JP2008507017A - ターゲット・コンピュータ・システム全域における侵入検知、侵入応答、および脆弱性修復のための方法、コンピュータ・プログラム、およデータ構造 - Google Patents

Abstract

【課題】 ターゲット・コンピュータ・システム全域における侵入検知、侵入応答、および脆弱性修復のための技術手段を提供することにある。
【解決手段】 セキュリティ脅威の通知またはコンピュータ・セキュリティ脅威の侵入を検出するテストの通知あるいはその両方を受信することにより、コンピュータ・セキュリティ脅威管理情報が生成される。受信された通知からコンピュータで処置可能なＴＭＶが生成される。このＴＭＶは、コンピュータ・セキュリティ脅威による影響を受けた少なくとも１つのシステム・タイプの識別を行うコンピュータ可読フィールドと、システム・タイプに関するリリース・レベルの識別を行うコンピュータ可読フィールドと、システム・タイプおよびリリース・レベルについてコンピュータ・セキュリティ脅威の侵入を検出するテストの識別を行うコンピュータ可読フィールドと、システム・タイプおよびリリース・レベルについてコンピュータ・セキュリティ脅威の侵入悪用を逆転するための方法の識別を行うコンピュータ可読フィールドと、システム・タイプおよびリリース・レベルについてコンピュータ・セキュリティ脅威の悪用の対象となる脆弱性を修復するための方法の識別を行うコンピュータ可読フィールドとを含む。ＴＭＶは、ターゲット・システムによる処理のために、そのターゲット・システムに送信される。
【選択図】 図６２

Description

本発明は、コンピュータ・システム、方法、プログラム（program product）、またはデータ構造、あるいはこれらの組み合わせに関し、詳細には、コンピュータ・システム用のセキュリティ管理システム、方法、プログラム、またはデータ構造、あるいはこれらの組み合わせに関する。

コンピュータ・システムは、データ処理および多くのその他の適用例に広く使用されている。本明細書で使用する「コンピュータ・システム」とは、エンタープライズ・システム、アプリケーション・システム、パーソナル・コンピュータ・システム、携帯情報端末などのパーベイシブ・コンピュータ・システム、ならびに他の基本機能を有する家庭電気製品などの他の装置に組み込まれた組み込みコンピュータ・システムを包含する。

情報技術が劇的なペースで拡大し続けるにつれて、コンピュータ・システムは、より多数のセキュリティ上の脅威および脆弱性に左右される。システム管理者は、新しい脆弱性およびパッチに関する情報を収集し維持することにより負担過剰になる可能性があるだけでなく、どのパッチをどのシステムに適用する必要があるかを判断するという作業に取り組む必要がある可能性もある。既知のセキュリティ上の脅威および進展中のセキュリティ上の脅威に対してコンピュータ・システムを最新状態に保持したいという要望により、膨大な規模の問題が発生する可能性がある。

多くのベンダおよび独立開発者は、コンピュータ・システム管理者が自分のシステムの現在の脆弱性状況を発見できる方法を作成し開発しようと努めてきた。特に、コンピュータ・システムに関する具体的な情報を明らかにすることができるベンダ・プログラム、ユーティリティ、およびローカルで生成されたスクリプトが提供されている。したがって、たとえば、マイクロソフト社は、Ｓｈａｖｌｉｋによって作成され、欠落パッチについてホスト・システムをスキャンするＨＦＮＥＴＣＫというユーティリティを提供している。さらに、ＵＮＩＸ（登録商標）システムは、オペレーティング・システムおよびパッチのレベル情報をリストできる組み込みコマンドを備えている。ＩＰアドレスとオペレーティング・システムのベンダ・バージョン、ならびに、ことによると適用された最新パッチをも含む、コンピュータ・システムに関する情報のリポジトリとして、いくつかのデータベースも作成されている。

たとえば、Ｍｉｔｒｅ社（Ｍｉｔｒｅ．ｏｒｇ）は、日時順の識別ベクトルとフリーフォーム・テキストを伴うテキスト・ストリングを使用して脆弱性および露出を逸話風に表している共通脆弱性露出（ＣＶＥ：Common Vulnerabilities and Exposures）を公表している。ＣＶＥの一例は「ＣＶＥ−２００１−０５０７＋フリーフォーム・テキスト」である。その上、米国国立標準技術研究所（ＮＩＳＴ：NationalInstitute of Standards and Technology）は、コンピュータの脆弱性に関する情報の検索可能索引であるＩＣＡＴメタベースを作成している。ＩＣＡＴメタベース脆弱性索引付けサービスでは、ＣＶＥ名を使用して、各脆弱性の短い記述、各脆弱性の特性のリスト（関連の攻撃範囲および損害の可能性など）、脆弱なソフトウェアの名前およびバージョン番号のリスト、脆弱性勧告およびパッチ情報へのリンクを提供する。ｉｃａｔ．ｎｉｓｔ．ｇｏｖｅ／ｉｃａｔ．ｃｆｍを参照されたい。また、２００２年の第４四半期にＭｉｔｒｅ社は、ＣＶＥの概念を一般的な脆弱性テストの方法に拡張するために、公開脆弱性査定言語（ＯＶＡＬ：Open Vulnerability Assessment Language）イニシアチブを立ち上げた。

公開Ｗｅｂアプリケーション・セキュリティ・プロジェクト（ｏｗａｓｐ．ｏｒｇ）は、安全なＷｅｂアプリケーションおよびＷｅｂサービスを支援するソフトウェア・ツールおよび知識ベースの文書化を開発する公開ソース・コミュニティ・プロジェクトである。ＯＷＡＳＰのＶｕｌｎＸＭＬプロジェクトは、Ｗｅｂアプリケーションのセキュリティ上の脆弱性を記述するための公開標準データ・フォーマットを開発することを目指している。このプロジェクトは、Ｗｅｂアプリケーションのセキュリティ上の脆弱性に一本化されている。これは、特定のヘッダおよび要求などのｈｔｔｐトランザクションの構築に集中するものである。２００２年７月１８日発行の「ＶｕｌｎＸＭＬ Ｐｒｏｏｆ ｏｆ Ｃｏｎｃｅｐｔ Ｖｉｓｉｏｎ Ｄｏｃｕｍｅｎｔ」の第１．１版を参照されたい。

米国総務庁（General ServiceAdministration）の１つの局である連邦コンピュータ・インシデント対応センター（ＦｅｄＣＩＲＣ：Federal Computer IncidentResponse Center）によって後援され、２００２年１１月に最初に告知されたパッチ認証普及機能（ＰＡＤＣ：Patch Authenticationand Dissemination Capability）プロジェクトは、アプリケーションおよびオペレーティング・システムの脆弱性のより一般的なケースに対処するものである。ｐａｄｃ．ｆｅｄｃｉｒｃ．ｇｏｖを参照されたい。

ＯＡＳＩＳコンソーシアム（ｏａｓｉｓ−ｏｐｅｎ．ｏｒｇ）は、ＷｅｂサービスおよびＷｅｂアプリケーション内でセキュリティ上の脆弱性に関する情報を交換する標準的な方法を定義するための計画を告知している。２００３年４月１４日のＲＳＡ Ｓｅｃｕｒｉｔｙ Ｃｏｎｆｅｒｅｎｃｅによる「ＯＡＳＩＳ Ｍｅｍｂｅｒｓ Ｃｏｌｌａｂｏｒａｔｅ ｔｏ Ａｄｄｒｅｓｓ Ｓｅｃｕｒｉｔｙ Ｖｕｌｎｅｒａｂｉｌｉｔｉｅｓ ｆｏｒ Ｗｅｂ Ｓｅｒｖｉｃｅｓ ａｎｄ Ｗｅｂ Ａｐｐｌｉｃａｔｉｏｎｓ」を参照されたい。

脆弱性インテリジェント・プロファイリング・エンジン（ＶＩＰＥ：Vulnerability Intelligent Profiling Engine）は、Ｂ２Ｂｉｓｃｏｍ（ｂ２ｂｉｓｃｏｍ．ｉｔ）による技術に基づくものである。ＶＩＰＥは、製品（product）とサービスという２つの要素を含んでいる。製品は、製品の大規模リストに関する既知の脆弱性およびパッチをすべて含む中央データベースの主要部分として有する、インベントリおよびパッチ管理ツールの組み合わせである。データベースの他の部分はインベントリ情報で構成されている。１組のスクリプトが開発されている。サービスは、インベントリを分析し、それを既存の脆弱性百科事典（vulnerabilityencyclopedia）と相関させ、特定のサポート対象オペレーティング・システムと照らし合わせて脆弱性を査定するための知識ベースの手法を提供する。

Ｃｉｔａｄｅｌ Ｓｅｃｕｒｉｔｙ Ｓｏｆｔｗａｒｅ社（ｃｉｔａｄｅｌ．ｃｏｍ）によるＣｉｔａｄｅｌ Ｈｅｒｃｕｌｅｓ自動脆弱性修復は、業界先導の脆弱性査定ツールと統合されるソフトウェアを提供し、５つのクラスの脆弱性に関する適切な救済策と、管理者が示されている脆弱性を検討し、ネットワーク上で正しいシステムに救済策を適用することができるコンソールを提供する。２００３年発行のＣｉｔａｄｅｌ Ｓｅｃｕｒｉｔｙ Ｓｏｆｔｗａｒｅ社による「Ｃｉｔａｄｅｌ Ｈｅｒｃｕｌｅｓ Ａｕｔｏｍａｔｅｄ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｒｅｍｅｄｉａｔｉｏｎ Ｐｒｏｄｕｃｔ Ｂｒｏｃｈｕｒｅ」を参照されたい。

Ｓｙｍａｎｔｅｃ社は、脅威管理情報を集約して支払い済みサービスにする商品を用意している。ｅｗｅｅｋ．ｃｏｍ／ａｒｔｉｃｌｅ２／０，４１４９，１３６２６８８，００．ａｓｐを参照されたい。ＤｅｅｐＳｉｇｈｔアラート・サービスは、ｅｎｔｅｒｐｒｉｓｅｓｅｃｕｒｉｔｙ．Ｓｙｍａｎｔｅｃ，ｃｏｍ／ｐｒｏｄｕｃｔｓ／ｐｒｏｄｕｃｔｓ，ｃｆｍ？ＰｒｏｄｕｃｔＩＤ＝ｌ６０に記載されている通り、５０００ドル／年の価格になっている。脅威管理サービスは、ｅｎｔｅｒ−ｐｒｉｓｅｃｕｒｉｔｙ．ｓｙｍａｎｔｅｃ．ｃｏｍ／ｃｏｎｔｅｎｔ／ｄｉｓｐｌａｙｐｄｆ．ｃｆｉｎ？ｐｄｆｉｄ＝３０１に記載されている通り、ユーザ当たり１５０００ドル／年から始まる。

最後に、「Ｃａｓｓａｎｄｒａ」インシデント対応データベースは、Ｐｕｒｄｕｅ大学のＣＥＲＩＡＳセンターによって後援され、ユーザのネットワーク、典型的な（標準構成）ホスト、または重要なホスト上で実行されるサービスおよびアプリケーションの保管プロファイルをユーザが作成できるようにするツールである。その場合、Ｃａｓｓａｎｄｒａは、これらのプロファイルに関連する新しい脆弱性を電子メールによりユーザに通知することができる。ｃａｓｓａｎｄｒａ．ｃｅｒｉａｓ．ｐｕｒｄｕｅ．ｅｄｕを参照されたい。照会（増分照会を含む）も生で実行することができる。しかし、これらの結果は、最近発見されたが、まだＩＣＡＴから入手可能ではない脆弱性を見逃している可能性があり、公表されていない脆弱性を見逃している可能性がある。その内容はＮＩＳＴのＩＣＡＴサーバから得られるので、ＣＥＲＩＡＳもＩＣＡＴから入手可能な内容のベスト・エフォート配信（best effort delivery）のみを提供する。

上記を考慮すると、セキュリティ脅威管理は、現在、コンピュータ・システムの操作スタッフが個別に、セキュリティ勧告、警告、およびプログラム診断依頼書（ＡＰＡＲ：Authorized Program Analysis Report）を選別して、その適用性を判断するという労働力を要するプロセスである可能性がある。その場合、操作スタッフは、研究により、脅威を緩和するかまたは手動技法を使用して救済策を適用する方法を決定する。
米国特許出願第１０／６２４３４４号 米国特許出願第１０／６２４１５８号 米国特許出願第１０／７９１５６０号 ｉｃａｔ．ｎｉｓｔ．ｇｏｖｅ／ｉｃａｔ．ｃｆｍ ２００２年７月１８日発行の「ＶｕｌｎＸＭＬ Ｐｒｏｏｆ ｏｆ Ｃｏｎｃｅｐｔ Ｖｉｓｉｏｎ Ｄｏｃｕｍｅｎｔ」の第１．１版 ｐａｄｃ．ｆｅｄｃｉｒｃ．ｇｏｖ ２００３年４月１４日のＲＳＡ Ｓｅｃｕｒｉｔｙ Ｃｏｎｆｅｒｅｎｃｅによる「ＯＡＳＩＳ Ｍｅｍｂｅｒｓ Ｃｏｌｌａｂｏｒａｔｅ ｔｏ Ａｄｄｒｅｓｓ Ｓｅｃｕｒｉｔｙ Ｖｕｌｎｅｒａｂｉｌｉｔｉｅｓ ｆｏｒ Ｗｅｂ Ｓｅｒｖｉｃｅｓ ａｎｄ Ｗｅｂ Ａｐｐｌｉｃａｔｉｏｎｓ」 ２００３年発行のＣｉｔａｄｅｌ Ｓｅｃｕｒｉｔｙ Ｓｏｆｔｗａｒｅ社による「Ｃｉｔａｄｅｌ Ｈｅｒｃｕｌｅｓ Ａｕｔｏｍａｔｅｄ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｒｅｍｅｄｉａｔｉｏｎ Ｐｒｏｄｕｃｔ Ｂｒｏｃｈｕｒｅ」 ｅｗｅｅｋ．ｃｏｍ／ａｒｔｉｃｌｅ２／０，４１４９，１３６２６８８，００．ａｓｐ ｅｎｔｅｒｐｒｉｓｅｓｅｃｕｒｉｔｙ．Ｓｙｍａｎｔｅｃ，ｃｏｍ／ｐｒｏｄｕｃｔｓ／ｐｒｏｄｕｃｔｓ，ｃｆｍ？ＰｒｏｄｕｃｔＩＤ＝ｌ６０ ｅｎｔｅｒ−ｐｒｉｓｅｃｕｒｉｔｙ．ｓｙｍａｎｔｅｃ．ｃｏｍ／ｃｏｎｔｅｎｔ／ｄｉｓｐｌａｙｐｄｆ．ｃｆｉｎ？ｐｄｆｉｄ＝３０１ ｃａｓｓａｎｄｒａ．ｃｅｒｉａｓ．ｐｕｒｄｕｅ．ｅｄｕ

図１は、従来のセキュリティ脅威管理技法を例示するブロック図である。図１に図示されている通り、新しいコンピュータ脆弱性およびハッキング・ツールは、様々な役割のコンピュータ・セキュリティ・エキスパート１１０によって発見される。同様に、ＡＰＡＲはベンダ１２０によって提供される。コンピュータ脆弱性、ハッキング・ツール、およびＡＰＡＲ（Ａ（勧告、警告、ＡＰＡＲ）と呼ばれることが多い）は、典型的には、コンピュータ緊急対応チーム（ＣＥＲＴ／ＣＣ：Computer Emergency Response Team）、システム管理、監査、ネットワーク、またはセキュリティあるいはこれらの組み合わせ（ＳＡＮＳ：SysAdmin,Audit, Network and/or Security）の機関の担当者１３０などの適切なセキュリティ組織によって検査される。脅威および脆弱性の情報は、主にコンピュータのセキュリティ・システム管理（ＳＳＡ：SecuritySystems Administration）スタッフ１５０が加入しているメーリング・リスト１４０を介してこれらの組織によって配布される。仕事熱心なＳＳＡは複数のメーリング・リスト１４０に加入している可能性があり、したがって、往々にして重複するかまたは潜在的に矛盾する情報を受信する可能性がある。その場合、ＳＳＡは、個別の研究を実行して、行動方針とそれを実行する方法を決定する。通例、ＳＳＡは、ＭｉｔｒｅのＣＶＥリスト１６０、ＯＶＡＬデータベース１７０、またはＮＩＳＴのＩＣＡＴデータベース１８０、あるいはこれらの組み合わせなどのＷｅｂリソースを使用して、対策適用に関する情報を手動で収集することになる。これは非常に効率が悪く費用がかかる可能性がある。市販の脆弱性管理製品およびサービスでも、実質的に効率を改善できない可能性がある。

本発明の諸実施形態によれば、ターゲット・システム全域における侵入検知および応答を可能にするために、コンピュータで処置可能な（computer-actionable）脅威管理ベクトル（ＴＭＶ：Threat Management Vector）が生成され、応答される。ＴＭＶのいくつかの諸実施形態は、「Ｓｙｓｔｅｍｓ， Ｍｅｔｈｏｄｓ ａｎｄ Ｄａｔａ Ｓｔｒｕｃｔｕｒｅｓ ｆｏｒ Ｇｅｎｅｒａｔｉｎｇ Ｃｏｍｐｕｔｅｒ−Ａｃｔｉｏｎａｂｌｅ Ｃｏｍｐｕｔｅｒ Ｓｅｃｕｒｉｔｙ Ｔｈｒｅａｔ Ｍａｎａｇｅｍｅｎｔ Ｉｎｆｏｒｍａｔｉｏｎ」という発明の名称で２００３年７月２２日に出願されたＢａｒｄｓｌｅｙ他による米国特許出願第１０／６２４３４４号、「Ｓｙｓｔｅｍｓ， Ｍｅｔｈｏｄｓ ａｎｄ Ｃｏｍｐｕｔｅｒ Ｐｒｏｇｒａｍ Ｐｒｏｄｕｃｔｓ ｆｏｒ Ａｄｍｉｎｉｓｔｒａｔｉｏｎ ｏｆ Ｃｏｍｐｕｔｅｒ Ｓｅｃｕｒｉｔｙ Ｔｈｒｅａｔ Ｃｏｕｎｔｅｒｍｅａｓｕｒｅｓ ｔｏ ａ Ｃｏｍｐｕｔｅｒ Ｓｙｓｔｅｍ」という発明の名称で２００３年７月２２日に出願されたＢａｒｄｓｌｅｙ他による米国特許出願第１０／６２４１５８号、「Ｄｏｍａｉｎ Ｃｏｎｔｒｏｌｌｉｎｇ Ｓｙｓｔｅｍｓ， Ｍｅｔｈｏｄｓ ａｎｄ Ｃｏｍｐｕｔｅｒ Ｐｒｏｇｒａｍ Ｐｒｏｄｕｃｔｓ ｆｏｒ Ａｄｍｉｎｉｓｔｒａｔｉｏｎ ｏｆ Ｃｏｍｐｕｔｅｒ Ｓｅｃｕｒｉｔｙ Ｔｈｒｅａｔ Ｃｏｕｎｔｅｒｍｅａｓｕｒｅｓ ｔｏ ａ Ｄｏｍａｉｎ ｏｆ Ｔａｒｇｅｔ Ｃｏｍｐｕｔｅｒ Ｓｙｓｔｅｍｓ」という発明の名称で２００４年３月２日に出願されたＢａｒｄｓｌｅｙ他による米国特許出願第１０／７９１５６０号に記載されており、いずれも本発明の出願人に譲渡され、いずれの開示内容も本明細書に完全に示されている場合と同様に参照によりその全体が本明細書に組み込まれる。特許出願第１０／６２４３４４号、第１０／６２４１５８号、および第１０／７９１５６０号は本明細書ではひとまとめにして「先行出願（prior application）」と呼ぶことにする。そこに記載されている通り、ＴＭＶは、コンピュータ・セキュリティ脅威による影響を受けた少なくとも１つのシステム・タイプの識別を行う第１のコンピュータ可読フィールドと、そのシステム・タイプに関するリリース・レベルの識別を行う第２のコンピュータ可読フィールドと、システム・タイプおよびリリース・レベルについて１組の可能な対策の識別を行う第３のコンピュータ可読フィールドとをそこに含む。システム・タイプは、コンピュータ・オペレーティング・システム・タイプまたはアプリケーション・プログラム・タイプを含むことができる。

本発明のいくつかの諸実施形態によれば、セキュリティ脅威の通知またはコンピュータ・セキュリティ脅威の侵入を検出するテストの通知あるいはその両方を受信することにより、コンピュータ・セキュリティ脅威管理情報が生成される。受信された通知からコンピュータで処置可能なＴＭＶが生成される。このＴＭＶは、コンピュータ・セキュリティ脅威による影響を受けた少なくとも１つのシステム・タイプの識別を行うコンピュータ可読フィールドと、システム・タイプに関するリリース・レベルの識別を行うコンピュータ可読フィールドと、システム・タイプおよびリリース・レベルについてコンピュータ・セキュリティ脅威の侵入を検出するテストの識別を行うコンピュータ可読フィールドとを含む。生成されたＴＭＶは、複数のターゲット・システムによる処理のために、その複数のターゲット・システムに送信される。

いくつかの諸実施形態では、ＴＭＶは、システム・タイプおよびリリース・レベルについて可能な対策の識別を行うコンピュータ可読フィールドをさらに含む。他の諸実施形態では、ＴＭＶは、システム・タイプおよびリリース・レベルについてコンピュータ・セキュリティ脅威の侵入を検出する複数のテストの識別またはシステム・タイプおよびリリース・レベルについて複数の可能な対策の識別あるいはその両方の識別を行うコンピュータ可読フィールドをさらに含む。

他の諸実施形態では、コンピュータ・セキュリティ脅威の侵入が検出されたというターゲット・システムからの通知に応答して、第２のＴＭＶが生成される。第２のＴＭＶは、検出されたコンピュータ・セキュリティ脅威の侵入を除去するための命令を識別するコンピュータ可読フィールドをそこに含む。第２のＴＭＶは、ターゲット・システムによる処理のために、そのターゲット・システムに送信される。

さらに他の諸実施形態では、コンピュータ・セキュリティ脅威の侵入が検出されたというターゲット・システムからの通知に応答して、ヌルＴＭＶが生成される。ヌルＴＭＶは、検出されたコンピュータ・セキュリティ脅威の侵入を除去するためのいかなる命令も使用不能であることを識別するコンピュータ可読フィールドをそこに含む。その場合、ヌルＴＭＶは、そのターゲット・システムに送信される。その後、検出されたコンピュータ・セキュリティ脅威の侵入を除去するための命令の受信に応答して、第２のＴＭＶを生成することもできる。第２のＴＭＶは、検出されたコンピュータ・セキュリティ脅威の侵入を除去するための命令を識別するコンピュータ可読フィールドをそこに含む。第２のＴＭＶは、処理のためにそのターゲット・システムに送信される。

本発明のいくつかの諸実施形態によれば、コンピュータで処置可能なＴＭＶをターゲット・システムで受信することにより、コンピュータ・セキュリティ脅威管理情報をターゲット・コンピュータ・システムで処理することができる。このＴＭＶは、システム・タイプおよびリリース・レベルについてコンピュータ・セキュリティ脅威の侵入を検出するテストの識別を行うコンピュータ可読フィールドをそこに含む。このテストは、ＴＭＶの受信に応答して、ターゲット・システムで実行される。

他の諸実施形態によれば、ターゲット・システムは、コンピュータ・セキュリティ脅威の侵入が検出されたという通知を送信する。次に、ターゲット・システムは、検出されたコンピュータ・セキュリティ脅威の侵入を除去するための命令を識別するコンピュータ可読フィールドを含むＴＭＶを受信する。次に、ターゲット・システムは、第２のＴＭＶを受信したことに応答して、侵入を除去するための命令を実行する。

他の諸実施形態では、侵入が検出されたというターゲット・システムからの通知を送信したことに応答して、上述した通り、検出されたコンピュータ・セキュリティ脅威の侵入を除去するためのいかなる命令も使用不能であることを示すヌルＴＭＶが受信される。侵入を除去するための命令を識別するＴＭＶは、後でターゲット・システムで受信することもできる。その場合、命令はターゲット・システムで実行される。

本発明のいくつかの諸実施形態によるコンピュータで処置可能なＴＭＶは、侵入を検出するテストの識別、可能な対策の識別、または侵入を除去するための命令の識別、あるいはこれらの組み合わせを含む、上述したコンピュータ可読フィールドを含む。いくつかの諸実施形態では、ＴＭＶは、複数のテストの識別またはシステム・タイプおよびリリース・レベルについて複数の可能な対策の識別あるいはその両方の識別を行うことができる。また、ＴＭＶは、いかなる命令も使用不能であることを識別することもできる。本発明の他の諸実施形態により、類似のシステムおよびコンピュータ・プログラムも提供される。

次に、本発明の諸実施形態が図示されている添付図面に関して、本発明をより完全に説明する。しかし、本発明は、多くの代替形式で実施可能であり、本明細書に明記されている諸実施形態に限定されるものと解釈してはならない。

したがって、本発明は様々な変更および代替形式の影響を受けやすく、その特定の諸実施形態は例証として図面に示されており、本明細書で詳細に説明する。しかし、開示されている特定の形式に本発明を制限しようという意図はまったくなく、それどころか、本発明は、特許請求の範囲によって定義された本発明の精神および範囲に該当するすべての変更例、同等例、および代替例を包含するものであることを理解されたい。図面の説明全体を通して、同様の番号は同様の要素を指している。

本発明の諸実施形態による方法、装置（システム）、またはコンピュータ・プログラム、あるいはこれらの組み合わせのブロック図または流れ図あるいはその両方に関して、本発明について以下に説明する。ブロック図または流れ図あるいはその両方の各ブロックと、ブロック図または流れ図あるいはその両方における複数ブロックの組み合わせは、コンピュータ・プログラム命令によって実現できることは言うまでもない。これらのコンピュータ・プログラム命令は、汎用コンピュータ、特殊目的コンピュータ、またはその他のプログラマブル・データ処理装置、あるいはこれらの組み合わせのプロセッサに提供し、コンピュータまたはその他のプログラマブル・データ処理装置あるいはその両方のプロセッサを介して実行された命令がブロック図または流れ図あるいはその両方の１つまたは複数のブロック内に指定された機能／行為を実現するための手段を作成するようなマシンを作成することができる。

これらのコンピュータ・プログラム命令は、コンピュータ可読メモリ内に保管された命令が、ブロック図または流れ図あるいはその両方の１つまたは複数のブロック内に指定された機能／行為を実現する命令を含む装置（article of manufacture）を作成するような特定の方法で機能するようコンピュータまたはその他のプログラマブル・データ処理装置に指図できるコンピュータ可読メモリに保管することもできる。

コンピュータ・プログラム命令は、一連の動作ステップをコンピュータまたはその他のプログラマブル装置上で実行させて、コンピュータまたはその他のプログラマブル装置上で実行された命令がブロック図または流れ図あるいはその両方の１つまたは複数のブロック内に指定された機能／行為を実現するための諸ステップを提供するようなコンピュータで実行されるプロセスを作成するために、コンピュータまたはその他のプログラマブル・データ処理装置にロードすることもできる。

また、いくつかの代替実現例では、ブロック内に示されている機能／行為が流れ図に示されている順序を外れて行われる場合もあることも留意されたい。たとえば、関係する機能／行為次第で、連続して図示されている２つのブロックが、実際には、実質的に同時に実行される場合もあれば、これらのブロックが時には逆の順序で実行される場合もある。

コンピュータで処置可能なコンピュータ・セキュリティ脅威管理情報の生成
図２は、先行出願によりコンピュータで処置可能なコンピュータ・セキュリティ脅威管理情報を生成できる環境のブロック図である。図２に図示されている通り、脆弱性脅威またはＡＰＡＲあるいはその両方の情報の複数のソースＳは、ローカル・エリア・ネットワークまたはＷｅｂを含む広域ネットワークあるいはその両方にすることができるネットワークを介して、コンピュータ・セキュリティ・インシデント対応チーム（ＣＳＩＲＴ：Computer Security Incident Response Team）またはその他のセキュリティ担当サーバに接続されている。ソースＳは、図１のソース１１０、１２０、１３０、１６０、１７０、１８０またはその他のソースあるいはこれらの組み合わせのうちの１つまたは複数にすることができる。ＣＳＩＲＴサーバは、直接またはネットワークを介してあるいはその両方でＣＳＩＲＴに接続可能な１つまたは複数のエンタープライズ・システム、アプリケーション・システム、パーソナル・システム、パーベイシブ・システム、または組み込みシステム、あるいはこれらの組み合わせにすることができる複数のターゲット・コンピュータ・システムＴにコンピュータで処置可能なコンピュータ・セキュリティ脅威管理情報を送信する。先行出願によれば、コンピュータで処置可能なコンピュータ・セキュリティ脅威管理情報は、以下に詳述するように、１つまたは複数のコンピュータで処置可能な脅威管理ベクトル（ＴＭＶ）を有する。

図３は、先行出願によりコンピュータで処置可能なコンピュータ・セキュリティ脅威管理情報を生成するために、たとえばＣＳＩＲＴサーバによって、実行可能な動作の流れ図である。図３に図示されている通り、ブロック３１０でコンピュータ・セキュリティ脅威の通知が受信される。ブロック３２０では、受信された通知からコンピュータで処置可能なＴＭＶが生成される。ＴＭＶの詳細な説明は図４に示す。次に、ブロック３３０では、生成されたＴＭＶまたはＴＭＶの一形式が、複数のターゲット・システムによる処理のために、その複数のターゲット・システムに送信される。

図４は、先行出願によるＴＭＶのデータ構造の概要である。詳細は以下に示す。図４に図示されている通り、ＴＭＶ４００は、セキュリティ脅威による影響を受けた、オペレーティング・システム・タイプなどの少なくとも１つのシステム・タイプの識別を行う第１のコンピュータ可読フィールド４０１と、そのシステム・タイプに関するリリース・レベルの識別を行う第２のコンピュータ可読フィールド４０２と、システム・タイプおよびリリース・レベルについて１組の可能な対策の識別を行う第３のコンピュータ可読フィールド４０３とを含む。その上、いくつかの諸実施形態では、ＴＭＶは、コンピュータ・セキュリティ脅威による影響を受けた、アプリケーション・プログラム・タイプなどの少なくとも１つのサブシステム・タイプの識別を行う第４のコンピュータ可読フィールド４０４と、そのサブシステム・タイプに関するリリース・レベルの識別を行う第５のコンピュータ可読フィールド４０５とを含む。これらの諸実施形態では、第３のコンピュータ可読フィールド４０３は、システム・タイプおよびリリース・レベルに加えて、サブシステム・タイプおよびリリース・レベルについて１組の可能な対策の識別を行う。その上、いくつかの諸実施形態では、ＴＭＶは、脆弱性またはセキュリティ脅威を識別するために、本明細書で「ルートＶキー・ベクトル（root VKey vector）」とも呼ばれる、脆弱性指定を識別する第６のコンピュータ可読フィールド４０６を含む。

図５は、先行出願によりコンピュータで処置可能なセキュリティ脅威管理情報を生成するためのシステム、方法、およびコンピュータ・プログラムのブロック図である。図５に図示されている通り、上述した様々なソース１１０〜１３０および１６０〜１９０から、本明細書でＣＳＩＲＴ５１０とも呼ばれる中央クリアリングハウスでコンピュータ・セキュリティ脆弱性脅威の通知あるいは脆弱性または脅威に対する対策の通知が受信される。その他のソースも使用することができる。ＣＳＩＲＴ５１０では、メッセージ・エンコーダ５２０が脆弱性、脅威、ＡＰＡＲ、または情報あるいはこれらの組み合わせを、人間による分析またはコンピュータ支援エンコードあるいはその両方を介して、ＴＭＶと呼ばれる明白なコンピュータ解釈可能形式に変換する。共通意味データベース５３０は、人間による分析またはコンピュータ支援エンコードあるいはその両方を介して、ＴＭＶを作成するためにメッセージ・エンコーダ５２０が使用するメタデータを確立し維持する。１つの例は、コンピュータ・オペレーティング・システム名を表す１組の割り当て番号である。メッセージ・エンコーダ５２０は、コンピュータで処置可能なフォーマットでＴＭＶを作成する。それぞれの特定の脆弱性、脅威、または対策ごとに、ＴＭＶは、自動適用のために、ターゲット・システム・コンポーネントと、パラメータ化した対策インストール命令を規定する。次に、ＴＭＶはターゲット・システム５４０に送信される。ターゲット・システム・セキュリティ管理者（ＳＳＡ）５５０に対し、完全自動介入が存在しない場合に実行する必要がある可能性がある介入または特定の命令あるいはその両方を通知することができる。それにより、人間の労力を劇的に削減することができる。

図６は、図５のメッセージ・エンコーダ５２０などのメッセージ・エンコーダによってＴＭＶを生成するために使用可能な動作の流れ図である。図６は、脆弱性警告および勧告と、パッチまたは脅威管理情報（ＴＭＩ：Threat Management Information）などのその他の対策情報に言及している。ブロック６１０に図示されている通り、ＴＭＩは、セキュリティ組織、ベンダ、独立セキュリティ専門家、またはその他のソース、あるいはこれらの組み合わせから発生する可能性がある。ＴＭＩは、オペレーティング・システムまたはアプリケーション・プログラムまたはソフトウェア・ユーティリティの脆弱性に関するデータ、脆弱性を修正するための対策、あるいはその両方を含むことができるが、これらに限定されない。ＴＭＩの例としては、ＣＥＲＴ／ＣＣまたはＳＡＮＳ機関からの新規または改訂版のセキュリティ警告および勧告や、ベンダからの新規または改訂版のパッチ通知がある。

図６を参照すると、概念上、ＴＭＶ生成は２段階プロセスと見なすことができる。しかし、実際上は、１組の統合動作として実現することができる。

第１の段階のブロック６１０では、ＴＭＩは、ブロック６２０の分析、認定、および定量化（ＡＱＱ：analysis, qualification and quantification）のプロセスのための入力刺激として機能する。分析は、完全性および統一性に関する入力の一般的分析および研究を伴う可能性がある。認定は、脅威管理使用のために情報の正確さ、一貫性、ソース整合性、および効力を妥当性検査することを伴う可能性がある。また、認定は、研究室または刺激作成環境でオペレーティング・システム、アプリケーション・プログラム、またはプログラム・ユーティリティ・インスタンス上で提案されたパッチまたはスクリプトをテストすることなどの詳細を伴う可能性もある。最後に、定量化は、各情報コンポーネント６３０が割り当て番号（ＡＮ：assignednumber）を介して見分けられるように、すべての関連ＴＭＩが脅威管理制御ブック（ＴＭＣＢ：Threat Management Control Book）というカタログ・エンティティ内に明白な表現を有することを保証することを伴う可能性がある。ＡＱＱチームは、実際には、外部割り当て番号機関（ＡＮＡ：assignednumber authority）のそれぞれについて、ＴＭＣＢ内のＡＮの参照整合性を作成し、削除し、その他の方法で保証するためのその権限により、脅威管理割り当て番号機関（ＴＭＡＮＡ：threatmanagement assigned number authority）を表すことができる。

いくつかの諸実施形態では、ＴＭＩを表すＴＭＶの完全構築のためのすべてのＡＮおよび対応する情報エンコードがＴＭＣＢで使用可能であることが望ましい場合がある。このように表されていないと判明したＴＭＩは、ブロック６４０でＴＭＡＮＡによりＴＭＣＢ内に公式化しカタログ化することができる。ＴＭＩカテゴリとしては、脆弱性ＩＤおよび指定、システムＩＤ、システム・レベルＩＤ、サブシステムＩＤ、サブシステム・レベルＩＤ、ならびに対策ＩＤおよび指定を含むことができるが、これらに限定されない。

第２の段階は、自律型脅威管理処理のために、ＴＭＣＢの内容を使用する物理的ＴＭＶのシステマティック・エンコード（ブロック６５０〜６８０）と、ターゲット・システムへのその後の送信（ブロック６９０）を伴う可能性がある。ＴＭＶエンコードは、図６に図示されている通り、所与の脆弱性６５０について影響を受けた各システム・タイプ６５２が識別され、これらの６６２のそれぞれについて影響を受けた各レベル６７０が識別され、これらの６７２のそれぞれについてすべての適用可能対策６８０が機械可読フォーマットでエンコードされるように、エンコード動作６５０、６６０、６７０、６８０のカスケード・ネスト・シーケンス（cascading nested sequence）を伴う可能性がある。同様のエンコード動作のカスケード・ネスト・シーケンスは、影響を受けたサブシステムについて同様に実行することができる。

図７は、先行出願によるＴＭＶの一般的形式を例示している。上述した通り、ＴＭＶは、ＣＶＥ情報またはその他の情報あるいはその両方などの計算上あいまいな情報を脆弱性属性および対策属性の精密な指定に変換することができる。結果として得られるエンコードは、その後、特定のターゲット・コンピュータ・システムに適用すべき明確な１組の補償対策に応じて脅威明細の調整を自動化するためにプログラムによって使用することができる。

図７に図示されている通り、先行出願によるＴＭＶは、ベクトル・ヘッダ、ＣＶＥキーなどのＶキー、システム・ベクトルへのポインタ、サブシステム・ベクトルへのポインタ、およびＶキー記述を含むことができる。本明細書では脆弱性キー（Ｖキー）の一例としてＣＶＥが使用されているが、任意の他のキー（複数も可）も使用できることが理解されるであろう。また、Ｖキー記述は、フリーフォーム・テキスト記述または他の場所に保持されているテキスト記述に対する百科辞典的参照キーあるいはその両方にすることができ、使いやすさのための補助としてベクトル・ヘッダ内に含めることができることも理解されるであろう。同じく図７に図示されている通り、ベクトル・ヘッダは、ＴＭＶ制御フィールドおよびベクトル長フィールドを含むことができる。Ｖキー・フィールドは、Ｖキー・タイプ・フィールド、Ｖキー長フィールド、およびＶキー値フィールドを含むことができる。最後に、Ｖキー記述は、記述タイプと、記述長およびフリーフォーム・テキストまたは制御フィールドおよび百科事典的参照キーのアレイを含むことができる。図８〜図１２は、システム・ベクトル、システム・レベル・ベクトル、対策ベクトル、対策メタデータ、およびサブシステム・ベクトルの詳細な説明を示している。

図８は、先行出願によるシステム・ベクトルの一般的形式を例示している。システム・ベクトルは、脆弱性が適用されるオペレーティング・システム（ＯＳ：Operating System）タイプ（複数も可）を識別する。これは、ベクトル・ヘッダと、Ｓｕｎ Ｓｏｌａｒｉｓ、ＡＴＸなどの特定のＯＳタイプに対応するシステムＩＤのアレイまたはリンク・リストあるいはその両方を含むことができる。同じく図８に図示されている通り、ベクトル・ヘッダは、制御フィールドおよびベクトル長フィールドを含むことができる。システムＩＤは、システムＩＤフィールド、システム制御フィールド、およびシステム・レベル・ベクトルへのポインタ・フィールドを含むことができる。システム制御フィールドは、システム指向処理制御を維持するために使用される。システムＩＤは、特定のオペレーティング・システム・タイプにマッピングされるグローバルに固有のコードである。コード値と、その従来のシステム名との対応は、以下に記載する脅威管理制御ブック（ＴＭＣＢ）と呼ばれる共通意味データベース内に機械可読形式で維持される。

図９は、システム・レベル・ベクトルの一般的形式を例示している。図９に図示されている通り、システム・レベル・ベクトルは、ベクトル・ヘッダと、システム・レベルＩＤのアレイまたはリンク・リストあるいはその両方を含むことができる。ベクトル・ヘッダは、制御フィールドおよびベクトル長フィールドを含むことができる。システム・レベルＩＤは、レベルＩＤフィールド、システム・レベル制御フィールド、および対策ベクトルへのポインタを含むことができる。システム・レベル・ベクトルは、脆弱性または対策が適用される特定のオペレーティング・システム・バージョンおよびリリース・レベルを識別する。システム・レベル制御フィールドは、システム・レベル指定処理制御を維持するために使用される。レベルＩＤは、特定のオペレーティング・システム・バージョンおよびリリース・レベルにマッピングされるシステム全体で固有のコードである。コード値と、その従来の製品バージョンおよびリリース名との対応は、以下に記載する通り、ＴＭＣＢ内に機械可読形式で維持される。

図１０は、先行出願による対策ベクトルの一般的形式を例示している。図１０に図示されている通り、対策ベクトルは、ベクトル・ヘッダと、対策データのアレイまたはリンク・リストあるいはその両方を含むことができる。ベクトル・ヘッダは、制御フィールドおよびベクトル長フィールドを含むことができる。対策メタデータは、対策（ＣＭ：Countermeasures）ＩＤ、ＣＭタイプ、ＣＭ制御フィールド、およびＣＭパラメータを含むことができる。対策ベクトルは、脆弱性を打ち消すために、特定のオペレーティング・システム（システム）またはアプリケーション（サブシステム）バージョンの特定のバージョンまたはリリース・レベルに適用可能な特定の対策を識別する。したがって、対策ベクトルは、パッチなどの適用可能な１組の対策を表す、システム・ベクトル、レベル・ベクトル、またはサブシステム・ベクトル、サブシステム・レベル・ベクトル、あるいはこれらの組み合わせによって形成された有向グラフによって突き止められたＴＭＶサブスペース内の点の軌跡を識別する。

図１１は、図１０の対策メタデータの一般的形式を例示している。対策メタデータは、対策を適用するために使用される情報を提供する。図１１を参照すると、対策ＩＤ（ＣＭＩＤ：CounterMeasure ID）は、ＴＭＣＢ（以下に記載する）に定義されている通り、特定の対策にマッピングされるグローバルに固有のコードである。ＣＭタイプおよびＣＭパラメータにより、対策インストール命令の指定が可能になる。ＣＭタイプの例としては、対策インストールの様々なモードを表す「ローカル」、「サーバ」、「ＵＲＬ」、「バイナリ」、または「手動」を含むことができるであろう。ＣＭ制御フィールドは、対策配備に関連する処理制御を維持するために使用される。ＣＭパラメータの例としては、ローカルまたはリモート・パッチ・アプリケーション・サービス、ＵＲＬ、組み込み対策インストール命令（テキストまたは実行可能プログラム・コード）、またはそれに対する百科事典的参照、あるいはこれらの組み合わせへのインターフェース・パラメータを表すメタデータ含むことができるであろう。ＣＭパラメータの指定および対策のインストールのための特定の制御メカニズムは、個々の対策自体の一機能であり、本明細書で説明する必要はない。

図１２はサブシステム・ベクトルの概要である。上述した通り、セキュリティ脆弱性は、オペレーティング・システムのみならず、プロトコル・エンジン、アプリケーション・プログラム、ユーティリティなどのサブシステムも巻き込む可能性がある。サブシステム・ベクトルは、脆弱性が適用されるサブシステムまたはアプリケーション・タイプを識別する。これは、Ｍｉｃｒｏｓｏｆｔ ＩＩＳなどの特定のソフトウェア・エンティティに対応するシステムＩＤのアレイを含む。サブシステム・ベクトルは、オペレーティング・システム自体とは対照的に、オペレーティング・システムを使用するアプリケーション・ソフトウェアに適用されることを除き、構造上、システム・ベクトルと同一のものにすることができる。また、対策ベクトル・エレメントの意味がサブシステム・ベクトル分類（taxonomy）で繰り返される可能性があることも理解されるであろう。

図１３は、図５の共通意味データベース５３０に対応する可能性のある、先行出願による脅威管理制御ブック（ＴＭＣＢ）の一般的形式を例示している。すでに記載した通り、ＴＭＣＢは、ＴＭＶエンコードで使用される標準値に関連するメタデータを含む索引付け構造を含む。これは、ＴＭＶ内にパッケージするために、標準外または巨大な情報を明白かつ小型で同等の形式に変換することを可能にする。このようなデータ変換は、脅威管理割り当て番号機関（ＴＭＡＮＡ）によって確立される。一般に、ＴＭＣＢは、ＴＭＶ構成でエンコードされた標準値のレジストリである。

図１３は、ＴＭＣＢで維持可能なテーブルを例示している。図１３に図示されている通り、システム・テーブルは、システムＩＤ、システム名、およびシステム・レベル・テーブル・フィールドを含むことができ、システムＩＤおよびシステム名によって索引付けすることができる。システム・レベル・テーブルは、レベルＩＤと、バージョンおよびリリース番号フィールドを含むことができる。サブシステム・テーブルは、サブシステムＩＤ、サブシステム名、およびサブシステム・レベル・テーブルを含むことができ、サブシステムＩＤおよびサブシステム名によって索引付けすることができる。脅威重大度テーブルは、重大度ＩＤおよび重大度名フィールドを含むことができ、重大度ＩＤおよび重大度名によって索引付けすることができる。対策テーブルは、ＣＭ ＩＤ、ＣＭタイプ、およびＣＭ名フィールドを含むことができ、ＣＭ ＩＤ、ＣＭタイプ、およびＣＭ名フィールドによって索引付けすることができる。しかし、これらのテーブルは単に例証に過ぎず、本発明の他の諸実施形態では他の構成を提供できることが理解されるであろう。

図１４は、図７〜図１２に詳細に記載したＴＭＶ分類の要約を示している。

上述した通り、先行出願は、脅威管理情報の人間による解釈を１つの点まで整理統合し、共通意味情報ベースを使用して情報の明白な表現を確立し、自動脅威管理システムによる使用に適したコンピュータで処置可能なメッセージ単位（ＴＭＶ）を作成することができる。その場合、脆弱なシステムは、そのシステム自体を識別し、適切な対策を適用し、状態を追跡し、「介入要求（intervention required）」ベースのみでシステム・セキュリティ管理者（ＳＳＡ）を従事させることができる。

図１５は、先行出願によりコンピュータで処置可能なコンピュータ・セキュリティ脅威管理情報を生成するためのシステム、方法、およびコンピュータ・プログラムのブロック図である。図１５では、ＣＳＩＲＴまたは中央クリアリングハウス５１０′において、図５のメッセージ・エンコーダ５２０の機能がＴＭＶ発生器５２０′によって提供され、共通意味メタデータ５３０の機能がＴＭＡＮＡ５３０′に置き換えられている。

図１５を参照すると、ＴＭＶ発生器５２０′は、脆弱性、脅威、およびＡＰＡＲ情報を、人間による分析およびコンピュータ支援エンコードを介して、明白なコンピュータ解釈可能形式であるＴＭＶに変換する。ＴＭＶ発生器５２０′は、ＴＭＣＢ（図１３）の形でＴＭＡＮＡ５３０′によって維持されている１組の標準エンコードを参照する。ＴＭＡＮＡ５３０′はＴＭＣＢの参照整合性を維持し、標準エンコードに値を割り当てるという実際の作業はＮＩＳＴなどの外部割り当て番号機関に委託することができる。ＴＭＶは、コンピュータ可読フォーマットでターゲット・システム５４０に提供される。それぞれの特定の脆弱性、脅威、または対策ごとに、ＴＭＶは、ターゲット・システム・コンポーネントと、ターゲット・コンピュータ・システムにおける対策の自動適用を可能にするパラメータ化した対策インストール命令を規定する。

上記を考慮すると、本発明のいくつかの諸実施形態は、あらゆるＳＳＡ５５０などの多くの点から、ＴＭＶ発生器５２０′などの１つの点に、広範囲な脅威管理研究および分析の必要性を縮小することができる。これにより、動作脅威分析レベルでの脅威管理に関連する労力を削減することができる。その上、キー・データの標準エンコードの導入により、本発明の諸実施形態は、ターゲット・システムにおける脅威管理活動を自動化することができる。これにより、動作セキュリティ保守レベルでの脅威管理に関連する労力をさらに削減することができる。

コンピュータ・システムに関するコンピュータ・セキュリティ脅威対策の管理
図１６は、先行出願によりコンピュータ・システムに関するコンピュータ・セキュリティ脅威対策を管理するために実行可能な動作の流れ図である。これらの動作は、ターゲット・システム、たとえば、図２のターゲット・システムＴの１つあるいは図５または図１５のターゲット・システム５４０の１つで実行することができる。

次に図１６を参照すると、ブロック１６１０では、コンピュータ・システムに関するオペレーティング・システム・タイプおよびオペレーティング・システム・リリース・レベルのベースライン識別（baseline identification）が確立され、これはＴＭＶと互換性のあるものである。ブロック１６２０では、コンピュータ・セキュリティ脅威による影響を受けた少なくとも１つのオペレーティング・システム・タイプの識別を行う第１のフィールドと、そのオペレーティング・システム・タイプに関するオペレーティング・システム・リリース・レベルの識別を行う第２のフィールドと、オペレーティング・システム・タイプおよびオペレーティング・システム・リリース・レベルについて１組の可能な対策の識別を行う第３のフィールドとをそこに含むＴＭＶが受信される。他の諸実施形態では、ＴＭＶは、コンピュータ・セキュリティ脅威による影響を受けた少なくとも１つのアプリケーション・プログラム・タイプの識別を行う第４のフィールドと、そのアプリケーション・プログラム・タイプに関するリリース・レベルの識別を行う第５のフィールドとを含むこともできる。これらの諸実施形態では、第３のフィールドは、アプリケーション・プログラム・タイプおよびアプリケーション・プログラム・リリース・レベルについて１組の可能な対策の識別も行う。さらに他の諸実施形態では、ＴＭＶは、コンピュータ・セキュリティ脅威の識別を行う第６のフィールドを含むことができる。

図１６の説明を続けると、ブロック１６３０では、コンピュータ・セキュリティ脅威による影響を受けているコンピュータ・システムに関するオペレーティング・システム・タイプおよびオペレーティング・システム・リリース・レベルまたはアプリケーション・プログラム・タイプおよびアプリケーション・プログラム・リリース・レベルあるいはその両方をＴＭＶが識別するかどうかに関する判断が行われる。Ｙｅｓである場合、ＴＭＶで識別された対策がブロック１６４０で処理される。Ｎｏである場合、新しいＴＭＶの受信が待たれる。

図１７は、先行出願によるコンピュータ・セキュリティ脅威対策を管理するために実行可能な動作の流れ図である。図１７を参照すると、ブロック１６１０でベースライン識別が確立され、ブロック１６２０でＴＭＶが受信される。ブロック１６３０で一致が発生した場合、ブロック１７１０では、コンピュータ・システムに搭載されたオペレーティング・システムまたはアプリケーション・プログラムあるいはその両方の複数のインスタンスを説明するために、少なくとも１つのインスタンスＩＤがＴＭＶに追加される。次に、ブロック１６４０では、オペレーティング・システムまたはアプリケーション・プログラムあるいはその両方がコンピュータ・システムでインスタンス化されたときに、オペレーティング・システム・タイプおよびオペレーティング・システム・リリース・レベルまたはアプリケーション・プログラム・タイプおよびアプリケーション・プログラム・リリース・レベルあるいはその両方のインスタンスに関する対策が処理される。したがって、このような本発明の諸実施形態は、単一コンピュータ・システム内にオペレーティング・システムまたはアプリケーション・プログラムあるいはその両方の複数のインスタンスが存在する可能性があることを考慮に入れることができる。

図１８は、先行出願によるシステム、方法、およびコンピュータ・プログラムのブロック図である。図１８に図示されている通り、ＴＭＶ入力および密結合サイド・データ（tightly coupled side data）に基づいて、ターゲット・システム１８１０は、特定の脅威に対して脆弱であるかまたは特定の対策を必要とするものであるとそのシステム自体を識別し、適切な対策を自動的に開始し、状態を追跡し、「介入要求」ベースでシステム・セキュリティ管理者１８２０を従事させることができる。

さらに図１８を参照すると、セキュリティ管理担当者または同等の自動機能の開始時に、図５の共通意味データベース５３０とも呼ばれ、密結合サイド・データとも呼ばれる、図１３の脅威管理制御ブック（ＴＭＣＢ）５３０からの標準値を使用する脅威管理情報ベース（ＴＭＩＢ：Threat Management Information Base）コンフィギュレータ１８３０は、ＴＭＶ互換の情報構造と、図５のメッセージ・エンコーダ５２０とも呼ばれる図１３のＴＭＶ発生器５２０によって維持されるＴＭＶ履歴ファイル１８４０とを使用して、ターゲット・システム１８１０のベースラインＩＤおよび脆弱性状態を確立する。

さらに図１８を参照すると、新しいＴＭＶを受信すると、ＴＭＶインダクタ１８５０は、任意のオンボード・システム／サブシステム・イメージが影響を受けたかどうかを確認するためにＴＭＩＢをチェックする。影響を受けた場合、ＴＭＶインダクタ１８５０は、ＴＭＶから非関連のＴＭＶサブベクトルを取り除き、処理のためにそれを脆弱性状態マネージャ（ＶＳＭ：Vulnerability State Manager）１８６０に転送する。

ＶＳＭ１８６０は、新しい脆弱性または対策情報をＴＭＩＢ１８８０に組み込み、ＴＭＩＢ１８８０からの状態情報を使用し、任意の関連システムまたはサブシステム・イメージがアクティブである（インスタンス化されている）場合、修復マネージャ（ＲＭ：Remediation Manager）１８７０を呼び出して、示された対策の適用を監督する。修復中に修復マネージャ１８７０はＴＭＩＢ１８８０と対話して、現行の脆弱性状態および対策適用を維持する。ＶＳＭ１８６０は、同様に、システム／サブシステム初期プログラム・ロード時に修復マネージャ１８７０を呼び出すことができる。したがって、セキュリティ脅威管理に関してコンピュータ・システム内に自己修復機能（self-healingcapability）を設けることができる。

図１９は、先行出願によりコンピュータ・システムに対するコンピュータ・セキュリティ脅威対策を管理するために実行可能な動作の流れ図であり、図１８のブロック図を参照する。図１９を参照すると、ブロック１９１０では、インストール、構成、または保守刺激の受信時にＴＭＩＢ構成が実行される。ＴＭＩＢ構成により、ＴＭＶ履歴ファイルとも呼ばれるそのシステムに関するすべての先行対策を入手することができ、したがって、システムはすべての先行セキュリティ脅威に照らし合わせて最新の状態にすることができる。ＴＭＩＢ構成については以下に詳細に説明する。ブロック１９２０では、以下に記載する通り、新しいＴＭＶ入力刺激に応答して、ＴＭＶ誘導が実行される。ブロック１９３０では、ＴＭＩＢ構成ブロック１９１０に応答するか、ＴＭＶ誘導ブロック１９２０に応答するか、あるいはシステム／サブシステム・ブートまたはレジューム刺激に応答するかにかかわらず、すべてのＴＭＶを処理できるようにするためにブロック１９３０の脆弱性状態管理が実行される。ＴＭＶ内で識別された対策を処理するために、ブロック１９４０で修復管理が実行される。脆弱性状態管理１９３０は、処理割り込みまたは停止刺激（suspense stimulus）１９６０の発生時でもコンピュータ・システムの適正な状態を維持することができる。ブロック１９４０で修復管理が実行された後、ブロック１９５０でインストール構成または保守刺激、ＴＭＶ入力刺激、システム／サブシステム・ブート／レジューム刺激、あるいは処理割り込みまたは停止刺激などの新しい刺激が待たれる。

次に、先行出願によるＴＭＩＢ構成について説明する。ＴＭＩＢ構成は、図１８のＴＭＩＢコンフィギュレータ１８３０または図１９のＴＭＩＢ構成ブロック１９１０あるいはその両方によって実行することができる。ターゲット・システムがＴＭＶが向けられるはずのシステムまたはサブシステム・タイプの１つであるかどうかを判断するためにその後のインバウンドＴＭＶとの計算比較のためにＴＭＩＢ１８８０が容易に使用可能になるように、ＴＭＩＢ構成は、ターゲット・システムの初期および継続的ソフトウェア構成および脆弱性状態を決定的に指定する情報構造を構築することができる。これにより、ＴＭＶシステム／サブシステム・タイプおよびレベル情報をオンボード・システム／サブシステム・タイプおよびレベル情報と効率よく突き合わせるために、急速認識を行うことができる。その上、初期ＴＭＩＢ構成に基づく修復管理は、計算上の一貫性を可能にするために、定常状態動作中のインバウンドＴＭＶのその後の処理と事実上同一のものにすることができる。

いくつかの諸実施形態では、ＴＭＩＢ１８８０の初期構成は、初期非脆弱状態を確立するためにすべての脆弱性および対策情報とともにＴＭＶを処理することによって得られるものと計算上同等のものにすることができる。他の言い方をすると、初期設定されているシステム／サブシステムに関連するものとして歴史的に識別されたすべての対策は、バルク・モードで適用することができる。その後のインバウンドＴＭＶ情報は、表記上の一貫性のために単純な計算手段によってＴＭＩＢ１８８０に組み込むことができる。

したがって、先行出願により、ＴＭＶ発生器５２０は、ＴＭＶを発行すると、適用可能なシステムおよびサブシステムに対する適用可能な脆弱性に関する適用可能な対策の履歴を表すＴＭＩＢ項目の形で履歴ファイル１８４０を維持する。ＴＭＩＢ作成、ＴＭＶ履歴ファイル項目の構築、およびＴＭＶ誘導動作は、いずれも密接に関連するものにすることができる。特に、これらはいずれも、以下に記載する通り、ＴＭＶ構造上の明確な変形を伴うことができる。

図２０〜図２２に記載されている通り、ＴＭＩＢ生成は、本明細書で「ＴＭＶ変換（TMV transmutation）」と呼ばれるプロセスを使用して行うことができる。図２０に図示されている通り、システム・ベクトル（オペレーティング・システムの場合）またはサブシステム・ベクトル（アプリケーションの場合）はルートＴＭＶから抽出される。その上、従属システム・レベル・ベクトルは、ホスト名またはＩＰアドレスあるいはその両方などの特定のシステム・インスタンスを表すために、「インスタンスＩＤ」フィールドで増補される。これは、システムまたはサブシステムを識別する未使用ＴＭＩＢ構造を形成する。図２０はシステム・ベクトルのケースを例示しているが、同様の分類がサブシステム・ベクトルにも使用可能であることが理解されるであろう。

図２０に図示されている分類は、非常に高性能のシステムを表すことができる。たとえば、図２０に例示されているシステムは、３つのブート可能なシステム・タイプを有し、第１のシステム・タイプの３つのブート・イメージが使用可能であり、そのシステム・タイプの３つのリリース・レベルのそれぞれについて１つずつ使用可能である。複数の同時ロジカル・パーティション（ＬＰＡＲ：Logical PARtition）をサポートするマシン・アーキテクチャは、このカテゴリに該当する可能性がある。複数のブート・イメージを有するシステムはこれよりいくらか単純なものになる可能性がある。最も単純なシステムは、図２１に描写されているように、単一のブート・イメージを有する。

図２２に図示されている通り、次に、ルートＶキー・ベクトルは、ルートＶキー・ベクトルのアレイへのポインタで対策ベクトルを置き換え、各ルートＶキー・ベクトルを対策ベクトル・ポインタ・フィールドで増補することにより、再連結される。これにより、図２２に図示されている通り、ＴＭＶ履歴レコードと、Ｖキーおよび対策状態データが完全に入力されたＴＭＩＢと、誘導ＴＭＶからなる基本構造が作成される。図２２はあるシステムに関するデータ構造を示していることが理解されるであろう。しかし、サブシステムに関する構造も同様のものにすることができる。実際に、ＴＭＶ変換は、送信側の所望の言語から受信側の所望の言語にＴＭＶを変換することができる。

図２３は、先行出願によるＴＭＶ履歴ファイル保守のために実行可能な動作の流れ図である。これらの動作は、図１８のＴＭＶ発生器５２０によって実行することができる。図２３を参照すると、ブロック２３１０では、Ｖキーまたは対策刺激からＴＭＶ履歴レコード（ＨＲ：History Record）が構築される。ブロック２３２０では、影響を受けたシステムまたはサブシステムについてＨＲが検索される。ブロック２３３０でＨＲが検出された場合、ならびにブロック２３４０で新しいデータがＨＲデータに取って代わる場合、ブロック２３５０でＨＲデータが新しいデータで置き換えられる。これらの動作は、入力ＴＭＶ内の影響を受けたシステム／サブシステムごとに実行される。ブロック２３３０でＨＲが検出されない場合、ブロック２３７０で新しいＨＲが保管される。ブロック２３３０でＨＲが検出されたが、新しいデータがＨＲデータに取って代わらない場合、ブロック２３６０で新しいデータが既存のＨＲデータに追加される。

次に図２４を参照し、先行出願によるＴＭＩＢ構成に関する動作について説明する。これらの動作は、図１８のＴＭＩＢコンフィギュレータ１８３０または図１９のＴＭＩＢ構成ブロック１９１０あるいはその両方によって実行することができる。次に、図２４を参照すると、ブロック２４１０で、インストール、構成、または保守刺激の発生時に、管理されているシステム／サブシステムに関するＴＭＶ ＨＲが検索される。ブロック２４２０でＨＲが検出された場合、ブロック２４３０でシステム／サブシステムＭＩＢがＨＲデータからのＴＭＩＢで更新される。この更新は、システム／サブシステムに関する既存の関連脆弱性状態管理情報を破壊しないように実行することができる。検出されなかった場合、ブロック２４４０でシステムまたはサブシステムＭＩＢが未使用ＴＭＩＢで初期設定される。ブロック２４１０〜２４４０の動作は、管理されている各システムおよびサブシステムごとに実行される。

図２５および図２６は、先行出願によるＴＭＶ誘導のために実行可能な動作の流れ図である。これらの動作は、図１８のＴＭＶインダクタ１８５０または図１９のＴＭＶ誘導ブロック１９２０あるいはその両方によって実行することができる。次に図２５を参照すると、ＴＭＶ刺激の受信時に、ブロック２５１０で上述したＴＭＶ変換が実行される。ブロック２５２０では、ＴＭＩＢシステム／レベル・サブシステム／レベル・ベクトル・データがＴＭＶと比較される。ブロック２５３０で一致が検出された場合、ＴＭＶ内で識別された潜在的に脆弱なシステム／レベルまたはサブシステム／レベルが搭載されていると判断されている。動作はブロック２５５０で図２６に移行し、実際の脆弱性を判断する。これに反して、ブロック２５３０でいかなる一致も検出されなかった場合、ブロック２５４０で入力ＴＭＶが無視される。ブロック２５２０、２５３０、２５４０、および２５５０の動作は、アクティブであるかどうかにかかわらず、ＴＭＩＢ内の各オンボード・システム／レベルおよびサブシステム／レベルごとに実行することができる。次に動作はブロック２５６０で脆弱性状態マネージャに移行するが、これについては図２７に関連して説明する。

次に図２６を参照すると、ブロック２６１０では、ブロック２５５０でＴＭＶ内の潜在的に脆弱なシステム／レベルまたはサブシステム／レベルを識別したことに応答して、ＴＭＶシステムまたはサブシステム・レベルに関するＴＭＩＢ脆弱性／対策ベクトル・データがアクセスされる。ブロック２６２０では、ＴＭＩＢ脆弱性／対策ベクトル・データが各ＴＭＶ脆弱性ベクトルと比較される。ブロック２６３０で一致が検出された場合、ならびにブロック２６４０でＴＭＶデータがＴＭＩＢデータに取って代わる場合、ブロック２６５０でＴＭＩＢ脆弱性／対策データがＴＭＶからのデータでリセットされる。これに反して、ブロック２６３０で一致が検出されなかった場合、ブロック２６７０でＴＭＶからの新しいＴＭＩＢ脆弱性対策ベクトル・データが追加される。代わって、一致が検出されたが、ＴＭＶデータがＴＭＩＢデータに取って代わらない場合、ブロック２６６０でＴＭＶ脆弱性／対策ベクトル・データを無視することができる。ブロック２６２０〜２６７０の動作は、影響を受けたシステム／レベルまたはサブシステム／レベルに関するＴＭＶ内の各脆弱性ベクトルごとに実行することができる。

図２７は、先行出願による脆弱性状態管理のために実行可能な動作の流れ図である。これらの動作は、図１８の脆弱性状態マネージャ１８６０または図１９の脆弱性状態管理ブロック１９３０あるいはその両方によって実行することができる。次に図２７を参照すると、ブロック２７１０では、ＴＭＶ誘導刺激あるいはシステム／サブシステム・ブートまたはレジューム刺激に応答して、ＴＭＩＢベクトル・データがアクセスされる。ブロック２７２０では、図１８に記載する通り、修復マネージャが呼び出される。ブロック２７１０およびブロック２７２０の動作は、ＴＭＩＢ内の各アクティブ・システム／レベルおよびサブシステム／レベルごとに、それに関連する各脆弱性ベクトルごとに、さらに状態が「適用済み／検証済み（applied/verified）」を示さない脆弱性に関連する各対策ベクトルごとに、実行することができる。

次に図２８を参照して、先行出願による修復管理のために動作について説明する。これらの動作は、図１８の修復マネージャ１８７０または図１９の修復管理ブロック１９４０あるいはその両方によって実行することができる。図２８を参照すると、対策選択刺激に応答して、ブロック２８１０で対策ベクトル・データがアクセスされる。ブロック２８２０でＣＭ制御フィールドをチェックすることにより、対策状態がチェックされる。ブロック２８３０で検証済みである場合、ブロック２８７０で対策が無視される。対策が検証済みではないが、ブロック２８４０で適用済みである場合、対策は検証済みになり、「検証済み」状態に設定される。ブロック２８４０で対策が適用済みではない場合、ブロック２８５０で対策が適用済みになり、「適用済み」状態に設定される。ブロック２８２０〜２８７０の動作は、対策ベクトルに示される各対策ごとに実行することができる。

上述の通り、先行出願により、コンピュータ・システムは大いに自律型（自己修復性）になることができる。これにより、セキュリティ・パッチの適用に関連する人的労力ならびにそれに関連する人件費を削減することができる。先行出願の自律型特性のために、セキュリティ・パッチをより迅速に適用することができ、それにより、システム潜入試行からの回復に関連する露出期間およびそれに対応する総コストを削減することができる。

ターゲット・コンピュータ・システムのドメイン全域におけるコンピュータ・セキュリティ脅威対策の管理
上述の諸実施形態では、中央動作コンポーネント（時には脅威管理ベクトル（ＴＭＶ）発生器と呼ばれる）は、それぞれの脆弱性状態を査定し、削減したかまたは最小限にした人間による介入によって適切な１組の対策を適用するためにターゲット・システムが使用する情報を含むベクトルを各ターゲット・システムに配布する。各ターゲット・システムは、その入力について自律的に操作し、入力およびターゲット・システムの現行構成によって判断された適切な対策を適用することができ、修復処置の進行状況に関する状態情報を維持することができる。次に説明する諸実施形態は、ターゲット・コンピュータ・システムのドメインに対しＴＭＶを選択的に配布できる脅威管理ドメイン・コントローラ（ＴＭＤＣ：Threat Management Domain Controller）を提供することができる。ＴＭＤＣは、ＴＭＶに対して応答するものであり、ターゲット・コンピュータ・システムのドメインによる使用のために受信されたＴＭＶを処理し、処理されたＴＭＶをターゲット・コンピュータ・システムのドメイン内の少なくとも１つのターゲット・コンピュータ・システムに送信するように構成される。したがって、先行出願は、ターゲット・システムにおけるＴＭＶ配布またはＴＭＶ処理あるいはその両方の動作効率を潜在的に改善することができる。

図２９は、先行出願によるターゲット・コンピュータ・システムのドメインに対するコンピュータ・セキュリティ脅威対策の管理のためのドメイン制御システム、方法、またはコンピュータ・プログラムあるいはこれらの組み合わせのブロック図である。図２９に図示されている通り、ＴＭＤＣ２９１０は、ＴＭＶ発生器５２０によって生成されたコンピュータで処置可能なＴＭＶに対して応答するものである。ＴＭＤＣ２９１０は、ターゲット・コンピュータ・システム５４０のドメイン２９２０による使用のために受信されたＴＭＶを処理し、処理されたＴＭＶをターゲット・コンピュータ・システム５４０のドメイン２９２０内の少なくとも１つのターゲット・コンピュータ・システム５４０に送信するように構成される。

図２９の説明を続けると、ＴＭＤＣ２９１０は、１つまたは複数のエンタープライズ・システム、アプリケーション・システム、パーソナル・システム、パーベイシブ・システム、または組み込みコンピュータ・システム２９００あるいはこれらの組み合わせに常駐することができ、少なくとも一部は、ＴＭＶ発生器５２０を実行する同じコンピュータ・システム５１０またはドメイン２９２０内の１つまたは複数のターゲット・システム５４０あるいはこれらの組み合わせ上で動作することができる。ＴＭＤＣ２９１０は、ターゲット・システム５４０の集合の管理可能ドメイン２９２０内で動作する。ＴＭＤＣ２９１０は、ＴＭＶ発生器５２０とターゲット・コンピュータ・システム５４０との間を仲介することができる。いくつかの諸実施形態では、ＴＭＤＣは、ＴＭＶ発生器５２０がターゲット・コンピュータ・システムのＩＤ、構成、または動作状況あるいはこれらの組み合わせに関する知識を維持する必要性を低減または排除することができる。いくつかの諸実施形態では、ＴＭＤＣ２９１０は、ＴＭＶ伝送に使用される帯域幅またはＴＭＶ伝送のためのネットワーク・インフラストラクチャ・コンポーネントの使用状況あるいはその両方を改善または最適化することができる。いくつかの諸実施形態では、ＴＭＤＣ２９１０は、ＴＭＶの処理のためのターゲット・システム５４０における入出力サブシステム、バッファ記憶装置、またはＣＰＵ使用状況、あるいはこれらの組み合わせを低減または最小化することができる。その上、いくつかの諸実施形態では、ＴＭＤＣ２９１０は、ターゲット・システム・プログラム・インスタンス・インベントリ情報に関する中央ソースを提供することができる。

いくつかの諸実施形態では、各ターゲット・システム５４０に個別にＴＭＶを送信するのではなく、ＴＭＶ発生器５２０が１つまたは複数のＴＭＤＣ２９１０にＴＭＶを送信する。次に各ＴＭＤＣは、特定のターゲット・システム環境に適切である可能性のあるＴＭＶエレメントのみをそのドメイン２９２０内の各ターゲット・コンピュータ・システム５４０に確実に転送することができる。この機能は、少なくとも一部は、各ターゲット・システム５４０に関連するＴＭＩＢデータ２９３０のリアルタイムまたはほぼリアルタイムのレプリカのＴＭＤＣにおけるインスタンス化に基づいて提供することができる。また、図２９は単一のＴＭＤＣ２９１０と４つのターゲット・システムＡ〜Ｄを例示しているが、他の諸実施形態では複数のＴＭＤＣ２９１０を提供することができ、そのそれぞれが１つまたは複数のターゲット・システム５４０に関連する可能性があることも理解されるであろう。

上記で注目した通り、先行出願によれば、ＴＭＤＣは、ターゲット・コンピュータ・システムのドメインによる使用のために受信されたＴＭＶを処理し、処理されたＴＭＶをターゲット・コンピュータ・システムのドメイン内の少なくとも１つのターゲット・コンピュータ・システムに送信するように構成される。いくつかの諸実施形態では、この処理および送信は、ＴＭＶが少なくとも１つのターゲット・コンピュータ・システムに適用される場合に受信されたＴＭＶを少なくとも１つのターゲット・コンピュータ・システムに選択的に送信することによって実行される。他の諸実施形態では、この処理および送信は、受信されたＴＭＶ内の選択されたＴＭＶフィールドを少なくとも１つのターゲット・コンピュータ・システムに選択的に送信することによって提供される。さらに他の諸実施形態では、この処理および送信は、受信されたＴＭＶをターゲット・システムのドメインと互換性のあるフォーマットに変換することによって実行される。さらに他の諸実施形態では、この処理および送信は、選択された１つのターゲット・コンピュータ・システムにおいてプログラム・インスタンスを識別するプログラム・インスタンス（ＰＩ：Program Instance）ベクトルを生成し、そのＰＩベクトルを含むＴＭＶを選択された１つのターゲット・コンピュータ・システムに送信することによって実行される。さらに他の諸実施形態では、この処理および送信は、ターゲット・コンピュータ・システムのプログラム・インスタンスが使用不能であったために、以前、そのプログラム・インスタンスに送信されなかったＴＭＶを、そのプログラム・インスタンスが使用可能になったときに送信することによって実行される。さらに他の諸実施形態では、この処理および送信は、ターゲット・コンピュータ・システムのドメインのすべてのプログラム・インスタンスにＴＭＶが提供されるまでＴＭＶを保管し、その後、ＴＭＶをパージすることによって提供される。これらの様々な諸実施形態については以下に詳細に説明する。

次に、本発明のいくつかの諸実施形態によるＴＭＤＣによるＴＭＶの変換について説明する。先行出願では、ＴＭＶ発生器は、送信側による計算に最も適した形式で情報を表現するために最適化できる形式のＴＭＶを作成した。その場合、ＴＭＶを受信するターゲット・システムは、入力に関する「変換」を実行して、ターゲット・システム自体である受信側による計算に最も適した形式で情報を表現するために最適化できる形式のＴＭＶを作成した。

対照的に、先行出願の他の諸実施形態によれば、ＴＭＶ変換は、そのドメイン２９２０内のターゲット・システム５４０のためにＴＭＤＣ２９１０によって実行される。変換済みＴＭＶは、たとえば、先行出願に記載されていた変換済みＴＭＶの「インスタンスＩＤ」フィールドの特殊化により、インベントリ管理指向のデータ構造で増補することができる。このＴＭＶデータ構造は、ターゲット・コンピュータ・システムにおいて対策のインストールを支配するために協調方式でそのドメイン内のＴＭＤＣとターゲット・システムの両方によって使用することができる。その仲介機能の一部はターゲット・システムからＴＭＤＣ２９１０のＴＭＩＢ¹２９３０にＴＭＩＢ１８８０の一部分を複製することによって可能にすることができるので、特定のターゲット・システムに関連するＴＭＶデータ・エレメントのみがそのターゲット・システムによって受信されるように、ＴＭＤＣ２９１０は各ターゲット・システム５４０に送信されるＴＭＶの内容をカスタマイズする。

図３０は、先行出願に広範に記載されているＴＭＶの分類全般を例示している。図３０では、いくつかのベクトル・フィールド名は簡略化されており、ベクトル制御フィールドは「ＣＦ」と示されている。その上、ルート脆弱性ベクトルは、先行出願では「ルートＣＶＥベクトル」とも呼ばれていた。

同じく先行出願に記載されていた通り、ターゲット・システムは、受信側による計算に最も適した形式で情報を表現するために最適化することができる形式を作成するために、ＴＭＶについて変換を実行していた。図３１は、先行出願の変換済みＴＭＶの分類を例示している。この場合も、いくつかのベクトル・フィールド名は簡略化されており、ベクトル制御フィールドは「ＣＦ」と示されている。

次に先行出願によるプログラム・インスタンス（ＰＩ）ベクトルの生成および使用について説明する。先行出願では、図３１ならびに図２０〜図２２に図示されていたシステム・レベル・ベクトルおよびサブシステム・レベル・ベクトルの「インスタンスＩＤ」フィールドの内容はＰＩベクトルへのポインタを提供する。このポインタは本明細書ではＰＩロケータと呼ばれる。ＰＩロケータおよびＰＩベクトルは図３２に図示されている。しかし、他の諸実施形態では、ＰＩロケータまたはＰＩベクトルあるいはその両方は「インスタンスＩＤ」以外の既存のＴＭＶフィールドを使用する場合もあれば、新しいＴＭＶフィールドを使用する場合もあることが理解されるであろう。

ＰＩベクトルは、システムまたはサブシステムのタイプおよびレベルのプログラム・インスタンスと、各ターゲット・システム内のプログラム・インスタンスに情報およびプログラム制御をルーティングするためのローカル・アドレスと、ＴＭＤＣの管理可能ドメイン内のターゲット・システムにＴＭＶデータをネットワーク・ルーティングするためのグローバル・アドレスとを識別するデータ構造である。所与のシステム／サブシステムおよびレベルについて複数のＰＩベクトル・コンポーネントが存在し、それぞれがターゲット・システム環境内のそのタイプのオンボード・プログラムの特定のインスタンスを表す可能性がある。ＰＩベクトルは、以下に記載する通り、インスタンス化し構成することができる。

次に、先行出願により、ＴＭＤＣによって処理されたＴＭＶを追跡し、ターゲット・コンピュータ・システムのプログラム・インスタンスが使用不能であったために、以前、そのプログラム・インスタンスに送信されなかったＴＭＶの送信を、そのプログラム・インスタンスが使用可能になったときに制御するためのＴＭＶ世代番号（ＴＭＶＧＮ：TMV Generation Number）の生成および使用について説明する。特に、ターゲット・システムまたはそのＰＩのうちのいくつかが使用不能の期間を有することは一般的である可能性がある。例としては、ターゲット・システムＰＩの初期構成および初期プログラム・ロード（ＩＰＬ：InitialProgram Load）以前の期間、ならびにＰＩが「電源遮断」されているＰＩのＩＰＬとＩＰＬとの間の期間を含む。これらの期間中、ＴＭＶをＰＩに直接伝達できると期待することは実現可能ではない可能性があり、それにより、ＴＭＶがＴＭＶ発生器（ＴＭＶＧ：TMVGenerator）によって生成され普及されたが、ターゲット・システムＰＩによって受信されていない時間の隙間が発生する可能性がある。

これらのターゲット・システムＰＩの可用性が再確立したときにこれらの隙間の範囲を精密に把握し解決できるようにするために、先行出願では、ＴＭＶＧＮというデータ構造を提供することができる。ＴＭＶＧＮは、０などの初期値でＴＭＶ履歴ファイル内に最初にインスタンス化される。ＴＭＶＧによってＴＭＶが作成されるたびに、ＴＭＶ履歴ファイルから現行ＴＭＶＧＮが検索され、その値が、たとえば、＋１ずつ増分される。ＴＭＶにおける送信のために、新しいＴＭＶＧＮがＴＭＶルート脆弱性ベクトルに記録される。また、新しいＴＭＶデータがＴＭＶ履歴ファイルに組み込まれたときに、新しいＴＭＶＧＮによりＴＭＶ履歴ファイル（ＴＭＶＧＮ）が置き換えられる。先行出願により、ＰＩが構成され、そのＰＩベクトル・コンポーネントがターゲット・システムＴＭＩＢでインスタンス化されると、ＰＩベクトル・コンポーネントはＴＭＶＧＮフィールドで増補される。構成動作に使用されるＴＭＶ履歴ファイル・データに関連するＴＭＶＧＮはＴＭＶＧＮフィールドに保管される。したがって、このＴＭＶＧＮ保守により、各ターゲット・システムＰＩがその使用不能中にどのＴＭＶを「見逃した」かを精密に把握し、ターゲット・システムＰＩが使用可能になったときにターゲット・システムＴＭＩＢに欠落情報を入力することは可能である。

図３３〜図３５は、先行出願による関連データ構造に対するＴＭＶＧＮ構成の影響を要約している。上述した通り、ＴＭＶＧＮフィールドは、グローバルの範囲でＴＭＶ履歴ファイル全体に追加される。ＴＭＶＧＮフィールドは、図３３に図示されている通り、ルート脆弱性ベクトルに追加される。図３４には変換済みＴＭＶも図示されている。図３４にも図示されている通り、ＴＭＶＧＮは変換済み構造内の脆弱性ベクトルとともに移動する。最後に、図３５に図示されている通り、ＰＩが最後に把握したＴＭＶＧＮを表すフィールドがＰＩベクトルに追加される。

次に、先行出願により、ターゲット・コンピュータ・システムのドメインですべてのプログラム・インスタンスにＴＭＶが提供されるまでＴＭＶを保管し、その後、ＴＭＶをパージするように構成されるドメイン蓄積交換リポジトリ（ＤＳＦＲ：Domain Store and Forward Repository）について説明する。以下に記載する通り、ターゲット・システムのＰＩインベントリと各ＰＩ ＴＭＩＢにすでに組み込まれたＴＭＶを登録するためのターゲット・システムの機能を想定すると、どのＴＭＶが中央ＴＭＶ発生器によって生成されたが、ＴＭＤＣターゲット・システムによって受信されていないかをＴＭＤＣが精密に把握することは可能である。ＤＳＦＲは、この知識を計測するためのメカニズムを提供する。一般に、安定したネットワーク・トポロジでは、ＴＭＤＣの存在がそのドメイン内のターゲット・システムに「先行する（predate）」ものであって、固定可能な何らかの時点、すなわち、ＴＭＶ生成シーケンス内の何らかの点が存在する。これについて他の言い方をすると、ＴＭＤＣが把握している最高ＴＭＶＧＮより大きいＴＭＶＧＮをそのＴＭＩＢ内に有するターゲット・システムがそのドメイン内にまったく存在しない。

したがって、安定した脅威管理ドメイン内の行儀の良い動作の場合、ＴＭＤＣは、任意の所与の時間にその自由裁量で、その世代番号（ＴＭＶＧＮ）がそのドメイン内で「最も若い」（最も遅く構成されたかまたは使用不能期間後に最も遅く接触される）ターゲット・システムＰＩで構成された最高ＴＭＶＧＮより大きいＴＭＶのみを有するだけでよい可能性がある。さもなければ、ＴＭＤＣは、そのＴＭＶＧＮがそのドメイン内の任意のターゲット・システムＰＩが把握しているものより小さいかまたはそれに等しいが、冗長情報になると思われるＴＭＶを有する必要がある可能性がある。というのは、先行出願に記載した通り、ターゲット・システムは常に、構成動作の時間までに生成されたすべてのＴＭＶで構成される可能性があるからである。

したがって、先行出願では、そのＴＭＶＧＮがそのドメイン内の登録されたターゲット・システムＰＩのすべてによって報告された最低ＴＭＶＧＮより小さくなるかまたはそれに等しくなるまで、ＴＭＤＣによってＴＭＶＧから受信された各ＴＭＶがそこにカタログ化されるようなＤＳＦＲが提供される。パージ・ポイント（purge point）は、そのＴＭＶＧＮが品質基準を満足するものとして定義することができる。したがって、パージ・ポイントは、ＤＳＦＲを小さいサイズに保持するために効率の良いシステムを提供することができる。したがって、ＤＳＦＲは、パージ・ポイントより大きいＴＭＶＧＮを有するすべてのＴＭＶデータを含むＴＭＶ履歴ファイル・サブセットと見なすことができる。ＤＳＦＲは、ＴＭＶ蓄積交換として図２９の２９４０に例示されている。

次に、先行出願によるＰＩ登録について説明する。いくつかの諸実施形態によれば、少なくとも１つのターゲット・システムは複数のＰＩを有し、ターゲット・システムは複数のＰＩをＴＭＤＣに登録するように構成される。いくつかの諸実施形態では、それぞれのＰＩ自体がＴＭＤＣに登録するように構成される。他の諸実施形態では、ターゲット・システム自体がターゲット・システム内の複数のＰＩをＴＭＤＣに登録するように構成される。

より具体的には、所与の脅威管理ドメイン内で、ＴＭＤＣは、ＩＰアドレス・ホスト名またはその他のアドレスあるいはその両方などの周知のアドレスを有することができる。このアドレスは、たとえば、すでに記載したターゲット・システム構成プロセス中に、ターゲット・システムにとって既知のものにすることができる。最も早い都合の良い時間に、たとえば、割り当てサービス・ポートを介して脅威管理ドメイン内の各ターゲット・システムのＰＩがＴＭＤＣに登録される。ターゲット・システム内の各ＰＩごとに、システム／サブシステム・ベクトル、システム／サブシステム・レベル・ベクトル、およびＰＩベクトルを含むそのＴＭＩＢのその部分がＴＭＤＣに報告され、登録情報を表すＴＭＩＢファクシミリ（ＴＭＩＢ′２９３０）内のＴＭＤＣによって保管されるように、「ＰＩ登録要求（PI Registration Request）」プロトコル・データ単位（ＰＤＵ：Protocol Data Unit）がＴＭＤＣに送信される。先行出願によれば、登録は少なくとも２通りの方法で制御することができる。すなわち、いくつかの諸実施形態では、たとえば、ＴＭＤＣとのセッションを確立し、そのＴＭＩＢ情報を送信することにより、プログラム初期設定シーケンス中にプログラム・インスタンスがそれ自体を登録することができる。代わって、その環境内のＰＩのために動作するターゲット・システム制御プログラムまたはシステムがＴＭＤＣとのセッションを確立し、そのＰＩのすべてを増分式に登録することができる。

図３６は、先行出願によるＰＩ登録のブロック図である。図３６に図示されている通り、２つの単純な（単一ＰＩ）ターゲット・システム５４０はそれぞれ、その最後に把握されたＴＭＶＧＮとともに、特定のシステム／サブシステムのタイプおよびレベルのＰＩをＴＭＤＣ２９１０に登録する。次にその情報は、ＴＭＤＣによって維持されるＴＭＩＢファクシミリ２９３０に保管される。図３６では、ＴＭＩＢ′（Ａ）はターゲット・システムＡに関連するＴＭＩＢ′（ＰＩ）の集合を表すことに留意されたい。

登録を完了するために、ＴＭＤＣは「登録応答ＰＤＵ（Registration Response PDU）」を返すが、これは、要求された脆弱性／対策情報で増補された元の要求データ、すなわち、登録中にターゲット・システムによって報告されたＴＭＶＧＮより大きいＴＭＶＧＮを有する所与のシステム／サブシステムのタイプおよびレベルに関連するすべての脆弱性ベクトルを含む。戻り脆弱性／対策情報（ある場合）を組み込むと、ターゲット・システムは、新たに組み込まれた情報の最高ＴＭＶＧＮを有する「ＰＩ登録肯定応答ＰＤＵ（PIRegistration Acknowledgement PDU）」を返す。次にＴＭＤＣは、肯定応答ＴＭＶＧＮでそのＴＭＩＢ′（Ａ）を更新する。図３７は、図３６に例示されている諸実施形態に関する登録シーケンスを例示している。ＰＤＵは、図３７の参照番号３５１０〜３５３０によって図示されているシーケンスで送信される。図３８は、先行出願によるＰＩ登録のために実行可能な動作の流れ図である。

次に、先行出願によるＴＭＶリフレッシュについて説明する。ＴＭＤＣへのＰＩ登録に関連して上述した通り、ＴＭＤＣは、ＤＳＦＲの物理的サイズを縮小または最小化するために、ＤＳＦＲ「パージ・ポイント」を行使することができる。先行出願では、ＴＭＶのリフレッシュを支配するためにＴＭＶリフレッシュ・プロトコルを提供することができる。
１．ＴＭＶリフレッシュ・プロトコルでは、ターゲット・システムＰＩの構成とＴＭＤＣへのその初期登録との間に過剰な期間がたまたま存在する可能性がある。このような場合、構成プロセスによって組み込まれた最高ＴＭＶＧＮがＤＳＦＲ内に保持されている最低ＴＭＶＧＮより２以上低いことが可能であり、これは、ＴＭＤＣにとって容易に使用可能なＴＭＶ情報とＰＩ登録に使用されるものとの隙間を表すことができる。このような場合、先行出願によれば、欠落ＴＭＶ情報を入手するためにＴＭＤＣがＴＭＶリフレッシュ・プロトコルをＴＭＶＧに関与させる間、ターゲット・システム登録プロセスを一時停止することができる。
２．プロトコル・データ単位（ＰＤＵ）は、図３９に例示されている通り、ＴＭＤＣとＴＭＶＧとの間で交換される。「ＴＭＶリフレッシュ要求（TMV Refresh Request）」ＰＤＵは、応答の相関のための要求ＩＤと、ＴＭＤＣに把握されている最低ＴＭＶＧＮと、登録されるシステム／サブシステムのタイプおよびレベルを含むターゲット・システムのＰＩ登録情報と、そのＰＩベクトルとを有する。これらのベクトルは、登録されるシステム／サブシステムのタイプおよびレベルのそれぞれについてターゲット・システムＰＩによって把握されている最高ＴＭＶＧＮも含む。その「ＴＭＶリフレッシュ応答（TMVRefresh Response）」ＰＤＵでは、ＴＭＶＧは、そのＴＭＶＧＮがＰＩについて報告されたものより大きいが、ＴＭＤＣについて報告されたものより小さいシステム・タイプおよびレベルに適用可能な脆弱性を表す脆弱性ベクトルを要求ＰＤＵの各システム・レベル・ベクトルに付加し、その結果、情報内の隙間を塞ぐ。応答を受信すると、ＴＭＤＣは、リフレッシュ情報をＰＩ登録応答ＰＤＵに組み込むことにより、ＰＩ登録を完了することができる。したがって、図３９は、ＴＭＶリフレッシュ・プロトコルが含まれるＰＩ登録プロトコルを例示している。メッセージ・フローは、図３９の３７１０〜３７５０によって示されているように進行することができる。
３．図４０は、先行出願によるＴＭＶリフレッシュを行うために実行可能な動作の流れ図である。図４０に図示されている通り、ＴＭＶリフレッシュを確立するために、図３８の流れ図の接合部Ａに図４０のロジックが挿入される。図４０のＴＭＶＧＮ（Ｌ，Ｈ）は、ある範囲内の最低（Ｌ）と最高（Ｈ）を表すＴＭＶＧＮ対を意味する。
４．次に、先行出願によるＰＩ再較正（PI recalibration）について説明する。ＰＩ自体が登録を開始させる場合もあれば、その制御の範囲内でＰＩのためにターゲット・システムの制御プログラムまたはシステムによって登録が行われる場合もあることはすでに記載されている。一般にＴＭＴＢとＰＩとＴＭＤＣとの間の交換についても同じことが当てはまる可能性がある。ＰＩ登録後の時間の経過につれて、（そのＴＭＩＢがＴＭＤＣにとってアクセス不能になり、ＴＭＤＣがＰＩ ＴＭＴＢにとってアクセス不能になるように）特定のＰＩが使用不能になる可能性がある。また、ＰＩが（たとえば、ＩＰＬとＩＰＬとの間に）シャットダウンされる可能性もあれば、ターゲット・システム全体が使用不能になる可能性もある。
５．このような期間の間、ＴＭＤＣがＰＩとの関連性のあるＴＭＶを受信し続ける可能性があること、ならびにターゲット・システムＰＩに対するこのような新しい情報の配布が一時的に妨げられることが考えられる。ＤＳＦＲにより、ＴＭＤＣは、それらがその後使用可能になるまで、ＰＩ ＴＭＩＢに対するＴＭＶの配信を差し控えるよう装備される。
６．このようなターゲット・システムまたはＰＩがその後使用可能になると、それらは、その使用不能の期間中にＴＭＤＣによって受信されたすべての関連ＴＭＶをそれらに配信することにより、新しい脅威管理情報で再較正する必要がある場合もある。
７．先行出願によれば、登録が行われたときにＰＩを表すＴＭＩＢ′をＴＭＤＣがすでに処理可能であることを除き、ＰＩ再較正は、事実上、ＰＩ登録とまったく同じに実施することができる。したがって、ＰＩ再較正はＰＩ登録として定義することができ、ＴＭＤＣはＰＩに関する既存のＴＭＩＢ′を処理する。最終的な効果は、その使用不能中に見逃されたすべての関連ＴＭＶをＰＩが受信することである可能性がある。
８．次に、先行出願によるＰＩ登録解除について説明する。特に、ターゲット・システムの特定のＰＩがアンインストールされるか、またはその他の方法で永続的にターゲット・システムの動作環境から除去されることが考えられる。このような処置は、当然のことながら、ターゲット・システムからＰＩのＴＭＩＢを除去することを伴う可能性がある。先行出願によれば、ＰＩ登録解除は、ＰＩ除去と同時に実行することができる。ＰＩ登録解除は、ＴＭＤＣ情報ベースからＰＩの知識を完全に除去することができる。
９．図４１は、ＰＩ登録解除の一例を例示している。ターゲット・システム（Ａ）からのＰＩ（Ａ１）の除去中に、ＰＩまたはターゲット・システム（いずれであれ該当するケース）は、３９１０に図示されている通り、「ＰＩ登録解除要求（PI Deregistration Request）」ＰＤＵをＴＭＤＣに送信する。受信すると、ＴＭＤＣは、３９２０に図示されている通り、ターゲット・システムＡに関するそのＴＭＩＢ′のうち、指定するＰＩを表す部分を破壊する。次にＴＭＤＣは、３９３０によって図示されている通り、「ＰＩ登録解除応答（PIDeregistration Response）」ＰＤＵをターゲット・システムＡに返し、したがって、登録解除が完了したことを示す。ターゲット・システムで応答を受信すると、除去されるＰＩを表すＴＭＩＢは、３９４０に図示されている通り、破壊される。
１０．次に、先行出願による入力ＴＭＶ処理について説明する。入力ＴＭＶ処理は、上述した様々な諸実施形態のうちのいくつかまたは全部を取り入れることができる。特に、先行出願によれば、ターゲット・システムではなくＴＭＤＣがＴＭＶを受信する。各脅威管理ドメイン内では、ＴＭＤＣは、それぞれのドメイン内のターゲット・システムに対し、ターゲット・システムのＣＰＵまたはバッファあるいはその両方の使用状況の改善を可能にするか、またはドメイン内のネットワークの使用状況の改善を可能にするか、あるいはその両方を可能にするようにカスタマイズされた処理済みＴＭＶを転送する。この潜在的な効率を達成するために、前に述べた規定に加えて、先行出願では、以下の動作も含むことができる。これらの動作は、図４２の４９１０〜４９６０によって図示されており、以下に説明する。
１１．「ＴＭＶ誘導（TMV induction）」の「ＴＭＶ変換（TMV transmutation）」は、ターゲット・システムから除去され、４９１０でＴＭＤＣに関連する同様のまたは同一のＴＭＶ誘導によって置き換えられ、その結果、ターゲット・システム集団全域にわたって複数回ではなく、脅威管理ドメイン内で１回だけ、変換が実行される。４９２０では、ＴＭＶ変換後、ＴＭＶの内容がＤＳＦＲに組み込まれ、新しい入力を反映するようにＤＳＦＲ ＴＭＶＧＮが更新される。４９３０では、そのドメイン内の各ターゲット・システムごとに、ＴＭＤＣが各ターゲット・システムに関する各ＴＭＩＢ′内のＰＩシステム／サブシステムおよびレベル情報を質問し、変換済み入力ＴＭＶの対応するベクトル・コンポーネントとの一致を探す。比較基準と一致すると判明した各ＰＩごとに、４９４０で、一致基準に対応するシステム／サブシステムおよびレベル・ベクトル、脆弱性ベクトル、ならびに対策ベクトルのみを含むカスタマイズされた変換済みＴＭＶがＴＭＶから複製（clone）される。
１２．ＴＭＶは、４９５０で、前に述べたＰＩ登録中にターゲット・システムによって供給されたルーティング情報を使用して、ターゲット・システムＰＩに送信される。そのＰＩに関するＴＭＶインダクタが使用可能である場合、それは受信ＴＭＶＧＮを有するＰＤＵ内で受信を肯定応答する。さもなければ、ＴＭＶ配布は、自動修正になり、４９２０および前に述べた本発明の諸実施形態により、ＰＩがもう一度使用可能になったときに、ＰＩ再較正の結果として実施されることになる。そのドメイン内の適格で使用可能なＰＩのすべてが処理されると、４９６０で変換済み入力ＴＭＶが破壊される。図４２では、ターゲット・システムＡが１つのＰＩ（Ａ１）を有し、それが入力ＴＭＶの内容による影響を受けることに留意されたい。ターゲット・システムＢは２つのＰＩ（Ｂ１およびＢ２）を有し、それらはいずれも入力ＴＭＶの内容による影響を受ける。最後に、ターゲット・システムＣも２つのＰＩ（Ｃ１およびＣ２）を有するが、そのいずれも入力ＴＭＶの内容による影響を受けない。
１３．図４３は、図４２に関連して説明した入力ＴＭＶ処理のための動作の流れ図である。図４４は、ＴＭＶエミッタ（TMV emitter）による入力ＴＭＶ処理の流れ図である。図４５は、ＴＭＶレスポンダ（TMV responder）によるＴＭＶ処理の流れ図である。
１４．最後に、先行出願によるＴＭＶ同期について説明する。特に、先行出願では一般に、ＴＭＤＣがＴＭＶＧとの安全なＴＣＰ／ＩＰ（またはその他の）セッションを維持するものと想定する可能性があるが、１つのセッションなどの特定の期間の間、使用不可になるかまたはその他の理由で使用不能になる可能性があることが考えられる。特定の状況では、この結果、ＴＭＤＣがＴＭＶＧによって生成された何らかのＴＭＶまたは複数ＴＭＶのシーケンスを見逃す可能性がある。すなわち、ＴＭＤＣとＴＭＶＧが非同期になる可能性がある。このような状況に対処するため、先行出願では、以下の規定により、しかも図４６に図示されている通り、ＴＭＤＣのＤＳＦＲのＴＭＶＧＮを２以上超えるＴＭＶＧＮを有するＴＭＶをＴＭＤＣが受信した場合に、ＴＭＤＣが「ＴＭＶＧＮ同期（TMVGN Synchronization）」を開始して欠落ＴＭＶを獲得すると規定することができる。
１５．４３１０で、「開始ＴＭＶＧＮ（Starting TMVGN）」フィールドおよび「終了ＴＭＶＧＮ（Ending TMVGN）」フィールドを含む「同期要求（SynchronizeRequest）」ＰＤＵが定義される。これらは、ＤＳＦＲからのＴＭＶＧＮ＋１と、同期の破壊をＴＭＤＣに検出させたＴＭＶからのＴＭＶＧＮ値−１をそれぞれ示す。応答として、４３２０で、ＴＭＶＧは、そのＴＭＶ履歴ファイルからＴＭＶを再構成することにより、要求内に指定されたＴＭＶＧＮの範囲を表す、要求側ＴＭＤＣに対する複数ＴＭＶの増分シーケンスを開始する。
１６．特定のＴＭＶが前のＴＭＶに「取って代わる（supersede）」という事実により、履歴シーケンス内の特定のＴＭＶＧＮがその老朽化により実際に欠落することになる可能性がある。このような場合、所与の同期要求ＰＤＵを満足しながら、ＴＭＶＧは、１つまたは複数の「ヌル」ＴＭＶを生成し、そのＴＭＶＧＮを無視しなければならないことを示す可能性がある。ヌルＴＭＶは、ルート脆弱性ベクトルの適切な制御フィールドに示す（またはより低いレベル・ベクトルの欠如によって示すかあるいはその両方）ことができ、そのベクトルのＴＭＶＧＮフィールドは無視すべきＴＭＶＧＮを示す。その他のフィールドは推奨されない可能性がある。
１７．したがって、先行出願は、ＴＭＶ発生器とターゲット・コンピュータ・システムの１つまたは複数のドメインとの間に介入する脅威管理ドメイン・コントローラを提供することができる。多層脅威管理アーキテクチャを提供することにより、先行出願はスケーラビリティを改善または最大化することができる。ネットワーク帯域幅と、ターゲット・システムのＣＰＵおよびバッファ使用状況とを含む、全体的なリソース要件については、低減または最小化あるいはその両方を行うことができる。ターゲット・システムへの処置可能な脅威管理情報の確実な配信は強化することができる。その上、人間主体の作業の必要性は低減または排除することができる。特に、ターゲット・システムに関する脆弱性インベントリの管理者主導初期構成は低減または排除することができる。また、ＴＭＶＧＮは、ある形式の時間較正、すなわち、脅威管理時間連続体（threat management time continuum）内のクロックの目盛り（tick）を表すために使用することができる。
１８．先行出願は、各ターゲット・システムが実際に必要とする情報のみを必要とされるときにのみ受信できるという点で、情報の流れを改善または最適化することができる。その上、計算効率を提供することもできる。また、先行出願は、当然のことながら、自動修正にすることができる。「パージ・ポイント」構成は、ＴＭＤＣ内のＴＭＶデータに関する記憶域を削減または最小化することができる。「ヌルＴＭＶ」構成は、時間の連続性を維持することができる。最後に、初期登録時にＴＭＶＧＮをゼロに設定するという規則により、システムがそれらにとって関連性のある履歴脅威管理情報でターゲット・システムを自動構成することになり、それにより、ターゲット・システムの脆弱性インベントリの初期構成に関する人間による介入の必要性を置き換えることができ、実現する際に重要な運用コスト要因を低減または排除することもできる。

ターゲット・コンピュータ・システム全域における侵入検知および侵入応答
先行出願の実現例の運用経過中に、ＰＩなどの適切なシステムまたはサブシステムあるいはその両方のために対策ベクトル（ＣＶ：Countermeasures Vector）がインストールされ、それが指定する修復が適用される。このような修復は、関連の脆弱性（関連の脆弱性ベクトルによって識別されるもの）に対するＰＩの露出を低減または帳消しにすることができる。

しかし、あるＰＩに関する１つの対策または１組の対策を適用するときに、偶然にまたは故意に関連の脆弱性がすでに悪用されており、その結果、ＰＩが損なわれている可能性がある。これは、「侵入」と呼ばれる。このような場合、脆弱性に対するＰＩの露出を帳消しにすることに関連する対策は、単独では、ほとんど即座に役に立たない可能性がある。

本発明のいくつかの諸実施形態は、脆弱性を修復することができ、協調して侵入を阻止し根絶することもできる。特に、侵入がその存在の証拠を確立することは珍しいことではない。侵入がこのような証拠を隠蔽するかまたは隠蔽しようと試みる可能性のある場合でも、多くの場合、このような隠蔽を見抜くために使用可能な技法が存在する。たとえば、ＵＮＩＸ（登録商標）ベースのシステムでは、侵入は、まず「ｐｓ」コマンド（実行プロセスを表示するもの）を置き換えることにより、その実行プロセスを隠蔽する可能性がある。しかし、ｐｓコマンドの破壊されていないインスタンスの形の対策を実行できる場合、侵入するプロセスを明らかにすることができる。

本発明のいくつかの諸実施形態は、その修復が適用される前に脆弱性が悪用されたことを検出することが可能である状況に対処することができる。したがって、本発明のいくつかの諸実施形態は、先行出願により確立された脆弱性修復機能に加えて、プログラム・インスタンス（ＰＩ）などのシステムまたはサブシステムあるいはその両方への侵入の検出および修復を自動化できるシステム、方法、コンピュータ・プログラム、またはデータ構造あるいはこれらの組み合わせを提供することができる。

本発明のいくつかの諸実施形態は、先行出願で実施された脆弱性修復（ＶＲ：Vulnerability Remediation）機能に加えてまたはその機能に併せてあるいはその両方で、「侵入検知」（ＩＤ：IntrusionDetection）および「侵入応答」（ＩＲ：Intrusion Response）に関するメカニズムを組み込むために、先行出願によって導入された脅威管理ベクトル（ＴＭＶ）の構造に対する拡張機能を提供することができる。また、本発明のいくつかの諸実施形態は、ターゲット・コンピュータ・システムの集合全域において同時にこれらのメカニズムの動作も提供する。

したがって、本発明のいくつかの諸実施形態は、以下のものを含む複数クラスの機能性を組み込むために、先行出願によって導入された対策ベクトルの内容を特殊化することができる。すなわち、侵入検知ベクトルは、ＴＭＶの脆弱性ベクトルによって識別された脆弱性の効果的悪用の証拠に関する１つまたは複数のテストを含む。侵入応答ベクトルは、悪用によって誘導された侵入に関連するエレメントの阻止および除去に関する命令を伝達する。このようなエレメントは、ＴＭＶの脆弱性ベクトルによって識別された脆弱性に関連する侵入検知ベクトルによって検出することができる。最後に、脆弱性修復ベクトルは、一般に、先行出願に指定された対策ベクトルと同様のものにすることができる。脆弱性修復ベクトルは、ＴＭＶの脆弱性ベクトルによって識別された脆弱性を構成するものとして識別された状況およびプロパティの修復に関する命令を伝達する。

したがって、本発明のいくつかの諸実施形態によるコンピュータで処置可能なＴＭＶは、コンピュータ・セキュリティ脅威による影響を受けた少なくとも１つのシステム・タイプの識別を行うコンピュータ可読フィールドと、そのシステム・タイプに関するリリース・レベルの識別を行うコンピュータ可読フィールドと、システム・タイプおよびリリース・レベルについてコンピュータ・セキュリティ脅威の侵入を検出するテストの識別を行うコンピュータ可読フィールドとを含むことができる。また、これらのＴＭＶは、本明細書では侵入検知ベクトルと呼ぶこともできる。本発明の諸実施形態による他のＴＭＶは、検出されたコンピュータ・セキュリティ脅威の侵入を除去するための命令を識別するコンピュータ可読フィールドを含む。これらの諸実施形態は、本明細書では侵入応答ベクトルと呼ぶこともできる。最後に、さらに他の諸実施形態では、コンピュータ可読フィールドは、システム・タイプおよびリリース・レベルについて可能な対策の識別も行う。これらの諸実施形態は、本明細書では脆弱性修復ベクトルと呼ぶこともできる。

図４７は、対策ベクトルの「制御フィールド」を使用して対策クラスを区別するために使用可能な技法を例示している。対策クラスは、対策ベクトル・コンポーネント内の対策パラメータ（ＣＭパラメータ）の構文および意味を示すために使用される対策タイプ（ＣＭタイプ）と混同してはならない。

対策ブラケット（Countermeasure bracketing）により、単一のＴＭＶ伝送における複数の論理的に別個のクラスの対策ベクトルの伝達が可能になる。対策ブラケットを論理的に表現するための１つの方法を以下に示す。以下に示す通り、２つのブラケットが存在する。第１のブラケットは単一の対策（ＣＭ１）を収容し、第２のブラケットは２つの順次対策（ＣＭ２，ＣＭ３）と代替例（ＣＭ４）との選択を収容する。ブラケット内の括弧（）は、対策の論理グループ化を示すために使用される。
［（ＣＭ１）］［（ＣＭ２＆ＣＭ３）｜（ＣＭ４）］

上記の例は、図４８に注釈が付けられている通り、検知結果が否定である場合に脆弱性修復（ＶＲ）対策ブラケット［（ＣＭ２＆ＣＭ３）｜（ＣＭ４）］の適用を可能にする侵入検知（ＩＤ）対策ブラケット［（ＣＭ１）］を含む対策ベクトルを表すことができる。単一の対策指定を含むブラケットまたはグループをそれぞれ示すための図４８の「ユニタリ・ブラケット（Unitary Bracket）」および「ユニタリ・グループ（Unitary Group）」という用語に留意されたい。また、ブール論理式の使用にも留意されたい。

図４９に図示されている通り、対策ブラケットにより、単一のＴＭＶ伝送における複数の論理的に別個のクラスの対策ベクトルの伝達が可能になる。

以下の表は、対策ブラケット方法を実現する対策ベクトル構文解析および論理制御メカニズムの一例を示している。

次に、本発明のいくつかの諸実施形態による対策ステージング（Countermeasure staging）について説明する。特に、本発明のいくつかの諸実施形態は、複数パート（複数の）対策ベクトルを含むようにＴＭＶデータ構造を拡張することができる。先行出願により総称的に導入された「脆弱性修復対策」（ＶＲＣ：VulnerabilityRemediation Countermeasures）に加えて、ＴＭＶは、「侵入検知対策」（ＩＤＣ：Intrusion DetectionCountermeasures）ブラケットおよび「侵入応答対策」（ＩＲＣ：Intrusion Response Countermeasures）ブラケットも収容することができる。

所与の脆弱性に関する悪用が、それに関連する「フットプリント（footprint）」、すなわち、その悪用によるターゲット・システム・プログラム・インスタンス（ＰＩ）への潜入を検出するための何らかの方法を有する場合、ＩＤＣブラケットはこのような証拠についてテストするための命令を収容し、ＩＲＣブラケットはその悪用を阻止し、そのフットプリントを除去し、いくつかの諸実施形態では任意の付随的な損害を修復するための命令を収容する。

一般に脆弱性を有するＰＩは悪用されておらず、このため、最初にＩＲ対策を受信する必要がない可能性があることが理解されるであろう。「対策ステージング」は、そのドメイン蓄積交換リポジトリ（ＤＳＦＲ）内の脅威管理ドメイン・コントローラ（ＴＭＤＣ）による中間保管のためにＩＲＣブラケットのＴＭＶ発生器コンポーネントによる送信を行うことができる。残りのＴＭＶペイロードは、先行出願のように、ターゲット・ペイロードとして扱うことができる。

図５０は、単一のＰＩタイプおよびレベルに影響を及ぼし、ＩＤ対策ブラケット、ＩＲ対策ブラケット、およびＶＲ対策ブラケットを伴う、脆弱性に関する対策ステージングを例示している。図５０に図示されている通り、ＴＭＶ発生器は、ドメイン・コントローラ２９１０′にＴＭＶ ＰＤＵ４７１０を送信する。ドメイン・コントローラ２９１０は、入力ＴＭＶを変換し、その内容をそのＤＳＦＲ２９４０に追加する。そのドメイン内で影響を受けたＰＩを識別すると、ドメイン・コントローラ２９１０′はターゲット・システムにＴＭＶ（−ＩＲ対策）を送信し、ターゲット・システムは４７３０においてＴＭＶ ＡＣＫ ＰＤＵで応答する。他の諸実施形態では、これらの動作にＴＭＤＣ２９１０′を使用する必要がないことが理解されるであろう。その上、代替諸実施形態では、ＴＭＤＣ２９１０′またはその他の機能あるいはその両方は、変換済みＴＭＶの初期転送時にターゲット・システムＰＩにＣＭペイロード全体（すべてのブラケット）を伝達することができる。これは、ドメイン内のターゲットＰＩがすでに損なわれている確率次第で、あまり効率が良くない可能性がある。

特定の状況では、ＴＭＶ ＰＤＵの受信時に、関連の脆弱性（ＴＭＶ ＰＤＵによって識別されたもの）をターゲットにする悪用によってターゲット・システムＰＩがすでに潜入され損なわれている可能性があることが実情である可能性がある。図５１は、ＴＭＤＣとターゲット・システムＰＩとの間のプロトコルがＴＭＶに関連する脆弱性の悪用による潜入の検出によってどのように変更されるかを例示している。本質的に、（先行出願のように）ＴＭＤＣにＴＭＶ ＡＣＫ ＰＤＵを返す代わりに、ターゲット・システムＰＩはむしろ、「侵入応答対策」（ＩＲＣ）要求ＰＤＵ（ＩＲＣ ＲＥＱ ＰＤＵ）を返す。この信号は、その保管ＩＲ対策を取り出し、ＩＲＣブラケットとして他のＴＭＶでそれらを転送するようＴＭＤＣに要求する。また、この信号は、ＰＩに関するそのＴＭＩＢ′２９３０で脆弱性が悪用されたと判明したことを示すために、ＴＭＤＣによって使用される可能性があることにも留意されたい。特に、図５１は、図５０に例示されたＰＤＵフローがＴＭＶの対象脆弱性ベクトルに関連する侵入の検出によってどのように変更される可能性があるかを示している。本質的に、ＴＭＶ ＡＣＫ ＰＤＵを返す代わりに、ターゲット・システムＰＩは４８３０でＩＲＣ ＲＥＱ ＰＤＵを返す。

その上、本発明の諸実施形態では、図２７に記載し、図５２にも図示されている「脆弱性状態管理（Vulnerability State Management）」動作を追加の「侵入検知」動作で増補することができ、その範囲は破線の枠４９１０によってマークされ、図５３で詳細に拡大されている。

また、先行出願では、履歴シーケンス内の特定のＴＭＶＧＮがその老朽化のために欠落することになることをその「ＴＭＶＧＮ同期」動作内で表すために、「ヌルＴＭＶ」というデータ構造も導入していた。これらの動作は、先行出願の「ＴＭＶ発生器」と「脅威管理ドメイン・コントローラ」というコンポーネント間のプロトコルで使用されていた。先行出願によって記載されている通り、ヌルＴＭＶは図５４に図示されている形式を有することができる。

ヌルＴＭＶは、変換済み形式で構築されたＴＭＶであり、脆弱性ベクトルは、所与のシステム／サブシステムのタイプおよびレベルに関する対策がまったく存在しないことを示す。ヌル（変換済み）ＴＭＶは、一般に、このようなやり方で先行出願で使用されている。本発明の諸実施形態では、異なる形式のヌルＴＭＶを使用することができる。これは、使用可能なＩＲ対策がまったく存在しないことを示すために、特に「ＩＲＣ ＲＥＱ ＰＤＵ」に応答して、本発明の諸実施形態で使用することができる。ヌル（変換済み）ＴＭＶは図５５に図示されている形式を有することができる。

次に、本発明の様々な諸実施形態による侵入応答について説明する。侵入応答は、ＩＲＣ ＲＥＱ ＰＤＵに応答することに関連するデータおよび処理と、供給されたＩＲ対策ブラケットのその後の適用に対処する。図５６は、侵入応答がＩＤＣおよびＩＲＣ対策ブラケットを有するＴＭＶに関連する全体的なメッセージおよび制御フロー内にどのように収まることができるかを例示している。参照番号５３１０〜５３３０は「対策ステージング」に関連するフローを識別し、参照番号５３４０は「侵入検知」に関連するフローを識別する。参照番号５３５０〜５３６０は「侵入応答」に関連するフローを識別する。

次に図５６を参照すると、５３５０では、ＴＭＤＣ２９１０′は、要求されたＩＲＣブラケットを検索し、関連の脆弱性を表すＴＭＶ内にそれをパッケージ化し、それをターゲット・システムＰＩ１８８０に返すことにより、ターゲット・システムＰＩ１８８０からのＩＲＣ ＲＥＱ ＰＤＵに応答する。使用可能なＩＲＣブラケットがまったく存在しない場合、ＴＭＤＣは、その代わりに先行出願で定義された「ヌル変換済みＴＭＶ」を送信する。ＴＭＶを受信し、ＰＩのＴＭＩＢにＩＲＣブラケットを組み込んだ後、またはヌルＴＭＶを受信した後、ターゲット・システム５４０は、５３６０においてＴＭＶ ＡＣＫ ＰＤＵで応答する。ＴＭＶ ＡＣＫ信号は、ＰＩに関するそのＴＭＩＢ′２９３０内で脆弱性が侵入応答に関してスケジュールされていることを示すために、これに関連してＴＭＤＣによって使用することができる。

図５７〜図６０は、侵入応答が先行出願のロジックにどのように影響を及ぼす可能性があるかを図示している。図５８は、先行出願の「ＴＭＶレスポンダ」に対するその影響を図示している。図５９および図６１は、図６０にも図示されている図２６のブロック２６６０の「ＴＭＶ誘導」に対するその影響を図示している。

次に、本発明の諸実施形態による侵入応答対策（ＩＲＣ）リレーについて図６２に関して説明する。ＩＲＣリレーは、ターゲット・システムＰＩがすでにＩＲＣ ＲＥＱ ＰＤＵを発行した脆弱性についてＴＭＤＣがＴＭＶ発生器からＩＲ対策ブラケットを受信する状況を扱う。換言すれば、ターゲット・システムＰＩは、侵入を検出し、ＩＲ対策を要求したが、ＩＲ対策はその後、使用可能になるだけである。この場合、５７１０で、満たされていないＩＲＣ ＲＥＱ ＰＤＵが受信されたことをそのＰＩに関するＴＭＩＢ′が示す場合、ドメイン・コントローラ２９１０′はＩＲ対策を含むＴＭＶをターゲット・システムに直ちに送信し、ターゲット・システムは５７２０においてＴＭＶ ＡＣＫ ＰＤＵで応答し、ＩＲＣ ＲＥＱが満たされたことを示すためにＴＭＤＣはＴＭＩＢ′をマークする。

したがって、本発明の諸実施形態は、脆弱性修復システムを非常に効果的な侵入検知および応答メカニズムに変形することもできる。ターゲット・システム・プログラム・インスタンスに対する処置可能な侵入検知および応答情報の確実な配信（その自己修復特性による）を提供することができる。本発明の諸実施形態は、類推により脅威管理を有機システムにモデル化することができ、そこで脅威管理ベクトル発生器（ＴＭＶＧ）は脳機能を提供することができ、ターゲット・システム・プログラム・インスタンスは生体器官を表し、神経受容体／作動体機能を提供することができ、脅威管理ドメイン・コントローラ（ＴＭＤＣ）は脊髄機能を提供することができる。

図面および明細書には、本発明の諸実施形態が開示されており、特定の用語が使用されているが、これは、制限のためではなく総称的かつ記述的意味でのみ使用されており、本発明の範囲は特許請求の範囲に示されている。

従来のセキュリティ脅威管理技法を例示するブロック図である。 先行出願によりコンピュータで処置可能なコンピュータ・セキュリティ脅威管理情報を生成できる環境のブロック図である。 先行出願によりコンピュータで処置可能なセキュリティ脅威管理情報を生成するために実行可能な動作の流れ図である。 先行出願による脅威管理ベクトルのデータ構造の概要を示す図である。 先行出願によりコンピュータで処置可能なセキュリティ脅威管理情報を生成するためのシステム、方法、またはコンピュータ・プログラム、あるいはこれらの組み合わせのブロック図である。 先行出願によりメッセージ・エンコーダによって脅威管理ベクトルを生成するために使用可能な動作の流れ図である。 先行出願による脅威管理ベクトルおよびサブベクトルの詳細なデータ構造を例示する図である。 先行出願による脅威管理ベクトルおよびサブベクトルの詳細なデータ構造を例示する図である。 先行出願による脅威管理ベクトルおよびサブベクトルの詳細なデータ構造を例示する図である。 先行出願による脅威管理ベクトルおよびサブベクトルの詳細なデータ構造を例示する図である。 先行出願による脅威管理ベクトルおよびサブベクトルの詳細なデータ構造を例示する図である。 先行出願による脅威管理ベクトルおよびサブベクトルの詳細なデータ構造を例示する図である。 先行出願による脅威管理ベクトルおよびサブベクトルの詳細なデータ構造を例示する図である。 先行出願による脅威管理ベクトルおよびサブベクトルの詳細なデータ構造を例示する図である。 先行出願によりコンピュータで処置可能なコンピュータ脅威管理情報を生成するためのシステム、方法、またはコンピュータ・プログラム、あるいはこれらの組み合わせのブロック図である。 先行出願によるコンピュータ・セキュリティ脅威対策を管理するために実行可能な動作の流れ図である。 先行出願によるコンピュータ・セキュリティ脅威対策を管理するために実行可能な動作の流れ図である。 先行出願によるシステム、方法、およびコンピュータ・プログラムのブロック図である。 先行出願によるコンピュータ・セキュリティ脅威対策を管理するために実行可能な動作の流れ図である。 先行出願によるＴＭＶ変換を受けるときの本発明の諸実施形態による脅威管理ベクトルを例示する図である。 先行出願によるＴＭＶ変換を受けるときの本発明の諸実施形態による脅威管理ベクトルを例示する図である。 先行出願によるＴＭＶ変換を受けるときの本発明の諸実施形態による脅威管理ベクトルを例示する図である。 先行出願によるＴＭＶ履歴ファイル保守のために実行可能な動作の流れ図である。 先行出願による脅威管理情報ベース（ＴＭＩＢ）構成のために実行可能な動作の流れ図である。 先行出願によるＴＭＶ誘導のために実行可能な動作の流れ図である。 先行出願によるＴＭＶ誘導のために実行可能な動作の流れ図である。 先行出願による脆弱性状態管理のために実行可能な動作の流れ図である。 先行出願による修復管理のために実行可能な動作の流れ図である。 先行出願によるターゲット・コンピュータ・システムのドメインに対するコンピュータ・セキュリティ脅威対策の管理のためのシステム、方法、およびコンピュータ・プログラムのブロック図である。 先行出願による脅威管理ベクトルおよび変換された脅威管理ベクトルの詳細なデータ構造を例示する図である。 先行出願による脅威管理ベクトルおよび変換された脅威管理ベクトルの詳細なデータ構造を例示する図である。 先行出願によるプログラム・インスタンス・ベクトルおよびプログラム・インスタンス位置を含む脅威管理ベクトルおよびサブベクトルの詳細なデータ構造を例示する図である。 先行出願による脅威管理ベクトルの詳細なデータ構造を例示する図である。 先行出願による脅威管理ベクトルの詳細なデータ構造を例示する図である。 先行出願による脅威管理ベクトルの詳細なデータ構造を例示する図である。 先行出願によるプログラム・インスタンス登録のブロック図である。 先行出願によるプログラム・インスタンス登録のブロック図である。 先行出願によるプログラム・インスタンス登録のために実行可能な動作の流れ図である。 先行出願による脅威管理ベクトル・リフレッシュのブロック図である。 先行出願による脅威管理ベクトル・リフレッシュのために実行可能な動作の流れ図である。 先行出願によるプログラム・インスタンス登録解除のブロック図である。 先行出願による入力脅威管理ベクトル処理のブロック図である。 先行出願による入力脅威管理処理のために実行可能な動作の流れ図である。 先行出願により、脅威管理ベクトル・エミッタによる入力脅威管理ベクトル処理のために実行可能な動作の流れ図である。 先行出願により、脅威管理ベクトル・レスポンダによる入力脅威管理ベクトル処理のために実行可能な動作の流れ図である。 先行出願による脅威管理ベクトル同期のブロック図である。 本発明のいくつかの諸実施形態による対策ベクトルのデータ構造を例示する図である。 本発明のいくつかの諸実施形態により、論理式、ブラケット、またはグループ、あるいはこれらの組み合わせを含む、対策ベクトルのデータ構造を例示する図である。 本発明の他の諸実施形態による対策ベクトルのデータ構造を例示する図である。 本発明のいくつかの諸実施形態による対策ステージングのブロック図である。 本発明のいくつかの諸実施形態による侵入検知のブロック図である。 本発明のいくつかの諸実施形態による侵入検知を伴う脆弱性状態管理のための動作の流れ図である。 本発明のいくつかの諸実施形態による侵入検知のための動作の流れ図である。 先行出願によるルート脆弱性ベクトルのデータ構造を例示する図である。 本発明のいくつかの諸実施形態による脅威管理ベクトルのデータ構造を例示する図である。 本発明のいくつかの諸実施形態による侵入応答のブロック図である。 本発明の様々な諸実施形態による侵入応答のための動作の流れ図である。 本発明の様々な諸実施形態による侵入応答のための動作の流れ図である。 本発明の様々な諸実施形態による侵入応答のための動作の流れ図である。 本発明の様々な諸実施形態による侵入応答のための動作の流れ図である。 本発明の様々な諸実施形態による侵入応答のための動作の流れ図である。 本発明のいくつかの諸実施形態による侵入応答対策リレーのブロック図である。

Claims (20)

1. コンピュータ・セキュリティ脅威管理情報を生成する方法において、
   コンピュータ・セキュリティ脅威の通知または前記コンピュータ・セキュリティ脅威の侵入を検出するテストの通知あるいはその両方を受信するステップと、
   受信された前記通知からコンピュータで処置可能な脅威管理ベクトル（ＴＭＶ）を生成するステップであって、前記ＴＭＶが、前記コンピュータ・セキュリティ脅威による影響を受けた少なくとも１つのシステム・タイプの識別を行うコンピュータ可読フィールドと、前記システム・タイプに関するリリース・レベルの識別を行うコンピュータ可読フィールドと、システム・タイプおよびリリース・レベルについて前記コンピュータ・セキュリティ脅威の侵入を検出する前記テストの識別を行うコンピュータ可読フィールドとをそこに含むステップと、
   複数のターゲット・システムによる処理のために、生成された前記ＴＭＶを前記複数のターゲット・システムに送信するステップとを有する方法。
2. 前記ＴＭＶが、システム・タイプおよびリリース・レベルについて可能な対策の識別を行うコンピュータ可読フィールドをさらに含む、請求項１に記載の方法。
3. 前記ＴＭＶが第１のＴＭＶであり、
   前記方法が、前記コンピュータ・セキュリティ脅威の侵入が検出されたというターゲット・システムからの通知に応答して、第２のＴＭＶを生成するステップであって、
   前記第２のＴＭＶが、検出された前記コンピュータ・セキュリティ脅威の前記侵入を除去するための命令を識別するコンピュータ可読フィールドをそこに含むステップと、前記ターゲット・システムによる処理のために、生成された前記第２のＴＭＶを前記ターゲット・システムに送信するステップと
   をさらに有する、請求項１に記載の方法。
4. 前記ＴＭＶが、システム・タイプおよびリリース・レベルについて前記コンピュータ・セキュリティ脅威の侵入を検出する複数のテストの識別またはシステム・タイプおよびリリース・レベルについて複数の可能な対策の識別あるいはその両方の識別を行うコンピュータ可読フィールドをさらに含む、請求項２に記載の方法。
5. 前記コンピュータ・セキュリティ脅威の侵入が検出されたというターゲット・システムからの通知に応答して、ヌルＴＭＶを生成するステップであって、
   前記ヌルＴＭＶが、検出された前記コンピュータ・セキュリティ脅威の前記侵入を除去するためのいかなる命令も使用不能であることを識別するコンピュータ可読フィールドをそこに含むステップと、
   前記ターゲット・システムによる処理のために、生成された前記ヌルＴＭＶを前記ターゲット・システムに送信するステップと
   をさらに有する、請求項１に記載の方法。
6. 前記ＴＭＶが第１のＴＭＶであり、前記ヌルＴＭＶを送信する前記ステップに続いて、検出された前記コンピュータ・セキュリティ脅威の前記侵入を除去するための命令の受信に応答して、第２のＴＭＶを生成するステップであって、前記第２のＴＭＶが、検出された前記コンピュータ・セキュリティ脅威の前記侵入を除去するための前記命令を識別するコンピュータ可読フィールドをそこに含むステップと、前記ターゲット・システムによる処理のために、生成された前記第２のＴＭＶを前記ターゲット・システムに送信するステップが行われる、請求項５に記載の方法。
7. 前記可能な対策が、前記侵入を除去するための対策または前記侵入によって引き起こされた損害を修復するための対策あるいはその両方を含む、請求項２に記載の方法。
8. 前記受信ステップ、前記生成ステップ、および前記送信ステップが、脅威管理ドメイン・コントローラによって実行される、請求項１に記載の方法。
9. コンピュータ・セキュリティ脅威管理情報を処理するように構成されたコンピュータ・プログラムにおいて、
   前記コンピュータ・プログラムが、コンピュータ可読プログラム・コードがそこに実施されているコンピュータで使用可能な記憶媒体を有し、
   前記コンピュータ可読プログラム・コードが、
   コンピュータで処置可能な脅威管理ベクトル（ＴＭＶ）をターゲット・システムで受信するように構成されたコンピュータ可読プログラム・コードであって、
   前記ＴＭＶが、コンピュータ・セキュリティ脅威による影響を受けた少なくとも１つのシステム・タイプの識別を行うコンピュータ可読フィールドと、前記システム・タイプに関するリリース・レベルの識別を行うコンピュータ可読フィールドと、システム・タイプおよびリリース・レベルについて前記コンピュータ・セキュリティ脅威の侵入を検出するテストの識別を行うコンピュータ可読フィールドとをそこに含むコンピュータ可読プログラム・コードと、
   前記ＴＭＶの受信に応答して、前記コンピュータ・セキュリティ脅威の侵入を検出する前記テストを前記ターゲット・システムで実行するように構成されたコンピュータ可読プログラム・コードと
   を有するコンピュータ・プログラム。
10. 前記ＴＭＶが第１のＴＭＶであり、前記コンピュータ・プログラムが、前記コンピュータ・セキュリティ脅威の侵入が検出されたという前記ターゲット・システムからの通知を送信するように構成されたコンピュータ可読プログラム・コードと、検出された前記コンピュータ・セキュリティ脅威の前記侵入を除去するための命令を識別するコンピュータ可読フィールドをそこに含む第２のＴＭＶを受信するように構成されたコンピュータ可読プログラム・コードと、前記第２のＴＭＶを受信したことに応答して、検出された前記コンピュータ・セキュリティ脅威の前記侵入を除去するための前記命令を前記ターゲット・システムで実行するように構成されたコンピュータ可読プログラム・コードとをさらに有する、請求項９に記載のコンピュータ・プログラム。
11. 前記ＴＭＶが、システム・タイプおよびリリース・レベルについて複数のテストの識別を行うコンピュータ可読フィールドをさらに含み、前記テストを実行するように構成された前記コンピュータ可読プログラム・コードが、前記ＴＭＶを受信したことに応答して、前記コンピュータ・セキュリティ脅威の侵入を検出する前記複数のテストを前記ターゲット・システムで実行するように構成されたコンピュータ可読プログラム・コードを有する、請求項９に記載のコンピュータ・プログラム。
12. 前記コンピュータ・セキュリティ脅威の侵入が検出されたという前記ターゲット・システムからの通知を送信するように構成されたコンピュータ可読プログラム・コードと、検出された前記コンピュータ・セキュリティ脅威の前記侵入を除去するためのいかなる命令も使用不能であることを識別するコンピュータ可読フィールドをそこに含むヌルＴＭＶを受信するように構成されたコンピュータ可読プログラム・コードとをさらに有する、請求項９に記載のコンピュータ・プログラム。
13. 前記ＴＭＶが第１のＴＭＶであり、前記コンピュータ・プログラムが、検出された前記コンピュータ・セキュリティ脅威の前記侵入を除去するための前記命令を識別するコンピュータ可読フィールドをそこに含む第２のＴＭＶを受信するように構成されたコンピュータ可読プログラム・コードと、前記第２のＴＭＶを受信したことに応答して、検出された前記コンピュータ・セキュリティ脅威の前記侵入を除去するための前記命令を前記ターゲット・システムで実行するように構成されたコンピュータ可読プログラム・コードとをさらに含む、請求項１２に記載のコンピュータ・プログラム。
14. コンピュータ・セキュリティ脅威による影響を受けた少なくとも１つのシステム・タイプの識別を行うコンピュータ可読フィールドと、前記システム・タイプに関するリリース・レベルの識別を行うコンピュータ可読フィールドと、システム・タイプおよびリリース・レベルについて前記コンピュータ・セキュリティ脅威の侵入を検出するテストの識別を行うコンピュータ可読フィールドとを有する、コンピュータで処置可能な脅威管理ベクトル（ＴＭＶ）。
15. システム・タイプおよびリリース・レベルについて可能な対策の識別を行うコンピュータ可読フィールドをさらに有する、請求項１４に記載のＴＭＶ。
16. 検出された前記コンピュータ・セキュリティ脅威の前記侵入を除去するための命令を識別するコンピュータ可読フィールドをさらに有する、請求項１４に記載のＴＭＶ。
17. システム・タイプおよびリリース・レベルについて前記コンピュータ・セキュリティ脅威の侵入を検出する複数のテストの識別またはシステム・タイプおよびリリース・レベルについて複数の可能な対策の識別あるいはその両方の識別を行うコンピュータ可読フィールドをさらに有する、請求項１４に記載のＴＭＶ。
18. 検出された前記コンピュータ・セキュリティ脅威の前記侵入を除去するためのいかなる命令も使用不能であることを識別するコンピュータ可読フィールドをさらに有する、請求項１４に記載のＴＭＶ。
19. 前記システム・タイプがプログラム・インスタンス・タイプである、請求項１４に記載のＴＭＶ。
20. コンピュータ・セキュリティ脅威の通知または前記コンピュータ・セキュリティ脅威の侵入を検出するテストの通知あるいはその両方を受信するための手段と、
    受信された前記通知からコンピュータで処置可能な脅威管理ベクトル（ＴＭＶ）を生成するための手段であって、
    前記ＴＭＶが、前記コンピュータ・セキュリティ脅威による影響を受けた少なくとも１つのシステム・タイプの識別を行うコンピュータ可読フィールドと、前記システム・タイプに関するリリース・レベルの識別を行うコンピュータ可読フィールドと、システム・タイプおよびリリース・レベルについて前記コンピュータ・セキュリティ脅威の侵入を検出する前記テストの識別を行うコンピュータ可読フィールドとをそこに含む手段と、
    生成された前記ＴＭＶを複数のターゲット・システムに送信するための手段と、
    生成された前記ＴＭＶを前記複数のターゲット・システムで受信するための手段と、
    前記ＴＭＶの受信に応答して、前記コンピュータ・セキュリティ脅威の侵入を検出する前記テストを前記ターゲット・システムで実行するための手段と
    を有するコンピュータ・セキュリティ脅威管理システム。

Images