JP5917573B2 - リアル・タイム・データ・アウェアネスおよびファイル追跡のシステムおよび方法 - Google Patents

Description

技術分野は、一般に、通信ネットワーク・セキュリティに関し、より詳細には、ネットワーク上で移動中のパケットからの、ネットワーク内のデータの属性（データの位置など）の受動的判定に関する。

「データ漏洩防止（ｄａｔａ ｌｅａｋ ｐｒｅｖｅｎｔｉｏｎ）」（ＤＬＰ）システムは、会社のデータをその会社のネットワーク内に保持するか、または少なくとも会社がそのデータを管理でき、会社のネットワーク上での移動に作用できるようにするように構成された技術である。ＤＬＰは、ＤＬＰが監視しているあるデータがどこにあるのかをＤＬＰが知っていると仮定する。ＤＬＰが解決しようとしている問題の古典的な例は、電子メールを送信してはならない場所に電子メールを送信する人または添付ファイルを伴う電子メールを送信してはならない場所に電子メールを送信する人、会社のソース・コードを外部に電子メールしようとする人、会社のクレジット・カード・データベースをダウンロードしようとする人、および類似物である。

当初に、ＤＬＰは、悪意のあるユーザがネットワークからデータをこっそり搾取するのを止めるように構成されたものと位置付けられていた。実際には、ＤＬＰは、人がデータに無分別なことをしないようにするものになった。ＤＬＰは、愚行防止システムになった。基本的に、ＤＬＰは、電子メール・アドレスのオートコンプリートの誤動作、たとえば、会社の暫定の四半期の数値が会社の会計士ではなくワシントン・ポストに誤って送信されることを防ぐことなどには良かった。

したがって、本発明の１つまたは複数の実施形態では、センサは、パケットがネットワーク上で移動している時にパケット内のデータを受動的に読み取るように構成され、プロセッサは、センサと共に協力して動作可能であり、センサから読み取られたデータを受信し、受動的に読み取られたパケットがネットワーク上で移動している時に、両方がセンサからの読み取られたデータからであるファイルおよびファイル・データのリアルタイム・マップ・プロファイルを生成するように構成される方法、システム、および／またはコンピュータ可読記憶媒体を提供する。

一実施形態では、プロセッサを、センサによって読み取られたデータから相関および推測を実行するように構成することができる。
もう１つの実施形態では、プロセッサを、すべてがネットワーク上で移動しているパケット内の読み取られたデータからである、ファイルおよびファイル・データの属性のカタログを作成するように構成することができる。

もう１つの実施形態では、カタログを作成される属性は、ファイル名、ファイル・サイズ、タイム・スタンプ、ファイル・ハッシュ、ブロック・ハッシュ、ファイルを含んだサーバＩＤ、ファイルを含むホストＩＤ、ファイルを送信したユーザＩＤ、ファイルを受信しているあるユーザＩＤ、ファイルが転送される場所、ファイルの内容、ファイル・データがどこにあるのか、誰がファイル・データまたはファイルにアクセスしたのか、どのデバイスがファイル・データを有するのか、ファイルがどのように転送されたのか、ファイルがどのように変換されたのかを含む。

もう１つの実施形態では、カタログを作成されるファイルの内容は、キーワード、ハッシュ、およびファイル内容変化を含む。
もう１つの実施形態では、ファイルの内容は、ファイルが流れている時に、データ内のファイル内のキーワードまたはハッシュについて、ファイルおよびファイル・データを分析することによって判定することができる。

さらなる実施形態では、プロセッサは、ユーザが実際にタッチ（ｔｏｕｃｈ）したファイル、ファイル・ハッシュ、およびデータベースにユーザのアイデンティティを関連付けるユーザ・アクセス・マップを作成するように構成することができる。

もう１つの実施形態では、センサは、ファイルが上書きされた死んだデータを有すると事前に判定されたファイル・フォーマットを有する時に、受動的に読み取られたパケットに含まれるファイルの内部のボイドにハニートークン（ｈｏｎｅｙｔｏｋｅｎ）を埋め込み、ネットワーク上およびネットワークの外部でのファイルの移動の追跡を助けるのにハニートークンを使用するようにさらに構成することができる。

もう１つの実施形態では、ファイルに埋め込まれるハニートークンを、ファイル全体の主ハッシュおよびファイル内の個々のブロックのブロック・ハッシュのうちの１つとすることができる。もう１つの実施形態では、両方の種類のハニートークン（ファイル全体の主ハッシュと、ファイル内の個々のブロックのブロック・ハッシュと）を提供し、ファイル内に埋め込むことができる。

もう１つの実施形態では、プロセッサは、読み取られたデータが、たとえば、ユーザの間の会話、ダウンロードされるページ、電子メール添付物、ファイル・ダウンロード、ファイル・リポジトリ・アクセス、およびネットワークを介するファイル転送のうちの１つまたは複数である時に、ファイルおよびファイル・データについてセンサからの読み取られたデータをさらに調べる。オプションで、プロセッサは、読取データが前述のうちの１つではない時に、ファイルおよびファイル・データに関するセンサからの読取データの検査をスキップする。

もう１つの実施形態では、リポジトリ・アクセスを、ダウンロード、ｆｔｐ転送、ファイル共有アクセス、またはＮＦＳアクセスとすることができる。オプションで、ファイル・リポジトリ・アクセスを、前述の拡張および変形とすることができる。

さらなる実施形態では、プロセッサは、パケットがネットワーク上で移動している時に、受動的に検出されたメタデータを生成するために受動的に読み取られたパケット内の読み取られたデータからメタデータを抽出し、読み取られたデータは、ファイル全体の主ハッシュ、ファイル内の個々のブロックのブロック・ハッシュ、ならびにファイル名、日付、タイム・スタンプ、サイズ、およびファイル所有者を有するファイルのディレクトリ・リスティングを含み、ハッシュは、ファイルに一意の暗号ハッシュであり、受動的に検出されたメタデータ、ファイルの属性、およびファイル・データをリレーショナル・データベースに格納し、受動的に検出されたメタデータを受動的に検出されたメタデータのデータ・マップに格納するようにさらに構成されることを提供する。

さらなる実施形態では、リレーショナル・データベースは、ファイル自体に基づき、ファイルがどこに転送されたのかおよびこれを誰が転送したのかを示すことを提供する。
さらなる実施形態では、リレーショナル・データベースは、センサに対するポストプロセッサとして実施できることを提供する。

もう１つの実施形態では、プロセッサは、誰がファイルおよびファイル・データを使用しているのか、およびユーザがファイルおよびファイル・データをどのように転送したかまたはアクセスしているのかからユーザの役割を推測し、推測されたユーザの役割およびセンサからの読み取られたデータから、ユーザが不適切な使用を実行している時を検出するようにさらに構成される。

もう１つの実施形態では、プロセッサは、ファイルの内容がどのように変化したのかに関して報告し、変化は、ファイル・データ内に反映される位置、ファイル・データ内に反映される所有権、ファイル・データ自体の変化、およびファイル自体の変化を含むようにさらに構成される。

もう１つの実施形態は、前述のいずれかもしくはすべて、および／または前述の組合せのための方法を提供する。
さらなる実施形態は、前述のいずれかもしくはすべて、および／または前述の組合せを実行するコンピュータ実行可能命令からなるコンピュータ可読記憶媒体を提供する。

さらなる実施形態では、（Ａ）センサおよび（Ｂ）プロセッサを提供するシステム、方法、および／またはコンピュータ可読媒体がある。
（Ａ）センサは、
（１）パケットがネットワーク上で移動している時にパケット内のデータを受動的に読み取り、
（２）ファイルが上書きできる死んだデータ（dead data）を有すると事前に判定されたファイル・フォーマットを有する時に、受動的に読み取られたパケットに含まれるファイルの内部のボイドにハニートークンを埋め込み、ネットワーク上およびネットワークの外部でのファイルの移動の追跡を助けるのにハニートークンを使用し、ハニートークンは、ファイル全体の主ハッシュおよび／またはファイル内の１つまたは複数の個々のブロックのブロック・ハッシュとすることができるように構成され、
（Ｂ）プロセッサは、
（１）センサから読み取られたデータを受信し、
（２）受動的に読み取られたパケットがネットワーク上で移動している時に、受動的に読み取られたパケット内で読み取られたデータ内のファイルおよびファイル・データを識別し、ファイルおよびファイル・データは、ユーザの間の会話、ダウンロードされるページ、電子メール添付物、ファイル・ダウンロード、ファイル・リポジトリ・アクセス（たとえば、ダウンロード、ｆｔｐ、ファイル共有、ＮＦＳ）、およびネットワークを介するファイル転送であり、
（３）受動的に読み取られたパケット内で読み取られたデータ内のファイルおよびファイル・データとして観察されたファイル、システム、ユーザ、およびファイル・データのリアルタイム・マップ・プロファイルを生成し、
（４）ネットワーク上で移動しているパケット内のデータから観察された、直接のファイル・データ情報（たとえば、ファイル名、ファイル・サイズ、タイム・スタンプ、ファイル・ハッシュ、ブロック・ハッシュ、ファイルを含んだサーバＩＤ、ファイルを含むホストＩＤ、ファイルを送信したユーザＩＤ、ファイルを受信しているユーザＩＤ、ファイルが転送される場所、ファイルの内容（たとえば、キーワードまたはハッシュ、ファイル内容変化）、データがどこにあるのか、誰がデータまたはファイルにアクセスしたのか、どのデバイスがデータを有するのか、ファイルがどのように転送されたのか、ファイルがどのように変換（たとえば、暗号化）されたのか）を含む、ファイルおよびファイル・データの属性のカタログを作成し、
（ｉ）ファイルの内容は、ファイルが流れている時に、キーワードまたはハッシュについて、データを分析することによって判定され、
（５）パケットがネットワーク上で移動している時に、受動的に発見されたメタデータを生成するために受動的に読み取られたパケット内のデータからメタデータを抽出し、読み取られたデータは、ファイル全体の主ハッシュ、ファイル内の個々のブロックのブロック・ハッシュ（たとえば、ＷＯＲＤファイルのパラグラフ・ハッシュ、ＡＣＲＯＢＡＴファイルまたはＯＦＦＩＣＥファイルのデータ・ブロック・ハッシュ）、ならびにファイル名、日付、タイム・スタンプ、サイズ、およびファイル所有者を有するファイルのディレクトリ・リスティングを含み、ハッシュは、ファイルに一意の暗号ハッシュであり、メタデータおよび直接の情報をリレーショナル・データベースに格納し、
（６）観察されたファイルおよびファイル・データから、ユーザが実際にタッチしたファイル、ファイル・ハッシュ、およびデータベースにユーザのアイデンティティを関連付けるユーザ・アクセス・マップを作成し、
（７）観察されたファイルおよびファイル・データから、誰がデータを使用しているのか、および彼らがこれをどのように転送しまたはアクセスしているのかからユーザの役割を推測し、推測されたユーザ役割およびパケットがネットワーク上で移動している時にパケット内で読み取られたデータから、ユーザが不適切な使用を実行している時を検出し、および／または、
（８）観察されたファイルおよびファイル・データから、ファイルの内容がどのように変化したのかに関して報告し、変化は、データの位置、データの所有権、およびデータ自体の変化を含むように構成される。

（Ｃ）受動的に発見されたメタデータを格納するリレーショナル・データベースは、ファイル自体に基づき、これによって、受動的に受信されたパケットからの、ファイルがどこに転送されたのかおよび誰がこれを転送したのかに関する観察を示し、リレーショナル・データベースは、センサに対するポストプロセッサとして実施される。

さらに、前述の要約の目的は、米国特許商標局および一般大衆、特に特許および法律の用語および語法に馴染みのない当技術分野の科学者、工学者、および実践家が、本願の技術的開示の性質および本質を急いだ視察からすばやく判定することを可能にすることである。この要約は、特許請求の範囲によって判断される本願の発明を定義することを意図されたものでも、いかなる形でも本発明の範囲を限定することを意図されたものでもない。

添付図面では、同様の符号が同一のまたは機能的に同様の要素を指し、添付図面は、下の詳細な説明と一緒に本明細書に組み込まれ、その一部を形成するが、さまざまな例示的実施形態を示し、本発明によるさまざまな原理および利益を説明するように働く。

リアル・タイム・データ・アウェアネスに関連する単純化された代表的な環境を示す図。 リアル・タイム・データ・アウェアネスに使用されるシステムを示すブロック図。 リアル・タイム・データ・アウェアネス処理のいくつかの例を示すシーケンス図。 図３のシーケンス図の続きの図。 パケット処理に使用される層を示す図。 例示的なコンピュータ・システムの諸部分を示すブロック図。 リアル・タイム・データ・アウェアネスの工程を示す流れ図。 従来技術のデータ漏洩防止システムを示す図。

概要では、本開示は、ソースと送信先との間の通信をサポートする、しばしばパケット交換ネットワークと称する、通信ネットワークのセキュリティに関する。そのような通信ネットワーク上のパケットは、ネットワーク上に格納されたデータ（たとえば、ファイル）を明らかにする情報を担持する場合がある。より具体的には、さまざまな発明的概念および原理は、リアル・タイム・データ・アウェアネス（ａｗａｒｅｎｅｓｓ）を提供するためにコンピュータ・ネットワーク内のデータの属性（位置など）を受動的に判定するために通信ネットワーク上のパケットを分析するシステム、デバイス、およびその中の方法において実施される。

本開示は、本発明の１つまたは複数の実施形態を実施する最良の態様を、使用可能にする形でさらに説明するために提供される。本開示は、さらに、いかなる形でも本発明を限定するためではなく、発明的原理およびその利益に関する理解および了解の質を高めるために提供される。本発明は、本願の継続中に行われるすべての補正および発行される時の特許請求の範囲のすべての同等物を含む、添付の特許請求の範囲のみによって定義される。

第１、第２、および類似物などの関係用語は、存在する場合に、本明細書で、エンティティ、品目、またはアクションの間の実際の関係または順序を必ずしも要求せず、暗示もせずに、あるエンティティ、品目、またはアクションを別のエンティティ、品目、またはアクションから区別するだけのために使用される。いくつかの実施形態は、特におよび必ず特定の順序に限定されない限り、任意の順序で実行できる複数のプロセスまたは工程を含む場合がある、すなわち、そのように限定されないプロセスまたは工程は、任意の順序で実行することができる。

実施される時の発明的機能性の多くおよび発明的原理の多くは、ソフトウェアもしくはディジタル信号プロセッサおよびそのためのソフトウェアなどの集積回路（ＩＣ）、ならびに／または特定用途向けＩＣを用いてまたはその中で最もよくサポートされる。当業者は、たとえば使用可能な時間、現在の技術、および経済的考慮によって動機を与えられるおそらくは多大な労力および多くの設計選択にもかかわらず、本明細書で開示される概念および原理によって案内される時に、最小限の実験によってそのようなソフトウェア命令またはＩＣをたやすく生成できると期待される。したがって、簡潔さと、本発明による原理および概念を不明瞭にする危険性を最小にすることとのために、そのようなソフトウェアおよびＩＣの説明は、存在する場合に、例示的実施形態によって使用される原理および概念に関して本質的なものに限定される。

リアル・タイム・データ・アウェアネス（Real time data awareness:ＲＤＡ）は、データ漏洩防止（ＤＬＰ）システムを調査し、それらに欠けているものがあることを見つけることから生じた。ほとんどのＤＬＰシステムは、会社が、その会社のデータのすべてがどこにあるのかを知っていることを期待する。ほとんどのセキュリティ技術は、ユーザが、ネットワークがどのように見えるのか、どのデバイスが接続されるのか、およびそれらがどのように構成されるのかを知っていることを期待する。

従来のＤＬＰ技術は、会社が、そのデータのすべてがどこにあるのかを知っていることを期待する。我々は、人々が、彼らのデータがどこにあるのかが全く分からないことを示すことができる。データは、ネットワーク上の静的な位置にあるのではなく、通常は移動している。たとえば、データは、毎日戸外に持ち出されるラップトップ機にある場合がある。データが通常同僚の間で共有される構成は、ファイル・サーバを介するのではなく、電子メールを介し、時には、ファイル共有が、データを共有するのに使用される。実際に、データ転送は、通常はファイル・サーバを介して行われるのではない。

システムが、ネットワーク・トラフィックを受動的に分析し、ネットワーク上で移動中のデータを調べる方法を有する場合に、システムは、データに関して以前に何も知る必要なしに、データが正体を示す時にデータの属性のカタログ作成を開始することができることが認められた。

ベライゾン（Ｖｅｒｉｚｏｎ）、“Ｄａｔａ Ｂｒｅａｃｈ Ｉｎｖｅｓｔｉｇａｔｉｏｎｓ Ｒｅｐｏｒｔ”は、顧客のために処理されたコンピュータ小事件に関する経験的データ、すなわち、どのようにハッキングされたのか、どのツールが使用されたのか、どれほどむずかしかったのか、何が取り出されたのか、およびどのように検出されたのかの優秀なソースである。時間の８０％の間に、人々は、何がハッキングされているのか、すなわち、かかわるシステム、ユーザ、アクセスされたもの、またはハッキングされるデータを知らない。データ問題は、その中でも最大の問題である。人々は、彼らのデータがネットワークまたはデバイス上のどこにあるのかが分からない。

従来のＤＬＰでは、ユーザは、データがどこにあるのかを知らせ、ＤＬＰは、ＤＬＰが知っているデータのマップを構築するために、知らされた場所の文書（document）をハッシュ化する「レジストリ（登録）」工程を行う。次に、ＤＬＰは、既知のデータが、スニッフィングしているデバイスを通過するのを監視する。ＤＬＰの基となる仮定は、ユーザが、データがどこにあるのかを識別し、その結果、ＤＬＰがそのデータをクロールできるようになることである。図８によって示される従来のＤＬＰでは、ＤＬＰ８１１は、データがどこにあるのかを知らされる。この例では、ＤＬＰは、データがファイル・サーバ８０１上にあることを知らされる。ＤＬＰ８１１は、たとえばファイル・ハッシュをファイル・サーバ８０１上のファイルに挿入することによって、データ登録を行うためにファイル・サーバ８０１をクロールする。その後、ＤＬＰは、たとえば、電子メール内のハッシュを監視し、観察することができる。ＤＬＰは、データがどこにあるのかを誰かがＤＬＰに教え続け、その結果、ＤＬＰが、パケット内で観察される前にデータを知るようになる場合に限ってデータを保護するという問題を解決する。ユーザが、データに関する位置を識別しなかった場合には、ＤＬＰは、移動するデータについて知らない。

ネットワーク・データ・セキュリティにおける上記および他の問題には、上で述べたリアル・タイム・データ・アウェアネスのさまざまな実施形態によって対処することができる。

さらに、例示的実施形態によれば、リアル・タイム・データ・アウェアネスは、ネットワーク・トラフィックを受動的に分析し、データを探すことができる。従来のＤＬＰとは異なって、ＲＤＡシステムまたはＲＤＡ方法は、ユーザが、データがどこにあるのが分からない場合があり、データが、データが移動する前にシステムがそのデータについて知ることなく、データが移動する時に正体を表すと仮定する。

そのようなシステムまたは方法は、ユーザの間の会話、ダウンロードされるページ、電子メール添付物、ダウンロード、および類似物を観察することができ、ファイル名、ファイル・サイズ、誰が送信したのか、誰が受信しているのか（ログイン、ソース／送信先ＩＰアドレス、実際のユーザ（本願明細書に明示的に援用されるＳｅｒ．Ｎｏ．１２／１４９，１９６、“Ｒｅａｌ Ｔｉｍｅ Ｕｓｅｒ Ａｗａｒｅｎｅｓｓ ｆｏｒ ａ Ｃｏｍｐｕｔｅｒ Ｎｅｔｗｏｒｋ”で開示されているように）、または類似物）、ファイルの内容（キー・ワードまたはハッシュについて流れている時にデータ・ストリームを分析し、他のファイル内に現れるファイルのスニペットを探すことによって）、さらにはファイルの内容がどのように変化するのかに関する報告などの属性をデータに関連付けることができる。そのようなシステムまたは方法は、移動する前に能動的にアクセスされることなく、データがその正体を表す時に、ネットワーク上で移動中である時にネットワーク・トラフィックを分析することによって、これらのすべてを見ることができる。

この手法は、ネットワーク環境の分析、会社のデータがどこにあり、誰がそれにアクセスできるのかのカタログの構築、および／またはリアル・タイムでの変化の検索を含むことができる。変化は、たとえば、データの位置、データの所有権、およびデータ自体の変化を含むことができる。

システムが、ＲＤＡ（上で述べた）によって提供される情報を得た後に、システムは、データが実際にどこにあるのかがわかっているので、データ漏洩防止システムを構築することができる。

カタログ化されるデータは、実際にタッチされたデータ（ファイルおよびデータベース）にユーザ・アイデンティティを関連付けるユーザ・アクセス・マップを含むことができる。

この情報を、電子メール、データベース・アクセス、ファイル・リポジトリ・アクセス（ｆｔｐ、ファイル共有、ＮＦＳ、および類似物）、ウェブを介するファイル転送、その他などのユーザ・アクションから収集することができる。さまざまな実施形態は、次のうちの１つまたは複数を提案するものである。

−−自身のデータがどこにあるのか（どのデバイスが自身が関心を持っているデータを有するのか）のカタログ
−−メタデータ（データに関するデータ）を知ること
−−誰がファイルへのアクセスを有するのかを知ること
−−誰がファイルを移動させているのかを知ること
−−メタデータを抽出できること
−−ファイルに対する変更を識別すること、たとえば、ファイルに一意の暗号ハッシュを生成するために本質的にファイルのハッシュを作成し、その後、他の場所でそのファイルのハッシュを探すことができること。

１つの隠喩で、ＤＬＰは、ｐｉｎｇが送り出されるアクティブ・ソナーに似ているが、対照的に、本システムは、環境内のターゲットが、ターゲットが作る雑音によってターゲット自体に関してシステムに知らせるパッシブ（受動的）ソナーに似ている。この領域での従来のシステムは、すべてが、ｐｉｎｇを送出するアクティブ・ソナーに似ている。これらは、非常に良好には動作しない。

もう１つの隠喩では、天文学者の仕事が、ほとんど完全に受動的である、すなわち、天文学者は、観察が行われるのを待ち、単に観察されたデータに基づいて宇宙の観念が徐々に作られるのを待つ。その後、天文学者は、そのデータに基づいて、遠くのエンティティに関して推論する。

上の類推に関して、本システムは、ネットワーク内のリモートの、おそらくは未知のエンティティの直接のアクションが、検出器（たとえば、センサ）で正体を表すのを待つことができ、受動的に明らかにされた情報から、本システムは、明らかにされたものの観念を生成し、構築することができる。その後、本システムは、データに基づいてファイルに関すること、たとえばファイル・サーバ、その上のディレクトリ、ディレクトリ内のファイル、誰もそれにそれ以上タッチしないのでアーカイブされるファイルのパーセント、企業のアクティブ・データ・セットを推測し始めることができる。

さらに、ＩＰＶ６では、（従来のＤＬＰシステムに関する）能動的スキャンは、実用的なものとして働かない。ＩＰＶ６での最小のネットワークは、３２ビット・アドレス空間を有する。３２ビット・アドレス空間は、非常に大きいので、これをスキャンするには数日を要する可能性がある。ＩＰＶ６では、アドレス空間は、ＩＰＶ４より数十億倍大きい。システムが有するものおよびそれがどのように構成されるのかを把握するためのネットワーキング全体に基本的な問題がある。通常、ＩＰＶ６の前に、システムが有するものおよびそれがどのように構成されるのかを把握することは、物事がどのようにセットアップされるのかを人が指定することによって、またはスキャンすることによって、または受動的に監視することによって行われる。基本的に、ＩＰＶ６が一般的になった後に、システム全体をスキャンする実用的な方法はない。ＩＰＶ６が一般的になった後には、会社内の各個人が約２４００万個のＩＰアドレスを有することが、非現実的ではなくなる。２^１２８個のアドレスは、圧倒的に大きい数である。

本明細書で詳細に説明する受動的手法は、リアルタイム応答およびリアルタイム機能に焦点を合わせる具体化から生じる。能動的方法が提供しない１つのものは、リアル・タイム応答すなわち、システムがそれ自体を変更するために現在起こりつつあることを監視する機能である。

本明細書のアイデアは、ネットワーク・トラフィックを受動的に分析し、受動的に明らかにされた情報を使用して、初期プロファイルを生成し、何が実際に発生するのかを監視することによってこのプロファイルを最新に保つことである。プロファイル分析、スニッファ、その他などの受動的モニタは、プロファイルを生成する次の工程を行わない。このシステムは、システム、ユーザ、およびデータのリアルタイム・プロファイルを生成することができる。

監視されるデータは、ファイル自体またはデータベース・トランザクションを含む。たとえば、ユーザが、ファイルを転送するＳＭＴＰセッションを有し、このセッションが、（理解されるように）ＳＭＰＴコマンド・プロトコル、電子メール自体、および添付ファイルを含むパケットをもたらすことを検討する。このシステムは、添付ファイル、すなわち、（Ａ）添付ファイルが転送されたこと、（Ｂ）ファイル内容、（Ｃ）誰が添付ファイルを送信し、誰が添付ファイルを受信したのかに関心を持つ。

もう１つの例として、ディレクトリ・リスティングを生成するファイル・サーバにアタッチするユーザを検討する。システムは、ファイル・サーバ上に存在するファイルのディレクトリ・リスティングのカタログを作成することができる。

侵入検出／防止システム（ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ／ｐｒｅｖｅｎｔｉｏｎ ｓｙｓｔｅｍ、ＩＤＳ／ＩＰＳ）では、ＩＤＳ／ＩＰＳは、ファイルに関する手がかりを有するのではなく、プロトコル、ポート、およびクライアントを監視することができる。ＩＤＳ／ＩＰＳは、主に、デバイスの脆弱性をそこから推測できるネットワーク上のデバイスの構成に関心を持つ。ＳＮＯＲＴ（商標）パケット・スニッフィング・ソフトウェアと比較して、ＳＮＯＲＴ（商標）は、トラフィックを調べ、攻撃を探す、純粋にインラインのデバイスである。

従来のＤＬＰに対する相違は、本明細書で説明されるシステムが、データが移動中に正体を表す時に、データがどこにあるのかを解明することである。このシステムは、出ていって能動的にトラフィックを見つけるのではなく、トラフィックがネットワーク上で移動中である時にトラフィックを監視する。

ここで図１を参照して、リアル・タイム・データ・アウェアネスに関連する単純化された代表的な環境を示す図を記載して説明する。図１は、その中にファイル１０５を格納し、既知の方法に従ってファイル１０５およびその上の多数の他のファイルをリストするディレクトリ１０３を有するファイル・サーバ１０１を示す。やはり図示されているのが、ユーザ・システム１０９、センサ１１１、ウェブ・サーバ１１３、メール・サーバ１１５、ネットワークＡ１０７、ネットワークＢ１１７、および中国１１９における受信者である。センサは、ファイル・サーバ１０１とユーザ・システム１０９、ウェブ・サーバ１１３、およびメール・サーバ１１５との間など、ネットワーク上で移動中のパケットを監視するために、従来の形で展開される。

パケットは、たとえばファイル１０５がユーザ・システム１０９によって取り出され、これが、そのパケットがファイル・サーバ１０１とユーザ・システム１０９との間で送信されることをもたらす時に、ソースと送信先との間で送信される。もう１つの例として、パケットは、ソースと送信先と、たとえば、ユーザ・システム１０９、ネットワークＡ１０７、ウェブ・サーバ１１３、メール・サーバ１１５、およびネットワークＢ１１７の間で送信され得る。センサ１１１は、ソースと送信先との間で移動中のパケットを監視するために、既知の技法に従って配置される。この図では、センサ１１１は、ファイル・サーバ１０１とユーザ・システム１０９との間に配置される。センサ１１１は、ユーザ・システム１０９とウェブ・サーバ１１３との間、ユーザ・システム１０９とメール・サーバ１１５との間、メール・サーバ１１５とネットワークＢ１１７との間、および／またはユーザ・システム１０９とネットワークＡ１０７との間に配置され得るセンサを表す。

図では、ユーザ・システム１０９は、送信を開始し、ファイル・サーバ１０１、ネットワークＡ１０７、ウェブ・サーバ１１３、メール・サーバ１１５、およびネットワークＢ１１７に要求する。送信されるパケットを、センサ１１１などのネットワーク機器によって、周知の技法に従って監視することができる。代替案では、センサ１１１を、インラインで提供することができ、あるいは、ファイル・サーバ１０１、ユーザ・システム１０９、ウェブ・サーバ１１３、またはメール・サーバ１１５のうちの１つまたは複数に組み込むことができる。

ファイルを見るためのパケット内のデータの監視は、ＩＤＳ／ＩＰＳを使用する侵入に関する監視とは全く異なる。ＩＤＳ／ＩＰＳが有しない、ＲＤＡによって対処される２つの大きい問題がある。すなわち、（１）ＲＤＡは、通常、情報を得るためにトラフィック・ストリームのより深くに進む。対照的に、ＩＤＳ／ＩＰＳが作用するパケット内のデータのほとんどは、アプリケーション層の最初の２００バイト以内にある。（２）ＲＤＡは、実際のファイル自体に達するためにパケットのアプリケーション層部分を通過することができる。したがって、ＲＤＡを、より集中的な工程とすることができる。ＲＤＡは、明示的により多くのプロトコル（たとえば、ファイル転送プロトコル）を知ることができ、パケット内の層を通って下へ、それらのプロトコルに従うことができ、その後、任意のフォーマット、たとえば、ＭＩＭＥ（ｍｕｌｔｉｐｕｒｐｏｓｅ ｉｎｔｅｒｎｅｔ Ｍａｉｌ ｅｘｔｅｎｓｉｏｎｓ）符号化され、ｚｉｐされ、および／または暗号化されたものとすることができるデータを再構成することができる。ファイル・データは、異なるプロトコルについて、パケット内の異なる場所にある可能性がある。たとえば、ファイル・データは、一般に、プロトコルの最下位レベルにあるが、電子メール内では、通常は、電子メールの本体の一部としてＭＩＭＥ符号化される。システムは、ｚｉｐファイルに解凍され、その後、ｕｎｚｉｐされ、ハッシュされるなどを行われなければならない、ｂａｓｅ ６４符号化されたＭＩＭＥ添付ファイルがあることを知る必要がある場合がある。その後、システムは、ファイル分析の実行を開始することができる。

実際に、本明細書でさらに説明するように、オンザフライで（on the fly）、ネットワーク上で移動中であるファイルの内容を識別でき、その後にそのカタログを作成することができることは、非常に新規である。この前に、バイトが取り込まれ、その後、解凍が試みられる。

ここで図２を参照して、リアル・タイム・データ・アウェアネスに使用されるシステムを示すブロック図を記載して説明する。図２は、パケット２０１、ソース２１１、送信先２０９、センサ２０３、プロセッサ２０５、およびデータベース２０７を示す。パケット２０１は、ソース２１１から送信先２０９に送信される。パケット２０１は、当技術分野で明確に理解されるように、ソース２１１と送信先２０９との間で送信できる多数のパケットを表す。「エンド・ポイント」（複数）または「エンド・ポイント」（単数）という用語は、本明細書では、特に、パケット・ヘッダ内で識別されるソースおよび／または送信先を包括的に示すために使用される。

ＲＤＡを実行するために、センサ２０３は、多数のプロトコルに関して知ることができる。有利なことに、図示のプロセッサ２０５およびデータベース２０７などの相関バックエンドを提供することができる。たとえば、１つまたは複数のセンサ（センサ２０３によって表される）は、単一のプロセッサ２０５と通信することができ、単一のプロセッサ２０５は、相関を行い、行うべきことについて判断し、システムの残りの部分に知らせることができる。

データを得るために、ディープ・パケット・インスペクション（ｄｅｅｐ ｐａｃｋｅｔ ｉｎｓｐｅｃｔｉｏｎ）を実行して、パケットをアンパックし、ファイルを扱えるようにするためにファイル・フォーマット自体を解明することができる。

リレーショナル・データベースなどのサポートするデータベース２０７を設けることができる。収集されるメタデータを、システムをサポートするデータベース２０７に格納することができる。

一実施形態では、サポートするデータベース２０７を、転送されたファイル自体に関して、および誰がそのファイルを転送したかに基づくものとすることができる（これらは、キーまたはインデックスとして使用される）。データベース２０７に格納される情報は、たとえば、
−ファイル名、タイム・スタンプ、サイズ、ファイル・ハッシュ、サブハッシュ（パケット・トラフィックから直接に読み取られたファイル自体に関する情報）
−ファイルを含んだサーバＩＤ（ＩＰアドレス）、ホストＩＤ（ファイルを含む）、ユーザＩＤ、ファイルが転送された場所（ファイルを含むパケットに関する、パケット・トラフィックから直接に読み取られる情報）
−ファイル自体、ファイルがあった場所、ファイルを有した人（people）、ファイルを転送／変換（たとえば暗号化）するのに使用された工程（ファイルに関して推測される情報）
を含むことができる。

推測される情報は、たとえば、ユーザが転送／アクセスするデータのタイプから推測されるユーザの役割を含むことができる。
推測される情報は、ファイルに対してユーザが実行する変換（転送の前にファイルを暗号化しなければならないのか）に基づくものとすることができる。システムは、たとえば、単一のファイルをより小さい部分に分解するなどのＤＬＰの裏をかくアクティビティから、悪意のある挙動を推測することができる。

図示されているように、センサ２０３は、相関および推測エンジンを含むプロセッサ２０５とデータベース２０７とからなるバックエンドのフロント・エンドにあるものとすることができる。センサ２０３は、望まれる場合に、リアルタイム分析を避けるために、パケットをディスクにスプーリングすることができる。

ファイルのマップの構築および管理は、むずかしい。大きいネットワークのリアルタイム・マップは、管理がむずかしい。データのほとんどを、タイムリーにするために、プロセッサ２０５のメモリ内に保持することができる。

ここで図３および図４を参照して、リアル・タイム・データ・アウェアネス処理のいくつかの例を示すシーケンス図を記載して説明する。図４は、図３の続きである。図３および図４のシーケンス図を、図１に示された例のシステムの使用について構想することができる。

以下は、移動中のデータの少数の代表的な例のシナリオである。この例示では、シナリオ１は、ステージ１、１．５、２、および２．５を含み、シナリオ２は、ステージ４、４．５、４．６、および４．７を含み、シナリオ３は、ステージ６および６．５を含み、シナリオ４は、ステージ８および８．５を含み、シナリオ５は、ステージ９、９．５、および９．６を含む。図３および図４は、単純化されており、当業者によって了解されるように、シナリオの他の組合せおよびシーケンスを表す。
シナリオ１
ステージ１では、ログインしたユーザが、ファイル・サーバ３０３にアタッチする。ファイル・サーバへのアタッチは、ユーザ・システム３１１およびファイル・サーバ３０３へおよびこれらから一連のパケットを送信すること（エンド・ポイントを示す図示の矢印によって要約される）を含む既知の技法に従って実行される。センサ３０９は、既知の技法に従って、ネットワーク上で送信されたパケットを受動的に受信する。センサは、エンド・ポイントの間に配置することができる。ファイル・サーバへのアタッチをもたらすパケット内のデータから、ステージ１．５で、センサ３０９は、このＩＰアドレス上にファイル・サーバがあることを監視する。

ステージ２で、ユーザ・システム３１１およびファイル・サーバ３０３は、従来の技法に従ってパケットを交換し、その結果、ユーザ・システム３１１は、ファイル・サーバ３０３上にあるもののディレクトリ・リスティングを得る。その間に、ステージ２．５で、センサ３０９は、ディレクトリ・リスティング情報を有するファイルをリストするディレクトリ・リスティングを受信する。従来のディレクトリ・リスティング情報は、名前、日付、タイム・スタンプ（作成、アクセス、および／または変更に関する）、ファイル・サイズ、ならびにおそらくはファイル所有権および／または他の情報を含むことができる。ディレクトリ・リスティング情報は、センサ３０９に、ファイル・サーバ３０３の観念、具体的には、ファイル・サーバ３０３上にあるファイルの一部およびファイルの構造を与える。

センサ３０９（または、本明細書でさらに説明するように、そのバックエンド・プロセッサ）は、単にパケットを受動的に観察することによって、ディレクトリ・リスティング内にリストされたファイルおよびファイル・データのマップ・プロファイルを生成することができる。システムが、ファイル・サーバ３０３上のファイルに関する以前の情報を有することは、必要ではない。ディレクトリ・リスティングが、ファイル・サーバ３０３上のファイルの完全なリストではないことが期待される。ユーザ・システム３１１によって受信されるファイル・サーバ３０３からの後続のディレクトリ・リスティングを使用して、後続のディレクトリ・リスティング内の追加のファイルを含むようにマップ・プロファイルを拡張することができる。「生成（originate）」という用語は、本明細書では、センサ３０９（またはそのバックエンド）が、ファイルの存在を以前に認識せず、したがって、ファイル（またはファイルのデータ）を示すエントリが、パケットから受動的に監視される時を除いて、センサ３０９（またはそのバックエンド）内に存在せず、センサ３０９（またはそのバックエンド）に提供されないことを示すのに使用される。
シナリオ２
ステージ４では、ユーザが、ファイルをユーザ・システム３１１のデスクトップにドラッグ・アンド・ドロップする。これは、ファイル・サーバ３０３からユーザ・システム３１１へのファイル転送を生成する。ファイル転送を要求するパケットおよびファイルのコピーを実際に送信するパケットは、慣習的に既知のものとすることができる。

一方、ステージ４．５では、センサが、ファイル転送を要求するパケット内およびファイル・サーバ３０３からユーザ・システム３１１へファイルのコピーを実際に送信するパケット内で、ファイル名およびメタデータを監視する。パケットは、ファイル・サーバ３０３からユーザ・システム３１１へまたはその逆に送信される時に、センサによって受動的に受信される。センサ３０９（または、本明細書でさらに説明するように、そのバックエンド）は、単にパケットを受動的に監視することによって、転送されるファイルのマップ・プロファイルを生成することができる。システムが、ファイル・サーバ３０３上のファイルに関する以前の情報を有することは、必要ではない。ファイルが既にマップ・プロファイルに含まれる場合には、ファイルに関して新たに検出されたメタデータおよび情報を、マップ・プロファイルに追加することができる。

オプションで、ステージ４．６で、センサ３０９（またはそのバックエンド）は、受動的に受信されたパケット内のファイルのコピーから（本明細書でさらに説明する）ファイル・ハッシュを作成することができる。ファイルが転送される時に、センサ３０９は、ファイルに挿入され、センサ３０９によるその後の参照のために格納される全体的なファイル・ハッシュおよびパラグラフ・ハッシュ（paragraph hash）を提供するためにハッシュすることができる。

ステージ４．７では、センサ３０９（またはそのバックエンド）は、ファイルをユーザに関連付けることができる。ユーザ・システム３１１上でのユーザのユーザ・アイデンティティを、たとえば、本明細書でさらに説明するように、ログイン・アイデンティティ（既知の場合に）および／またはＩＰアドレスを介して識別することができる。センサ３０９は、ファイルがユーザに関連付けられたことの表示をマップ・プロファイル内に格納することができ、かつ／またはユーザ・アイデンティティをファイルおよび／もしくはファイル・ハッシュおよび／もしくはパラグラフ・ハッシュに関連付けるユーザ・アクセス・マップを格納し、ユーザ・アイデンティティが実際にファイルにタッチした（たとえば、ユーザがファイルのコピーを受信した）ことをさらに示すことができる。したがって、システムは、この個々のファイルの観念を有する。

ここで、センサ３０９は、移動中のファイルの受動的に受信されたパケットを監視し始めることができる。たとえば、センサ３０９（またはそのバックエンド）は、キーワード検索および／またはハニー・トークンの検索ならびに類似物を実行することができる。
シナリオ３
ステージ６では、ユーザ・システム３１１上のユーザが、ファイル（ユーザ・システム３１１上に格納されている）を多くの人に伝えることを望む。ユーザ・システム３１１は、ＩＭクライアントを有し、ユーザは、ファイルをＩＭクライアントにドロップし、（ネットワークＡ３０１上で）このファイルをロシアの友人に送信する。

一方、ステージ６．５では、センサ３０９は、ネットワークＡ３０１を介してファイル・サーバ３０３からファイルのコピーを実際に送信するＩＭパケット内のファイルを検出する。パケットは、ユーザ・システム３１１からネットワークＡ３０１へまたはその逆に推移する時に、センサによって受動的に受信される。センサは、ファイル転送を検出して、ハッシュを認識し（ファイル内に含まれる場合に）、ファイルを識別し、ユーザを認識し、ユーザがそのファイルを誰に送信するのかを識別する。センサは、ファイル名、送信先、送信先ユーザ名、およびファイルを転送したユーザ識別を記録する。しかし、システムが、ユーザ・システム３１１上のファイルに関する以前の情報を有することは、必要ではない。センサ３０９（または、本明細書で詳細に説明するように、そのバックエンド）は、センサ３０９がパケット内のファイルを監視する前に識別されていなかったファイルについても、単にパケットを受動的に監視することによって、ＩＭメッセージに含まれるファイルおよびファイル・データのマップ・プロファイルを生成することができる。センサが、このファイルおよびメタデータを既にマップ・プロファイルに含めている場合には、センサは、ファイルがＩＭクライアントによって転送されたことならびにファイルがどこに転送されたのかの情報を含めるためにプロファイルを拡張することができる。
シナリオ４
シナリオ４では、ユーザが、中国にいる別の友人にファイルを電子メールで送信することを望む。ステージ８で、ユーザは、ファイルをユーザ・システム３１１（図示のように）またはファイル・サーバ３０３（図示せず）から電子メール・サーバ３０５にドロップし、電子メール・サーバ３０５は、そのファイルを電子メールとして他の友人に送り出す。

ステージ８．５では、センサが、中国に電子メールで送られるファイルを検出し、ファイルが誰に送信されるのか（電子メールからの送信先ユーザＩＤ）、ファイルが中国に送信されること（送信先国コードに基づいて）、誰によって送信されたのか（たとえば、電子メールからのソース・ユーザＩＤ）、および転送の方法（電子メールによって）のカタログを作成する。

パケットは、ユーザ・システム３１１からメール・サーバ３０５に推移する時に、センサ３０９によって受動的に受信される。センサは、添付ファイルと共に電子メールを検出し、ハッシュ（ファイル内に含まれる場合に）を認識し、ファイルを識別し、ユーザを認識し、ユーザがファイルを誰に送信するのかを識別する。センサは、ファイル名、送信先、送信先ユーザ名、およびファイルを転送したユーザ識別を記録する。しかし、センサ３０９が、ファイルに関する以前の知識を有しない場合には、センサ３０９（または、本明細書で詳細に説明するように、そのバックエンド）は、単に電子メールを有するパケットを受動的に監視することによって、電子メール内に含まれるファイルおよびファイル・データのマップ・プロファイルを生成することができる。センサが、このファイルおよびメタデータをマップ・プロファイルに既に含めている場合には、センサは、ファイルがメール・サーバ３０５に転送されたことならびにファイルがどこに転送されたのかの情報を含めるためにプロファイルを拡張することができる。
シナリオ５
このシナリオでは、ユーザは、ファイルを多数の友人から使用可能にすることを望む。ステージ９で、ユーザは、センサ３０９がアタッチされているネットワーク内のウェブ・サーバ３０７（彼のパーソナル・ウェブ・ページ）上にファイルを置く。

ステージ９．５では、センサ３０９が、ファイル転送を検出し、ハッシュを認識し、ファイルを識別し、ユーザがファイルのコピーをウェブ・サーバ３０７に送信していることを認識する。

ステージ９．６では、人が入ってきてから、センサは、ファイルがウェブ・サーバ３０７から外に出るのを検出することができる。センサは、おそらくは、ファイルがネットワークの外部から取り出されるので、ファイルを取り出しているユーザＩＤを知らない。

パケットは、ウェブ・サーバ３０７へまたはこれから送信される時に、センサによって受動的に受信される。センサは、ファイル名およびファイルをウェブ・サーバ３０７に転送するユーザ識別を記録する。センサ３０９は、ユーザ・システム３１１からウェブ・サーバ３０７へまたはウェブ・サーバ３０７からネットワークＢ３１３へのファイル転送を検出し、（ファイル内に含まれる場合に）ハッシュを認識し、ファイルを識別し、ユーザを認識する。システムが、ユーザ・システム３１１またはウェブ・サーバ３０７上のファイルに関する以前の情報を有することは、必要ではない。センサ３０９（または、本明細書で詳細に説明するように、そのバックエンド）は、センサ３０９がパケット内のファイルを監視する前に識別されていなかったファイルについても、単にパケットを受動的に監視することによって、ウェブ・サーバ３０７へまたはこれから転送されるファイルおよびファイル・データのマップ・プロファイルを生成することができる。センサが、このファイルおよびメタデータを既にマップ・プロファイルに含めている場合には、センサは、ファイルがどのように転送されたのかを示す情報を含めるためにプロファイルを拡張することができる。

上のシナリオは、システムが、ファイルがネットワークのあちこちに移動される場合にファイル構造およびファイル自体のカタログを生成できることを示す。この情報のすべてが、収集されたものである。

ここで、収集された情報の次の例の応用例を検討する。
（１）システムは、ユーザが情報へのアクセスを有する能力を評価することができる。ファイルは誤ったディレクトリにあるか？たとえば、賃金台帳情報ファイルおよび／または株式所有権ファイルは誤ったディレクトリにあるか？
（２）システムは、ファイルが誰に送信しているのか、およびユーザが使用しているチャネルの適性を評価することができる。このチャネルはこのデータがそれを介して配布されるのに適当なチャネルか？ＩＭは潜在的に機密の情報に適当か？受信するユーザは適当か（たとえば、ネットワークの内部またはネットワークの外部のどちらか）？
（３）電子メール・サーバ：ユーザはこのファイルを電子メールで送信しなければならないのか？その人はブラックリストに入れられた国（トップ・レベル・ドメイン、たとえば．ｃｎ）にいるか？
（４）ウェブ・サーバ：このファイル内のデータをウェブ・サーバに置かなければならないか？
この種類の収集および推測に関連するデータ管理バック・エンドがあるものとすることができる。センサおよびデータ管理バックエンドの組合せは、監視し、相関する（インラインの場合にはブロックすることができる）。たとえば、システムは、ファイルに関するイベントおよびハッシュのリストを有することができ、このデバイスから移動するファイルに気付くことができ、ファイルがどのように広められるのかを追跡することができる。上記のことおよび収集される他のデータから、システムは、何かが起こりつつあることを推測し始めることができる。

もう１つの例を検討する。マーティは、彼のデスクトップ上でファイルを作成し、これをダグに電子メールで送信する。システムは、マーティがファイルをダグに送信したことを追跡し、ダグが誰にそのファイルを送信するのかを追跡することができる。

システムは、新しいものすなわち、データ自体ならびにネットワークに関するデータ・マップおよびデータがどのように使用されているのかに関するプロファイルを作成している。経時的に、トラフィックが移動する時に、ネットワークのマップ／トポロジは、よりよいものになる。

ここで図５を参照して、パケット処理に使用される層を示す図を記載して説明する。図５は、パケット処理の説明における１つまたは複数の実施形態によって参照される層を要約するために含まれる。パケット処理層は、当技術分野で明確に理解されるものである。層は、アプリケーション層５０７、トランスポート層５０５、ＩＰ層５０３、およびデータ・リンク層５０１を含む。アプリケーション層を、既知の技法に従って、エンド・ポイントによって提供し、かつ／またはこれと一緒に合併することができる。パケットは、周知のように、層を反映するようにフォーマットされる。したがって、パケットが、受信され、受動的に監視される時に、ディープ・インスペクション（ｄｅｅｐ ｉｎｓｐｅｃｔｉｏｎ）を、パケット・フォーマットおよびエンドポイントがパケットをどのようにフォーマットしたと期待されるのかに基づいて実行することができる。ディープ・インスペクションは、さらには説明されないが、パケット内に含まれるファイル、ファイル内容、ファイル・ヘッダ、ファイル情報（たとえば、ディレクトリ・リスティング）、ファイル名、および類似物（そのようなデータが１つまたは複数のパケットのヘッダ部分、メッセージ本体、またはデータ内容のどれに含まれるかにかかわらず）を適当に見つけることができるディープ・インスペクションが、提供されると仮定する。

ここで図６を参照して、例示的なコンピュータ・システムの諸部分を示すブロック図を議論し、説明する。時々本明細書で「システム」と称するコンピュータ・システム６０１は、１つまたは複数のコントローラ６０５を含むことができ、コントローラ６０５は、既知の技法に従ってネットワーク６０９からの通信を検出するセンサ６１１から信号を受信することができ、通信は、ターゲット（図示せず）に送信されている。センサ６１１は、既知の技法に従って展開され得る１つまたは複数のセンサを表す。コントローラ６０５は、プロセッサ６０７、メモリ６１３、オプションのディスプレイ６５１、および／またはキーボード６５３などの任意のユーザ入力デバイスを含むことができる。追加のリモートまたはローカルのストレージは、ファイルおよびファイル・データのマップ・プロファイル６５５と、ファイル、ファイル・データ、およびファイル属性のカタログ６５７とを含むことができる。オプションのリレーショナル・データベース・ポストプロセッサ６５９を含めて、ストレージ６５５、６５７へのアクセスを支援することができる。

プロセッサ６０７は、１つもしくは複数のマイクロプロセッサおよび／または１つもしくは複数のディジタル信号プロセッサからなるものとすることができる。メモリ６１３は、プロセッサ６０７に結合されるものとすることができ、読取り専用メモリ（ＲＯＭ）、ランダム・アクセス・メモリ（ＲＡＭ）、プログラム可能ＲＯＭ（ＰＲＯＭ）、および／または電気的消去可能読取り専用メモリ（ＥＥＰＲＯＭ）からなるものとすることができる。メモリ６１３は、とりわけ、プロセッサ６０７によって実行されるプログラムに関するオペレーティング・システム、データ、および変数６１５と、センサからの受動的に読み取られたデータを受け取り６１７、ファイルおよびファイル・データのリアルタイム・マップ・プロファイルを生成し（６１９）、受動的に読み取られたデータからの相関および推測を実行し（６２１）、受動的に読み取られたデータからのファイルおよびファイル・データの属性のカタログを作成し（６２３）、実際にタッチするものとしてユーザが監視されたファイルなどのユーザ・アクセス・マップを作成し（６２５）、センサに受動的に読み取られたパケット内のファイルにハニー・トークンおよび／もしくはハッシュを書き込ませ（６２７）、ファイル内のキーワードおよび／もしくはハッシュに関して流れつつある時のファイルおよびファイル・データを分析し（６２９）、ネットワーク上で移動する受動的に読み取られたパケット内のデータからメタデータを抽出し（６３１）、ファイルおよびファイル・データのユーザならびにファイルおよびファイル・データがユーザによってどのように転送／アクセスされるのかからユーザの役割を推測し、不適切な使用がある時を検出し（６３３）、ファイル内容が変化するのがどのように観察されたのかを報告し（６３５）、ユーザ・アクセス・マップ６３７、推測されたユーザ役割データベース６３９、ならびに、プロセッサ６０７によって使用される他の情報のデータベース６４１など、さまざまな機能に関連してプロセッサに動作させるコンピュータプログラムを格納する複数のメモリ位置を含むことができる。コンピュータ・プログラムを、たとえば、ＲＯＭまたはＰＲＯＭ内に格納することができ、コンピュータ・プログラムは、コンピュータ・システム６０１の動作を制御する際にプロセッサ６０７に指示することができる。全体的なメモリ６１３、プロセッサ６０７、センサ６１１、ネットワーク６０９、ディスプレイ６５１、キーボード６５３、およびリモート／ローカルのデータベース６５５、６５７の間の相互接続および関係の多くは、技術的に当業者に既知であり、本明細書では説明しない。

プロセッサ６０７を、受動的に読み取られたデータをセンサ６１１から受け取る６１７ようにプログラムすることができる。図示の例では、パケットは、コンピュータ・システム６０１に接続されたセンサ６１１によって検出され、検出されたパケット内の情報は、既知の技法に従ってコンピュータ・システム６０１に供給される。さまざまな技法、たとえばパケット・スニッフィングを使用して、データがネットワーク場で移動中である間に、センサでデータを受動的に読みとることができる。さまざまな既知のセンサ・デバイスを、本明細書で説明するスニッファ６１１として動作するようにプログラムし、または他の形で構成することができる。センサ６１１は、従来の技法に従って、プロセッサ６０７と通信しているようになるために、プロセッサ６０７に電気的にまたは無線で接続され得る。一緒に接続されたセンサ６１１およびプロセッサ６０７は、お互いと相互に通信することができ、あるいは、センサ６１１を、プロセッサ６０７への送信専用モードでプログラムすることができる。

プロセッサ６０７をプログラムして、受動的に読み取られるパケットがネットワーク上で移動している時に、センサ６１１によって受動的に読み取られるデータからファイルおよびファイル・データのリアルタイム・マップ・プロファイルを生成することができる。ファイルに関するマップ・プロファイルは、ファイルがどこに配置されるのかのトポロジカル・マップを提供することを意図されたものである。マップ・プロファイルは、たとえば、ファイルおよびファイル・データのディレクトリ・リスティング、ファイルがそこから生成され、転送された位置、ファイルに関するメタ・データ（たとえば、ファイル・タイプ、作成日付、変更日付、作成者、所有者など）、ファイルに関連するユーザ（１つまたは複数）の表示、ファイルが転送されまたはアクセスされたことの表示、ファイルがどのように転送／アクセスされたのか、それが誰によって／誰に転送／アクセスされたのか、およびおそらくはファイルに関する他の情報を含むことができる。マップ・プロファイルは、ネットワーク上で移動している受動的に読み取られたデータからプロセッサで生成されるので、マップ・プロファイルを、ネットワーク上で移動している受動的に読み取られたパケットから新しい情報が監視される時に、継続的に改訂し、洗練することができる。たとえば、新しいファイルが、受動的に読み取られたパケットから監視される場合には、それらをリアルタイム・マップに追加することができる。

プロセッサ６０７を、センサ６１１から受け取られる受動的に読み取られたデータからの相関および推測を実行６２１するようにプログラムすることができる。次は、受動的に読み取られたデータから相関することができる情報の例である：ファイルのカタログに格納されたファイル情報、ファイルがどのように転送されかつ／またはアクセスされるのかを示すためにファイルに関して構成できるイベントのリスト、ファイルのユーザのリスト、ファイルのソース（１つまたは複数）およびファイルの送信先（１つまたは複数）のリスト、ファイルのハッシュのリスト（ブロック・ハッシュおよび／またはファイル・ハッシュ）、ファイルのハニートークンのリスト。次を、受動的に読み取られたデータから推測することができる：ファイルが存在することを許容される場所は、ファイルがあった場所に関連するので推測することができ、ファイルにアクセスすることを許容されるユーザを、そのファイルを有した人の役割（role）から推測することができ、ファイルを転送／変換（たとえば、暗号化）するのに正しく使用された工程を、ファイルを転送／変換するのに使用された過去の工程から推測することができ、ユーザの役割を、そのユーザが転送／アクセスするデータのタイプから推測することができる。たとえば、ファイルが、以前に単一のファイルとして暗号化され、かつ／または送信された場合に、推測は、そのファイルが転送の前に暗号化されなければならず、そのファイルが、転送の前に小さいブロックに分割されてはならないことである。システムは、たとえば、単一のファイルをより小さい片に分割するなど、ＤＬＰの裏をかくアクティビティから、悪意のある挙動を推論することができる。

プロセッサ６０７を、ネットワーク６０９上で移動している時のパケットからセンサ６１１によって読み取られる受動的に読み取られたデータからファイルおよびファイル・データの属性のカタログを作成する（６２３）ようにプログラムすることができる。ファイルの属性は、たとえば、受動的に読み取られたファイル内のファイル・ヘッダ、受動的に読み取られたデータ内のファイル・ディレクトリ、受動的に読み取られたデータ内のデータベース・ファイル・フォーマット、パケット・ヘッダ内でリストされた（ファイルのソースとしての）ホスト、パケット・ヘッダ内でリストされた（ファイルの送信先としての）ホスト、および類似物などから収集され得る。ファイル・データを、ファイルがネットワーク６０９上で移動している時にファイルがパケット内に現れる時に、収集することができる。「ファイル・データ」という用語は、本明細書で、ファイル・ヘッダと比較して、ファイル自体の内部にあるデータを示すのに使用される。

プロセッサ６０７を、ファイルのユーザ・アクセス・マップを作成する（６２５）ようにプログラムし、ユーザが実際にタッチするものとして観察された（受動的に読み取られたパケットから）ファイル、ファイル・ハッシュ、および／またはデータベースにユーザ識別子を関連付けることができる。ユーザ・アクセス・マップ６３７は、ユーザ識別子に関する情報とユーザが送信しまたは受信したファイル、ファイル・ハッシュ、および／またはデータベースとを相関させることができる。ユーザ識別子は、個々のユーザに一意とすることができ、単一のユーザを１つまたは複数のハンドルすなわちそのユーザが使用する一意のメール・アドレスまたは連絡番号に相関させることができる。使用可能な技法を使用して、ユーザ識別子を判定し、生成することができる。

プロセッサ６０７を、ファイル内のキーワードおよび／またはハッシュに関して流れている時のファイルおよびファイル・データを分析（６２９）するようにプログラムすることができる。ファイルに対する変更を、次の形で識別することができ、たとえば、ファイル・フォーマットを分解し、ファイルのブロックに対してハッシュする。たとえば、ＷＯＲＤファイル内の各パラグラフをハッシュ化し、その後、（いくつかの異なるパラグラフ・ハッシュを有する同一のファイル名に基づいて）これらのパラグラフ・ハッシュが他のファイル内で発生するのを探し、そのファイル内の変化を探す。また、主ファイル・ハッシュ（「主ファイル・ハッシュ」は、ファイル全体がハッシュ化されるハッシュと定義される）。およびブロック・ハッシュ（「ブロック・ハッシュ」は、ファイルのパラグラフまたはデータ・ブロックがハッシュ化されるハッシュと定義される）があるものとすることができる。ハッシュ化は、既知の技術である。ブロック・ハッシュは、通常、どのブロックが変化するのかの判定または他の場所から来たブロックの識別に有用である。

ファイルがどれほど静的であるのかは、ファイル・タイプに依存し、たとえば、ＡＣＲＯＢＡＴファイルは、比較的静的である傾向があり、ＷＯＲＤ文書は、編集され、変化する傾向がある。センサ５１１は、インラインで動作できるので、ファイルの内容に影響することができることに留意されたい。また、ファイルがトラッカ（tracker）を有するデバイスをトラバースする時に、ファイルの内部のボイド（すなわち、一続きのごみデータ）が書き込まれる可能性がある（ファイルが、通過する時に変更される可能性がある）。これは、リアル・タイムで行われるので、タグ付けを用いて以前に行われたものとは異なり、たとえば、これがＷＯＲＤ文書であり、タグを入れ、そのタグがどこにゆくのかを監視する。インライン・センサ６１１のうちの１つ、たとえばＲＤＡ技術に関するセンサを、これを行うのに使用することができる。データがＩＰＳまたはＩＤＳに入る時に、ハッシュを挿入することができる。セキュリティ産業で使用される用語は、「ハニートークン（honeytoken）」の埋込である。システムは、ファイル内にハニートークンを埋め込み、ハニー・トークンがあると期待されない場所でハニー・トークンを探す。

したがって、プロセッサ６０７を、センサに受動的に読み取られたパケット内のファイルにハニー・トークンおよび／もしくはハッシュを書き込ませる（６２７）ようにプログラムすることができる。ある種のフォーマットすなわち、「Ｍｉｃｒｏｓｏｆｔ ＷＯＲＤ文書」、「．ｐｄｆ文書」、「Ｍｉｃｒｏｓｏｆｔ ＯＦＦＩＣＥ文書」は、上書きされた死んだデータを有することが知られている。タグ付けされるように選択されたファイルは、上書きされた死んだデータを有すると事前に判定されるこれらのフォーマットのうちの１つを有することができる。センサに、プロセッサ６０７によって、ファイルがネットワーク上で移動中である時に、受動的に読み取られるパケット内に含まれるファイルの内部のボイドにハニートークンを埋め込むように指示することができる。その後、ハニートークンを１つまたは複数のセンサ６１１によって監視することができ、したがって、ハニートークンを使用して、ネットワーク上およびネットワークの外部でのファイルの移動の追跡を助けることができる。

プロセッサ６０７を、ネットワーク上で移動する受動的に読み取られたパケット内のデータからメタデータを抽出６３１するようにプログラムすることができる。メタデータは、たとえば、次のうちの１つまたは複数を含むことができる：ファイル全体の主ハッシュ、ファイル内の個々のブロックのブロック・ハッシュ（たとえば、ＷＯＲＤファイルのパラグラフ・ハッシュ、ＡＣＲＯＢＡＴファイルまたはＯＦＦＩＣＥファイルのデータ・ブロック・ハッシュ）、ならびにファイル名、日付、タイム・スタンプ、サイズ、およびファイル所有者を有するファイルのディレクトリ・リスティング。メタデータを、リレーショナル・データベース内に、たとえばリレーショナル・データベース・ポスト・プロセッサ６５９によって格納することができる。

プロセッサ６０７を、ファイルおよびファイル・データのユーザならびにファイルおよびファイル・データがユーザによってどのように転送／アクセスされるのかからユーザの役割を推測し、推測されたユーザの役割およびセンサからの読取データからユーザによる不適切な使用がある時を検出（６３３）するようにプログラムすることができる。推測されたユーザの役割を、推測されたユーザ役割データベース６３９に格納することができる。

このシステムは、誰がデータを使用しているのかおよび彼らがどのようにそれを使用しているのかから役割の推測を開始することができる。たとえば、マーティが、制御サーバの主バージョンおよびメール・サーバと対話し、この２つのサーバが企業を中心とすることを検討する。このシステムは、マーティが以前に一度も対話したことがないデータと対話している時を記録することができる。あるいは、特定のユーザのジョブがＸＹＺであり、彼が、あるタイプのデータにアクセスしなければならないが、彼は、他のタイプのデータにアクセスしている。このシステムは、誰がデータにアクセスしているのかによって役割を推測することができ、いつユーザがパーミッション（permission）を超えるかどうかを推測することができる。たとえば、法律チームは、法律タイプのデータと対話しなければならないが、法律チームの一人が、賃金台帳タイプのデータと対話している。

プロセッサ６０７を、ファイル内容が変化することが監視されたことおよび／またはファイル内容が変化することがどのように監視されたのかを報告（６３５）するようにプログラムすることができる。監視された変化は、たとえば、ファイルの位置（ソースおよび／または送信先）、ファイルの所有権、ファイル自体に関するファイル・データ、および／またはファイル自体を含むことができる。変化を、最新情報としての現在の受動的に読み取られたデータからのファイル・データおよびファイル属性を比較することと、ファイルおよびファイル・データのマップ・プロファイル６５５ならびに／またはファイル、ファイル・データ、およびファイル属性のカタログ６５７に格納できるものなどのファイルに関する以前に観察された情報とファイルに関する最新情報とを比較することとによって、記録することができる。変化を使用して、警告し、通知し、報告し、かつ／または類似物を行うことができ、あるいは、変化を、ファイルに関するポリシー・ルール（policy rule）をトリガできるイベントとして使用することができる。

プロセッサ６０７は、ユーザ・アクセス・マップ６３７および／または推測されたユーザ役割データベース６３９（それぞれ、本明細書でさらに説明する）に関するストア（store）を含むことができる。メモリ６１３内の図示のストレージに対する代替案として、ユーザ・アクセス・マップ６３７および推測されたユーザ役割データベース６３９の一方または両方を、アクセス可能なストレージ（図示せず）および／またはローカルもしくはリモートのデータベースに格納することができ、かつ／あるいは複数のローカル／リモート・コンピュータアクセス可能記憶媒体に分散された形で格納することができる。

機能のさまざまな論理グループ化（logical grouping）が本明細書で説明されることを理解されたい。異なる具体化は、これらの論理グループ化のうちの１つまたは複数を省略する場合がある。同様に、さまざまな具体化では、機能が、異なってグループ化され、組み合わされ、または増補される場合がある。さらに、任意として識別される機能を含む機能を、さまざまな具体化から省略することができる。同様に、この説明は、データおよび情報のデータベースまたはコレクションを説明しまたは提案する場合がある。１つまたは複数の実施形態は、データおよび情報のデータベースまたはコレクションを分散させ、組合せ、もしくは増補し、またはローカルに（図示のように）および／またはリモートに（図示せず）提供することを提供することができる。

ここで図７を参照して、リアル・タイム・データ・アウェアネスの工程を示す流れ図を記載して説明する。リアル・タイム・データ・アウェアネスのこれらの手順７０１を、たとえばコントローラのプロセッサ上で、有利に実施することができ、データを検知する手順７２１を、たとえばセンサのプロセッサ上で、有利に実施することができ、このコントローラとセンサとの両方は、図６に関連して説明されたものまたは適当に配置された他の装置である。リアル・タイム・データ・アウェアネスの手順７０１およびデータを検知する手順７２１を、同時に並列に実行することができ、その結果、受動的に読み取られたデータが処理されている間に、データを、パケットが移動している間にリアル・タイムで連続して受動的に読みとることができるようになる。

データを検知する手順７２１を、センサ上または類似するネットワーク機器上で実施することができ、本明細書では最初に説明する。データを検知する手順７２１は、データを受動的に読み取り（７２３）、読み取られたデータを送信する（７２５）ループを含むことができる。より具体的には、手順７２１は、パケット内のデータがネットワーク上でパケットのソースと送信先との間を移動している時にパケット内のデータを受動的に読み取る（７２３）ことができる。パケット内のデータがネットワーク上で移動している時にパケット内のデータを受動的に読み取る技法は、既知である。次に、手順７２１は、さらなるポストセンサ分析のために、受動的に読み取られたデータを送信する（７２５）ことができる。複数の従来の技法のいずれをも、ポストセンサ・プロセッサにデータを送信するのに使用することができる。

リアル・タイム・データ・アウェアネス手順７０１は、受動的に読み取られたデータをセンサから受信し（７０３）、受動的に読み取られたデータがファイルおよび／またはファイル・データを含むかどうかをチェックし（７０３）、そうである場合に、ファイルおよび／またはファイル・データを処理する（７０７、７０９、７１１、７１３）ためにループすることを含むことができる。リアル・タイム・データ・アウェアネス手順７０１は、ファイルおよび／またはファイル・データをセンサから受信し、処理する準備が継続的にできているようにするために継続的にループすることができる。

リアル・タイム・データ・アウェアネス手順は、たとえば１つまたは複数のセンサから、受動的に読み取られたデータを受信する（７０３）ことを含むことができる。センサから受信されるデータは、パケットから検出されたデータおよび／またはパケットからのデータの要約からなる、センサによって事前に決定されるフォーマットであるものとすることができる。

リアル・タイム・データ・アウェアネス手順は、受動的に読み取られたデータがファイルおよび／またはファイル・データを含むかどうかをチェックする（７０３）ことを含むことができる。たとえば、手順７０１は、次のタイプのファイル転送方法のうちの１つまたは複数についてチェックすることができる。

・ファイルが会話に埋め込まれるかこれに添付される時の、電子メール、インスタント・メッセージ、ＳＭＴＰ（シンプル・メール転送プロトコル）、ＬＡＮメッセンジャ、ならびにその変形形態および進化形態などのユーザの間の会話
・ページがファイルを含む時の、ダウンロードされるページ
・電子メール添付物
・ファイル・ダウンロード
・ファイル・リポジトリ・アクセス
・ｆｔｐ（ファイル転送プロトコル）、ＮＦＳ（ネットワーク・ファイル・システム）、ｔｆｔｐ（トリビアル・ファイル転送プロトコル）、ｈｔｔｐ（ハイパーテキスト転送プロトコル）、Ｂｉｔｔｏｒｒｅｎｔ、Ｋｅｒｍｉｔ、および他のファイル転送プロトコル、その変形形態、ならびに進化形態などのファイル転送
ファイルの位置およびフォーマットは、ファイル転送方法のタイプに依存して異なる可能性がある。したがって、受動的に読み取られたデータがファイルおよび／またはファイル・データを含むかどうかの判定は、ファイル転送方法のタイプに依存してファイルを識別するために、ファイル転送方法のタイプに敏感である可能性がある。たとえば、電子メール添付物に添付されたファイルは、ｆｔｐまたはＮＦＳを介して転送されるファイルとは異なる位置およびフォーマットである。これらのファイル転送方法のそれぞれが、産業標準またはプロプライエタリ仕様に関して明確に定義されている。

受動的に読み取られたデータが、ファイルおよび／またはファイル・データを含む時に、リアル・タイム・データ・アウェアネス手順７０１は、たとえば、リアル・タイム・マップ・プロファイルを生成する（７０７）ことと、相関および推測を実行する（７０９）ことと、ファイル／ファイル属性のカタログを作成する（７１１）ことと、ユーザ・マップを作成する（７１３）こととによって、ファイルおよび／またはファイル・データを処理することができる。これらのそれぞれを、前に詳細に説明されていない範囲まで、本明細書でさらに説明する。

リアル・タイム・データ・アウェアネス手順７０１は、リアル・タイム・マップ・プロファイルを生成する（７０７）ことを含むことができる。リアル・タイム・マップ・プロファイルは、ネットワーク上のファイルの位置のトポグラフィ・マップを提供するために、ファイルの位置をマッピングすることができる。リアル・タイム・マップ・プロファイルを、ファイル名、タイム・スタンプ、ファイル・サイズ、ファイル・ハッシュ、サブハッシュ、ファイルを含んだサーバＩＤ（ＩＰアドレス）、ホストＩＤ（ファイルを含む）、ユーザＩＤ（ファイルを有したユーザを示す）、送信先ＩＤ（ファイルが転送された場所）、およびファイル・ディレクトリなど、受動的に読み取られたパケットから入手される、１つまたは複数のファイルに関する情報から展開することができる。

リアル・タイム・データ・アウェアネス手順７０１は、相関および推測を実行する（７０９）ことを含むことができる。相関および推測は、上述においてより詳細に説明した。
リアル・タイム・データ・アウェアネス手順７０１は、ファイル／ファイル属性のカタログを作成する（７１１）ことを含むことができる。カタログを作成され、特定のファイルに関連付けられる属性は、直接のファイル・データ情報（たとえば、ファイル名、ファイル・サイズ、タイム・スタンプ、ファイル・ハッシュ、ブロック・ハッシュ、ファイルを含んだサーバＩＤ、ファイルを含むホストＩＤ、ファイルを送信したユーザＩＤ、ファイルを受信したユーザＩＤ、ファイルが転送された場所、ファイルの内容（たとえば、キーワードまたはハッシュ、ファイル内容変化）、データがどこにあるのか、誰がファイルまたはデータにアクセスしたのか、どのデバイスがその上にデータを有するのか、ファイルがどのように転送されたのか、ファイルがどのように変換（たとえば、暗号化）されたのか）を含み、直接のファイル・データ情報のすべてが、センサから入手される、ネットワーク上で移動しているパケット内のデータから監視される。

リアル・タイム・データ・アウェアネス手順７０１は、ユーザが転送または受信によって実際にタッチしたファイル、ファイル・ハッシュ、およびデータベースにユーザ・アイデンティティを関連付けるユーザ・アクセス・マップを作成する（７１３）ことを含むことができる。これは、上述においてより詳細に説明した。

さらに、実施形態は、前述の有形のコンピュータ可読媒体および／もしくは方法（１つまたは複数）を用いて構成されたコンピュータ・システムならびに／または前述のコンピュータ可読媒体および／もしくは方法（１つまたは複数）を用いて構成された少なくとも１つのコンピュータ・システムからなる通信ネットワークを含むことができる。

当該の通信ネットワークが、パケット処理プロトコルに従って、たとえば、パケット（１つまたは複数）がソースによって生成され、パケットが送信され、パケットがネットワーク・インフラストラクチャ・デバイスを介してルーティングされ、データがパケット（１つまたは複数）内で指定される送信先に送信される、データを送信するパケット交換ネットワークによってパケット内の情報を送信する通信ネットワークを含むことに留意されたい。そのようなネットワークは、たとえば、インターネット、イントラネット、ローカル・エリア・ネットワーク（ＬＡＮ）、無線ＬＡＮ（ＷＬＡＮ）、広域ネットワーク（ＷＡＮ）、および他を含む。パケットを利用する通信ネットワークをサポートするプロトコルは、ＴＣＰトランスポート層、または、トランスポート層、たとえばＩＰＶ４もしくはＩＰＶ６の上に乗る任意のアプリケーションをサポートする任意のリンク層を有するさまざまなネットワーキング・プロトコル、ならびに他の無線アプリケーション・プロトコルもしくは有線アプリケーション・プロトコルおよび／または他のプロトコル構造、ならびにその変形形態および進化形態のうちの１つまたは複数を含む。そのようなネットワークは、無線通信能力を提供し、かつ／あるいはケーブルおよび／もしくはコネクタまたは類似物などの有線接続を利用することができる。

「ファイル」という用語は、本明細書では、コンピュータ・プログラムによって可読であり、固定電子メモリ内に格納される、任意の情報のブロックまたは情報を格納するリソースと定義され、ファイルは、現在のプログラムが終了した後にプログラムが使用するために使用可能なままになる。通常、ファイルは、そのストレージ内でファイルを一意に突き止める、ファイル名およびパスを有する。複数のファイルは、通常、ファイル・ディレクトリ内で編成される。ファイルのフォーマットは、ファイル・ヘッダ、ファイル・データ（ファイルの内容である）、メタ・データ、および／または属性を含めるために、ＵＮＩＸ（登録商標）、ＷＩＮＤＯＷＳ（登録商標）、または他のファイル・システムなどのファイル・システムによってさらに事前に定義され得る。ファイルの「属性」は、ファイルに対して実行できる動作（たとえば、読取、書込、隠し、アーカイブ、および類似物）ならびに／またはファイル名、ファイル・サイズ、タイム・スタンプ、および類似物を指定することができる。「ファイル・データ」という用語は、本明細書では、ファイルの内容（ファイル・ヘッダ、ファイル・メタ・データ、およびファイル属性とは別個）を意味すると定義される。

さらに、「侵入検出／防止システム」（およびＩＤＳ／ＩＰＳ）という用語は、本明細書では、侵入についてネットワーク・トラフィックを受動的にまたは能動的に分析するデバイスまたはソフトウェアを表すのに使用される。そのようなデバイスまたはソフトウェアの例を、時々、「侵入検出システム」（ＩＤＳ）、「侵入防止システム」（ＩＰＳ）、「ネットワーク侵入検出システム」（ＮＩＤＳ）、「ネットワーク侵入防止システム」（ＮＩＰＳ）、および類似物、ならびにその変形形態および進化形態と称する。侵入検出／防止システムを、ホストベースとすることができ、あるいは、侵入検出／防止システムは、たとえばターゲット・システムと侵入者との間のどこかの、通常は最後のルータまたはファイヤウォールの後の、センサを使用して、ターゲット・システムへのトラフィックを監視することができる。

「ネットワーク上で移動中」または「ネットワーク上で移動している」という用語は、本明細書では、パケットのソース・ホストから送信されたが、そのパケットがパケットの送信先ホストに到着する前に観察され、読み取られ、または監視されるパケット、パケット内のデータ、またはパケット内のファイルを指すと定義される。

「パケット」という用語は、本明細書では、ＩＰＶ４またはＩＰＶ６などのパケット処理プロトコルに従ってフォーマットされ、パケット交換ネットワークによって搬送され、ヘッダおよびデータを含み、時々、ＩＰパケットまたはデータグラムと呼ばれるデータの単位と定義される。

「受動的に読み取られた」パケットは、本明細書では、パケットが読み取られるプロセッサによって引き出されたのでも開始されたのでもないパケットと定義される。データまたはパケットを「受動的に読み取る」ことは、本明細書では、パケットが読み取られるプロセッサからの以前の送信によって引き出されたのでも開始されたのでもないパケットを受信することと定義される。

「リアルタイム」または「リアル・タイム」という用語は、本明細書では、（より大きいセグメント内に一緒にグループ化されるか、または個々に処理される）分析される（入力）データおよび／または生成される（出力）データを、処理遅延と独立にデータの同一のセットを入力し、かつ／または出力するのに要する時間で継続的に処理（または生成）できることを意味すると定義される。

「センサ」という用語は、本明細書では、その主機能が、センサが接続されたネットワーク上のネットワーク・トラフィックを検出し、報告することと、通常は悪意のあるアクティビティを暗示するパターンおよび挙動を探すためにパケットのヘッダおよびデータ部分を調べることによって、ネットワーク上の悪意のあるアクティビティを検出することとであり、時々セキュリティ機器またはセンサ機器と呼ばれ、独立型または、ファイヤウォール、アンチウィルス・スキャニング・デバイス、コンテンツ・フィルタリング・デバイス、侵入検出機器、侵入防止機器、突破試験機器、脆弱性査定機器、および類似物のうちの１つまたは複数を組み込むことができる、プロセッサを含むデバイスを特に示すと定義される。センサは、インラインで（トラフィックがそれを通って流れるようにするために、ネットワーク内の機器としてインストールされる）、タップとして（クライアントとサーバとの間のネットワーク・トラフィックは、タップによってセンサにコピーされ、このセンサは、本質的に他のネットワーク・エンティティから不可視である）、またはスパン内で（トラフィックは、ルータまたはスイッチのサーバ側またはクライアント側のいずれかでスパン・オフされ、任意のポートからの着信トラフィックと発信トラフィックとの両方をコピーする）動作することができる。センサは、センサが監視するパケットに関する情報を収集することができ、個々のパケットに関する収集されたパケット情報、パケットの要約、報告、および／または検出されたイベントとして、送信するように構成され得る。そのようなセンサの例は、Ｓｏｕｒｃｅｆｉｒｅ（商標）センサ、ＭｃＡｆｅｅ（商標）センサ、および類似物を含む。

本開示は、本発明の真の意図された公平な範囲および趣旨を限定するのではなく、本発明によるさまざまな実施形態をどのようにして形作り、使用するのかを説明することを意図されたものである。本発明は、本特許出願の継続中に修正される可能性がある添付の特許請求の範囲およびそのすべての同等物のみによって定義される。前述の説明は、網羅的であることまたは本発明を開示された正確な形態に限定することを意図されたものではない。変更または変形が、上の教示を考慮して可能である。実施形態（１つまたは複数）は、本発明の原理およびその実用的応用の最良の例示を提供するために、およびさまざまな実施形態で、企図される特定の使用に適するさまざまな変更を加えて、当業者が本発明を利用することを可能にするために、選択され、説明された。そのような変更および変形のすべてが、本特許出願が公平に法的に公正に資格を与えられる範囲に従って解釈される時に、本特許出願の継続中に修正される可能性がある添付の特許請求の範囲およびそのすべての同等物によって決定される本発明の範囲に含まれる。

Claims (21)

1. システムであって、
   パケットがネットワーク上で移動している時に該パケット内のデータを受動的に読み取るように構成されたセンサと、
   前記センサと共に協力して動作可能なプロセッサであって、
   前記センサから前記読み取られたデータを受信し、
   前記受動的に読み取られたパケットが前記ネットワーク上で移動している時に、前記センサからの前記読み取られたデータからのファイルおよびファイル・データのリアルタイム・マップ・プロファイルを生成するように構成された前記プロセッサとを備え、
   前記プロセッサは、
   前記ネットワーク上で移動している前記パケット内の前記読み取られたデータからの前記ファイルおよび前記ファイル・データの属性のカタログを作成するようにさらに構成され、
   カタログを作成される属性は、前記ファイルがどのように変換されたのかを含む、システム。
2. 前記プロセッサは、
   前記センサによって読み取られた前記読み取られたデータから相関および推測を実行するようにさらに構成される、請求項１に記載のシステム。
3. カタログを作成される属性は、
   ファイル名、ファイル・サイズ、タイム・スタンプ、ファイル・ハッシュ、ブロック・ハッシュ、前記ファイルを含んだサーバＩＤ、前記ファイルを含むホストＩＤ、ファイルを送信したユーザＩＤ、ファイルを受信しているユーザＩＤ、ファイルが転送される場所、前記ファイルの内容、前記ファイル・データがどこにあるのか、誰が前記ファイル・データまたは前記ファイルにアクセスしたのか、どのデバイスが前記ファイル・データを有するのか、前記ファイルがどのように転送されたのか、をさらに含む、請求項１に記載のシステム。
4. カタログを作成される前記ファイルの内容は、キーワード、ハッシュ、およびファイル内容変化を含む、請求項３に記載のシステム。
5. 前記ファイルの内容は、前記ファイルが流れている時に、前記データ内の前記ファイル内のキーワードまたはハッシュについて、前記ファイルおよび前記ファイル・データを分析することによって判定される、請求項３に記載のシステム。
6. 前記プロセッサは、
   ユーザが実際にタッチした前記ファイル、ファイル・ハッシュ、およびデータベースに該ユーザのアイデンティティを関連付けるユーザ・アクセス・マップを作成するようにさらに構成される、請求項１に記載のシステム。
7. 前記センサは、前記ファイルが上書きされた死んだデータを有すると事前に判定されたファイル・フォーマットを有する時に、前記受動的に読み取られたパケットに含まれる前記ファイルの内部のボイドにハニートークンを埋め込み、前記ネットワーク上および前記ネットワークの外部での前記ファイルの移動の追跡を助けるのに該ハニートークンを使用するようにさらに構成される、請求項１に記載のシステム。
8. 前記ファイルに埋め込まれる前記ハニートークンは、前記ファイル全体の主ハッシュおよび前記ファイル内の個々のブロックのブロック・ハッシュのうちの１つである、請求項７に記載のシステム。
9. 前記プロセッサは、前記読み取られたデータが、ユーザの間の会話、ダウンロードされるページ、電子メール添付物、ファイル・ダウンロード、ファイル・リポジトリ・アクセス、および前記ネットワークを介するファイル転送である時に、前記ファイルおよび前記ファイル・データについて前記センサからの前記読み取られたデータをさらに調べる、請求項１に記載のシステム。
10. 前記ファイル・リポジトリ・アクセスは、ダウンロード、ｆｔｐ転送、ファイル共有アクセス、またはＮＦＳアクセスである、請求項９に記載のシステム。
11. 前記プロセッサは、
    前記パケットが前記ネットワーク上で移動している時に、前記受動的に読み取られたパケット内の前記読み取られたデータからメタデータを抽出して受動的に発見されたメタデータを生成することであって、前記読み取られたデータは、前記ファイル全体の主ハッシュ、前記ファイル内の個々のブロックのブロック・ハッシュ、ならびにファイル名、日付、タイム・スタンプ、サイズ、およびファイル所有者を有するファイルのディレクトリ・リスティングを含み、ハッシュは、前記ファイルに一意の暗号ハッシュである、前記メタデータを作成すること、
    該受動的に発見されたメタデータ、前記ファイルの属性、および前記ファイル・データをリレーショナル・データベースに格納すること、
    該受動的に発見されたメタデータを受動的に発見されたメタデータのデータ・マップに格納することを実行するようにさらに構成される、請求項１に記載のシステム。
12. 前記リレーショナル・データベースは、前記ファイル自体に基づき、前記ファイルがどこに転送されたのかおよび前記ファイルを誰が転送したのかを示す、請求項１１に記載のシステム。
13. 前記リレーショナル・データベースは、前記センサに対するポストプロセッサとして実施される、請求項１１に記載のシステム。
14. 前記プロセッサは、
    誰が前記ファイルおよび前記ファイル・データを使用しているのか、およびユーザが前記ファイルおよび前記ファイル・データをどのように転送またはアクセスしているのかからユーザの役割を推測し、
    該推論されたユーザ役割および前記センサからの前記読み取られたデータから、該ユーザが不適切な使用を実行している時を検出するようにさらに構成される、請求項１に記載のシステム。
15. 前記プロセッサは、
    前記ファイルの内容がどのように変化したのかに関して報告するようにさらに構成され、
    該変化は、前記ファイル・データ内に反映される位置、前記ファイル・データ内に反映される所有権、前記ファイル・データ自体の変化、および前記ファイル自体の変化を含む、請求項１に記載のシステム。
16. 方法であって、
    センサ内で、パケットがネットワーク上で移動している時に該パケット内のデータを受動的に読み取ること、
    プロセッサ内で、該センサから該読み取られたデータを受信すること、
    該受動的に読み取られたパケットが該ネットワーク上で移動している時に、該センサからの該読み取られたデータからのファイルおよびファイル・データのリアルタイム・マップ・プロファイルを生成すること、
    前記ネットワーク上で移動している前記パケット内の前記読み取られたデータからの前記ファイルおよび前記ファイル・データの属性のカタログを作成することを備え、
    カタログを作成される属性は、前記ファイルがどのように変換されたのかを含む、方法。
17. 前記センサによって取り出された前記データから相関および推測を実行することをさらに備える、請求項１６に記載の方法。
18. ユーザが実際にタッチした前記ファイル、ファイル・ハッシュ、およびデータベースに該ユーザのアイデンティティを関連付けるユーザ・アクセス・マップを作成することをさらに備える、請求項１６に記載の方法。
19. パケットがネットワーク上で移動している時に該パケット内のデータをセンサから受動的に読み取ること、
    プロセッサ内で、該センサから該読み取られたデータを受信すること、
    該受動的に読み取られたパケットが該ネットワーク上で移動している時に、該センサからの該読み取られたデータからであるファイルおよびファイル・データのリアルタイム・マップ・プロファイルを生成すること、
    前記ネットワーク上で移動している前記パケット内の前記読み取られたデータからの前記ファイルおよび前記ファイル・データの属性のカタログを作成することを実行するコンピュータ実行可能命令を備え、
    カタログを作成される属性は、前記ファイルがどのように変換されたのかを含む、コンピュータ可読記憶媒体。
20. 前記センサによって読み取られた前記読み取られたデータから相関および推測を実行することをさらに備える、請求項１９に記載のコンピュータ可読記憶媒体。
21. ユーザが実際にタッチした前記ファイル、ファイル・ハッシュ、およびデータベースに該ユーザのアイデンティティを関連付けるユーザ・アクセス・マップを作成することをさらに備える、請求項１９に記載のコンピュータ可読記憶媒体。