Способ обнаружения связанных кластеров

Изобретение относится к области вычислительной техники для мультиплатформенной синхронизации и определения принадлежности нескольких устройств одному пользователю. Технический результат заключается в обеспечении обнаружения связанных кластеров устройств. Технический результат достигается за счет способа обнаружения связанных кластеров устройств, в котором: а) получают по меньшей мере два предварительно сформированных кластера устройств; б) выбирают из кластеров по меньшей мере по одному устройству; в) получают по меньшей мере по одному профилю связи для каждого из выбранных устройств, где профиль связи содержит характеристики соединения и взаимодействия между выбранным устройством и другими устройствами; г) сравнивают полученные профили связи устройств между собой; д) обнаруживают связь между полученными кластерами, если в результате сравнения по п. в) профили связей признаются похожими. 15 з.п. ф-лы, 22 ил.

 

Область техники

Изобретение относится к способам мультиплатформенной синхронизации и определения принадлежности нескольких устройств одному пользователю.

Уровень техники

Число электронных устройств, приходящихся на одно домохозяйство {англ. householder) или пользователя, постоянно растет, среди данных устройств растет доля устройств, имеющих сетевой интерфейс. Теперь это не только персональные компьютеры и смартфоны, но и телевизоры, игровые приставки и даже электрические чайники. Соответственно возникла необходимость логически связывать эти устройства в одно домохозяйство вокруг их владельца/пользователя, то является концепцией умного дома, а в перспективе умного окружения. Связанные устройства необходимы, по меньшей мере, для:

• централизованного управления устройствами (в т.ч. управления безопасностью устройств);

• проведения маркетинговых кампаний;

• эффективной коммуникации с пользователем;

• аутентификации на нескольких устройствах {англ. cross-device) и т.д.

Лидерами в развитии технологий связывания устройств и анализа активности пользователя являются компании, которые занимаются рекламой, электронной коммерцией, профилированием для платформы клиентских данных (англ. customer data platform, CDP) или имеют мультиплатформенные программные и программно-аппаратные решения. Например, в публикации US 20150235275 описываются механизмы отслеживания, связывания и рекламного таргетирования основанные на сличении атрибутов из профиля пользователя. А в публикации US 20160125471 описывается механизм синхронизации cookie файлов.

Компаниям, которые занимаются безопасностью компьютерных систем также необходимо обнаруживать новые устройства в окружении и соотносить их с пользователем для обеспечения защиты устройства и сетевого окружения устройства. Необходимость следует из того, что устройства взаимодействуют между собой и любое из устройств в окружении может стать вектором атаки на другое устройство и данные пользователя, поэтому защищены должны быть все устройства пользователя, но для этого их нужно обнаружить и привязать к пользователю.

Современные автоматические методы связывания устройств полагаются на данные, которые могут быть удалены (куки могут быть очищены) или на эвристики, имеющие недостаточно высокую точность. Необходима технология, которая обеспечила бы надежное и долговременное связывание устройств, соотносила их с профилем и оперативно реагировала на изменение пользовательского профиля.

Краткое описание чертежей

Сопровождающие чертежи включены для обеспечения дополнительного понимания изобретения и составляют часть этого описания, показывают варианты осуществления изобретения и совместно с описанием служат для объяснения принципов изобретения.

Заявленное изобретение поясняется следующими чертежами, на которых:

Фиг. 1а - изображает примеры кластеров устройств.

Фиг. 1б - изображает примеры профилей окружения, которые являются отображением кластеров устройств из предыдущей фигуры.

Фиг. 1в - изображает пример расширенного кластера устройств с подкластерами.

Фиг. 1г - изображает пример расширенного профиля окружения, который является отображением расширенного кластера из предыдущей фигуры, где помимо устройств окружения выделяются пользователи этих устройств.

Фиг. 1д - изображает пример расширенного профиля окружения, где помимо пользователей выделяется еще М2М сеть в рамках домохозяйства HomeID1.

Фиг. 2 - изображает систему кластеризации устройств.

Фиг. 3 - изображает способ формирования кластеров устройств.

Фиг. 3а - изображает множество полученных для формирования кластеров устройств.

Фиг. 3б - изображает множество устройств со обнаруженными связями.

Фиг. 3в - изображает множество устройств с обнаруженными связями, после типизации этих связей.

Фиг. 3г - изображает множество устройств с обнаруженными связями, после типизации связей и выделения связей, которые относятся к локальным домашним сетям - кластер HomeID1 и кластер HomeID2, при этом кластеры изображены условно в виде дерева, где корневой узел идентификатор кластера

Фиг. 3д - в условном виде (в виде дерева, где корневой узел идентификатор кластера, внутренний узел идентификаторы подкластеров) изображает расширенные кластеры HomeID1 и HomeID2, где устройства внутри кластера устройств дополнительно кластеризуются по пользователям.

Фиг. 4 - изображает способ отнесения неизвестного устройства к кластеру.

Фиг. 4а - изображает устройства для кластеризации.

Фиг. 4б - изображает устройства с обнаруженными связями.

Фиг. 4в - изображает устройства обнаруженными связями, после типизации связей.

Фиг. 4г - изображает результат сравнения обнаруженных связей с известными.

Фиг. 4д - изображает результат сравнения сформированных профиле пользователей с известными профилями пользователей устройств, относящихся к кластеру.

Фиг. 5 - изображает способ формирования связей между кластерами устройств.

Фиг. 5а - изображает кластеры устройств и связи некоторых устройств.

Фиг. 5б - изображает расширенные кластеры устройств и расширенные профили окружения, а также связи между ними.

Фиг. 6 - изображает пример компьютерной системы общего назначения.

Раскрытие изобретение

Настоящее изобретение предназначено для обнаружения связанных профилей окружения и устройств, которые являются связующими. В настоящем изобретении для его осуществления собирают информацию о устройстве и окружении устройства.

Технический результат настоящего изобретения заключается в обеспечении обнаружения связанных кластеров устройств, в результате осуществления способа в котором получают, по меньшей мере, два кластера устройств и выбирают из кластеров, по меньшей мере, по одному устройству. В частном случае каждый из полученный кластер сформирован из устройств одного домохозяйства. Для выбранных устройств получают, по меньшей мере по одной связи для каждого из выбранных устройств. Полученная связь описывается характеристиками связи, где одной из характеристик связи является тип связи, при этом тип связи может определяться типом сети. В частном случае для получения связи устройства из кластера получают информацию, характеризующую устройство (далее, характеристики устройства) и информацию, характеризующую окружение неизвестных устройств (далее, характеристики окружения устройства) и на основании собранных характеристик устройства и окружения обнаруживают, связь между устройством и окружением устройства.

Далее полученные связи устройств сравнивают между собой. В частном случае сравниваются связи одного типа, а похожесть связей устройств определяют на основании похожести по меньшей мере одной характеристики связи. Если в результате сравнения связи признаются похожими обнаруживают связь между полученными кластерами.

После обнаружения может быть сформирован профиль межкластерной связи, где профиль содержит информацию о похожих связях, устройствах, у которых они обнаружены и пользователях этих устройств (далее характеристики межкластерной связи). В зависимости от характеристик межкластерной связи осуществляют типизацию данной связи.

Кластеры устройств в частном случае содержат подкластеры устройств и если в результате сравнения обнаруживаются тождественные связи, то формируют связь между подкластерами устройств. Подкластеры устройств могут быть сформированы на основании похожести профилей пользователей устройств и в таком случае обнаруживают связь между пользователями из различных кластеров.

В частном случае по результатам типизации межкластерных связей, где также установлена связь между пользователями определяют отношения между пользователями устройств из связанных домохозяйств.

Описание вариантов осуществления изобретений

Объекты и признаки настоящего изобретения, способы для достижения этих объектов и признаков станут очевидными посредством отсылки к примерным вариантам осуществления. Однако настоящее изобретение не ограничивается примерными вариантами осуществления, раскрытыми ниже, оно может воплощаться в различных видах. Приведенное описание предназначено для помощи специалисту в области техники для исчерпывающего понимания изобретения, которое определяется в объеме приложенной формулы. Ниже дается раскрытие ключевых понятий, используемых в заявке.

Профиль связи (англ. relation) - абстрактная сущность, которая в частном случае содержит характеристики соединения и взаимодействия (характеристики связи), между персональным устройством и точкой доступа, между персональным устройством и персональным устройством, между персональным устройством и IoT устройством. Таким образом профиль связи - информация, характеризующая связь, которая преобразована и упакована в структуру данных, пригодную для обработки, сравнения, построения агрегатов и суррогатов (векторов). Под персональными устройствами понимаются мобильные телефоны, ноутбуки, планшеты, персональные компьютеры и т.д. Одной из характеристик связи может быть тип сети, в рамках которого устанавливаются соединения с устройствами и формируется связь (домашняя беспроводная сеть, публичная беспроводная сеть, М2М, GSM и т.д.). Профиль может выражаться N-мерным вектором характеристик, компонентами которого являются характеристики связи, где подмножеством характеристики связи являются характеристики сетевого соединения (поэтому используется признак связь, а не соединение, признак связь описывается большим числом характеристик чем соединение и является шире). Характеристиками связи, по меньшей мере, могут быть:

• правило формирования сетевого соединения между устройством и окружением устройства;

• длительность установленного соединения между устройством и окружением устройства;

• тип соединения между устройством и окружением устройства;

• стабильность соединения между устройством и окружением устройства;

• геолокация соединения устройства с окружением устройства;

• характеристики сетевого трафика между устройством и окружением устройства

• характеристики устройства, с которым устанавливается связь.

Под окружением (англ. environment) устройства понимаются компьютерные сети или другие устройства, с которыми установлено или может быть установлено соединение по любому из известных протоколов.

N-мерный вектор характеристик связи - упорядоченный набор из N чисел, где числа есть координаты вектора. В числах могут кодироваться качественные (т.н. категорийные) характеристики Количество координат вектора называется размерностью вектора. Координаты определяют положение соответствующей связи устройства или некоторых характеристик связи (например, тип связи, MAC адрес, SSID). Вектор получают преобразованием информации об окружении и устройстве. Вектор отражает некоторую информацию об окружении.

Кластеризация устройств - упорядочивание устройств в сравнительные однородные группы (кластеры), на основании одного или нескольких признаков, например связей или отдельных характеристик связей. А под кластеризацией устройства понимается нахождение кластера устройств, имеющего похожие связи, где при отсутствии таких кластеров создается новый кластер. Пример кластеров устройств изображен на Фиг. 1а.

Кластер устройств - упорядоченная группа устройств, объединенных на основании похожести каких-либо характеристик, например, похожести связей, в частном случае кластер описывается профилем окружения (Фиг. 1б), а расширенный кластер (кластер с подкластерами на Фиг. 1в) расширенным профилем окружения (Фиг. 1г и Фиг. 1д). Устройство может относиться к некоторому кластеру, если расстояние от N-мерного вектора связи устройства до центра данного кластера меньше радиуса кластера ("R") в направлении N-мерного вектора. В частном случае устройство относится к некоторому кластеру, если значение расстояния (на Фиг. 1a «d'») от N-мерного вектора элемента до ближайшего N-мерного вектора связи данного кластера меньше предельно допустимого (порогового значения расстояния [d'] или если значение расстояния (на Фиг. 1а «d») от N-мерного вектора связи до центра данного кластера меньше радиуса этого кластера. Варианты расстояний для оценки близости, например:

• линейное расстояние;

• евклидово расстояние;

• квадрат евклидова расстояния;

• обобщенное степенное расстояние Минковского;

• расстояние Чебышева;

• Манхэттенское расстояние.

Мера близости для оценки близости (степень сходства, коэффициент сходства) - безразмерный показатель для определения сходства элементов веб-страницы. Для определения меры близости используются меры:

• Охаи;

• Жаккара;

• Сокала-Снита;

• Кульчинского;

• симметричная Дайса.

Центр кластера (центроид) - это вектор, элементы которого представляют собой средние значения соответствующих признаков, вычисленные по всем векторам кластера. Для кластеров, состоящих из одного вектора, данный вектор будет являться центром кластера.

Радиус кластера (на Фиг. 1a «R») - максимальное расстояние N-мерных векторов, входящих в кластер, от центра кластера.

Для кластеризации используют различные известные алгоритмы и подходы, в том числе иерархические (агломеративные и дивизивные) и неиерархические.

Профиль окружения - структурированная совокупность данных о группе устройств, объединенных на основании связей одного типа, на Фиг. 1б изображены профили для локальной частной (домашней) сети и для М2М. В частном случае профиль окружения это машиночитаемое описание кластера устройств.

Расширенный профиль окружения - профиль окружения, дополненный данными о пользователях устройств (Фиг. 1 г) или о смежных сетях, например, М2М (Фиг. 1д).

Тип связи - одна из характеристик связи, которая характеризует тип сети, к которой или в рамках которой устанавливались соединения. Выделить возможно, по меньшей мере, следующие типы сетей:

• локальная частная (домашняя) сеть;

• локальная публичная сеть;

• GSM сеть;

• М2М (сеть с передачей от узла к узлу, в частном случае соединения с IoT);

Mesh сеть Типизация связей - процесс определения типа связи. Для определения типа связей используются как эвристические правила, так и машинное обучение (деревья принятия решений, нейросети, кластеризацию и т.д.). Для формирования эвристических правил выбираются связи, тип которых известен и выявляются характеристики (например, ищут значений характеристик), которые гарантировано позволяют/не позволяют отнести связь к данному типу и на основании этих характеристик формируется эвристическое правило, которое и применяется к связям, тип которых неизвестен. Когда эвристическое правило отсутствует или число характеристик недостаточно, типизация осуществляется за счет сравнения (определения похожести) вектора связи, тип которой неизвестен с векторами связей, тип которых известен. Для типизации связей могут использоваться, по меньшей мере, следующие характеристики:

• наличие авторизации для подключения к сети;

• используемый тип шифрования;

• локальное время соединения с сетью и отключения от нее;

• частота подключений к данной сети;

• имя сети (ssid);

• день недели, когда произошло подключение;

• количество устройств, подключенных к точке доступа;

• наличие рядом других точек доступа, расширяющих сеть данной точки (roaming-точки).

Похожесть определяется различными способами, например если связь описывается вектором, составленным из характеристик связи, то связи считаются похожими, если по меньшей мере одна из характеристик неизвестной связи тождественна аналогичной характеристике другой связи. В частном случае такими характеристиками могут быть MAC адрес, название точки доступа, тип связи. Связи считаются также похожими, если расстояние между вектором одной сформированной связи и вектором другой связи в N - мерном пространстве или в проекции на одно из выбранных измерений (например измерении на котором откладывается длительность или частота соединений на основании которых формируется связь) меньше порогового значения или в общем случае, если скалярное произведение векторов не превышает заранее заданного порогового значения.

Для типизации также может использоваться обученная нейросеть, где на вход подаются характеристики связи, а на выходе получают тип связи. Нейросеть обучают известными из уровня техники способами на основании связей, тип которых известен.

Профиль межкластерной связи - абстрактная сущность, которая в частном случае содержит характеристики похожих связей, характеристики устройств из разных кластеров, связи которых похожи между собой, профили пользователей этих устройств. Обнаружение похожих связей описано в способе 500. Таким образом профиль межкластерной связи - информация, о похожих связях, устройствах, у которых они обнаружены и пользователях этих устройств, преобразованная и упакованная в структуру данных, пригодную для обработки, сравнения, построения агрегатов и суррогатов (например, векторов). Характеристиками межкластерной связи могут быть:

• кластеры и подкластеры между которыми сформирована связь;

• сила межкластерной связи (определяется степенью похожести связей, подробнее описанном в способе 500, числом похожих связей их типом и числом устройств с похожими связями);

• типы похожих связей;

• длительность существования похожих связей;

• профили устройств с похожими связями;

• профили пользователей этих устройств.

Профиль межкластерной связи содержит в общем случае информацию о всех похожих связях, обнаруженных между устройствами из двух связанных между собой кластеров.

Типизация межкластерной связи - на основании профиля межкластерной связи осуществляют типизацию связи, чтобы определить в каком отношении находятся пользователи устройств из связанных кластеров и сами кластеры (а в частном случае домохозяйства, если кластеры объединяют устройства одного домохозяйства). Это осуществляется, например, на основании сравнения профиля межкластерной связи с другим профилем, тип которого известен либо с использованием нейросети, где на вход подаются характеристики межкластерной связи, а на выходе получают тип связи, где нейросеть предварительно обучена на размеченных кластерах и межкластерных связях.

Угроза (англ. threat) - потенциальное происшествие, которое способно нарушить должное функционирование системы и тем самым прямо или косвенно нанести ущерб. Виды угроз очень разнообразны и имеют множество классификаций, в рамках данной заявки используется классификации по характеру нарушения, а именно:

• нарушение конфиденциальности данных;

• нарушение целостности данных/подмена данных;

• нарушение работоспособности системы (в т.ч. отказ в обслуживании);

• неавторизированное вмешательство в функционирование системы;

• и т.д.

Модель угроз - формализованное описание угроз информационной безопасности в отношении системы. Включает, по меньшей мере:

• вид угрозы, где угроза несанкционированное использование системы, отражающее интерес нарушителя;

• элемент, через который реализуется данный вид угрозы;

• способ реализации угрозы через указанный элемент;

• вектор воздействия на систему для осуществления способа реализации угрозы (вектор атаки);

Способ реализации угрозы, атака - действия нарушителя по реализации угрозы безопасности определенного вида. Для каждого элемента системы определенный вид угрозы может быть реализован разными способами, в том числе с задействованием других компонентов системы

Вектор атаки - направление или конкретный способ воздействия на систему со стороны нарушителя при реализации угрозы безопасности. Признаку «вектор атаки» в рамках данной заявки тождественен признак «вектор воздействия на систему для осуществления способа реализации угрозы». Определяющими вектор атаки характеристиками по меньшей мере могут быть:

• источник или множество источников атаки;

• элемент или множество элементов, являющихся целью атаки;

• вид воздействия;

• средства воздействия.

Модель угроз и модель использования формально могут ничем не отличаться друг от друга (за исключением вектора атаки) для одной и той же системы или комплекса. Классифицирующим признаком, позволяющим отличать одну модель от другой является то, что модель использования отражает интерес уполномоченного пользователя, а модель угроз интерес нарушителя. Примеры моделей для реальных систем будут приведены ниже.

На Фиг. 2 изображена система кластеризации устройств 100, в которой имеются устройства 110. Устройствами являются по меньшей мере:

• персональные устройства;

• IoT устройства;

• роутеры, маршрутизаторы и др. сетевое оборудование.

На устройства 110 установлены клиенты 120. Клиенты 120 собирают информацию об устройстве и об окружении устройства. Окружение устройства - это:

• другие устройства 110 с клиентами 120;

• устройства 110а с которыми может быть установлено соединение, но которые не имеют клиентов 120 (например, персональные устройства, такие как персональный компьютер, мобильный телефон, планшет и т.д.), IoT устройства, в том числе бытовая техника, а также сетевое оборудование

Собранная клиентами 120 информация отправляется на серверную сторону и используется средством обнаружения связей 130 и средством профилирования устройств 140. Средство обнаружения связей 130 используется для обнаружения связей на основании информации, собранной клиентом 120 об окружении устройства 110 и формирования профиля связи. Средство профилирования устройств 140 на основании информации, собранной клиентом 120, формирует профиль устройства 110 - абстрактную сущность (например, запись в БД), которая описывает устройство, по меньшей мере: операционную систему, установленные приложения, спецификацию устройства и т.д. К каждому профилю устройства прикреплен идентификатор устройства (DeviceID N). В частном случае средство 130 и средство 140 могут располагаться на устройствах 110. Профили связи сохраняются в базе связей 150. Когда необходимо осуществить типизацию обнаруженных связей, то это осуществляется средством типизации связей 160. Профиль устройства сохраняется в базе устройств 170. Средство кластеризации устройств 180 группирует устройства на основании похожести связей и похожести профилей пользователей этих устройств. Группировка на основании похожести связей может осуществляться:

• по любой характеристике связи, например типу связи;

• по любой группе характеристик, например MAC адресу точки доступа и ее названию (SSID);

• на основании всех характеристик связи.

При кластеризации из выбранных характеристик связи формируются векторы и откладываются в N-мерном пространстве и векторы, например, попавшие в радиус кластера, считаются отнесенными к этому кластеру, в частном случае радиус может равняться нулю. По результатам кластеризации формируются профили, например профили окружения, которые сохраняются в базе профилей окружения 190, сами кластеры также могут храниться в этой базе. На основании информации, собранной с устройств, и профилях устройств, а также информации, полученной от других систем, в том числе и сторонних, средство профилирования пользователей 141 формирует профиль пользователя, сохраняя его в базе пользователей 170. Для профилирования пользователей могут использоваться, например: сетевая активность устройства; данные о перемещении устройства в пространстве; различные персональные сетевые идентификаторы, обнаруженные на устройстве; адреса электронной почты из траффика, логины, номера телефонов и т.д. Эта информация преобразуется и упаковывается в структуру данных, пригодную для обработки, сравнения, построения агрегатов и суррогатов (векторов, словарей и т.д.) - профиль пользователя. Средство кластеризации устройств 180, используя кластеры устройств и профили пользователей, осуществляет дополнительную кластеризацию в рамках кластеров устройств из базы профилей окружения 190. Средство 180 группирует устройства внутри кластера устройств на основании похожести профилей пользователя устройств. По результатам кластеризации формируются расширенные профили окружения, которые сохраняются в базе расширенных профилей окружения 191, сами расширенные кластеры также могут храниться в этой базе.

На Фиг. 3 изображен способ формирования кластеров устройств 200. На этапе 201 получают устройства 110/110а для кластеризации. На этапе 210 клиентом 120 на устройствах 110 собирают информацию об устройствах 110, на котором клиент установлен, либо о любом другом устройстве 110а. Клиентом собирается информация, характеризующая устройство (далее, характеристики устройства) и информация, характеризующую окружение устройства (далее, характеристики окружения мобильного устройства). Характеристиками устройства могут быть по меньшей мере:

• характеристики аппаратного обеспечения устройства;

• характеристики программного обеспечения устройства;

• характеристики сетевого трафика, формируемого устройством. А характеристиками окружения могут быть, по меньшей мере:

• характеристики сетей, к которым осуществляется подключение устройства;

• сервисы, работающие на компьютерных сетях, с которыми осуществляется обмен данными устройством;

• иные устройства, к которым осуществляется подключение устройства;

• сервисы, работающим на устройствах, к которым осуществляется подключением устройства.

На этом этапе клиент 120 обнаруживает другие устройства (отличные от обнаруженных на этапе 201) и собирает информацию о соединениях, для обнаружения других устройств используются сетевые протоколы: DHCP, ICMP, ARP, MDNS, UPNP, NetBIOS и т.д. Также клиент фиксирует все соединения в сети GSM и обнаруживает IoT устройства, например, используя возможности технологий ZigBee, LPWAN, BLE и т.д. На этом этапе, очевидно, могут быть обнаружены неизвестные устройства типа 110а, поэтому на Фиг. 3 процесс обнаружения и сбора изображен циклически (201↔210). На основании собранных характеристик на этапе 220 обнаруживают связь между устройством 110/110а и окружением устройства и формируют профиль связи.

Далее необходимо сравнить обнаруженные связи устройств между собой, поэтому на этапе 230 сравнивают связи. Сравнение может осуществляться: суррогатами, сформированными из профилей связи; профили могут сравниваться непосредственно; или любым способом известным из уровня техники, подходящим для типа данных которым представлен профиль связи. Если похожие связи обнаружены, то на этапе 231 устройства, имеющие похожие связи, объединяются, и на этапе 232 создается кластер устройств. Очевидно, что устройство может одновременно находиться в различных кластерах, потому что:

• связи могут сравниваться не только по векторам, содержащим все характеристики связи, но и по отдельным компонентам векторов (расстояние между векторами измеряется не в пространстве, а в проекции);

• у устройства обнаруживается более чем одна связь.

После того как на этапе 232 кластер создан необходимо создать профиль окружения и связать с кластером, это происходит на этапе 250.

В частном случае (например, для выявления устройств, принадлежащих одному домохозяйству), прежде чем осуществить кластеризацию необходимо определить тип обнаруженной связи (этап 221) и выбрать нужные связи для кластеризации на этапе 223 (чтобы выявлять устройства домохозяйств выбирают связь с типом домашняя сеть) и тогда на этапе 230 сравнивают обнаруженные связи выбранного типа. В общем случае на этапе 223 связи выбираются на основании любой характеристики связи, а не только типа.

На этапе 210 собирают не только характеристики окружения, но и характеристики устройства, на основании характеристик окружения, характеристик устройства, а также дополнительной информации, полученной от внешних, по отношению к системе, источников на этапе 222 формируют профиль пользователя устройства. Сформированные профили пользователя устройств кластера, созданного на этапе 232, сравниваются между собой (этап 240). Это делается для того, чтобы найти устройства, использующиеся одним и тем же пользователем. Если похожие профили найдены, то в рамках кластера устройств эти устройства объединяются на этапе 241. Объединяют устройства в рамках созданного подкластера (этап 242). Для устройств, профили пользователей которых не имеют похожих в кластере, на этапе 242 создается подкластер (единичный подкластер). Одно и тоже устройство может принадлежать различным подкластерам, так как устройство может использоваться более чем одним пользователем. После создания подкластеров на этапе 260 создается расширенный профиль окружения. Профили пользователей могут сравниваться способами аналогичными способам, которые использовались при сравнении связей или любым другим способом известным из уровня техники.

Кластеры устройств после создания могут классифицироваться на этапе 233 на основании того, например: чем похожи связи, на основании которых устройства были объединены в кластер:

• если на основании принадлежности к типу домашняя сеть, MAC адресу и SSID сети, то кластер может быть классифицирован как домохозяйство N (в примерах данной заявки такие кластеры обозначены как HomeID N);

• если на основании принадлежности к типу публичная сеть, MAC адресу и SSID сети, то кластер может быть классифицирован как публичная сеть N (в примерах данной заявки такие кластеры обозначены как PublicID N).

На Фиг. 3а - 3д изображен пример осуществления способа формирования кластеров. Кластеры в примере изображены иначе, чем на Фиг. 1, так как нет необходимости их изображать в N-мерном пространстве, они развернуты в дерево для удобства восприятия, где корневой узел соответствует идентификатору кластера, а внутренний узел (для расширенных кластеров) идентификатору пользователя, листья соответствуют устройствам. Итак, имеются устройства 110 (Фиг. 3а) с установленным клиентом 120 (на фигуре не изображен). Необходимо сформировать кластеры из этих устройств, чтобы определить устройства, принадлежащие одному домохозяйству и разделить эти устройства по владельцам/пользователям внутри одного домохозяйства.

Клиентом 120 на устройствах собирают информацию, характеризующую устройство и информацию, характеризующую окружение устройства, данная информация может собираться и накапливаться в течении некоторого времени, например недели. Далее, что изображено на Фиг. 3б, на основании собранных характеристик обнаруживают связи 300 между устройствами и окружением устройств, элементами такого окружения в частном случае выступают и точки доступа 310. Обнаруженные связи типизируют (Фиг. 3в), в данном примере выделяют связи в рамках следующих типов сетей:

• локальная частная (домашняя) сеть - 300а;

• локальная публичная сеть - 300б;

• М2М - 300в;

• GSM сеть - 300 г.

Точки доступа также типизируют, выделяют домашние точки доступа 310а и публичные точки доступа 310б. В частном случае для типизации связи задача типизации точек доступа является первичной.

Так как по условиям необходимо определить устройства в рамках одного домохозяйства, то из всех устройств отбирают (этот шаг соответствует этапу 223 способа 300) только те устройства, которые имеют связи типа - локальная частная (домашняя) сеть (характеристика связи тип связи = локальная частная (домашняя) сеть), в примере это устройства со связями 300а (см. Фиг. 2г.). Для того чтобы определить устройства из одного домохозяйства, устройства, отобранные по типу связи, устройства группируют и создают кластер устройств, где кластер образуется из устройств, имеющих похожие связи одного типа. В данном примере связи считаются похожими, если по меньшей мере одна из характеристик одной связи (помимо характеристик тип связи) тождественна или похожа на аналогичную характеристику другой связи или связи взятой за эталон. В примере такими характеристиками связи могут быть:

• MAC адрес точки доступа (характеристики должны быть тождественны);

• название точки доступа - SSID (характеристики должны быть тождественны);

• длительность подключения (характеристики должны быть похожи или превышать некоторое пороговое значение характеристики эталонной связи).

Именно на основании характеристики «длительность подключения» устройство 110б, которое имеет связи в двух сетях, относят к кластеру HomeID1. Устройство 110б могло принадлежать гостю, а это значит, что оно в домашней сети появляется нерегулярно и длительность подключения существенно ниже других устройств.

Далее (Фиг. 3д) устройства, принадлежащие одному кластеру, группируют по владельцам, используя собранную об устройстве информацию и профили пользователей. Так создается расширенный кластер устройств, в соответствии с которым создается расширенный профиль окружения HomeID1 и HomeID2.

На Фиг. 4 изображен способ 400 отнесения неизвестного устройства к кластеру. На этапе 201а обнаруживают неизвестное устройство. Обнаружение происходит, по меньшей мере когда:

• клиент 120, установленный на устройстве 110, отправляет идентификатор устройства 110, на котором он установлен, и данный идентификатор отсутствует в базе 170;

• клиент 120 зафиксирует свой первый запуск на устройстве 110;

• устройство 110 с установленным клиентом 120 фиксирует в своем окружении устройство 110а, информация о котором отсутствует как в базе данных клиента 120, так и в базе 170 на серверной стороне.

Таким образом неизвестным считается устройство, информация о котором отсутствует в базах данных системы 100. На этапе 210 клиентом 120 собирают информацию об устройстве 110, на котором клиент установлен, либо о любом другом обнаруженном на этапе 201 устройстве. Клиентом собирается информация, характеризующая устройство (характеристики устройства) и информация, характеризующую окружение устройства (характеристики окружения устройства). Возможные характеристики устройства и окружения были перечислены выше. На этапе 210 клиент обнаруживает другие устройства (отличные от обнаруженных на этапе 201) и накапливает информацию о соединениях, где для обнаружения используются сетевые протоколы: DHCP, ICMP, ARP, MDNS, UPNP, NetBIOS и т.д. Также клиент фиксирует все соединения в сети GSM и обнаруживает IoT устройства, например, используя возможности технологий ZigBee, LPWAN, BLE и т.д. На этом этапе, очевидно, могут быть обнаружены неизвестные устройства типа 110а, поэтому на Фиг. 4 процесс обнаружения и сбора изображен циклически (201а↔210). На основании собираемых характеристик на этапе 220 обнаруживают связь между устройством 110/110а и окружением устройства и формируют профиль связи.

Далее необходимо обнаружить кластер устройств, содержащий по меньшей мере одно устройство, связь которого похожа на обнаруженную на этапе 220 связь. Для этого на этапе 230а сравнивают обнаруженные связи с известными. Если похожие связи обнаружены, то на этапе 231а устройство помещается в кластеры устройств, устройства которых имеют похожие связи. Очевидно, что устройство может попасть одновременно в различные кластеры, потому что:

• связи могут сравниваться не только по векторам, но и по отдельным характеристикам (расстояние измеряется не в пространстве, а в проекции);

• устройство обычно имеет более чем одну связь.

После того как в кластер устройств добавили устройство необходимо обновить связанный с кластером профиль окружения, это происходит на этапе 251. В частном случае (например, для выявления устройств, принадлежащих одному домохозяйству), прежде чем осуществить кластеризацию необходимо определить тип обнаруженной связи (этап 221) по принадлежности к сети (домашняя, публичная и т.д.) и искать похожие среди известных связей одного типа. В другом частном случае задача отнесения к домохозяйству может решаться иначе, для этого тип обнаруженных связей не определяется, но кластеры должны быть предварительно размечены (классифицированы), например, выделяются кластеры устройств, сгруппированные на основании похожести связей, тип связи у которых одинаков. Т.е. кластер объединяет устройства с похожими связями, векторы которых похожи, по меньшей мере по одной из характеристике (в примере, по меньшей мере по типу связи). Размечаться кластеры могут любым известным из уровня техники способом используемых при машинном обучении с «привлечением» учителя.

Если похожие связи при сравнении на этапе 230а не обнаружены создается новый кластер устройств на этапе 232 и с ним связывают новый профиль окружения на этапе 250.

На этапе 210 собирают не только характеристики окружения, но и характеристики устройства, на основании характеристик окружения, характеристик устройства и дополнительных источников на этапе 222 формируют профиль пользователя устройства. Сформированный профиль пользователя на этапе 240а сравнивается с профилями пользователей других устройств кластера. Это делается для того, чтобы найти устройства, использующиеся одним и тем же пользователем. Если найден похожий профиль пользователя устройства среди устройств кластера найден, то устройства для которого формировался профиль на этапе 222 относят в подкластер, содержащий устройство с похожим профилем пользователя. Когда профиль похож на профили пользователей устройств из разных подкластеров, устройство относят в подкластеру с профилями пользователей устройств, которых похожесть максимальна (ближе к ядру кластеру, больше степень похожести и т.д.). В другом частном случае устройство помещают во все подкластеры, содержащие устройства с похожими профилями пользователя это делается из тех соображений, что данным устройством могут пользоваться несколько пользователей. Если похожих профилей не найдено на этапе 242 создают новый подкластер, это может свидетельствовать о том, что в окружении появился пользователь, который был неизвестен. После обновления подкластеров на этапе 241 или создания нового подкластера на этапе 242 необходимо обновить связанный с кластером расширенный профиль, это делается на этапе 261.

На Фиг. 4а - 4д изображен пример осуществления способа отнесения неизвестного устройства к кластеру. В примере устройства 110в/110г с установленным клиентом 120 (на фигуре не изображен). Необходимо для устройств 110, изображенных на Фиг. 4а, определить кластеры домохозяйств, к которым относятся устройства и пользователей устройств.

Клиентом 120 на устройствах собирают информацию, характеризующую устройство (далее характеристики устройства) и информацию, характеризующую окружение устройства (далее характеристики окружения устройства), данная информация может собираться накапливаться в течении некоторого времени, например, недели. Далее, что изображено на Фиг. 4б на основании собранных характеристик обнаруживают связи 300 между устройствами и окружением устройств, элементами такого окружения в частном случае выступают точки доступа 310. На основании собранной информации о связях их типизируют (Фиг. 4в), в данном примере выделяют связи в рамках следующих типов сетей:

• локальная частная (домашняя) сеть - 300а;

• локальная публичная сеть - 300б.

Так как необходимо определить устройства в рамках одного домохозяйства, то из всех сформированных связей отбирают связи, которые имеют тип - локальная частная (домашняя) сеть (характеристика связи тип связи = локальная частная (домашняя) сеть). Для того чтобы обнаружить кластеры домохозяйств, к которым относятся устройства обнаруженные связи устройств сравнивают с известными связями устройств из кластеров устройств (HomeID1 и HomeID2), изображенных на Фиг. 3г. В данном примере связи считаются похожими, если по меньшей мере одна из характеристик обнаруженной связи (помимо характеристики тип связи) тождественна или похожа на аналогичную характеристику другой связи. В примере такими характеристиками связи могут быть:

• MAC адрес точки доступа (характеристики должны быть тождественны);

• название точки доступа - SSID (характеристики должны быть тождественны);

• длительность подключения (характеристики должны быть похожи или превышать некоторое пороговое значение характеристики эталонной связи).

Результаты сравнения изображены на Фиг. 4г. Для устройства 110в похожие связи обнаружены у устройств из кластера HomeID1, поэтому данное устройство относят к этому кластеру. Для устройства 110 г похожих связей, среди известных связей у устройств кластеров HomeID1 и HomeID2 не обнаружено, поэтому создается новый кластер HomeID3.

Далее (Фиг. 4д), используя собранную информацию об устройствах и профили пользователей этих устройств, определяют пользователей устройств 110в/110 г (ищутся похожие профили пользователей среди известных). Для устройства 110в похожий профиль пользователя найден (профиль пользователя с идентификатором UserID2) и данное устройство относят в подкластер UserID2, для устройства 110 г похожий профиль не найден и для него создается новый подкластер UserID6. Так обновляют расширенный кластер устройств HomeID1, в соответствии с которым обновляют расширенный профиль окружения HomeID1, и создают расширенный кластер HomeID3, в соответствии с которым создают расширенный профиль окружения HomeID3.

На Фиг. 5 изображен способ 500 обнаружения связей между кластерами, на базе которого происходит обнаружение, например, связанных домохозяйств и агентов влияния (от англ. influencer) - пользователей, через которых и устройства которых, возможно распространять, в том числе, защитные решения и усиливать комплексную защиту домохозяйств, что является первым шагом к созданию иммунной системы сети. На первом этапе 200а получают предварительно сформированные кластеры устройств. Кластеры могут быть сформированы по способу 200 или любым другим известным из уровня техники способом. На этапе 200а получают по меньшей мере два кластера, из которых на этапе 201б выбирают по меньшей мере по одному устройству, в частном случае выбирают все устройства. На этапе 205 для выбранных устройств получают их связи. Если кластеры формировались по способу 200, то связи для устройств сохранены в базе связей 150 и получение заключается в запросе к базе связей. Если связи устройств не обнаруживались ранее или требуется обновление характеристик связей устройств, то для получения связей выполняются этапы 210 и 220, описанные ранее. Полученные связи сравниваются между собой, при этом сравниваются связи устройств из различных кластеров, связи устройств из одного кластера между собой не сравниваются. Если связи похожи, то кластеры признают связанными, так на этапе 233 обнаруживают связь между кластерами и на этапе 270 формируют профиль межкластерной связи. Профили окружения, описывающие кластеры, между которыми обнаружена связь тоже связываются (этап 252). Профиль межкластерной связи, содержит информацию о связи, например, какие кластеры связаны, какова сила связи (определяется степенью похожести, полученной на этапе 230а, числом похожих связей их типом и числом устройств с похожими связями), какие типы связей похожи, какова длительность существования похожих связей и т.д. В зависимости от характера похожести, например, когда при сравнении обнаружена тождественность связей, связанными признаются и подкластеры, так на этапе 243 обнаруживают связь между подкластерами. Если подкластеры не созданы, их создают, для этого осуществляют этапы 222, 240, 241, 242. После обнаружения на этапе 243 связи, связывают и соответствующие расширенные профили окружения, это происходит на этапе 262, все изменения отражаются в профиле межкластерной связи на этапе 270. Если кластеры содержат устройства из одного домохозяйства, то наличие связи между кластерами говорит о том, что между домохозяйства связаны, а если удалось связать подкластеры, то удалось обнаружить потенциальных агентов влияния - лиц из одного домохозяйства, которые имеют влияние на лиц другого домохозяйства. В частном случае это необходимо учитывать при построении системы защиты и осуществлении охраны домохозяйства.

На Фиг. 5а и Фиг. 5б изображен пример осуществления способа обнаружения связей между кластерами. На Фиг. 5а изображены предварительно сформированные способом 200 кластеры HomeID1 и HomeID2. Из этих кластеров выбирают по устройству, такими устройствами являются устройства 110б и 110д. Для выбранных устройств получают связи. Этими связями являются связи:

• для устройства 110б: 300а' (две связи), 300б', 300в', 300 г'

• для устройства 110д: 300а',300в',300 г'.

Полученные связи устройств сравниваются между собой, например, связь 300а' устройства 1106 сравнивается со связью 300а' устройства 110б. Между собой сравниваются связи только одного типа, при этом выбираются характеристики, по которым сравниваются связи. Например, связи типа 300а сравниваются по характеристикам SSID и MAC адресу точки доступа, а связь типа 300 г по всем доступным характеристикам. Очевидно, что так как сравнение связей типа 300а осуществляется по имени и адресу точки доступа, а устройства 110б и 110д подключались к точке доступа из кластера HomeID2 (есть связь с точкой доступа), то эти связи признаются похожими по этим характеристикам. Устройства имеют также связи 300 г', так как связи обнаружились, когда устройства соединялись между собой в сети GSM, то связь 300 г' устройства 110б тождественна связи 300 г' устройства 110б. Между другими связями сходства на основании выбранных характеристик не обнаружено. Взаимное сравнение может продолжаться и дальше и возможно еще будут обнаружены похожие связи у других устройств кластеров. Наличие похожих связей позволяет говорить о наличии связи 301 между кластерами HomeID1 и HomeID2, а наличие тождественных связей позволяет связать и подкластеры, в примере подкластеры объединяют устройства одного пользователя, поэтому на Фиг. 5б связь 302 создана между пользователями, соответственно связывают и расширенные профили окружения. При обнаружении связи между кластерами наполняют профиль межкластерной связи, где указывают на основании каких типов связей и похожести каких характеристик связь между кластерами была обнаружена. При необходимости и в зависимости от целей для которых осуществлялось поиск связей между кластерами, в профиле межкластерной связи указываются характеристики устройств, связи которых похожи и характеристики пользователей этих устройств (их профили).

Профиль окружения для домохозяйства позволяет использовать адаптивную защиту и оперативно реагировать на возникающие угрозы. Клиенты 120, которые установлены на устройствах 110 позволяют изменять характеристики связей и характеристики устройства для того, чтобы сделать реализацию угрозы невозможной и защитить домохозяйство. В аналогичных целях используются профили окружения не только домохозяйств.

Под средствами системы 100 понимаются реальные устройства, системы, компоненты, группа компонентов, реализованные с использованием аппаратных средств, таких как интегральные микросхемы (англ. application-specific integrated circuit, ASIC) или программируемой вентильной матрицы (англ. field-programmable gate array, FPGA) или, например, в виде комбинации программных и аппаратных средств, таких как микропроцессорная система и набор программных инструкций, а также на нейроморфных чипах (англ. neurosynaptic chips) функциональность указанных модулей может быть реализована исключительно аппаратными средствами, а также в виде комбинации, где часть функциональности реализована программными средствами, а часть аппаратными. В некоторых вариантах реализации средства могут быть исполнены на процессоре компьютера общего назначения (например, который изображен на Фиг. 6). Базы данных могут быть реализованы всеми возможными способами и содержаться как на одном физическом носителе, так и на разных, располагаться как локально, так и удаленно.

Фиг. 6 представляет пример компьютерной системы общего назначения, персональный компьютер или сервер 20, содержащий центральный процессор 21, системную память 22 и системную шину 23, которая содержит разные системные компоненты, в том числе память, связанную с центральным процессором 21. Системная шина 23 реализована, как любая известная из уровня техники шинная структура, содержащая в свою очередь память шины или контроллер памяти шины, периферийную шину и локальную шину, которая способна взаимодействовать с любой другой шинной архитектурой. Системная память содержит постоянное запоминающее устройство (ПЗУ) 24, память с произвольным доступом (ОЗУ) 25. Основная система ввода/вывода (BIOS) 26, содержит основные процедуры, которые обеспечивают передачу информации между элементами персонального компьютера 20, например, в момент загрузки операционной системы с использованием ПЗУ 24.

Персональный компьютер 20 в свою очередь содержит жесткий диск 27 для чтения и записи данных, привод магнитных дисков 28 для чтения и записи на сменные магнитные диски 29 и оптический привод 30 для чтения и записи на сменные оптические диски 31, такие как CD-ROM, DVD-ROM и иные оптические носители информации. Жесткий диск 27, привод магнитных дисков 28, оптический привод 30 соединены с системной шиной 23 через интерфейс жесткого диска 32, интерфейс магнитных дисков 33 и интерфейс оптического привода 34 соответственно. Приводы и соответствующие компьютерные носители информации представляют собой энергонезависимые средства хранения компьютерных инструкций, структур данных, программных модулей и прочих данных персонального компьютера 20.

Настоящее описание раскрывает реализацию системы, которая использует жесткий диск 27, сменный магнитный диск 29 и сменный оптический диск 31, но следует понимать, что возможно применение иных типов компьютерных носителей информации 56, которые способны хранить данные в доступной для чтения компьютером форме (твердотельные накопители, флеш карты памяти, цифровые диски, память с произвольным доступом (ОЗУ) и т.п.), которые подключены к системной шине 23 через контроллер 55.

Компьютер 20 имеет файловую систему 36, где хранится записанная операционная система 35, а также дополнительные программные приложения 37, другие программные модули 38 и данные программ 39. Пользователь имеет возможность вводить команды и информацию в персональный компьютер 20 посредством устройств ввода (клавиатуры 40, манипулятора «мышь» 42). Могут использоваться другие устройства ввода (не отображены): микрофон, джойстик, игровая консоль, сканнер и т.п. Подобные устройства ввода по своему обычаю подключают к компьютерной системе 20 через последовательный порт 46, который в свою очередь подсоединен к системной шине, но могут быть подключены иным способом, например, при помощи параллельного порта, игрового порта или универсальной последовательной шины (USB). Монитор 47 или иной тип устройства отображения также подсоединен к системной шине 23 через интерфейс, такой как видеоадаптер 48. В дополнение к монитору 47, персональный компьютер может быть оснащен другими периферийными устройствами вывода (не отображены), например, колонками, принтером и т.п.

Персональный компьютер 20 способен работать в сетевом окружении, при этом используется сетевое соединение с другим или несколькими удаленными компьютерами 49. Удаленный компьютер (или компьютеры) 49 являются такими же персональными компьютерами или серверами, которые имеют большинство или все упомянутые элементы, отмеченные ранее при описании существа персонального компьютера 20, представленного на Фиг. 6. В вычислительной сети могут присутствовать также и другие устройства, например, маршрутизаторы, сетевые станции, пиринговые устройства или иные сетевые узлы.

Сетевые соединения могут образовывать локальную вычислительную сеть (LAN) 50 и глобальную вычислительную сеть (WAN). Такие сети применяются в корпоративных компьютерных сетях, внутренних сетях компаний и, как правило, имеют доступ к сети Интернет. В LAN- или WAN-сетях персональный компьютер 20 подключен к локальной сети 50 через сетевой адаптер или сетевой интерфейс 51. При использовании сетей персональный компьютер 20 может использовать модем 54 или иные средства обеспечения связи с глобальной вычислительной сетью, такой как Интернет. Модем 54, который является внутренним или внешним устройством, подключен к системной шине 23 посредством последовательного порта 46. Следует уточнить, что сетевые соединения являются лишь примерными и не обязаны отображать точную конфигурацию сети, т.е. в действительности существуют иные способы установления соединения техническими средствами связи одного компьютера с другим.

В заключение следует отметить, что приведенные в описании сведения являются примерами, которые не ограничивают объем настоящего изобретения, определенного формулой. Специалисту в данной области становится понятным, что могут существовать и другие варианты осуществления настоящего изобретения, согласующиеся с сущностью и объемом настоящего изобретения.

1. Способ обнаружения связанных кластеров устройств, в котором:

а) получают по меньшей мере два предварительно сформированных кластера устройств;

б) выбирают из кластеров по меньшей мере по одному устройству;

в) получают по меньшей мере по одному профилю связи для каждого из выбранных устройств, где профиль связи содержит характеристики соединения и взаимодействия между выбранным устройством и другими устройствами;

г) сравнивают полученные профили связи устройств между собой;

д) обнаруживают связь между полученными кластерами, если в результате сравнения по п. в) профили связей признаются похожими.

2. Способ по п. 1, в котором дополнительно формируют профиль межкластерной связи, где профиль содержит информацию о похожих связях, устройствах, у которых они обнаружены, и пользователях этих устройств (далее характеристики межкластерной связи).

3. Способ по п. 1, в котором в зависимости от характеристик межкластерной связи осуществляют типизацию данной связи.

4. Способ по п. 1, в котором для получения связи устройства из кластера:

а) получают информацию, характеризующую устройство (далее, характеристики устройства) и информацию, характеризующую окружение неизвестных устройств (далее, характеристики окружения устройства);

б) на основании собранных характеристик устройства и окружения обнаруживают связь между устройством и окружением устройства.

5. Способ по п. 1, в котором дополнительно кластер устройств содержит подкластеры устройств.

6. Способ по п. 5, в котором формируют связь между подкластерами устройств, связи устройств которых, в результате сравнения по п. 1 в), признаны тождественными.

7. Способ по п. 5, в котором подкластеры устройств сформированы на основании похожести профилей пользователей устройств.

8. Способ по пп. 6 и 7, в котором обнаруживают связь между пользователями из различных кластеров.

9. Способ по п. 1, в котором полученная связь описывается характеристиками связи, где одной из характеристик связи является тип связи.

10. Способ по п. 8, в котором тип связи определяется типом сети.

11. Способ по п. 8, в котором сравниваются связи одного типа.

12. Способ по п. 8, в котором похожесть связей устройств определяют на основании похожести по меньшей мере одной характеристики связи.

13. Способ по п. 8, в котором выбирают характеристики связи для сравнения.

14. Способ по п. 1, в котором полученные кластеры сгруппированы из устройств одного домохозяйства.

15. Способ по п. 13, в котором обнаруживают связанные домохозяйства, если между кластерами сформирована связь.

16. Способ по пп. 3, 7 и 13, в котором по результатам типизации межкластерных связей определяют отношения между пользователями устройств из связанных домохозяйств.