JP2019501441A - シミュレーションおよび仮想現実に基づくサイバー行動システム - Google Patents

Abstract

サイバー行動を計算予測し、サイバーアクター間のサイバー対話を作成できるように、サイバーアクターに関連するサイバー行動を管理するためのサイバーセキュリティシステム。システムは、対話エンジンおよび解析ワークフローエンジンから入力データおよびデータを受信し、受信データに基づいて複数のサイバー行動空間を生成するように構成されたサイバー行動空間管理モジュールを含む。システムは、サイバーアクターデータを処理して、サイバー行動空間、サイバーシーン、サイバーマップ、および他のサイバーアクターとの対話を容易にするように構成された対話エンジンを含む。システムは、解析されたデータおよび対話エンジンデータに基づいてサイバー行動空間を解析し、サイバーデータを更新するように構成された解析ワークフローエンジンを含む。システムは、視覚化を計算し、視覚化を送信して表示するように構成された視覚化エンジンを含む。

Description

本発明のいくつかの実施形態は、概して、サイバーセキュリティ、特に、シミュレーションおよび仮想現実に基づくサイバー行動システムおよびサイバー行動システム間の知識共有に関する。

本出願は、参照により本明細書に組み込まれる、２０１６年７月１４日に出願された米国仮出願第６２／３６２，３４６号の優先権を主張する。

伝統的に、ネットワーク防御側は情報の断片だけを見直し、ネットワーク上で実際に何が起こっているのかを理解するのに役立つ。潜在的な行動コース、防御的な操作、および強制的なシナリオの強要を見るために、ネットワーク全体をシミュレートすることは非常に困難で人手を要する。現在のサイバーセキュリティの練習では、防御側はお互いに対戦することができるが、練習はネットワーク上で起こりうるシナリオのすべてを網羅していない。毎日、新しい脅威の数と複雑さが増し、ネットワークの防御側が現在のサイバー運用システムに追いつくのはますます難しくなる。

一般に、企業や組織はサイバーセキュリティ関連の問題を独自に処理している。彼らが情報を共有するときは、通常、サイバーセキュリティ関連のデータの共有を促進するための業界または政府の方針と枠組みを通じて行われる。情報を共有するための伝統的な方法では、攻撃の量や速度を処理するには十分ではない。企業が、ネットワーク内で、またはセクター、複数のセクター、若しくは国家を守るために戦っているネットワーク間で積極的に防御できる人材を企業を十分に活用することはできない。

開示される主題によれば、システム、方法、および非一時的なコンピュータ可読媒体は、サイバーアクターに関連するサイバー行動を管理するためのサイバーセキュリティシステムを提供し、サイバー行動を計算および予測し、サイバーアクターとの間のサイバー対話を作成することができる。

いくつかの実施形態では、開示される主題は、サイバー行動空間管理モジュール、対話エンジン、解析ワークフローエンジン、および視覚化エンジンを含むサイバーセキュリティシステムを含む。いくつかの実施形態では、サイバー行動空間管理モジュールは、対話エンジン、解析ワークフローエンジン、および視覚化エンジンと通信している。いくつかの実施形態では、サイバー行動空間管理モジュールは、入力サイバーデータ、センサデータ、エンリッチメントデータ、および第三者データのうちの少なくとも１つを含む入力データ、対話エンジンからのデータ、および解析ワークフローエンジンからのデータの入力データの少なくとも１つを受信するように構成される。いくつかの実施形態では、サイバー行動空間管理モジュールは、入力データ、対話エンジンからのデータ、および解析ワークフローエンジンからのデータのうちの少なくとも１つに基づいて複数のサイバー行動空間を生成するように構成され、複数のサイバー行動空間の各々は、サイバー行動空間データを含む。いくつかの実施形態では、サイバー行動空間データは、サイバーデータを含み、サイバーデータは、入力サイバーデータおよび変換入力サイバーデータのうちの少なくとも１つを含み、サイバーアクターデータは、複数のサイバーアクターに関連し、およびサイバーシーンデータは、複数のサイバーシーンに関連し、サイバー行動空間データは、サイバー行動空間データは、複数の次元、複数のモード、および複数のスケールによって定義される。いくつかの実施形態では、対話エンジンは、複数のサイバーアクターのうちの第１のサイバーアクターに関連する第１のサイバーアクターデータを受信するように構成され、第１のサイバーアクターはリアルサイバーアクターおよびシミュレートアクターの少なくとも１つを含む。いくつかの実施形態では、対話エンジンは、受信した第１のサイバーアクターデータを処理して、第１のサイバーアクターとサイバー行動空間、サイバーシーン、およびサイバーマップのうちの少なくとも１つとの間の第１の対話、サイバーマップは、複数のサイバー行動空間の少なくとも１つに関連し、第１のサイバーアクターと複数のサイバーアクターのうちの第２のサイバーアクターとの間の第２の対話とを容易にする。いくつかの実施形態では、対話エンジンは、第１の対話および第２の対話の少なくとも１つに関連するデータを送信するように構成される。いくつかの実施形態では、解析ワークフローエンジンは、複数のサイバー行動空間のそれぞれに関連付けられたサイバー行動空間データを解析して、サイバー行動を計算し、サイバーデータ、サイバーアクターデータ、およびサイバー行動空間データの少なくとも１つに基づくサイバーシーンデータ、計算されたサイバー行動、および計算されたサイバー行動の割り当てをサイバーデータ、サイバーアクターデータ、およびサイバーシーンデータ、第１の対話、および第２の対話のうちの少なくとも１つを更新するように構成される。いくつかの実施形態では、対話エンジンは、更新されたサイバーデータ、サイバーアクターデータ、およびサイバーシーンデータの少なくとも１つに関連するデータを送信するように構成される。いくつかの実施形態では、視覚化エンジンは、対話エンジン、およびサイバー行動空間のうちの少なくとも１つ、複数のサイバーアクター、複数のサイバーシーン、複数のサイバーマップ、および計算されたサイバー行動からの第１の対話および第２の対話のうちの少なくとも１つに関連するデータの少なくとも１つの視覚化を計算し、表示のために視覚化を送信する。

いくつかの実施形態では、サイバーセキュリティシステムは、サイバー行動空間管理モジュールと通信するクエリエンジンを含み、クエリエンジンは、第１のサイバーアクターから、複数のサイバー行動空間の少なくとも１つに関するクエリを受信するよう構成される。いくつかの実施形態では、クエリは、複数のサイバーエンティティの第１のサイバーエンティティに関連するリスク、第１のサイバーエンティティと同様のプロファイルを有する複数のサイバーエンティティのサイバーエンティティのグループ、第１のサイバーエンティティ、第１のサイバーアクター、第２のサイバーアクター、および第３のサイバーアクターのうちの少なくとも１つに関連する行動に関連付けることができる。いくつかの実施形態では、解析ワークフローエンジンは、複数のサイバーエンティティの各サイバーエンティティおよび複数のサイバーアクターの各サイバーアクターに関連するリスクを計算し、継続的に更新するように構成される。

いくつかの実施形態では、サイバーセキュリティシステムは、サイバー行動空間管理モジュールと通信し、複数のサイバーシーンを生成するように構成されたシミュレーションエンジンを含み、複数のサイバーシーンの各々は、サイバーデータのサブセット、サイバーシーン、複数のサイバー行動空間に関連付けられたサイバーマップとを含む。いくつかの実施形態では、シミュレーションエンジンは、実世界データおよびシミュレートされたデータの少なくとも１つで動作するように構成され、操作、解析、洞察、計画、トレーニング、是正措置、緩和措置の少なくとも１つの動作コースを提供するように構成される。

いくつかの実施形態では、解析ワークフローエンジンは、変換されたサイバー行動空間を生成するように構成され、変換されたサイバー行動空間を生成する。解析ワークフローエンジンは、さらに、サイバー行動空間データをテンソルデータおよび下位テンソル近似に変換するように構成され、機械学習を使用して、サイバー行動および変換されたサイバー行動空間に関連する複数のサイバー行動空間を定義する。

いくつかの実施形態では、解析ワークフローエンジンは、変換されたサイバー行動空間にルールおよび機械学習の少なくとも１つを適用するように構成され、リアルサイバーアクターまたはシミュレートされたアクター、サイバーエンティティ、マシン、組織、およびプロセスの少なくとも１つに関連するリスクを増減するサイバー行動を定義する。

いくつかの実施形態では、サイバーセキュリティシステムは、第１の組織に関連付けられ、リスクを増加または減少させるサイバー行動は、第１の組織に関連するサイバーアクターによって観察可能であり、第２の組織に関連するサイバーアクターによって観察不可能である。いくつかの実施形態では、サイバーセキュリティシステムは、サイバー行動交換エンジンを含み、サイバー行動交換エンジンは、サイバー行動空間管理モジュールと通信する。いくつかの実施形態では、サイバー行動交換エンジンは、プライバシー保護分散型機械学習アルゴリズムおよびプライバシー保護通信プロトコルの少なくとも１つを使用して、第２の組織に関連するサイバー行動交換エンジンにリスクを増加または減少させるサイバー行動を送信するように構成される。リスクを増加または減少させるサイバー行動を第２の組織のデータを解析するために使用することができ、第１の組織に関連するサイバー行動空間データは、第２の組織に関連するサイバーアクターによって観察不可能である。

いくつかの実施形態では、サイバーセキュリティシステムは、第１のサイバーアクターデータを処理して、変換されたサイバー行動空間に関連するサイバー行動の第１のサイバー行動と、変換されたサイバーに関連する複数のサイバーシーンの第１のサイバーシーンの少なくとも１つを決定し、第１のサイバー行動および第１のサイバーシーンに応答することに関連した操作能力、準備、およびトレーニングを改善する。

いくつかの実施形態では、解析ワークフローエンジンは、パケットデータ、ネットワークトラフィック、コンピュータログ、信号インテリジェンス、可視、赤外線、マルチスペクトル、ハイパースペクトル、合成開口レーダ、移動ターゲットインジケータレーダ、技術インテリジェンスデータ、およびインテリジェンス報告の少なくとも１つを処理するように構成される。

いくつかの実施形態では、複数のサイバー行動空間の各々は、リアルタイムサイバー行動空間、履歴サイバー行動空間、およびシミュレートされたサイバー行動空間のうちの少なくとも１つを含む。いくつかの実施形態では、サイバー行動は、初期偵察、スキャン、初期妥協、足場の確立、ビーコン、コマンドと制御、クレデンシャルキャプチャ、エスカレート特権、内部偵察、横運動、ネットワークマッピング、データの抽出、持続性維持、および関連する行動を含む。いくつかの実施形態では、複数の次元は、送信元アドレスと宛先アドレス、到着時刻、容量、パケットサイズ、およびプロトコルタイプの組み合わせを含み、複数のモードは、パケットデータ、ネットワークトラフィック、コンピュータログ、信号インテリジェンス、可視、赤外線、マルチスペクトル、ハイパースペクトル、合成開口レーダ、移動ターゲットインジケータレーダ、技術インテリジェンスデータ、およびインテリジェンス報告の組み合わせを含み、複数のスケールは、時間的マルチスケールデータと地理空間データとの組み合わせを含む。

いくつかの実施形態では、サイバー行動空間管理モジュールは、物理的なアクターに関する物理アクターセンサーデータおよび物理システムに関する物理システムセンサーデータのうちの少なくとも１つを含むセンサデータを受信するように構成され、入力データは、入力サイバーデータ、エンリッチメントデータ、および第三者データのうちの少なくとも１つ、対話エンジンからのデータ、および解析ワークフローエンジンからのデータを含む。いくつかの実施形態では、サイバー行動空間管理モジュールは、センサデータと、入力データ、対話エンジンからのデータ、および解析ワークフローエンジンからのデータの少なくとも１つに基づいて複数のサイバー行動空間を生成するように構成され、複数のサイバー行動空間の各々は、サイバー行動空間データを含む。いくつかの実施形態では、サイバー行動空間データは、サイバーデータを含み、サイバーデータは、入力サイバーデータおよび変換された入力サイバーデータ、複数のサイバーアクターに関連するサイバーアクターデータおよび複数のサイバーシーンに関連するサイバーシーンのうち少なくとも１つを含む。いくつかの実施形態では、サイバー行動空間データは、複数の次元、複数のモード、および複数のスケールによって定義される。いくつかの実施形態では、対話エンジンは、複数のサイバーアクターのうちの第１のサイバーアクターに関連する第１のサイバーアクターデータを受信するように構成され、第１のサイバーアクターは、リアルサイバーアクターおよびシミュレートアクターの少なくとも１つを含む。いくつかの実施形態では、対話エンジンは、受信した第１のサイバーアクターデータを処理して、第１のサイバーアクターとサイバー行動空間、サイバーシーン、およびサイバーマップのうちの少なくとも１つとの間の第１の対話、第１のサイバーアクターと複数のサイバーアクターのうちの第２のサイバーアクターとの間の第２の対話との少なくとも１つを容易にする。いくつかの実施形態では、対話エンジンは、第１の対話および第２の対話の少なくとも１つに関連するデータを送信するように構成される。いくつかの実施形態では、解析ワークフローエンジンは、複数のサイバー行動空間の各々に関連するサイバー行動空間データを解析して、サイバー行動を計算し、サイバー行動空間データ、計算されたサイバー行動、および計算されたサイバー行動のサイバーデータ、サイバーアクターデータ、およびサイバーシーンデータのうちの少なくとも１つの割り当てと、第１の対話、第２の対話、および物理システムおよび物理アクターの少なくとも１つに関する物理的行動の計算に基づいて、サイバーデータ、サイバーアクターデータ、およびサイバーシーンデータの少なくとも１つを更新するように構成される。いくつかの実施形態では、対話エンジンは、更新されたサイバーデータ、サイバーアクターデータ、およびサイバーシーンデータの少なくとも１つに関連するデータを送信するように構成される。いくつかの実施形態では、視覚化エンジンは、対話エンジンからの第１の対話および第２の対話のうちの少なくとも１つ、およびサイバー行動空間、複数のサイバーアクター、複数のサイバーシーン、複数のサイバーマップ、および計算されたサイバー行動のうち少なくとも１つに関連するデータの少なくとも１つの視覚化を計算するように構成される。いくつかの実施形態では、視覚化エンジンは、表示のために視覚化を送信するように構成される。

いくつかの実施形態では、センサデータを受信するように構成されたサイバーセキュリティシステムは、サイバー行動空間管理モジュールと通信するクエリエンジンを含む。いくつかの実施形態では、クエリエンジンは、第１のサイバーアクターから、複数のサイバー行動空間の少なくとも１つに関するクエリを受信するように構成される。いくつかの実施形態では、クエリは、複数のサイバーエンティティの第１のサイバーエンティティに関連するリスク、第１のサイバーエンティティと同様のプロファイルを有する複数のサイバーエンティティのサイバーエンティティのグループ、社内外の組織構成、および第１のサイバーエンティティ、サイバーエンティティのグループ内の各サイバーエンティティ、第１のサイバーアクター、第２のサイバーアクター、および第３のサイバーアクターのうちの少なくとも１つに関連する行動に関連付けられる。いくつかの実施形態では、解析ワークフローエンジンは、複数のサイバーエンティティの各サイバーエンティティおよび複数のサイバーアクターの各サイバーアクターに関連するリスクを計算し、継続的に更新するように構成される。

いくつかの実施形態では、センサデータを受信するように構成されたサイバーセキュリティシステムは、サイバー行動空間管理モジュールであるシミュレーションエンジンと通信するシミュレーションエンジンを含む。いくつかの実施形態では、シミュレーションエンジンは、複数のサイバーシーンを生成するように構成され、複数のサイバーシーンの各々は、サイバーデータのサブセット、サイバーシーン、および複数のサイバー行動空間に関連するサイバーマップを含む。いくつかの実施形態では、シミュレーションエンジンは、シミュレーションを生成するように構成される。いくつかの実施形態では、シミュレーションは、実世界データおよびシミュレートされたデータの少なくとも１つで動作するように構成され、操作、解析、洞察、計画、トレーニング、是正措置、および緩和措置の少なくとも１つの動作コースを提供するように構成される。

いくつかの実施形態では、センサデータを受信するように構成されたサイバーセキュリティシステムに関連する解析ワークフローエンジンは、変換されたサイバー行動空間を生成するように構成される。変換されたサイバー動作空間を生成するいくつかの実施形態では、解析ワークフローエンジンは、サイバー動作空間データをテンソルデータおよび下位テンソル近似に変換し、機械学習を使用して、変換されたサイバー行動空間に関連するサイバー動作および複数のサイバー動作空間を定義する。

いくつかの実施形態では、センサデータを受信するように構成されたサイバーセキュリティシステムに関連する解析ワークフローエンジンは、ルールおよび機械学習の少なくとも１つを変換されたサイバー行動空間に適用して、現実のサイバーアクターまたはシミュレートされたアクター、サイバーエンティティ、マシン、組織、およびプロセスの少なくとも１つに関連するリスクを増減するサイバー行動を定義する。

いくつかの実施形態では、センサデータを受信するように構成されたサイバーセキュリティシステムは、第１の組織に関連付けられ、リスクを増加または減少させるサイバー行動は、第１の組織に関連するサイバーアクターによって観察可能であり、第２の組織に関連するサイバーアクターによって観察不可能である。いくつかの実施形態では、サイバーセキュリティシステムは、サイバー行動交換エンジンを含み、サイバー行動交換エンジンは、サイバー行動スペース管理モジュールと通信する。いくつかの実施形態では、サイバー行動交換エンジンは、プライバシー保護分散型機械学習アルゴリズムおよびプライバシー保護通信プロトコルの少なくとも１つを使用して、第２の組織に関連するサイバー行動交換エンジンにリスクを増加または減少させるサイバー行動を送信するように構成される。リスクを増加または減少させるサイバー行動を第２組織のデータを解析するために使用することができ、第１組織に関連するサイバー行動空間データは、第２組織に関連するサイバーアクターによって観察不可能である。

いくつかの実施形態では、センサデータを受信するように構成されたサイバーセキュリティシステムに関連する第１のサイバーアクターデータは、変換されたサイバー行動空間に関連するサイバー行動の第１のサイバー行動と、変換されたサイバー行動に関連する複数のサイバーシーンのうちの第１のサイバーシーンの少なくとも１つを決定し処理され、第１のサイバー行動および第１のサイバーシーンへの応答に関連する操作能力、準備、およびトレーニングを改善する。

いくつかの実施形態では、解析ワークフローエンジンは、運用技術（ＯＴ）センサ、運用技術ログ、パケットデータ、ネットワークトラフィック、コンピュータログ、信号インテリジェンス、可視、赤外線、マルチスペクトル、ハイパースペクトル、合成開口レーダ、移動ターゲットインジケータレーダ、技術インテリジェンスデータ、およびインテリジェンス報告の少なくとも１つを処理するように構成される。

いくつかの実施形態では、センサデータを受信するように構成されたサイバーセキュリティシステムに関連する複数のサイバー行動空間の各々は、リアルタイムサイバー行動空間、履歴サイバー行動空間、およびシミュレートされたサイバー行動空間のうちの少なくとも１つを含む。いくつかの実施形態では、サイバー行動は、初期偵察、スキャン、初期妥協、足場の確立、ビーコン、コマンドおよび制御、クレデンシャルキャプチャ、エスカレート特権、内部偵察、横運動、ネットワークマッピング、データの抽出、持続性維持、および関連する行動の少なくとも１つを含む。

いくつかの実施形態では、センサデータを受信するように構成されたサイバーセキュリティシステムに関連する複数の次元は、送信元アドレスと宛先アドレス、到着時刻、容量、パケットサイズ、およびプロトコルタイプの組み合わせを含み、複数のモードは、パケットデータ、ネットワークトラフィック、コンピュータログ、信号インテリジェンス、可視、赤外線、マルチスペクトル、ハイパースペクトル、合成開口レーダ、移動ターゲットインジケータレーダ、技術インテリジェンスデータ、およびインテリジェンス報告の組み合わせを含み、複数のスケールは、時間的マルチスケールデータおよび地理空間データを含む。

開示された主題のこれらのおよび他の能力は、以下の図面、詳細な説明、および請求項を検討した後により完全に理解されるであろう。本明細書で使用される表現および用語は、説明のためのものであり、限定的であると見なされるべきではないことを理解されたい。

開示された主題の様々な目的、特徴、および利点は、同様の参照符号は類似の要素を識別する、以下の図面と関連して考慮される場合、開示される主題の以下の詳細な説明を参照することにより、より十分に理解され得る。本明細書で使用される表現および用語は、説明のためのものであり、限定的であると見なされるべきではないことを理解されたい。

本開示のいくつかの実施形態に係るサイバーセキュリティシステムを示すシステム図である。 本開示のいくつかの実施形態に係る異なるサイズのウィンドウを使用するマルチスケールモデリング技術を示す図である。 本開示のいくつかの実施形態に係るＣＢＳ内のデータをモデリングするため、およびＣＢＳのテンソル表現用に使用されるマルチスケールモデリングを示す図である。 本開示のいくつかの実施形態に係るサイバー行動空間（ＣＢＳ）の作成における下位ランク近似およびテンソルの役割を示す図である。 本開示のいくつかの実施形態に係る対話型ＣＢＳ環境を管理する対話エンジンを示すシステム図である。 本開示のいくつかの実施形態に係るＣＢＳのスイートを管理するシミュレーションエンジンを示すシステム図である。 本開示のいくつかの実施形態に係る制御された方法で企業内または企業間で安全に情報を共有する複数のサイバー行動交換（ＣＢＸ）の動作を示すシステム図である。 本開示のいくつかの実施形態に係る動作技術環境と相互作用するサイバーセキュリティシステムを示すシステム図である。

いくつかの実施形態では、シミュレーションおよび仮想現実システムは、観察された行動関連情報、解析ワークフローを使用して計算された行動関連情報、および１つまたは複数の組織の複数の実在または仮想のサイバーアクターが、シーン、シミュレーションおよび仮想現実環境に従事したときに生成される行動関連情報を含み、行動関連情報を互いに共有することによって、サイバー防御側の操作能力およびトレーニングを強化するために使用される。

いくつかの実施形態では、行動関連情報は、２つ以上の組織が、トレーニングの強化のため、組織の防御の改善のため、または情報を共有する複数の組織の防御の改善のためにシーン、シミュレーションおよび仮想現実環境の一部として情報を交換することができるように、サイバー行動交換を使用して安全かつプライバシーを保護する方法で交換される。

サイバー行動空間
サイバーセキュリティシステムのいくつかの実施形態は、サイバー行動空間（本明細書ではＣＢＳとも呼ばれる）に基づいており、サイバー行動空間は、その実施形態の１つにおいて、以下の５つの要素の少なくとも１つを含む。１）多次元、マルチモーダル、マルチスケールデータ、２）サイバーアクター、３）シーン、４）サイバー行動の１）、２）、または３）への割り当て、５）物理的行動の１）、２）、または３）への割り当て。これらの５つの要素の各々について、以下にさらに詳しく説明する。

多次元、マルチモーダル、マルチスケールのデータには、エンティティ、アクター、ネットワーク、物理空間、仮想空間、その行動、およびそれらの対話に関するデータが含まれるが、これらに限定されない。多次元は、導出、抽出、または計算されるデータ属性を指すことができる。サイバーデータのデータ属性の例には、送信元および宛先アドレス、到着時間、容量、パケットサイズ、およびプロトコルタイプが含まれるが、これらに限定されない。マルチモーダルデータは、サイバードメインを含む複数のセンサタイプまたはドメインから得られたデータを指す。マルチモーダルデータの例には、パケットデータ、ネットワークトラフィック、コンピュータログ、信号インテリジェンス、可視、赤外線、マルチスペクトル、ハイパースペクトル、合成開口レーダ、移動ターゲットインジケータレーダ、技術インテリジェンスデータ、およびインテリジェンス報告が含まれるが、これらに限定されない。マルチスケールは、異なる解像度のモデルで使用できるデータを指す。時間データ、地理空間データ、組織データ、およびネットワークデータは、すべてマルチスケールモデルの一部である可能性がある。例えば、時間的マルチスケールデータは、例えば、年、月、週、日、時間、分、秒、ミリ秒の単位でモデル化することができる時間を指す。例えば、地理空間マルチスケールデータには、家屋レベル、ブロックレベル、マルチブロックレベル、都市、地域など、さまざまなスケールでデータを含めることができる。

サイバーアクターは、個々のアクターまたはサイバーアクターの集まりを指すことができる。サイバーアクターは、実際の個人または仮想アクターであってもよく、リアルタイム、履歴およびシミュレートされたサイバー行動空間と対話することができる。以下でより詳細に説明するように、サイバー行動空間は、１人または複数人のサイバーアクターを含むことができる。いくつかの実施形態では、サイバー行動空間は、他のサイバーアクターまたはシミュレートされたサイバーアクターを含まない。

サイバーシーンは、アクター、エンティティ、ネットワーク、および物理的または仮想的な空間の組み合わせを指すことができる。いくつかの実施形態では、シーンはアクターを含まないか、またはエンティティ、ネットワーク、または物理的または仮想的な空間を含んでいなくてもよい。シーンの一例は、侵害されたエンティティからデータを抽出（または抽出）するサイバーアクターであり、データの抽出は行動モデルによって識別され、サイバー防御側はネットワークから侵害されたエンティティを隔離する。

サイバー行動の割り当ては、上述のように１）、２）または３）、またはそれらの構造、構成要素、またはそれらの組み合わせにすることができる。１）多次元、マルチモーダル、マルチスケールデータ、２）サイバーアクター、３）シーンの各々自体が複雑であり、通常、要素、下位要素、およびコレクションやコレクションのコレクションなどを持つ階層構造を持つ。サイバー行動の割り当ては、要素、要素間の関係、要素間のアレンジメント、要素、サブ要素およびそれらの関係から構築された構造、同様にサブ要素など、またはコレクション、コレクション間の関係、コレクション間のアレンジ、またはコレクションから構築された構造、コレクションのコレクションおよびその関係、同様にコレクションのコレクションなどであることができる。サイバー行動には、初期偵察、スキャン、初期妥協、足場の確立、ビーコン、コマンドと制御、クレデンシャルキャプチャ、エスカレート特権、内部偵察、横運動、ネットワークマッピング、データの抽出、持続性維持、および関連する行動を含むが、これらに限られない。例えば、データから作成された特徴で定義されたポイントのいくつかのクラスタには、”抽出行動”を割り当てることができるが、他のクラスタには”偵察行動”を割り当てることができる。抽出（データの抽出）とは、一般に、コンピュータまたはストレージデバイスからのデータの不正コピー、転送、またはデータの検索を指す。偵察行動とは、一般的に、ネットワークとそれに含まれるデバイスについて、その妥協を容易にするために学習することを指す。いくつかの実施形態では、行動は、次の方法で割り当てることができる。第１のデータセット内の各ポイントが、上に列挙されたサイバー行動の１つ、またはそのポイントに関連する行動が上に列挙された行動のいずれとも関連していないことを示すＮＡのようなラベルでラベル付けされていると仮定する。また、ポイントをクラスタにグループ化するアルゴリズムが使用されているとする。各クラスタは、そのクラスタ内で発生している他のどのラベルよりも、そのクラスタに関連性の高いラベルでラベル付けすることができる。今、第２のデータセットが与えられると、各ポイントをデータポイントに最も密接に関連するクラスタに割り当てることができ、次いでそのクラスタに対応するラベルでラベル付けすることができる。行動は、履歴データ、ストリーミングデータ、インタラクティブデータを解析する機械学習法や統計的方法の使用、ルールおよびルールエンジンを使用して行動を定義すること、エキスパートを使用して行動を定義すること、またはこれらの方法のいくつかの組み合わせの使用を含むが、これらに限られない、複数の方法でポイントを第１のデータセットに割り当てることができる。

物理的行動の割り当ては、上述のように１）、２）または３）、またはそれらの構造、構成要素または組み合わせにすることができる。サイバー行動と同様に、物理的行動の割り当ては、１）、２）、および３）の要素、サブ要素など、それらから構成された配置や関係、構造、１）、２）および３）のそれらの配置と関係とそれらから構築された構造コレクション、コレクションのコレクションなどであることができる。物理的行動には、ログイン、企業や職場の内外の個人の地理空間的位置、人間の動き、物理的なデバイスとマシン、人と物理的なデバイスとマシンとの相互作用を含むが、これらに限られない。例えば、作業場、アクセスパス、車両、データセンター、物理的なデバイスとマシンを含む環境、送電線や発電プラントのような物理的プラントとその構成要素を含む。

いくつかの実施形態では、上記の５つの要素のサブセットのみがサイバー行動空間内に存在する。

図１は、本開示のいくつかの実施形態に係るサイバーセキュリティシステム１００を示す。サイバーセキュリティシステム１００は、対話エンジン１０６、サイバー行動クエリエンジン１０７、視覚化エンジン１０８、監視／報告エンジン１０９、ＣＢＳマネージャ１１３、解析ワークフローエンジン１１４、シミュレーションエンジン１１５、サイバー行動交換（ＣＢＸ）１１７および解析ワークフロー１１８を含む。図１は、サイバーデータ１０１、センサデータ１０２、エンリッチメントデータ１０３、第三者データ１０４、リアルおよび仮想サイバーアクター１０５、初期および更新サイバー行動空間（ＣＢＳ）１１０、シミュレートされたＣＢＳ１１１、インタラクティブＣＢＳ１１２、およびオブザーバーおよびコントローラ１１６も示す。

サイバーデータ１０１は、サイバーエンティティ、サイバーアクター、ネットワークパケットおよびフロー、それらの行動及びそれらの対話に関するデータを含むが、これらに限定されない、多次元、マルチドメイン、マルチスケールサイバーデータを含むことができる。いくつかの実施形態では、サイバーデータ１０１は、データ管理システム（図示せず）によって管理される。データ管理システムは、リレーショナルデータベース、構成管理システムのインタフェース、または統合されたユーザインタフェースおよび記憶機構を有する他のコンピュータシステムであることができる。

センサデータ１０２は、可視、赤外線、マルチスペクトル、ハイパースペクトル、合成開口レーダ（ＳＡＲ）、移動ターゲットインジケータ（ＭＴＩ）、セキュリティカメラ、音響、バイオメトリック、およびカードリーダーを含むが、これらに限られない、物理環境に関する実際のデータまたはシミュレートされたデータを含むことができる。異なる種類のセンサデータ１０２は、本明細書ではマルチモーダルデータとも呼ばれる。

エンリッチメントデータ１０３は、動的ホスト構成プロトコル（ＤＨＣＰ）、ドメインネームシステム（ＤＮＳ）、資産管理、構成管理、ログファイル、および人的資源情報を含むが、これらに限定されない、サイバーデータおよびセンサデータに追加のコンテキストを提供する情報を含む。

第三者データ１０４は、脅威管理フィード、評判ドメイン、およびブラックリストを含むが、これらに限定されない、以前のデータタイプと相関することができる追加のデータソースである。

解析ワークフロー１１８のコレクションは、履歴データ、ストリーミングデータ、シミュレートされたデータおよび相互作用からのデータを処理してサイバー行動を識別する。サイバー行動は、初期偵察、スキャン、初期妥協、足場の確立、ビーコン、コマンドとコントロール、クレデンシャルキャプチャ、エスカレート特権、内部偵察、横運動、ネットワークマッピング、データの抽出、持続性の維持、および関連する行動を含むが、これらに限定されない。いくつかの実施形態では、サイバー行動は、機械学習方法または履歴データを解析する統計的方法によって定義される。いくつかの実施形態では、行動を定義するために、エキスパートによって手動でコード化されるか、ルールエンジンによって管理されるルールが使用される。いくつかの実施形態では、これらおよび他の方法の組み合わせが使用される。

サイバーアクター１０５は、０人または複数人の他のサイバーアクターおよび０人または複数人シミュレートされたサイバーアクターを含むシーンを含むリアルタイム、履歴およびシミュレートされたサイバー行動空間と対話する能力を有する、実際の個人または仮想のものであり得る。

対話エンジン１０６は、リアルサイバーアクター１０５と仮想サイバーアクター１０５の両方がサイバー行動システムにインタフェースして変更することを可能にする。

サイバー行動クエリエンジン１０７は、リアルアクター、仮想アクター、およびシステムの他の構成要素が、これらに限定されないが、エクスフィル、または搾取行動、一般的に、または、特定の時間帯、特定のネットワークセグメント、および特定のポートに対して制限されない他の制約に限定されるそれらのサイバー行動などのサイバー行動をＣＢＳに問い合わせることを可能にする。いくつかの実施形態では、サイバー行動クエリエンジンは、特定された時間セグメント、特定されたネットワークセグメント、特定されたポート、特定されたユーザ、特定されたデバイス、またはこれらと任意のものとのブール組み合わせおよびＣＢＳ内のデータの他の属性または特徴に関連するすべてのデータなど、ＣＢＳからのデータの特定のサブセットを検索することもできる。いくつかの実施形態では、サイバー行動クエリエンジンは、時間、ネットワークセグメント、およびユーザのカテゴリなどの次元に沿って掘り下げることもできる。例えば、ユーザの掘り下げは、すべてのユーザ、すべての従業員、部門を持つすべての従業員、および部門内の部内のすべての従業員に進むことができる。

視覚化エンジン１０８は、ＣＢＳ、そのプロセス、構成要素、および出力の２−Ｄおよび３−Ｄ表現を提供する。

監視／報告エンジン１０９は、ＣＢＳおよびそのプロセスおよび構成要素のリアルタイムおよび履歴状態を提供する。

初期ＣＢＳ１１０は、シミュレートされたＣＢＳの開始状態を提供する。更新されたＣＢＳ１１０は、データおよびシステムの他の更新後のＣＢＳである。

シミュレーションされたＣＢＳ１１１は、シミュレーションエンジン１１５によって生成されたＣＢＳ、ならびにＣＢＳマネージャ１１３によって提供される他の更新を表す。

インタラクティブＣＢＳ１１２は、対話エンジン１０６によって生成されたＣＢＳ、ならびにＣＢＳマネージャによって提供される他の更新を表す。

一般的なＣＢＳ１１８は、本明細書では、初期ＣＢＳ１１０、更新されたＣＢＳ１１０、シミュレートされたＣＢＳ１１１、インタラクティブＣＢＳ１１２、またはシステム構成要素の１つによって生成された他のＣＢＳのいずれか１つまたは組み合わせと呼ばれる。

ＣＢＳマネージャ１１３（本明細書ではサイバー行動空間管理モジュールとも呼ばれる）は、サイバーデータ１０１、センサデータ１０２、エンリッチメントデータ１０３および第三者データ１０４を含むが、これらに限定されない、データ１１９を管理する。ＣＢＳマネージャ１１３は、シミュレーションされた初期ＣＢＳ、シミュレートされた環境に関連付けられたＣＢＳ、対話する環境に関連付けられたＣＢＳ、実際の環境に関連付けられたＣＢＳ、他のＣＢＳおよびこれらの様々な組合せを含むシステムに関連するＣＢＳのための制御および更新メカニズムも提供する。ＣＢＳマネージャ１１３は、サイバーセキュリティシステム１００内の他の各構成要素と通信している。ＣＢＳマネージャは、データを処理し、処理されたデータと未処理のデータを構成要素間でルーティングする。本明細書で説明するように、ＣＢＳマネージャ１１３は、入力データに基づいてサイバー行動空間を生成する。いくつかの実施形態では、以下により詳細に説明するように、ＣＢＳ、入力データ、および他のシステム構成要素からのデータの少なくとも１つに適用される解析ワークフローエンジン１１４によって実行される解析ワークフロー１１８によって、サイバー行動空間が生成または更新される。

解析ワークフローエンジン１１４は、ＣＢＳに関連するテンソルの解析ワークフローおよびＣＢＳに関連するテンソルの下位近似のための解析ワークフローを含む、ＣＢＳで動作する解析のタイプおよび組み合わせを管理する。いくつかの実施形態では、解析ワークフローエンジン１１４は、サイバー行動空間に関連するサイバー行動空間データを解析してサイバー行動を計算し、サイバー行動空間データ、計算されたサイバー行動、並びに、サイバーデータ、サイバーアクターデータ、およびサイバーシーンデータの少なくとも１つへの計算されたサイバー行動の割り当ての少なくとも１つに基づいて、サイバーデータ、サイバーアクターデータ、およびサイバーシーンデータのうちの少なくとも１つ、並びに、サイバーアクターと他のサイバーアクターとの間の、およびサイバー行動空間との間の、対話を、更新する。例えば、通常どんなデータベースにも接続していないアクターが以前ログインしたことのないワークステーションにログインし、複数のデータベースに接続しようとして失敗した場合、そのアクターの正常な行動を調べる第１の解析ワークフローでは、新しいマシンの使用に基づいてデータベースのような通常はコンタクトしないサービスにコンタクトすることに対して高いスコアを割り当てることができる。第２の解析ワークフローでは、失敗したログインの数に基づいて高いスコアを割り当てることができ、第３の解析ワークフローでは、ログインが失敗しなかった場合でもコンタクトしようとした特に重要なデータベースに基づいて高いスコアを割り当てることができる。最後に、３つの解析ワークフローのスコアの解析に基づく第４の解析ワークフローは、アクターに”有害な可能性のあるアクター”のラベルを割り当てることができ、データベースへの失敗したログインに関連するデータセット内のポイントに”不正アクセスを試みた”というラベルを割り当てることができ、おそらく悪いアクター、関連するワークステーション、様々なデータベース、および関連する接続から部分的になるシーンに”試みられた横運動”のラベルを割り当てることができる。

シミュレーションエンジン１１５は、実世界からの入力だけでなく、アルゴリズムに基づくシミュレートに基づいて、仮想およびリアルのサイバーアクターから、シミュレートされたＣＢＳを初期化および更新するためのメカニズムを提供する。

オブザーバーおよびコントローラ１１６は、目的が達成されることを確実にするためにＣＢＳの全体的な状態を管理する。

サイバー行動交換１１７は、データを安全に共有し、企業内外の他のＣＢＳとの対話を媒介するためのメカニズムを提供する。

いくつかの実施形態では、サイバー行動空間１１０，１１１，１１２，１１８のデータは、サイバーデータ１０１、センサデータ１０２、エンリッチメントデータ１０３、および第三者データ１０４を含むデータ１１９から由来する。ＣＢＳのサイバー行動は、解析ワークフローエンジン１１４によって管理される解析ワークフロー１１８によって定義される。リアルおよび仮想のサイバーアクター１０５は、ＣＢＳによって要求されるサイバーアクターを提供し、ＣＢＳによって要求されるシーンは、シミュレーションエンジン１１５、対話エンジン１０６、解析ワークフローエンジン１１４、またはエンジン１０６，１１４，１１５の組み合わせによって生成される。

いくつかの実施形態では、サイバーデータ１０１、センサデータ１０２、エンリッチメントデータ１０３または第三者データ１０４は、単一の場所内に、または２つ以上の地理的に分散した場所に分散させることができる。データが配信される場合、いくつかの実施形態では、高性能ネットワーク、エンタープライズサービスバス、または他の技術を含むネットワークが、データを伝送するために使用される。同様に、解析ワークフローエンジン１１４、シミュレーションエンジン１１５、対話エンジン１０６、および視覚化エンジン１０８を含むが、これらに限定されない、システム構成要素を分散させることができる。

ＣＢＳはマップで充実させることができる。この文脈での地図は、情報空間、物理空間、ネットワーク空間、サイバー空間、社会空間、および組織空間、またはデータおよび情報を含むこれらの異なる種類の空間のいくつかの組み合わせに結びついた視覚化として見ることができる。組織空間は、一連のエンティティ間の関係を示す。例は、ビジネスや他の組織のための組織構造である。内部組織空間はその組織内部の”内部”を指すことができ、”外部”は他のエンティティとの関係を指すことができる。例えば、ＣＢＳは、次のようなマップを用いて充実させることができる。組織に関連する施設の物理的位置について、異なるネットワークエンティティおよび他のデバイスがどのように一緒に接続されているかを記述するネットワークトポロジについて、個人とその報告構造を記述する組織空間について、データがどのように編成されているかを記述した情報構造についてのマップを用いて充実させることができる。

いくつかの実施形態では、シーンは、ｉ）サイバー、センサ、エンリッチメント、第三者、または他のデータ、ｉｉ）リアルまたは仮想の２人以上のサイバーアクターのシーンにおける対話、またはｉｉｉ）第三者による１つまたは複数のアクション（すなわち、シーンにないリアルまたは仮想のアクターによるアクション）、またはｉｖ）シーンのリアルまたは仮想のアクターとの第三者による１つまたは複数の対話、に依存することができるリアルまたは仮想のサイバーアクター１０５による行動のシーケンスを指す。シーンを組み合わせてトレーニングシナリオを作成できる。いくつかの実施形態では、同じ組織からのアクターを地理的に分散させ、ネットワークを介して通信することができる。他の場合には、地理的に分散可能な異なる組織のリアルおよび仮想の両方のアクターが、サイバー行動交換１１７を使用して通信することができる。

シーンは、共通の問題を同期した方法で理解するために、サイバー行動交換１１７を使用して異なる地理的位置から複数の防御側を連れてシミュレーションに参加することができる。インタラクティブなシーンおよびシナリオは、いくつかの実施形態では、アクティブな防御側が取っているアクションおよび敵対者が取っているアクションによって行われた変更を含むことができる。一例として、サイバーアクターは、ネットワークセグメントのバックグラウンドノイズに隠れるほど静かな侵入したマシンからのネットワーク偵察に従事することができる。一方、個々にまたはチームで行動する複数の地理的な場所からの複数の防御側は、サイバーアクターと侵入したマシンをネットワークセグメント内の観察された行動から見つけようとする。

ＣＢＳは、新しいデータに基づいて更新されたＣＢＳ１１０を作成するために既存のＣＢＳを更新すること、シミュレートされたＣＢＳ１１１を作成するための行動をシミュレートすること、およびリアルまたは仮想アクターがインタラクティブな環境に参加して、対話的な行動１１２を有するＣＢＳを作成すること、これらに限定するものではないが、複数の方法で作成することができる。行動は、以下を含む複数の方法で定義することができる。ｉ）機械学習および人工知能（ＡＩ）方法を使用して、履歴データまたはシミュレートされたデータから行動を学習する。ｉｉ）ＣＢＳシステムは、いくつかの実施形態では、ルール、行動プリミティブを含むコード、またはユーザ指定の行動を生成するためのより複雑な環境を使用して行動を生成できるように、アプリケーションプログラミングインタフェース（ＡＰＩ）を有する。ｉｉｉ）自然言語処理を使用して、ドキュメント内のテキスト、内部ネットワークに格納されたテキスト、インターネットから抽出されたテキスト、ソーシャルメディアシステムから抽出されたテキストから行動を抽出することによって、行動を学習できる。ｉｖ）実際の個人が特定の行動または特別の行動に従事したときに生成されたデータを処理することによって行動を抽出することができる。

マルチスケールデータとテンソル表現
データの量、次元の数、モデルセグメントの数、およびデータのモダリティの数が増えるにつれて、本開示のいくつかの実施形態は、データ１１９をテンソルとして表す。テンソルは、複数のインデックスの配列である。テンソルの次数は、そのモードまたは次元の数である。テンソルは、ベクトル（１次テンソル）と行列（２次テンソル）の一般化と考えることができ、特殊ケースとしてベクトルと行列の両方を含む。テンソルの要素は、導出、抽出、または計算が可能な数値であり、マルチモーダルデータを表すことができる。テンソル３次の例は、５つのインデックスを有する数値的な配列であり、要素は、ある日の特定のプロトコルに関連する送信元ＩＰから宛先ＩＰへのトラフィックの量を表す。この例では、観察されたプロトコルが１，２，．．．，２５の２５種類にグループ化されていると仮定する。ここでは、送信元ＩＰ、宛先ＩＰ、およびプロトコルタイプの３つの次元がある。テンソルを作成するために使用できるマルチモーダルデータ属性の例には、パケットデータ、ネットワークトラフィック、コンピュータログ、信号インテリジェンス、可視、赤外線、マルチスペクトル、ハイパースペクトル、合成開口レーダ、および移動ターゲットレーダを含むが、これらに限られない。

本開示のいくつかの実施形態では、非周期グラフによって記述されるワークフローを使用してテンソルが処理され、ノードは、計算を表し、および有向エッジは、あるノード（エッジのソース）から別のノード（エッジのターゲット）へのデータフローを表す。ノードは複数のテンソルの入力と出力を持つことができ、一部の入力と出力はテンソル入力と出力のスライスまたは投影を使用できる。非周期グラフによって記述されるワークフローは、解析ワークフローエンジン１１４によって管理される解析ワークフローの例である。特に、これらのような解析ワークフローを使用して、ＣＢＳ内のデータを処理し、機械学習、統計技術の使用、ルールの使用、または本開示に記載されている他の方法のいずれかを使用して関心のある行動を抽出することができる。シミュレーションエンジン１１５によってシミュレートされたＣＢＳ１１１を作成するために、テンソルに基づく方法も使用される。

データ内の任意の変数について、様々な方法を使用して、異なるスケールまたはレベルの粒度で解析を行うことができる。マルチスケールモデリングとは、システムを記述するために異なるスケールの複数のモデルを同時に使用し、様々なスケールの分解能でデータを使用するモデルを指す。例えば、マルチスケール時間解析では、図２を参照してより詳細に説明するように、ジャンピングウィンドウ２０５を使用して、ウィンドウ内のすべての測定値を単一の測定値、例えば平均、トリム平均、中央値、またはウィンドウ内のデータからの他の何らかの統計または特徴計算で置き換えることができる。本明細書で説明するように、ウィンドウは、区間［ｘ，ｘ＋ｗ］内のデータなど、データ属性または特徴ｘの連続するサブセットを指す。ウィンドウは、例えば、［ｘ，ｘ＋ｗ］，［ｘ＋ｗ，ｘ＋２ｗ］からの重複しない方法で移動することによって、ジャンプすることができ、または、それらは、量ｓだけスライド、例えば、［ｘ＋ｓ，ｘ＋ｓ＋ｗ］、［ｘ＋２ｓ，ｘ＋２ｓ＋ｗ］、することができ、ここでｓ＜ｗである。サイズが倍増するウィンドウのような異なるサイズのウィンドウを使用することによって、異なる解像度のスケールでＣＢＳが生成される。マルチスケール解析は、元のデータと元のデータから得られたすべての特徴の両方に適用される。ＣＢＳに関連するデータおよび行動のマルチスケール時間解析は、ＣＢＳに関連するリアルタイムの行動よりも速く減速または再生するためにも使用できる。

図２は、本開示のいくつかの実施形態に係るデータ１１９のマルチスケール表示の計算を示す図である。図２ａは、いくつかの実施形態に係る異なるサイズのウィンドウを使用するマルチスケールモデリング技術を示し、図２ｂは、いくつかの実施形態に係るＣＢＳ１１８およびＣＢＳのテンソル表現２０３のモデリングにマルチスケールモデリングを使用する方法を示す。このようにして、マルチスケールモデリングを含むＣＢＳ１１８を計算するためにデータ１１９を使用することができ、マルチスケールモデリングを含むテンソル２０３を使用して表すことができる。ＣＢＳデータおよびテンソルは、解析ワークフローエンジン１１４によって解析されて、行動モデルを作成することができ、行動モデルおよび関連データをクエリに利用可能にすることができる。

図２に示すように、増加するサイズのジャンピングウィンドウ２０５のシーケンスは、各ウィンドウがその前の２倍のサイズで、データのマルチスケール表現を生成するために使用され得る。サイズやスケールが増加するウィンドウは、例えば、各ウィンドウを先の一例より大きく１００ｘ，１００ｘ，または１００ｘにするなど、他の方法で生成することができる。データ２０６のテンソル表現およびデータ２０３のマルチスケール表現のテンソル表現は、以下に説明する方法でシステムによって解析することができる。本明細書で説明するテンソル表現を使用するいくつかの利点には、１）リアルタイムよりも速いプレイバックを含むマルチスケールの時間的仮想現実（ＶＲ）および履歴データのプレイバック、２）リアルタイムより速いプレイバック能力を含む、シミュレートされたデータのマルチスケール時間ＶＲプレイバック、３）統合された履歴およびシミュレートされたデータのマルチスケール時間ＶＲ、を可能にすることを含む。

テンソルとマルチスケール解析の簡単な例として、送信元ＩＰ、宛先ＩＰ、送信元ポート、宛先ポート、および時間ｔを持つ５ウェイテンソルを、１ｍｓ，１０ｍｓ，１００ｍｓ，１秒，１０秒，１００秒，１０００秒，１０，０００秒、および１００，０００秒の時間スケールｗに対して構築することができ、ここでテンソルの各要素は、時間ｔからｔ＋ｗまでの間、送信元ＩＰおよび送信元ポートから宛先ＩＰおよび宛先ポートまでのパケットの数を示す。視覚化およびインタラクションが１００ｍｓ毎に１回（すなわち、１０ｘ毎秒で）リフレッシュされる場合、１秒以上でウィンドウに関連付けられたテンソルを使用すると、リアルタイムより速い（換言すれば、時間が速くなる）視覚化が得られる。例えば、ウィンドウのサイズが１０秒で、インタラクティブＣＢＳ環境のシーンまたはリアルアクターおよび／またはバーチャルアクター間の対話が１秒当たり１０倍にリフレッシュされる場合、壁時計によって測定されるリアルアクターまたはバーチャルアクター間の対話の各秒は、活動がリアルタイムで再生される場合の１００秒の活動に対応する。すなわち、インタラクティブなＣＢＳ環境における仮想インタラクションはリアルタイムよりも速い。

このシステムのいくつかの実施形態は、ＣＢＳにおけるデータおよびそのテンソル表現を、ＣＢＳにおけるデータまたは処理されたデータを表すテンソルに対するより下位の近似のようなより低い次元の構造に縮小する方法を使用する。テンソルランクを定義する１つの方法は、下の例のように、適切な次元のｋ個のベクトルの外積の和としてテンソルの次数ｋを分解することである。この場合、総和の数がランクである。元のテンソルに対するこれらのより低いランクの近似は、ＣＡＮＤＥＣＣＯＭＰ／ＰＡＲＡＦＡＣ（ＣＰ）またはテンソルのタッカー分解を含むが、これらに限られない様々な方法で計算することができる。システムのいくつかの実施形態では、行動モデルは、これらのより下位の階数近似から元のテンソルへの特徴と関連付けられる。

簡単な例として、第１テンソル成分が次元ｎ_１であり、第２テンソル成分が次元ｎ_２であり、第３テンソル成分が次元ｎ_３である次元３テンソルＴ_{ｘ１，ｘ２，ｘ３}を考える。テンソルＴ_{ｘ１，ｘ２，ｘ３}は、合計として次のように書くことができる。
Ｔ_{ｘ１，ｘ２，ｘ３}＝Σａ_ｉｏｂ_ｉｏｃ_ｉ
ここで、合計は、ｉ＝１からｒまであり、ａ_ｉ，ｂ_ｉおよびｃ_ｉはそれぞれ次元ｎ_１，ｎ_２，およびｎ_３のベクトルであり、ｏはベクトルの外積を示す。ここで、ｒは、より下位の次元のテンソル近似のランクである。テンソルＴ_{ｘ１，ｘ２，ｘ３}は自由度がｎ_１ｎ_２ｎ_３であり、低次元ランクｒテンソル近似は、ｒ（ｎ_１＋ｎ_２＋ｎ_３）自由度を有し、小さなｒおよび大きな次元のｎ_１ｎ_２ｎ_３よりもはるかに小さいことを観察する。これは、例えば、ａ_ｉの自由度がｎ_１、ｂ_ｉの自由度がｎ_２、ｃ_ｉの自由度がｎ_３であるため、ａ_ｉｏｂ_ｉｏｃ_ｉの外積に対する自由度が（ｎ_１＋ｎ_２＋ｎ_３）である。上記の方程式の右辺にｒのような外積があるので、以下の観察が続く。この分解は、ＣＡＮＤＥＣＯＭＰ／ＰＡＲＡＦＡＣアルゴリズムを含むいくつかのアルゴリズムを使用して計算することができます。

いくつかの実施形態では、解析ワークフローエンジン１１４によってセンサからのデータに機械学習方法が適用され、行動モデル、クラスタおよびセグメント行動、およびエンティティリスク行列を含む処理された行動データ２１０が作成される。作成されたデータは、行動、リスク、または特別なクエリなどのユーザ指定のパラメータによって照会することができる。いくつかの実施形態では、エンティティのリスク行列自体にルールおよび機械学習方法が適用され、エンティティのリスクは、システムに置かれる様々なルール、モデル、およびワークフローの出力を含むルールおよび解析に基づいている。バッチ処理、ストリーミング、イベントベースの更新を使用して更新できるこれらの更新されたエンティティのリスク行列は、行動、リスク、または特別なクエリなどのユーザ指定のパラメータによって照会できる。

図３は、本開示のいくつかの実施形態に係るＣＢＳの作成におけるテンソルへの下位ランク近似を示す図である。本開示のいくつかの実施形態では、解析ワークフローエンジン１１４を使用することによって解析ワークフローを適用して下位テンソル近似３０３をテンソル２０３に計算することにより、ＣＢＳ１１８に関連するテンソル２０３から下位ランク近似が計算される。これらの下位のテンソル近似３０３は、新たに変換されたＣＢＳ３０４を定義するために使用される。このようにして、これらの下位テンソル近似３０３を使用していくつかのより高い次元の”ノイズ”を除去することができるので、データ１１９を使用して、特定のアプリケーションに対してより有用であり得る統計的特性を有するＣＢＳ３０４が作成される。サイバー行動クエリエンジン１１７は、ＣＢＳ３０４に問い合わせることができ、対話エンジン１０６は、ＣＢＳ３０４に基づいてインタラクティブ環境をサポートすることができる。また、サイバー行動交換１１７は、ＣＢＳ３０４からの情報を他の組織に関連するＣＢＳと共有することができる。

いくつかの実施形態では、解析ワークフローエンジン１１４は、各エンティティおよび／またはアクターに関するテンソルベースの方法を使用して複数の解析モデルを計算し、これらの複数の解析モデルを使用して各エンティティおよび／またはアクターのリスクスコアを作成する。いくつかの実施形態では、これらのリスクスコアは、エンティティまたはアクターに関連する新しいデータが処理されるときに更新される。アクターは、個人または個人のコレクション、組織または組織のコレクションを参照することができる。例えば、アクターは、既知または未知の個人または個人のグループを含み、システムを攻撃または防御することができる。エンティティは、ネットワークデバイス、ワークステーション、サーバ、モバイルデバイス、センサを含む、データに関連付けられているすべての要素を参照できる。一般に、エンティティには、データに関連付けられた個人、グループ、および組織も含めることができる。コンテキストに応じて、データに関連付けられた物理的エンティティは、データ（アクター）に関連付けられた個人および組織と区別することができる。

インタラクティブＣＢＳ環境
図４は、本開示のいくつかの実施形態による、対話型ＣＢＳ環境４０１を管理する対話エンジン１０６を示すシステム図である。対話エンジン１０６は、インタラクティブＣＢＳを作成し、２人またはそれ以上の実際または仮想のサイバーアクター１０５が、インタラクティブＣＢＳ環境４０１によって管理される１つまたは複数のＣＢＳを、特定の行動または対話、またはサポートされているサイバー行動によって定義された一連の行動または対話と非同期的に更新することを可能にする。複数のリアルまたは仮想のサイバーアクターは、対話エンジン１０６を使用してインタラクティブＣＢＳ環境４０１を更新することによって仮想環境内のサイバーインタラクションに従事し、このようにして仮想現実環境を作成する。

対話エンジン１０６は、インタラクティブＣＢＳ環境４０１の作成の基礎を提供するために、履歴サイバーデータ１０１のストアを使用する。センサデータ１０２は、物理的環境に関する情報を提供する。エンリッチメントデータ１０３は、追加の文脈を提供する。対話エンジン１０６は、これらの情報源を統合する１組のＣＢＳからなる環境を作成する。

インタラクティブＣＢＳ環境４０１は、視覚化、解析、共同作業、計画、トレーニング、演習、および戦争ゲームのための分散システムを提供する。多数のアクター１０５は、インタラクティブＣＢＳ環境４０１において競争することができ、または共同作業することができる。アクター１０５は、チームまたは他のグループに編成することができる。アクター１０５は、自分の組織または他の組織を表すことができる。アクター１０５は、他のアクター１０５と競合することができる広い範囲の目標を有することができる。

シミュレートされたエンティティ４０３は、アクター１０５の合成バージョンを表すことができるが、インタラクティブＣＢＳ環境４０１内の広範囲の他のエンティティを表すこともできる。一部のシミュレートされたエンティティ４０３は、敵を表すことができる。他のシミュレートされたエンティティ４０３は、アクター１０５をシミュレートして、追加の機能を提供することによってアクター１０５を補足し、サポートすることができる。シミュレートされたエンティティ４０３を使用して、インタラクティブＣＢＳ環境４０１内の活動の規模を増やすことができる。シミュレートされたエンティティ４０３は、自律的に動作するか、またはアクター１０５または他のシミュレートされたエンティティ４０３に応答する、インタラクティブＣＢＳ環境４０１内の機器を表すことができる。

オブザーバー−コントローラ４０２は、アクター１０５、シミュレートされたエンティティ４０３、およびインタラクティブＣＢＳ環境４０１の間の対話を監視する。オブザーバー−コントローラ４０２は、インタラクティブＣＢＳ環境４０１内の１組の対話の解析を支援することができる。オブザーバー−コントローラ４０２は、解析、トレーニング、練習またはシナリオの目標が確実に達成されるように、インタラクティブＣＢＳ環境４０１内のアクター１０５、シミュレートされたエンティティ４０３間の対話に介入することができる。

対話エンジン１０６は、一組の結果４０４を生成する。いくつか実施形態では、対話エンジン１０６は、中間結果および最終結果を生成することができる。結果は、視覚化、グラフ、およびアクター１０５およびシミュレートされたエンティティ４０３の活動ならびに解析、トレーニングの練習またはシナリオの全体的な結果に関する報告からなることができる。

いくつかの実施形態では、対話エンジン１０６は、異なる地理的位置からのアクター１０５またはシミュレートされたエンティティ４０３として表される複数の防御側が、同期した方法で設定される共通の問題を理解するためにシミュレーションに参加することを可能にする。この能力は、地理的地図をＣＢＳ４０１に統合するＣＢＳ４０１の能力によってサポートされる。同様に、異なる企業や異なるセクターの複数の防御側を仮想現実環境に持ち込んで、同期した方法で設定される共通の問題を理解することができる。この能力は、組織マップをＣＢＳ４０１に統合するＣＢＳ４０１の能力によってサポートされる。

図５は、本開示のいくつかの実施形態に係るＣＢＳのスイートを管理するシミュレーションエンジン１１５を示すシステム図である。シミュレーションエンジン１１５は、上記の１つまたは複数の方法を使用して、シミュレートされたサイバー行動を作成する。特に、いくつかの実施形態では、サイバーデータ１０１、センサデータ１０２およびエンリッチメントデータ１０３は、初期ＣＢＳ５０１を作成し、シミュレーションエンジン１１５によって必要とされる統計情報を提供するために使用される。このシミュレーション機能により、ネットワーク防御側はネットワークを生かすことができ、様々なプロセス、イベント、動作をシミュレートして、潜在的な結果を判断することができる。シミュレーションのコンテキストにより、ネットワーク防御側は、ネットワークを積極的に防御するための最適なオプションと動作が何であるかを判断するための様々なツールの影響を理解することができる。

シミュレーションエンジン１１５によって生成されたＣＢＳのスイート５０２は、ネットワーク防御動作を最適化するために、比較され、互いに対比される。具体的には、解析ワークフローエンジン１１４によって生成された行動モデルを使用して、特定のシーンおよびシナリオにおける特定のアクター５０３に関心のある特定のサイバー行動を作成し、シミュレーションを更新することができる。シミュレーションエンジン１１５は、弱点を見つけるためにネットワーク構成を動的にテストするためにも使用することができる。

シミュレーションエンジン１１５は、ネットワーク防御側をテストして証明し、シミュレーションプログラムおよび監視および報告５０４を使用してセクタ内の複数の企業をトレーニングするために使用することもできる。

最後に、シミュレーションエンジン１１５を使用して、進行中のイベントの相対的な重要性をリアルタイムよりも速く動的に調査して、ネットワーク防御側の動作を優先させることができる。特に、トレーニングされた防御側の様々なレベルのための簡単なネットワーク防御動作をサポートするために、より小さい規模または”マイクロ”シミュレーションを使用することができる。

いくつかの実施形態では、システムは、シミュレーションの参加者が明確にシミュレーションに参加することを検証するために、暗号鍵のセットを使用する。このようにして、サイバー行動交換１１７を使用して、例えば、図１に示すように、チームを一緒にしたり、業界セクター内または複数の業界セクターから分散したチームでさえも、検証可能で安全な方法が得られる。

更新５０５は、シミュレーションの期間中に発生するサイバーデータ、センサデータ、およびエンリッチメントデータの変化に対するメカニズムを提供するが、ＣＢＳに組み込まれるシミュレーションには影響しない。例えば、地形データの変更によってシミュレーションが変更されることはないが、ＣＢＳに表示されるはずである。シミュレーションシステムの操作の一部として、シミュレーションを変更するサイバーデータ、センサデータ、およびエンリッチメントデータの変更が組み込まれている。

インタラクティブガイダンス５０６は、シミュレーション動作の通常のコース外でＣＢＳを変更するためのメカニズムを提供する。このメカニズムは、ユーザ／管理者がシミュレーションのコースをガイドして、面白くない部分や非生産的部分を切り取るために使用できる。

条件に基づく制約５０７は、シミュレーションが限界を超えないようにすることによって、不正確な結果を最小限に抑えるためのメカニズムを提供する。シミュレーションには通常、不正確または無効になる条件がある。例えば、飛行シミュレーションは、特定の空気速度、高度、または異常な姿勢に対して無効になることがある。

サイバー行動交換
２つ以上のシステムからの情報は、サイバー行動交換によって共有することができる。図６は、本開示のいくつかの実施形態に係る制御された方法で企業６２０，６３０内または間で情報を安全に共有するための複数のサイバー行動交換（ＣＢＸ）の動作を示すシステム図である。

いくつかの実施形態では、共有可能情報６０１を含むＣＢＳが識別される。企業内の一部のＣＢＳ６０２は、参加組織の情報共有ポリシーのために共有できない。

例えば、データの投影、マスキング、データの変換、固定数の主成分の使用、より下位の近似への縮小、プライバシー保護機械学習を使用して作成された修正ＣＢＳ６０３、または準同型暗号化、または同様の方法が、機械または人間が消費するための正しいフォーマットで共有されるサブセット、変換セット、または暗号化された情報セットを含むように作成することができる。いくつかの実施形態では、システム構成要素は、修正されたＣＢＳ６０３を作成するためにデータを投影、マスク、または他の方法６１２で変換する。

いくつかの実施形態では、プライベートまたは機密のビジネス情報が残っている場合、データにノイズを追加する、または準同型暗号化を使用してデータを暗号化するなどのプライバシー保護変換が６０４で使用され、共有可能なＣＢＳ６０５にデータが変換される。

参加機関の情報セキュリティおよび他のポリシーによって要求される情報共有６０６に関する追加の制約が適用される。

いくつかの実施形態では、結果として得られる共有可能なＣＢＳ６０５は、場合によっては信頼できる第三者にも含めて、他のＣＢＸ対応企業６３０への安全な送信のためにＣＢＸ６０７に送信される。いくつかの実施形態では、ＣＢＸ対応企業６３０がデータを提出する各企業によって信頼されている場合、プライバシー保護後に信頼できる第三者が結果を返す場合に間接的にのみ、情報を他の組織と直接共有する必要はない変換および集計は、提出されたデータに適用される。

いくつかの実施形態では、共用可能なＣＢＳ６０５を暗号化して、機械または人間が消費するために他のＣＢＸ対応企業に安全に送信される安全なＣＢＳ６０８を作成する。

共有可能なＣＢＳ６０５または暗号化されたＣＢＳ６０８は、その企業に関連付けられたＣＢＸ６０９を介して、１つまたは複数のＣＢＸ対応企業６３０によって受信される。

協力企業は、関連するＣＢＳを更新して、更新されたＣＢＳ６１０を作成する。どのＣＢＳが更新に関連するかを決定することは、エンティティ、アクター、行動、データのどれを更新すべきかを決定するためのユニークなキーの使用、タグ、属性、特徴、および行動のどれを更新すべきかを決定する使用、または、どのＣＢＳを更新すべきかを選択するためのルールまたは機械学習方法の使用を含むが、これらに限られない、複数の方法を使用することができる。

いくつかの実施形態では、関連する企業のセキュリティおよび情報共有ポリシー、ルール、または規制に基づいて、ＣＢＳ６１１の一部が更新されない。

いくつかの実施形態では、図６に記載のプロセスに従って交換されたＣＢＳは、単一のフォーマットされたデータレコードまたはフォーマットされたデータレコードのコレクションと同じくらい単純なもの、または保護された環境へのアクセスを獲得し、特権をエスカレートさせ、横方向に移動し、システムを攻撃するための特定の技能を表すサイバーデータ、サイバーアクターおよびサイバーシーンのコレクションと同じくらい複雑なものである。

仮想トレーニングと防御
いくつかの実施形態では、シミュレーションおよび仮想現実システムを使用して、観察された行動関連情報と、複数のリアルまたは仮想サイバーアクターがシーン、シミュレーションおよび仮想現実環境に参加したときに生成される行動関連情報の両方、行動関連情報を相互に共有することによってサイバー防御側の操作能力またはトレーニングを強化する。地理的に分散した企業内またはその中のすべての操作要素間で、このように観察またはシミュレートされたサイバー行動を共有することで、サイバー防御側と防御側の１つの要素が即座に”軍”になる。リアルとシミュレートされた仮想サイバーアクターやアバターの両方の”軍”は、サイバー防御側がシーン、シミュレーション、仮想現実環境に参加し、協力することを可能にする。このリアルタイムの協力は、複数の行動コース（ＣＯＡ）、防衛戦略、行動の影響をシミュレートし、この情報を共有仮想環境に組み込むことで、より包括的で迅速な操作の理解と意思決定プロセスをサポートする視覚効果を高めることができる。

いくつかの実施形態では、行動関連情報の交換は、２つ以上の組織からのリアルおよび仮想のアクターまたはアバターからのものであってもよい。いくつかの実施形態では、シミュレーションおよび仮想現実環境は、２つ以上の組織からのものであってもよい。このようにして、２つ以上の組織のサイバー防御側は、シーン、シミュレーション、仮想現実環境に参加し、協力することができる。

いくつかの実施形態では、シミュレーションエンジン１１５を使用して、インタラクティブＣＢＳ環境４０１で使用され、ネットワーク防御側（アクター１０５の一部がネットワーク防御側である場合）の行動コース（ＣＯＡ）を提供する複数のシミュレートされたＣＢＳ１１１を生成する。インタラクティブＣＢＳ環境を作成するためのデータは、サイバーデータ１０１、センサデータ１０２、および様々なタイプのエンリッチメントデータ１０３を含むことができるが、これらに限られない。アクター１０５およびオブザーバー／コントローラ４０２は、対話エンジン４０１を使用してトレーニングシナリオを作成し、ＣＯＡを開発し、シナリオをリプレイし、結果を改善しようとする異なる動作をとることができる。インタラクティブ環境におけるこれらのシナリオは、シミュレートされたエンティティ４０３を含むことができる。

本開示のいくつかの実施形態では、シミュレーションエンジン１１５は、初期偵察、スキャン、初期妥協、足場の確立、ビーコン、コマンドと制御、クレデンシャルキャプチャ、エスカレート特権、内部偵察、横運動、ネットワークマッピング、データの抽出、持続性維持、および関連する行動を含むが、これらに限られない、行動に関与するシミュレートされた仮想サイバーアクターを含む複数のシミュレートされたＣＢＳを生成するために使用される。対話エンジン１０６は、インタラクティブＣＢＳ環境において、ネットワーク防御側アクターが、デバイスの通信を阻止すること、侵入を止めるためにポートを阻止すること、ユーザを削除すること、またはユーザの特権を取り除くこと、およびプロセスを強制終了することを含むが、これらに限られない、動作をとることができるように使用される。仮想、リアル、またはその２つの組み合わせの場合、ＣＢＳを使用して仮想環境内の仮想シナリオを実施したり、または実際の環境を強化することができる。同様に、ネットワーク防御側は、インタラクティブＣＢＳ環境で、仮想またはリアルのサイバーアクターに対するネットワーク防御を実践できる。

いくつかの実施形態では、シミュレーションエンジン１１５は、初期偵察、スキャン、初期妥協、足場の確立、ビーコン、コマンドと制御、クレデンシャルキャプチャ、エスカレート特権、内部偵察、横運動、ネットワークマッピング、データの抽出、持続性維持、および関連する行動を含むが、これらに限られない、行動に関与するシミュレートされた仮想サイバーアクターを含む複数のシミュレートされたＣＢＳを生成するために使用される。対話エンジン１０６は、インタラクティブＣＢＳ環境において、ネットワーク防御側のアクターが、デバイスの通信を阻止またはリダイレクトすること、侵入を止めるためにポートを阻止すること、ユーザを削除することまたはリダイレクトすることユーザの特権を削除したり、プロセスを強制終了したりすることを含むが、これらに限られない、動作をとることができるように使用される。このようにして、ネットワーク防御側は仮想環境でサイバー軽減技術を実践できる。ＣＢＳに悪質な性質の実際のサイバー活動が存在する場合、ネットワーク防御側は、これらの動作が実際に実行される前に、緩和動作の潜在的な影響を迅速に理解することができる。ネットワーク防御側は、インタラクティブＣＢＳ環境で仮想サイバーアクターに対するネットワーク防御を実践することができるが、実際のサイバー攻撃が進行中であり、リスクを軽減し、実行された防御やその他の動作が望ましい結果を達成する可能性を高める。いくつかの実施形態では、これらのシミュレーションはリアルタイムよりも速く実行され、ネットワーク防御側は、より迅速かつ効率的により良い結果をもたらすシナリオおよび動作をより迅速に処理することができる。仮想、リアル、またはその２つの組み合わせの場合、ＣＢＳを使用して仮想環境内の仮想シナリオを実施したり、実際の環境を強化することができる。同様に、ネットワーク防御側は、インタラクティブＣＢＳ環境で、仮想またはリアルのサイバーアクターに対するネットワーク防御を実践できる。

いくつかの実施形態では、アクターは、ＣＢＳの一部であるマルチスケール構造およびマップを使用してズームインまたはズームアウトすることができる。特定のクラスのエンティティ、システム、フローまたはプロセスに焦点を当てる。メモ、画像、およびダッシュボードでインタラクティブＣＢＳ環境に注釈を付けることができる。このようにして、アクターは環境をよりよく理解することができる。

いくつかの実施形態では、実際のサイバーアクターは、対話型ＣＢＳ環境内で互いと通信して、自分の防衛動作をより良く調整することができる。

いくつかの実施形態では、シミュレーションエンジン１１５を使用して、初期偵察、スキャン、初期妥協、足場の確立、ビーコン、コマンドおよび制御、クレデンシャルキャプチャ、エスカレート特権、内部偵察、横運動、ネットワークマッピング、データの抽出、持続性維持、および関連する行動を含むが、これらに限られない、行動に関与するシミュレートされた仮想サイバーアクターを含む複数のシミュレートされたＣＢＳを生成する。ＣＢＳのこれらの複数のシミュレーションを使用して、ＣＢＳ内のエンティティのリスク計算は、モンテカルロ法またはベイジアン法を含むが、これらに限られないいくつかの異なる方法で計算することができる。このようにして、ＣＢＳのすべてのエンティティにリスクスコアを割り当てることができる。同様に、これらの方法は、多様性スコアを計算するためにも使用することができる。

いくつかの実施形態では、解析ワークフローエンジン１１４は、ＣＢＳにおけるデータのより低い次元のテンソル近似を計算するために使用される。次いで、シミュレーションエンジン１１５は、これらのより低い次元のテンソル近似を用いて、初期偵察、スキャン、初期妥協、足場の確立、ビーコン、コマンドおよび制御、クレデンシャルキャプチャ、エスカレート特権、内部偵察、横運動、ネットワークマッピング、データの抽出、持続性維持、および関連する行動を含むが、これらに限られない、行動に関与するシミュレートされた仮想サイバーアクターを含む複数のシミュレートされたＣＢＳを生成するために使用される。ＣＢＳのこれらの複数のシミュレーションを使用して、ＣＢＳ内のエンティティのリスク計算は、モンテカルロ法またはベイジアン法を含むが、これらに限られないいくつかの異なる方法で計算することができる。このようにして、ＣＢＳのすべてのエンティティにリスクスコアを割り当てることができる。同様に、これらの方法は、多様性スコアを計算するためにも使用することができる。

多様性スコアは、組織内または組織全体の多様性の程度と量を定量化したものである。ルータ、ファイアウォール、コンピュータなど、さまざまなベンダーの機器を使用することで、さまざまな機能を拡張できる。また、様々なネットワーク構成とトポロジを使用して多様性を高めることもできる。多様性は、攻撃に対する組織または複数の組織の脆弱性を評価する上で重要である。例えば、組織の多様性スコアが低い場合、攻撃の種類によって組織の大部分が混乱する可能性がある。対照的に、多様性スコアの高い組織では、同じ攻撃によって混乱した少数の組織しか存在しない。同様に、複数の組織では、多様性スコアが高いということは、すべての組織が同じ種類の攻撃によって同じ程度に影響を受けるわけではないことを意味する。

ダイバーシティスコアはテンソルとして格納できる。テンソルは、多様性スコアに多面的に寄与する側面を独自に捕捉することができる。ダイバーシティスコアは、以前に計算されたテンソルまたはテンソルのコレクションに演算子を適用することによって計算することができる。シミュレーションエンジン１１５は、組織内または組織全体の複数の構成を導出および探索するために使用することができる。シミュレーションの結果は、多様性スコアを計算するために使用されるテンソルまたはテンソルのコレクションに格納することができる。

リスクスコアは、多様性スコアと同様に、組織内または組織全体の攻撃のリスクの程度と量を定量化したものである。前述したように、多様性スコアはリスクスコアの重要な要因である。リスクスコアはテンソルとして格納することもできる。リスクスコアは、以前に計算されたテンソルまたはテンソルのコレクションに演算子を適用することによって計算することができる。シミュレーションを使用して、組織内または組織全体のリスクを導出および探索するために使用することもできる。シミュレーションの結果は、リスクスコアを計算するために使用されるテンソルまたはテンソルのコレクションに格納することができる。

いくつかの実施形態では、更新されたサイバーデータ、センサデータ、エンリッチメントデータ、および／または第三者データがＣＢＳマネージャ１０２に供給されると、ダイバーシティスコアおよびリスクスコアが更新され、ＣＢＳマネージャ１０２は、新たに更新されたシミュレートされたＣＢＳを作成し、ＣＢＳ内のすべてのエンティティの更新されたリスクスコアを計算するために順番に使用される。

得られた多様性およびリスクテンソルは、情報の共有および共有ＣＢＳ環境４０１の更新のために、ＣＢＸ１１７を使用して、地理的に分散した複数の場所にわたって安全に共有することもできる。

いくつかの実施形態では、まず、ＣＢＳ内のエンティティの異なる計算レベルの多様性を有するＣＢＳのコレクションが作成され、それらの特性は、それらのオペレーティングシステム、それらの構成、それらのソフトウェアライブラリとソフトウェアユーティリティ、それらのソフトウェアアプリケーション、およびそれらのインタフェースが含まれるが、これらに限られない。このような各ＣＢＳのために、シミュレーションエンジン１１５は、初期偵察、スキャン、初期妥協、足場の確立、ビーコン、コマンドおよび制御、クレデンシャルキャプチャ、エスカレート特権、内部偵察、横運動、ネットワークマッピング、データの抽出、持続性維持、および関連する行動を含むが、これらに限られない、行動に関与するシミュレートされた仮想サイバーアクターを含む複数のシミュレートされたＣＢＳを生成するために使用される。ＣＢＳのこれらの複数のシミュレーションを用いて、所与のレベルの多様性に対するエンティティのリスク計算が、例えば、モンテカルロ法またはベイジアン法を用いて計算される。このように、ＣＢＳのエンティティの多様性とリスクスコアの関係は、ネットワーク防御側によって理解され、ＣＢＳ内のエンティティのリスクスコアを低減するために使用される。

いくつかの実施形態では、解析ワークフローエンジン１１４を使用して、ＣＢＳ内のデータの下位テンソル近似を計算する。次に、これらの下位テンソル近似におけるＣＢＳのコレクションが作成され、それぞれは、ＣＢＳにおけるエンティティの多様性の計算されたレベルおよびそれらのオペレーティングシステム、それらの構成、それらのソフトウェアライブラリとソフトウェアユーティリティ、それらのソフトウェアアプリケーション、およびそれらのインタフェースを含むが、これらに限られない、それらの特性を使用する。このようなＣＢＳの各々について、シミュレーションエンジンは、初期偵察、スキャン、初期妥協、足場の確立、ビーコン、コマンドおよび制御、クレデンシャルキャプチャ、エスカレート特権、内部偵察、横運動、ネットワークマッピング、データの抽出、持続性維持、および関連する行動を含むが、これらに限られない、行動に関与するシミュレートされた仮想サイバーアクターを含む複数のシミュレートされたＣＢＳを生成するために使用される。ＣＢＳのこれらの複数のシミュレーションを用いて、所与のレベルの多様性に対するエンティティのリスク計算が、例えば、モンテカルロ法またはベイジアン法を用いて計算される。このように、ＣＢＳのエンティティの多様性とリスクスコアの関係は、ネットワーク防御側によって理解され、ＣＢＳのエンティティのリスクスコアを低減するために使用される。

ＯＴ環境
いくつかの実施形態では、センサおよびサイバーデータは、運用技術（ＯＴ）環境内のデータから由来してもよい。ＯＴ環境とは、産業環境に限られない物理的機械および物理的プロセスを監視および制御するように設計されたハードウェアセンサおよびソフトウェアを指す。

図７は、本開示のいくつかの実施形態に係る動作技術環境と相互作用するサイバーセキュリティシステムを示すシステム図である。

物理マシン７０１はＯＴセンサ７０２によって監視され、データはＯＴネットワーク７０３に渡される。また、ＯＴセンサ７０２は、物理マシン７０１を対話させて調整する物理アクター７０４を監視する。ＯＴセンサ７０２は、状態、動作、対話、内部条件、外部条件、内部状態、性能、およびマシンおよびデバイスに関する関連データに関するデータを収集する。また、ＯＴセンサ７０２は、環境条件および変化、人間の存在および関連データを含む物理的環境に関するデータを収集する。ＯＴセンサは、ＯＴネットワークを介して有線でマシンやデバイスに取り付けられ、マシンやデバイスに接続され、ＩＴネットワークを介してマシンやデバイスに接続されたり、物理環境で分散されたりする。ＯＴデータは、ＯＴ／ＩＴネットワークインタフェース７０５内の標準ネットワークパケットにカプセル化され、ＯＴ／ＩＴネットワークインタフェース７０５は、ＯＴ環境７０５に関連するＩＴ環境７０７による処理に利用可能である。いくつかの実施形態では、ＯＴ／ＩＴインタフェース７０５を含むＩＴ環境７０７内の様々なＩＴ構成要素を監視することができ、またはサイバーデータ７０７を作成するログファイルを生成することができ、サイバーデータ１０１の一例としてサイバーセキュリティシステムに利用できる。いくつかの実施形態では、ネットワークパケットまたはログファイルにカプセル化されたセンサデータ７０６は、サイバーセキュリティシステムへの入力１０３の１つとして利用可能である。センサデータ１０３およびサイバーデータ１０１は、上述のようにＣＢＳマネージャ１１３によって処理される。

本明細書に記載される主題は、本明細書に開示される構造的手段およびその構造的均等物、またはそれらの組み合わせを含む、デジタル電子回路、またはコンピュータソフトウェア、ファームウェア、またはハードウェアにおいて実施され得る。本明細書に記載された主題は、（例えば、機械可読記憶装置内の）情報担体に有形に具体化されるか、または伝搬された信号で具体化される１つまたは複数のコンピュータプログラムなどの１つまたは複数のコンピュータプログラム製品として、またはデータ処理装置（例えば、プログラマブルプロセッサ、コンピュータ、または複数のコンピュータ）の動作を制御するために実施することができる。コンピュータプログラム（プログラム、ソフトウェア、ソフトウェアアプリケーション、またはコードとしても知られている）は、コンパイルまたはインタプリタ言語を含む任意の形式のプログラミング言語で記述することができ、スタンドアローンプログラムまたはコンピューティング環境での使用に適したモジュール、構成要素、サブルーチン、または他のユニットとして実装することができる。コンピュータプログラムは必ずしもファイルに対応しているとは限らない。プログラムは、他のプログラムまたはデータを保持するファイルの一部分、問題のプログラム専用の単一のファイル、または複数の調整されたファイル（例えば、１つまたは複数のモジュール、サブプログラム、またはコードの部分を格納するファイル）に格納することができる。コンピュータプログラムは、１つのコンピュータ上で、または１つのサイトの複数のコンピュータ上で実行され、または複数のサイトにわたって分散され、通信ネットワークによって相互接続されるように展開することができる。

本明細書で説明される主題の方法ステップを含む本明細書で説明されるプロセスおよび論理フローは、入力データで動作し出力を生成することによって本明細書に記載される主題の機能を実行する１つまたは複数のコンピュータプログラムを実行する１つまたは複数のプログラム可能なプロセッサによって実行することができる。プロセスおよび論理フローは、専用論理回路によって、実施することができ、本明細書で説明する主題の装置は、例えば、ＦＰＧＡ（フィールドプログラマブルゲートアレイ）またはＡＳＩＣ（特定用途向け集積回路）などの専用論理回路として実施することができる。

コンピュータプログラムの実行に適したプロセッサは、一例として、汎用マイクロプロセッサおよび専用マイクロプロセッサ、および任意の種類のデジタルコンピュータの任意の１つまたは複数のプロセッサを含む。一般に、プロセッサは、読み出し専用メモリまたはランダムアクセスメモリまたはその両方から命令およびデータを受信する。コンピュータの必須要素は、命令を実行するためのプロセッサと、命令およびデータを記憶するための１つまたは複数のメモリデバイスとである。一般に、コンピュータは、データ、例えば磁気、光磁気ディスク、または光ディスクを格納するための１つまたは複数の大容量記憶装置からのデータを受信するか、またはその両方にデータを転送するか、またはその両方に動作可能に結合される。コンピュータプログラム命令及びデータを具現化するのに適した情報担体は、例えば、半導体メモリ装置（例えば、ＥＰＲＯＭ、ＥＥＰＲＯＭ及びフラッシュメモリ装置）、磁気ディスク（例えば、内蔵ハードディスク又はリムーバブルディスク）、光磁気ディスク及び光ディスク（例えば、ＣＤおよびＤＶＤディスク）を含む全ての形態の不揮発性メモリを含む。プロセッサおよびメモリは、専用論理回路によって補完または組み込むことができる。

ユーザとの対話を提供するために、本明細書に記載される主題は、コンピュータ、ウェアラブルデバイス、ヘッドアップディスプレイ、ゴーグル、ユーザに情報を表示するための、例えば、ＣＲＴ（陰極線管）、レーザ投影デバイス、ＬＣＤ（液晶ディスプレイ）、ＬＥＤ（発光ダイオード）またはＯＬＥＤ（有機発光ダイオード）などの表示デバイスまたは機構を有するレティナデバイス、ならびにユーザがコンピュータまたはデバイスに入力を提供することができるキーボードおよびポインティングデバイス（例えば、マウスまたはトラックボール）上で実施することができる。他の種類のデバイスを使用して、ユーザとの対話を提供することもできる。例えば、ユーザに提供されるフィードバックは、任意の形態の感覚フィードバック（例えば、視覚フィードバック、聴覚フィードバック、または触覚フィードバック）であってもよく、ユーザからの入力は、音響、音声、または触覚入力を含む任意の形態で受信することができる。

本明細書に記載される主題は、バックエンド構成要素（例えば、データサーバ）、ミドルウェア構成要素（例えば、アプリケーションサーバ）、またはフロントエンド構成要素（例えば、クライアントコンピュータモバイルデバイス、ウェアラブルデバイス、グラフィカルユーザインタフェースまたはユーザが本明細書に記載の主題の実装と対話することができるウェブブラウザを有する）、またはそのようなバックエンド、ミドルウェア、およびフロントエンド構成要素の任意の組み合わせを含む。システムの構成要素は、任意の形式または媒体のデジタルデータ通信、例えば、通信ネットワークによって相互接続することができる。通信ネットワークの例には、ローカルエリアネットワーク（“ＬＡＮ”）およびワイドエリアネットワーク（“ＷＡＮ”）、例えば、インターネットが含まれる。

開示された主題は、その適用において、構成の詳細及び以下の説明に記載される又は図面に示される構成要素の構成に限定されないことが理解されるべきである。開示される主題は、他の実施形態が可能であり、様々な方法で実践され実施される。また、本明細書で使用される表現および用語は、説明のためのものであり、限定的であるとみなされるべきではないことを理解されたい。

そうであるように、当業者であれば、本開示が基づいている概念は、開示される主題のいくつかの目的を実行するための他の構造、方法、およびシステムの設計の基礎として容易に利用され得ることを理解するであろう。したがって、特許請求の範囲は、開示される主題の精神および範囲から逸脱しない限り、同等の構成を含むとみなされることが重要である。

開示された主題は、前述の例示的な実施形態で説明され例示されているが、本開示は例としてのみなされたものであり、開示された主題の実施の詳細の多くの変更は、開示された主題の精神および範囲から逸脱することなく行うことができ、以下の請求項によってのみ限定される。

Claims (24)

1. サイバー行動を計算し予測し、サイバーアクター間のサイバー対話を作成することができるように、サイバーアクターに関連するサイバー行動を管理するサイバーセキュリティシステムであって、
   前記システムは、
   サイバー行動空間管理モジュールと、
   対話エンジンと、
   解析ワークフローエンジンと、
   視覚化エンジンとを備え、
   前記サイバー行動空間モジュールは、前記対話エンジン、前記解析ワークフローエンジン、および前記視覚化エンジンと通信し、
   入力データ、前記対話エンジンからのデータ、および前記解析ワークフローエンジンからのデータのうち少なくとも１つを受信し、
   前記入力データ、前記対話エンジンからのデータ、および前記解析ワークフローエンジンからのデータのうち少なくとも１つに基づいて、複数のサイバー行動空間を作成するように構成され、
   前記入力データは、入力サイバーデータ、センサデータ、エンリッチメントデータ、および第三者データのうち少なくとも１つを含み、
   前記複数のサイバー行動空間の各々は、サイバー行動空間データを備え、
   前記サイバー行動空間データは、
   サイバーデータ、複数のサイバーアクターに関連するサイバーアクターデータ、および複数のサイバーシーンに関連するサイバーシーンデータを含み、
   前記サイバーデータは、入力サイバーデータおよび変換された入力サイバーデータのうち少なくとも１つを含み、
   前記サイバー行動空間データは、複数の次元、複数のモード、および複数のスケールによって定義され、
   前記対話エンジンは、
   前記複数のサイバーアクターのうちの第１のサイバーアクターに関連する第１のサイバーアクターデータを受信し、
   前記受信された第１のサイバーアクターデータを処理し、前記第１のサイバーアクターと、前記サイバー行動空間、前記サイバーシーン、およびサイバーマップのうち少なくとも１つとの間の第１の対話、および前記第１のサイバーアクターと、複数のサイバーアクターの第２のサイバーアクターとの間の第２の対話の少なくとも１つを容易にし、
   前記第１の対話および前記第２の対話のうち少なくとも１つに関連するデータを送信するように構成され、
   前記第１のサイバーアクターは、リアルサイバーアクターとシミュレートされたアクターのうち少なくとも１人を含み、
   前記サイバーマップは、複数のサイバー行動空間のうち少なくとも１つに関連付けられ、
   前記解析ワークフローエンジンは、
   複数のサイバー行動空間の各々に関連する前記サイバー行動空間データを解析し、サイバー行動を計算し、
   前記サイバー行動空間データ、
   前記計算されたサイバー行動、および、前記サイバーデータ、前記サイバーアクターデータ、および前記サイバーシーンデータのうちの少なくとも１つへの前記計算されたサイバー行動の割り当て、
   前記第１の対話、および
   前記第２の対話のうち少なくとも１に基づいて、前記サイバーデータ、前記サイバーアクターデータ、および前記サイバーシーンデータのうち少なくとも１つを更新し、
   前記サイバーデータ、前記サイバーアクターデータ、および前記サイバーシーンデータのうち前記更新された少なくとも１つに関連するデータを送信するように構成され、
   前記視覚化エンジンは、
   前記対話エンジンからの前記第１の対話および前記第２の対話のうち少なくとも１つに関連する前記データ、および
   前記サイバー行動空間、前記複数のサイバーアクター、前記複数のサイバーシーン、前記複数のサイバーマップ、および前記計算されたサイバー行動のうち少なくとも１つの少なくとも１つの視覚化を計算し、
   表示のために前記視覚化を送信するように構成される、
   サイバーセキュリティシステム。
2. サイバー行動空間管理モジュールと通信する、クエリエンジンをさらに備え、
   前記クエリエンジンは、前記第１のサイバーアクターから、前記複数のサイバー行動空間のうち少なくとも１つに関するクエリを受信するように構成され、前記クエリは、
   複数のサイバーエンティティの第１のエンティティに関連するリスクと、
   前記第１のサイバーエンティティと類似のプロファイルを有する前記複数のサイバーエンティティのグループと、
   内部または外部の組織構造と、
   前記第１のサイバーエンティティ、前記第１のサイバーアクター、前記第２のサイバーアクターおよび第３のサイバーアクターのうち少なくとも１つに関連する行動のうち少なくとも１つに関連付けられ、
   前記第１のサイバーエンティティは、前記サイバーエンティティのグループ内の各サイバーエンティティであり、
   前記解析ワークフローエンジンはさらに、前記複数のサイバーエンティティの各サイバーエンティティおよび前記複数のサイバーアクターの各サイバーアクターに関連するリスクを計算して連続的に更新するように構成される、
   請求項１のサイバーセキュリティシステム。
3. 前記サイバー行動空間管理モジュールと通信し、前記複数のサイバーシーンを生成するように構成されたシミュレーションエンジンをさらに備え、前記複数のサイバーシーンの各々は、前記サイバーデータおよび前記複数のサイバー行動空間に関連する前記サイバーマップのサブセットを含む、
   請求項１のサイバーセキュリティシステム。
4. 前記シミュレーションエンジンは、シミュレーションを生成するようにさらに構成され、前記シミュレーションは、実世界データおよびシミュレートされたデータのうち少なくとも１つに対して動作し、
   操作、解析、洞察、計画、トレーニング、是正措置、緩和措置のうち少なくとも１つのための動作コースを提供するように構成される、
   請求項３のサイバーセキュリティシステム。
5. 前記解析ワークフローエンジンは、変換されたサイバー行動空間を生成するようにさらに構成され、
   前記解析ワークフローエンジンは、変換されたサイバー行動空間を生成するために、前記サイバー行動空間データをテンソルデータおよび下位のテンソル近似に変換し、
   機械学習を使用して、サイバー行動および前記変換されたサイバー行動空間に関連する前記複数のサイバー行動空間を定義するようにさらに構成される、
   請求項１のサイバーセキュリティシステム。
6. 前記解析ワークフローエンジンは、
   前記変換されたサイバー行動空間にルールおよび機械学習のうち少なくとも１つを適用して、
   リアルサイバーアクターまたはシミュレートされたアクターと、
   サイバーエンティティと、
   マシンと、
   組織と、
   プロセスと、
   のうち少なくとも１つに関連するリスクを増加または減少させるサイバー行動を定義するようにさらに構成される、
   請求項５のサイバーセキュリティシステム。
7. 前記サイバーセキュリティシステムは、第１の組織に関連付けられ、さらに、リスクを増加または減少させる前記サイバー行動は、前記第１の組織に関連するサイバーアクターによって観察可能であり、第２の組織に関連するサイバーアクターによって観察不可能であり、
   前記サイバーセキュリティシステムは、
   前記サイバー行動空間管理モジュールと通信するサイバー行動交換エンジンをさらに備え、
   前記サイバー行動交換エンジンは、
   プライバシー保護分散型機械学習アルゴリズムおよびプライバシー保護通信プロトコルのうち少なくとも１つを使用して、リスクを増加または減少させる前記サイバー行動が、第２の組織内のデータを解析するために使用されるように、および前記第１の組織に関連する前記サイバー行動空間データは、前記第２の組織に関連するサイバーアクターによって観察不可能であるように、前記第２の組織に関連するサイバー行動交換エンジンにリスクを増加または減少させる前記サイバー行動を送信するように構成される、
   請求項６のサイバーセキュリティシステム。
8. 前記第１のサイバーアクターデータは、
   前記変換されたサイバー行動空間に関連する前記サイバー行動の第１のサイバー行動、および
   前記変換されたサイバー行動空間に関連する複数のサイバーシーンの第１のサイバーシーンのうちの少なくとも１つを決定し、
   前記第１のサイバー行動および前記第１のサイバーシーンへの応答に関連する操作能力、準備、およびトレーニングを改善するようにさらに処理される、
   請求項５のサイバーセキュリティシステム。
9. 前記解析ワークフローエンジンは、パケットデータ、ネットワークトラフィック、コンピュータログ、信号インテリジェンス、可視、赤外線、マルチスペクトル、ハイパースペクトル、合成開口レーダ、移動ターゲットインジケータレーダ、技術インテリジェンスデータ、およびインテリジェンス報告のうち少なくとも１つを処理するようにさらに構成される、
   請求項１のサイバーセキュリティシステム。
10. 前記複数のサイバー行動空間の各々は、リアルタイムサイバー行動空間、履歴サイバー行動空間、およびシミュレートされたサイバー行動空間のうちの少なくとも１つを含む、
    請求項１のサイバーセキュリティシステム。
11. 前記サイバー行動は、初期偵察、スキャン、初期妥協、足場の確立、ビーコン、コマンドおよび制御、クレデンシャルキャプチャ、エスカレート特権、内部偵察、横運動、ネットワークマッピング、データの抽出、持続性維持、および関連する行動を含む、
    請求項１のサイバーセキュリティシステム。
12. 前記複数の次元は、送信元アドレスと宛先アドレス、到着時刻、容量、パケットサイズ、およびプロトコルタイプの組み合わせを含み、
    前記複数のモードは、パケットデータ、ネットワークトラフィック、コンピュータログ、信号インテリジェンス、可視、赤外線、マルチスペクトル、ハイパースペクトル、合成開口レーダ、移動ターゲットインジケータレーダ、技術インテリジェンスデータ、およびインテリジェンス報告の組み合わせを含み、
    前記複数のスケールは、時間的マルチスケールデータと地理空間データとの組み合わせを含む、
    請求項１のサイバーセキュリティシステム。
13. サイバー行動を計算し予測し、サイバーアクター間のサイバー対話を作成することができるように、サイバーアクターに関連するサイバー行動を管理するサイバーセキュリティシステムであって、
    前記システムは、
    サイバー行動空間管理モジュールと、
    対話エンジンと、
    解析ワークフローエンジンと、
    視覚化エンジンとを備え、
    前記サイバー行動空間モジュールは、前記対話エンジン、前記解析ワークフローエンジン、および前記視覚化エンジンと通信し、
    センサデータ、入力データ、前記対話エンジンからのデータ、および前記解析ワークフローエンジンからのデータのうち少なくとも１つを受信し、
    前記センサデータ、および前記入力データ、前記対話エンジンからのデータ、および前記解析ワークフローエンジンからのデータのうち少なくとも１つに基づいて、複数のサイバー行動空間を作成するように構成され、
    前記センサデータは、物理アクターに関する物理アクターセンサデータおよび物理システムに関する物理システムセンサデータのうち少なくとも１つを含み
    前記入力データは、入力サイバーデータ、エンリッチメントデータ、および第三者データのうち少なくとも１つを含み、
    前記複数のサイバー行動空間の各々は、サイバー行動空間データを備え、
    前記サイバー行動空間データは、
    サイバーデータ、複数のサイバーアクターに関連するサイバーアクターデータ、および複数のサイバーシーンに関連するサイバーシーンデータを含み、
    前記サイバーデータは、入力サイバーデータおよび変換された入力サイバーデータのうち少なくとも１つを含み、
    前記サイバー行動空間データは、複数の次元、複数のモード、および複数のスケールによって定義され、
    前記対話エンジンは、
    前記複数のサイバーアクターのうちの第１のサイバーアクターに関連する第１のサイバーアクターデータを受信し、
    前記受信された第１のサイバーアクターデータを処理し、前記第１のサイバーアクターと、前記サイバー行動空間、前記サイバーシーン、およびサイバーマップのうち少なくとも１つとの間の第１の対話、および前記第１のサイバーアクターと、複数のサイバーアクターの第２のサイバーアクターとの間の第２の対話の少なくとも１つを容易にし、
    前記第１の対話および前記第２の対話のうち少なくとも１つに関連するデータを送信するように構成され、
    前記第１のサイバーアクターは、リアルサイバーアクターとシミュレートされたアクターのうち少なくとも１人を含み、
    前記サイバーマップは、複数のサイバー行動空間のうち少なくとも１つに関連付けられ、
    前記解析ワークフローエンジンは、
    複数のサイバー行動空間の各々に関連する前記サイバー行動空間データを解析し、サイバー行動を計算し、
    前記サイバー行動空間データ、
    前記計算されたサイバー行動、および、前記サイバーデータ、前記サイバーアクターデータ、および前記サイバーシーンデータのうちの少なくとも１つへの前記計算されたサイバー行動の割り当て、
    前記第１の対話、
    前記第２の対話、および
    前記物理システムおよび前記物理アクターのうちの少なくとも１つに関する物理行動の計算のうち少なくとも１に基づいて、前記サイバーデータ、前記サイバーアクターデータ、および前記サイバーシーンデータのうち少なくとも１つを更新し、
    前記サイバーデータ、前記サイバーアクターデータ、および前記サイバーシーンデータのうち前記更新された少なくとも１つに関連するデータを送信するように構成され、
    前記視覚化エンジンは、
    前記対話エンジンからの前記第１の対話および前記第２の対話のうち少なくとも１つに関連する前記データ、および
    前記サイバー行動空間、前記複数のサイバーアクター、前記複数のサイバーシーン、前記複数のサイバーマップ、および前記計算されたサイバー行動のうち少なくとも１つの少なくとも１つの視覚化を計算し、
    表示のために前記視覚化を送信するように構成される、
    サイバーセキュリティシステム。
14. サイバー行動空間管理モジュールと通信する、クエリエンジンをさらに備え、
    前記クエリエンジンは、前記第１のサイバーアクターから、前記複数のサイバー行動空間のうち少なくとも１つに関するクエリを受信するように構成され、前記クエリは、
    複数のサイバーエンティティの第１のエンティティに関連するリスクと、
    前記第１のサイバーエンティティと類似のプロファイルを有する前記複数のサイバーエンティティのグループと、
    内部または外部の組織構造と、
    前記第１のサイバーエンティティ、前記第１のサイバーアクター、前記第２のサイバーアクターおよび第３のサイバーアクターのうち少なくとも１つに関連する行動のうち少なくとも１つに関連付けられ、
    前記第１のサイバーエンティティは、前記サイバーエンティティのグループ内の各サイバーエンティティであり、
    前記解析ワークフローエンジンはさらに、前記複数のサイバーエンティティの各サイバーエンティティおよび前記複数のサイバーアクターの各サイバーアクターに関連するリスクを計算して連続的に更新するように構成される、
    請求項１３のサイバーセキュリティシステム。
15. 前記サイバー行動空間管理モジュールと通信する、シミュレーションエンジンをさらに備え、前記シミュレーションエンジンは、前記複数のサイバーシーンを生成するように構成され、
    前記複数のサイバーシーンの各々は、前記サイバーデータ、前記サイバーシーン、および前記複数のサイバー行動空間に関連する前記サイバーマップのサブセットを含む、
    請求項１３のサイバーセキュリティシステム。
16. 前記シミュレーションエンジンは、シミュレーションを生成するようにさらに構成され、前記シミュレーションは、実世界データおよびシミュレートされたデータのうち少なくとも１つに対して動作し、
    操作、解析、洞察、計画、トレーニング、是正措置、緩和措置のうち少なくとも１つのための動作コースを提供するように構成される、
    請求項１５のサイバーセキュリティシステム。
17. 前記解析ワークフローエンジンは、変換されたサイバー行動空間を生成するようにさらに構成され、
    前記解析ワークフローエンジンは、変換されたサイバー行動空間を生成するために、前記サイバー行動空間データをテンソルデータおよび下位のテンソル近似に変換し、
    機械学習を使用して、サイバー行動および前記変換されたサイバー行動空間に関連する前記複数のサイバー行動空間を定義するようにさらに構成される、
    請求項１３のサイバーセキュリティシステム。
18. 前記解析ワークフローエンジンは、
    前記変換されたサイバー行動空間にルールおよび機械学習のうち少なくとも１つを適用して、
    リアルサイバーアクターまたはシミュレートされたアクターと、
    サイバーエンティティと、
    マシンと、
    組織と、
    プロセスと、
    のうち少なくとも１つに関連するリスクを増加または減少させるサイバー行動を定義するようにさらに構成される、
    請求項１７のサイバーセキュリティシステム。
19. 前記サイバーセキュリティシステムは、第１の組織に関連付けられ、さらに、リスクを増加または減少させる前記サイバー行動は、前記第１の組織に関連するサイバーアクターによって観察可能であり、第２の組織に関連するサイバーアクターによって観察不可能であり、
    前記サイバーセキュリティシステムは、
    前記サイバー行動空間管理モジュールと通信するサイバー行動交換エンジンをさらに備え、
    前記サイバー行動交換エンジンは、
    プライバシー保護分散型機械学習アルゴリズムおよびプライバシー保護通信プロトコルのうち少なくとも１つを使用して、リスクを増加または減少させる前記サイバー行動が、第２の組織内のデータを解析するために使用されるように、および前記第１の組織に関連する前記サイバー行動空間データは、前記第２の組織に関連するサイバーアクターによって観察不可能であるように、前記第２の組織に関連するサイバー行動交換エンジンにリスクを増加または減少させる前記サイバー行動を送信するように構成される、
    請求項１８のサイバーセキュリティシステム。
20. 前記第１のサイバーアクターデータは、
    前記変換されたサイバー行動空間に関連する前記サイバー行動の第１のサイバー行動、および
    前記変換されたサイバー行動空間に関連する複数のサイバーシーンの第１のサイバーシーンのうちの少なくとも１つを決定し、
    前記第１のサイバー行動および前記第１のサイバーシーンへの応答に関連する操作能力、準備、およびトレーニングを改善するようにさらに処理される、
    請求項１７のサイバーセキュリティシステム。
21. 前記解析ワークフローエンジンは、運用技術（ＯＴ）センサ、運用技術ログ、パケットデータ、ネットワークトラフィック、コンピュータログ、信号インテリジェンス、可視、赤外線、マルチスペクトル、ハイパースペクトル、合成開口レーダ、移動ターゲットインジケータレーダ、技術インテリジェンスデータ、およびインテリジェンス報告のうち少なくとも１つを処理するようにさらに構成される、
    請求項１３のサイバーセキュリティシステム。
22. 前記複数のサイバー行動空間の各々は、リアルタイムサイバー行動空間、履歴サイバー行動空間、およびシミュレートされたサイバー行動空間のうちの少なくとも１つを含む、
    請求項１３のサイバーセキュリティシステム。
23. 前記サイバー行動は、初期偵察、スキャン、初期妥協、足場の確立、ビーコン、コマンドおよび制御、クレデンシャルキャプチャ、エスカレート特権、内部偵察、横運動、ネットワークマッピング、データの抽出、持続性維持、および関連する行動を含む、
    請求項１３のサイバーセキュリティシステム。
24. 前記複数の次元は、送信元アドレスと宛先アドレス、到着時刻、容量、パケットサイズ、およびプロトコルタイプの組み合わせを含み、
    前記複数のモードは、パケットデータ、ネットワークトラフィック、コンピュータログ、信号インテリジェンス、可視、赤外線、マルチスペクトル、ハイパースペクトル、合成開口レーダ、移動ターゲットインジケータレーダ、技術インテリジェンスデータ、およびインテリジェンス報告の組み合わせを含み、
    前記複数のスケールは、時間的マルチスケールデータと地理空間データとの組み合わせを含む、
    請求項１３のサイバーセキュリティシステム。

Images