セキュリティインシデントに対処および管理する。従って、大容量のデータの取り込みおよび通知の生成というＳＩＥＭの機能を活用すると、各通知に対応するインシデント対応プロセスをより良く管理するためにＳＯＡＲソリューションを利用してＳＩＥＭソリューションを強化することができ、本来であれば完了するのにセキュリティチームが何時間もかかってしまうありきたりなタスクおよび反復性のあるタスクを自動化およびオーケストレーションできるようにする。
【０００５】
概要
人工知能でセキュリティ問題を自動修復するための技術（たとえば、方法、システム、１つ以上のプロセッサによって実行可能なコードまたは命令を記憶した非一時的なコンピュータ読み取り可能な媒体）を提供する。
【課題を解決するための手段】
【０００６】
様々な実施の形態では、方法を提供する。この方法は、セキュリティアーキテクチャの対応システムが、ユーザに関連するエミッターからの信号内で検出された問題を取得することと、問題を入力として取る対応システムの一部として実装されるグローバルモデルを用いて、第１対応を推論することとを含み、グローバルモデルは、セキュリティアーキテクチャを利用してすべてのユーザの嗜好についての問題と対応とのマッピングから大域的に学習された大域的モデルパラメータセットを含み、方法は、さらに、問題を入力として取る対応システムの一部として実装されるローカルモデルを用いて、第２対応を推論することを含み、ローカルモデルは、ユーザの嗜好についての問題と対応とのマッピングから局所的に学習された局所的モデルパラメータセットを含み、方法は、さらに、対応システムが、基準を用いて第１対応および第２対応を評価することを含み、基準は、（１）第１対応および第２対応の各々に対応付けられた信頼スコアと、（２）グローバルモデルおよびローカルモデルの各々に対応付けられた重みとを含み、方法は、さらに、対応システムが、第１対応および第２対応の評価に基づいて、問題に対する最終対応を決定することと、対応システムが、最終対応に基づいて、対応部のセットの中から対応部を選択することとを含み、対応部は、問題に対応するために１つ以上の措置を講じるように適合される。
【０００７】
いくつかの実施の形態では、方法は、対応部を選択する前に、対応システムを用いて最終対応の正解率を評価することをさらに含み、正解率は、最終対応と、問題に対してユーザが好むであろうグラウンドトゥルース対応との比較に基づいて評価され、比較に基づいて最終対応がグラウンドトゥルース対応と一致した場合、最終対応の正解率は容認できると判断され、比較に基づいて最終対応がグラウンドトゥルース対応と一致しない場合、正解率は容認できないと判断され、方法は、さらに、正解率が容認できないと判断されたことに応じて、問題のラベルを生成することを含み、ラベルは、グラウンドトゥルース対応を含み、方法は、さらに、正解率が容認できないと判断されたことに応じて、グラウンドトゥルースと問題とを含むラベルをローカルデータストアに格納することと、最終対応ではなくグラウンドトゥルースに基づいて、対応部のセットの中から対応部を選択することとを含み、方法は、さらに、正解率が容認できると判断されたことに応じて、問題のラベルを生成することを含み、ラベルは、最終対応を含み、方法は、さらに、正解率が容認できると判断されたことに応じて、最終対応と問題とを含むラベルをローカルデータストアおよびグローバルデータストアに格納することと、最終対応に基づいて、対応部のセットの中から対応部を選択することとを含む。
【０００８】
いくつかの実施の形態では、方法は、正解率が容認できないと判断されたことに応じて、グラウンドトゥルースと問題とを含むラベルを、管理者による評価のために一般的なデータストアに格納するまたはデータキューに入れることと、グラウンドトゥルースと問題とを含むラベルについて何ら措置を講じないという対応、またはグラウンドトゥルースと問題とを含むラベルを用いてグローバルモデルを訓練するという対応のいずれかを管理者から受けることと、対応が何ら措置を講じないという対応であることに応じて、データストアまたはデータキューからグラウンドトゥルースと問題とを含むラベルを削除することと、対応がグローバルモデルを訓練するという対応であることに応じて、グラウンドトゥルースと問題とを含むラベルをグローバルリポジトリに格納することとをさらに含む。
【０００９】
いくつかの実施の形態では、方法は、最終対応と問題とを含むラベルを含む、グローバルリポジトリからのグローバル訓練データでグローバルモデルを訓練することと、最終対応と問題とを含むラベルを含む、ローカルリポジトリからのローカル訓練データでローカルモデルを訓練することとをさらに含む。
【００１０】
いくつかの実施の形態では、方法は、グラウンドトゥルース対応と問題とを含むラベルを含む、ローカルリポジトリからのローカル訓練データでローカルモデルを訓練することをさらに含む。
（【００１１】以降は省略されています）

関連特許