JP2003535414A - 情報を盗んだり及び／又は損害を引き起こしたりするかもしれない邪悪なプログラムに対するコンピュータの包括的一般的共通的保護のためのシステム及び方法 - Google Patents
情報を盗んだり及び／又は損害を引き起こしたりするかもしれない邪悪なプログラムに対するコンピュータの包括的一般的共通的保護のためのシステム及び方法Info
- Publication number
- JP2003535414A JP2003535414A JP2002501128A JP2002501128A JP2003535414A JP 2003535414 A JP2003535414 A JP 2003535414A JP 2002501128 A JP2002501128 A JP 2002501128A JP 2002501128 A JP2002501128 A JP 2002501128A JP 2003535414 A JP2003535414 A JP 2003535414A
- Authority
- JP
- Japan
- Prior art keywords
- computer
- security
- user
- communication
- rules
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Software Systems (AREA)
- Theoretical Computer Science (AREA)
- Computer Hardware Design (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Computer And Data Communications (AREA)
- Storage Device Security (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
(57)【要約】
パーソナルコンピュータサーバー及び／又は他のコンピュータ化された小機器（特にインターネットを通じて）上の邪悪なソフトウェア攻撃(データを盗む、データを変える又はデータを破壊するような)は、毎年数千万ドルの損害を引き起こしながら、益々共通及び益々危険になってきている。最新の解決法は、それらが問題のルートに深く入りこむ代わりに、表面上の限られた数の問題のみを解決するので、本質的に限度がある。最も共通の解決法は、アンチウイルス及びネットワーク・ファイアフォールである。アンチウイルスは、それらが既に識別された（通常それらが既に多くのコンピュータを攻撃した後）ウイルスやワームを検出することができるのみであるので、限度がある。ネットワーク・ファイアウォールは、パケット・フィルタリングに基づいており、これは、どのパケットを受け入れるかは例えばあるサイト又はあるアプリケーションを信用することに基づいた主観的決定を含むかもしれないので、原理的に限度がある。しかしながら、一旦セキュリティが何らかの理由により、例えばエラー又は意図された欺きにより、破られると、敵意あるアプリケーションはコンピュータ又はサーバー又は全ネットワークを乗っ取りかつ無限の損害を作り出すことできる（直接に又は追加的な邪悪なアプリケーションにドアを開くことによって）。それらはまた、例えばブラウザ又はEメール・プログラムにおける又はオパレーティング・システムそれ自身におけるセキュリティ・ホールに対して効果的でない。2001年1月24日のZDnetの記事によれば、決定的アプリケーション内のセキュリティ・ホールは非常に頻繁に発見されるので、まさに全てパッチについて行くのは非実際的である。また、例えばトロージャン・ホースに対しての適当な共通的保護（如何なる邪悪なプログラムも、前もってのそれについての知識なしに、識別できるような）なしでは、VPN（仮想プライベート・ネットワーク）及びデジタル・サインを含めて、データ暗号化の他の形式でさえ、情報暗号化の前又は下層で 盗まれ得るので、本当に安全ではない。この発明は、問題のルートに深く入りこむことによって、一般的で共通的で包括的な解決法を作り出す。最新技術の状況の最も大きな馬鹿馬鹿しさの1つは、デフォルトとして、プログラムに、他のプログラムに対して又はそれらのデータ・ファイルに対して又はオペレーティング・システムの決定的ファイルに対して、それが好むことを何でもすることを許すことであり、これは、ホテルの客に如何なる他の客にも、彼が好むように迷惑をかけさせ、彼らの財産（property）を盗み又はそれをコピーし又はそれを破壊し、彼らの部屋を破壊させる、等、 又は例えばホテルの金庫又は電子スイッチボード又はエレベーター・コントロール・ルーム、又は電話に自由にアクセスさせるのと同じく馬鹿げている。本概念は、プログラム間の自動的分断に基づいている：これは、はっきりとした許可によってのみそれぞれの客は付加的な特権を得ることができるように、それぞれの客をデフォルトとして彼の部屋にのみ制限し及びホテルの戦略的リソース（resources）への彼のアクセスをデフォルトとして制限することに似ている。
Description
【０００１】
本発明は、コンピュータ（定義において説明されているように、パーソナルコ
ンピュータ、サーバー、又は他のコンピュータ化された小機器を含む）における
セキュリティ、及びより特にプログラム間の自動的分断（segregation）に基づ
いた、コンピュータのための強力な包括的共通的セキュリティ・システム及び方
法に関連する。
ンピュータ、サーバー、又は他のコンピュータ化された小機器を含む）における
セキュリティ、及びより特にプログラム間の自動的分断（segregation）に基づ
いた、コンピュータのための強力な包括的共通的セキュリティ・システム及び方
法に関連する。
【０００２】
パーソナル・コンピュータ及び／又はサーバー（特にインターネットを通じて
）上の邪悪なソフトウェア攻撃は、益々共通及び益々危険になってきている。ア
メリカンCSIリサーチ協会（コンピュータ・セキュリティ協会）による最近の研
究によると、昨年の間だけでも、最も大きいアメリカ会社のおおよそ50パーセン
トは、少なくとも一つの邪悪なインターネットソフトウェアによって、一攻撃あ
たり約500,000USDの平均損害で、攻撃されている。
）上の邪悪なソフトウェア攻撃は、益々共通及び益々危険になってきている。ア
メリカンCSIリサーチ協会（コンピュータ・セキュリティ協会）による最近の研
究によると、昨年の間だけでも、最も大きいアメリカ会社のおおよそ50パーセン
トは、少なくとも一つの邪悪なインターネットソフトウェアによって、一攻撃あ
たり約500,000USDの平均損害で、攻撃されている。
【０００３】
殆ど即時に数千万のコンピュータに影響を与え及び100億ドル以上の見積損害
を引き起越した、“アイラブユー”ウイルス及びその派生物による直近攻撃がデ
モンストレーションするように、従来のアンチウイルス・プログラム及びそれら
の方法は、それらは、原則として前もって全ての種類の攻撃を防止しようと試み
るのではなく、知られた邪悪なソフトウェアの過去の手馴れたコードパターンに
依存するので、そのような脅威を扱うには不十分である。そのような攻撃は、殆
ど無限の数のループホール及びオペレーティング・システムにおける脆弱性のた
めに、あまりに多くのプロセスが、ユーザーの知ることなしに表面下で起こると
いう事実によって、及び粗悪に立案されたアプリケーションによって、可能とさ
れる。これらのループホール及び脆弱性は例えば、以下を含む: 1．そのような試みがなされていることのユーザーへの如何なる警告もなしに
、ユーザーがネット上をサーフィンしている間に、外部からユーザーのコンピュ
ータへ接続しようとする試みの可能性。 2．如何なる警告もなしに及びユーザーの認可を求めることなしに、及びそれ
らのエグゼキュータブル又はスクリプトが何をしようと試みているかをチェック
することなしに（もし実行が許されるならば）、入ってくるEメール・メッセー
ジ又はウェブページからのマクロコマンド又はスクリプト又はアプレット又は他
の実行可能なアタッチメントを実行することの、ある種アプリケーションの了解
。 3．如何なる警告又はユーザーからの認可の要求なしに、外部へのネットワー
ク接続を開くアプリケーションの能力。 4．ユーザーへ警告すること及びユーザーからの認可を要求することなしに、
複数のファイルの削除又は妨害を行ない又はセンシティブなシステム領域に変化
を作り又は全ドライブをフォーマットするような、極端に危険なオペレーション
をなそうとするアプリケーションの能力。 5．あるコミュニケーション・アプリケーションにおける、ストリング・オー
バフロー又はバッファ・オーバフローに対するチェックの欠如。その結果、それ
らが、例えばオリジナル・プログラムのコードの部分を上書きし及びオリジナル
・コードに代えて実行を開始するところの邪悪なコードを含む大きなストリング
によって破壊され得る。 これらの脆弱性及びループホールが殆ど完全な及び基礎的なレベルで扱われな
い限り、及びインターネットは指数的割合でを成長し続け及び益々多くのビジネ
スがそれに依存するようになってきているので、そのような攻撃は近い将来、イ
ンターネットに接続されているコンピュータの非常に大きなパーセンテージへの
殆ど限りのない損害となるまで、増加し得る。
を引き起越した、“アイラブユー”ウイルス及びその派生物による直近攻撃がデ
モンストレーションするように、従来のアンチウイルス・プログラム及びそれら
の方法は、それらは、原則として前もって全ての種類の攻撃を防止しようと試み
るのではなく、知られた邪悪なソフトウェアの過去の手馴れたコードパターンに
依存するので、そのような脅威を扱うには不十分である。そのような攻撃は、殆
ど無限の数のループホール及びオペレーティング・システムにおける脆弱性のた
めに、あまりに多くのプロセスが、ユーザーの知ることなしに表面下で起こると
いう事実によって、及び粗悪に立案されたアプリケーションによって、可能とさ
れる。これらのループホール及び脆弱性は例えば、以下を含む: 1．そのような試みがなされていることのユーザーへの如何なる警告もなしに
、ユーザーがネット上をサーフィンしている間に、外部からユーザーのコンピュ
ータへ接続しようとする試みの可能性。 2．如何なる警告もなしに及びユーザーの認可を求めることなしに、及びそれ
らのエグゼキュータブル又はスクリプトが何をしようと試みているかをチェック
することなしに（もし実行が許されるならば）、入ってくるEメール・メッセー
ジ又はウェブページからのマクロコマンド又はスクリプト又はアプレット又は他
の実行可能なアタッチメントを実行することの、ある種アプリケーションの了解
。 3．如何なる警告又はユーザーからの認可の要求なしに、外部へのネットワー
ク接続を開くアプリケーションの能力。 4．ユーザーへ警告すること及びユーザーからの認可を要求することなしに、
複数のファイルの削除又は妨害を行ない又はセンシティブなシステム領域に変化
を作り又は全ドライブをフォーマットするような、極端に危険なオペレーション
をなそうとするアプリケーションの能力。 5．あるコミュニケーション・アプリケーションにおける、ストリング・オー
バフロー又はバッファ・オーバフローに対するチェックの欠如。その結果、それ
らが、例えばオリジナル・プログラムのコードの部分を上書きし及びオリジナル
・コードに代えて実行を開始するところの邪悪なコードを含む大きなストリング
によって破壊され得る。 これらの脆弱性及びループホールが殆ど完全な及び基礎的なレベルで扱われな
い限り、及びインターネットは指数的割合でを成長し続け及び益々多くのビジネ
スがそれに依存するようになってきているので、そのような攻撃は近い将来、イ
ンターネットに接続されているコンピュータの非常に大きなパーセンテージへの
殆ど限りのない損害となるまで、増加し得る。
【０００４】
パケットフィルタリングのような他の方法はまた、どのパケットを受け入る又
は受け入れないのルールは例えばあるサイト又はあるアプリケーションを信用す
ることに基づく主観的決定を含むことができるので、原則として制限される。し
かしながら、例えばエラー又は意図した詐欺により、何らかの理由により一旦セ
キュリティが破られると、敵意あるアプリケーションはコンピュータ又はサーバ
ー又は全ネットワークを乗っ取り及び無制限の損害を作り出すことができ（直接
的に又は更なる邪悪なアプリケーションへのドアを開けることによって）、検知
されたときには既に修復には遅すぎるだろう。例えば、（“アイラブユー”及び
その派生物及び同様なウイルスのような）Eメールを介して自己再送信可能なマ
クロ-ウイルスは、最良かつ最も信用している友人から到着することができる（
それら自身のコンピュータが犯された後に）。また、例えばFTPに対するSMTP等
のような、許されたタイプのプロトコルのフィルタリングは、所定のプロトコル
・タイプを暗号化又は変装して他のものとして見せるプログラムによって、無駄
となり得る。パケット・フィルタリングの他の主要な制限は、邪悪なアプリケー
ションは、他の何かのように見えるよう（例えばgifイメージとして見せるため
に）、データを暗号化及び／又はそれを変装することができるので、それは、パ
ケット内の盗まれたデータをスキャンするためには信頼され得ないということで
ある。
は受け入れないのルールは例えばあるサイト又はあるアプリケーションを信用す
ることに基づく主観的決定を含むことができるので、原則として制限される。し
かしながら、例えばエラー又は意図した詐欺により、何らかの理由により一旦セ
キュリティが破られると、敵意あるアプリケーションはコンピュータ又はサーバ
ー又は全ネットワークを乗っ取り及び無制限の損害を作り出すことができ（直接
的に又は更なる邪悪なアプリケーションへのドアを開けることによって）、検知
されたときには既に修復には遅すぎるだろう。例えば、（“アイラブユー”及び
その派生物及び同様なウイルスのような）Eメールを介して自己再送信可能なマ
クロ-ウイルスは、最良かつ最も信用している友人から到着することができる（
それら自身のコンピュータが犯された後に）。また、例えばFTPに対するSMTP等
のような、許されたタイプのプロトコルのフィルタリングは、所定のプロトコル
・タイプを暗号化又は変装して他のものとして見せるプログラムによって、無駄
となり得る。パケット・フィルタリングの他の主要な制限は、邪悪なアプリケー
ションは、他の何かのように見えるよう（例えばgifイメージとして見せるため
に）、データを暗号化及び／又はそれを変装することができるので、それは、パ
ケット内の盗まれたデータをスキャンするためには信頼され得ないということで
ある。
【０００５】
アンチウイルス及びファイアウォールはまた、例えばブラウザ又はEメールの
プログラム内の又はオペレーティング・システムそれ自身内のセキュリティ・ホ
ールに対して効果的でない。2001年1月24日のZDnetの記事によれば、決定的アプ
リケーション内のセキュリティ・ホールは非常に頻繁に発見されるので、まさに
全てのパッチについて行くのは非実際的である。また、例えばトロージャンホー
ス（Trojan horse）に対しての適当な共通的保護（前もってのそれについての知
識なしに、如何なる邪悪なプログラムも識別できる）なしでは、VPN（仮想プラ
イベート・ネットワーク）及びデジタルサインを含めて、データ暗号化の他の形
式でさえ、本当に安全ではない（情報暗号化の前又は下層で盗まれ得るので）。
プログラム内の又はオペレーティング・システムそれ自身内のセキュリティ・ホ
ールに対して効果的でない。2001年1月24日のZDnetの記事によれば、決定的アプ
リケーション内のセキュリティ・ホールは非常に頻繁に発見されるので、まさに
全てのパッチについて行くのは非実際的である。また、例えばトロージャンホー
ス（Trojan horse）に対しての適当な共通的保護（前もってのそれについての知
識なしに、如何なる邪悪なプログラムも識別できる）なしでは、VPN（仮想プラ
イベート・ネットワーク）及びデジタルサインを含めて、データ暗号化の他の形
式でさえ、本当に安全ではない（情報暗号化の前又は下層で盗まれ得るので）。
【０００６】
ある特にマークされたエグゼキュータブル又はアプリケーションのグループを
ある方法でモニタしようとする試みでさえ、本質的に制限される（セキュリティ
突破は多くの他の方向から来ることができるので）。例えば、トロージャン・ホ
ースは、システム内に、既に長い間潜伏することができ、それから急にすさまじ
い損害を作り出す（検出される前に）、又は新しいアプリケーションが何らかの
ソースからインストールされる何らかのときにシステムに入ることができる。
ある方法でモニタしようとする試みでさえ、本質的に制限される（セキュリティ
突破は多くの他の方向から来ることができるので）。例えば、トロージャン・ホ
ースは、システム内に、既に長い間潜伏することができ、それから急にすさまじ
い損害を作り出す（検出される前に）、又は新しいアプリケーションが何らかの
ソースからインストールされる何らかのときにシステムに入ることができる。
【０００７】
他方、例えばEメールのアタッチメントの如何なるスクリプトも全く実行を認
めないような試みは非常に多くの制限を作り出し、またユーザーが実行したいと
望むかもしれないような安全なスクリプトと実際に邪悪な動作をなそうとするス
クリプトとの間を分別しない。
めないような試みは非常に多くの制限を作り出し、またユーザーが実行したいと
望むかもしれないような安全なスクリプトと実際に邪悪な動作をなそうとするス
クリプトとの間を分別しない。
【０００８】
本発明は、上記記述した問題の原因の根本に深く入ろうと試みる、かつ従って
、我々の知る限りコンピュータに対する最も強力で、包括的で、一般的でかつ共
通的なセキュリティ・システムであるものを作り出すことによって、上記記述し
た問題を完全に除去しようと試みる、新規概念である。このシステム及び方法は
、（データの改竄、データの削除、関数への介入等を含み、情報を盗み及び／又
は損害をひきおこすかもしれない、全ての種類の邪悪なプログラムウイルス、バ
ンダル、トロージャンホース、ワーム、マクロウイルス及び邪悪なＥメールのよ
うな）に対して、コンピュータ（後の定義に説明するように、パーソナルコンピ
ュータ、サーバー及び、プログラムを実行することができる一つ又はそれ以上の
プロセッサを備えた他のデバイス又は小機器を含む）を保護する。本システム及
び方法は、好ましい実施例は、主に、最も共通かつ親しいオペレーティング・シ
ステムである、ウィンドウズ（登録商標）の専門用語系を使用するが、多くのオ
ペレーティング・システム（マイクロソフト・ウィンドウズ、リナックス、マッ
キントッシュ（登録商標）、又は他のオペレーティング・システムの種々のプラ
ットフォームのような）において、使われ得る。
、我々の知る限りコンピュータに対する最も強力で、包括的で、一般的でかつ共
通的なセキュリティ・システムであるものを作り出すことによって、上記記述し
た問題を完全に除去しようと試みる、新規概念である。このシステム及び方法は
、（データの改竄、データの削除、関数への介入等を含み、情報を盗み及び／又
は損害をひきおこすかもしれない、全ての種類の邪悪なプログラムウイルス、バ
ンダル、トロージャンホース、ワーム、マクロウイルス及び邪悪なＥメールのよ
うな）に対して、コンピュータ（後の定義に説明するように、パーソナルコンピ
ュータ、サーバー及び、プログラムを実行することができる一つ又はそれ以上の
プロセッサを備えた他のデバイス又は小機器を含む）を保護する。本システム及
び方法は、好ましい実施例は、主に、最も共通かつ親しいオペレーティング・シ
ステムである、ウィンドウズ（登録商標）の専門用語系を使用するが、多くのオ
ペレーティング・システム（マイクロソフト・ウィンドウズ、リナックス、マッ
キントッシュ（登録商標）、又は他のオペレーティング・システムの種々のプラ
ットフォームのような）において、使われ得る。
【０００９】
この保護システムの最も重要な原則及びオブジェクトは、好ましくは以下のも
のを含む: 1．彼の知ることなく通常起こるプロセスについてのより多くの情報、をユー
ザーに与え、従って邪悪なソフトウェアがユーザーを騙すことができるチャンス
を大幅に減少する。 2．本システムが疑がわしい及び／又は有害な及び／又は潜在的に危険な活動
を実行又は実行しようと試みているかもしれない又は通常のようには振舞ってい
ないかもしれないプログラムを即時に識別（identify）し及び途中停止（interc
ept）することができるように、ソフトウェアの妥当な活動のルールの包括的で
しかし慎重なセットを定める。 3．コンピュータ内の未認可及び／又は疑がわしい全ての活動をモニタし及び
途中停止し及び恐らくは記録し、及び要求されたとき、認可（authorization）
又はガイダンスを求める。 4．上記記載された原則は、セキュリティ脅威に対する複数の予防手段を許す
ので、その結果、邪悪なアプリケーションは通常、データを盗みデータを破損し
又は自分自身を増殖するようなことをするために複数のセキュリティルールを突
破しなければならず、従ってそれらをキャッチするチャンスはずっと大きい。 5．ユーザーがあるアプリケーションに他のアプリケーションを開始すること
を許すとしても、新しく開始された1つ又は複数のアプリケーションは、更に再
び如何なる他のアプリケーションとも同一の全てのモニタリング及びルールに従
う。その結果、セキュリティ・ルール違反のスキャンニングが全て段階で適用さ
れつづける。 6．コミュニケーション・チャンネルを通じてデータを盗み及び送信を試みる
邪悪なプログラムによる暗号化の可能性は、情報の流れそれ自身をモニタするこ
とによって、データが盗まれていないことを確信することを不可能にするので、
従って本システムは、どのアプリケーションがどのデータにアクセスできるか、
どのアプリケーションがどのコミュニケーション・チャンネルにアクセスするこ
とを認可されるか、及びどれだけの量のデータが実際に送られるかについての最
大コントロールを、ユーザーに許すことに、主に依存する。
のを含む: 1．彼の知ることなく通常起こるプロセスについてのより多くの情報、をユー
ザーに与え、従って邪悪なソフトウェアがユーザーを騙すことができるチャンス
を大幅に減少する。 2．本システムが疑がわしい及び／又は有害な及び／又は潜在的に危険な活動
を実行又は実行しようと試みているかもしれない又は通常のようには振舞ってい
ないかもしれないプログラムを即時に識別（identify）し及び途中停止（interc
ept）することができるように、ソフトウェアの妥当な活動のルールの包括的で
しかし慎重なセットを定める。 3．コンピュータ内の未認可及び／又は疑がわしい全ての活動をモニタし及び
途中停止し及び恐らくは記録し、及び要求されたとき、認可（authorization）
又はガイダンスを求める。 4．上記記載された原則は、セキュリティ脅威に対する複数の予防手段を許す
ので、その結果、邪悪なアプリケーションは通常、データを盗みデータを破損し
又は自分自身を増殖するようなことをするために複数のセキュリティルールを突
破しなければならず、従ってそれらをキャッチするチャンスはずっと大きい。 5．ユーザーがあるアプリケーションに他のアプリケーションを開始すること
を許すとしても、新しく開始された1つ又は複数のアプリケーションは、更に再
び如何なる他のアプリケーションとも同一の全てのモニタリング及びルールに従
う。その結果、セキュリティ・ルール違反のスキャンニングが全て段階で適用さ
れつづける。 6．コミュニケーション・チャンネルを通じてデータを盗み及び送信を試みる
邪悪なプログラムによる暗号化の可能性は、情報の流れそれ自身をモニタするこ
とによって、データが盗まれていないことを確信することを不可能にするので、
従って本システムは、どのアプリケーションがどのデータにアクセスできるか、
どのアプリケーションがどのコミュニケーション・チャンネルにアクセスするこ
とを認可されるか、及びどれだけの量のデータが実際に送られるかについての最
大コントロールを、ユーザーに許すことに、主に依存する。
【００１０】
上記保護システムは、好ましくは、次に述べる主なエレメントからなる:
1．コンピュータ・システムのセキュリティに敏感なエレメント、及び最も重要
なことには全ての適切な周辺デバイス活動、及び特に保存（storage）デバイス
（及び特にハードディスク又は複数のハードディスク）及びコミュニケーション
・デバイス（ネットワークカード、モデム、等）に関連したそれらのものを常に
モニタし及び如何なる疑がわしい又は危険な活動も即時に検出（detect）し及び
途中停止（intercept）することができる、モニタリング及び捕獲（capturing）
システム。 2．セキュリティ・ルールと、及びデフォルトのルール、選択されたオペレー
ティング・システムの大部分のユーザーにとって好ましい既配布の獲得されたル
ールのセット、獲得された追加的なユーザー定義のルール及びシステムの操作の
間に継続的に習得されたプログラムの正常な又はリーズナブルな活動の統計を保
存するためのデータベース（又は複数のデータベース）。このデータベース領域
は、セキュリティ・システムがユーザーに尋ねた、全ての認可（authorization
）及び選択的に（好ましくは）全ての質問のログ及び彼の回答（少なくとも一定
期間の間保持される）、及び必要とされるとき、また検出された疑がわしい活動
のログ（少なくとも一定期間の間保持される）もまた含み、及びまた定義可能な
付加的なログも含むことができる。データベースは、好ましくは暗号化され及び
、常にモニタされる高度にセキュリティ保護され及び好ましくはバックアップさ
れる領域と解釈される（後の詳細な説明に定義されるように）。 3．受入れられる活動パターンを学ぶために、ユーザーと相互作用し、必要と
されるとき、知覚された危険をユーザーに警告し、及び必要とされるとき、ユー
ザーの認可を求める、ユーザーインタフェース。好ましくはそれはまた、重要な
プログラム又はプログラムのグループ及び特にコミュニケーション・チャンネル
にアクセスすることが許されるプログラム（現在のインターネット・セッション
の開始以来又はある時間間隔の間のような、特に、コミュニケーション・ライン
を経てデータ送ったり及び受け取ったりすることと関連しているものにおいて）
の活動の統計を見ることをユーザーに許す。好ましくは、これはまた何のプロト
コルが使われた等のような情報を含むことができる。ユーザーはまた、直接的に
認可（authorization）のデータベースを見たり又は修正したりしてもよい。
なことには全ての適切な周辺デバイス活動、及び特に保存（storage）デバイス
（及び特にハードディスク又は複数のハードディスク）及びコミュニケーション
・デバイス（ネットワークカード、モデム、等）に関連したそれらのものを常に
モニタし及び如何なる疑がわしい又は危険な活動も即時に検出（detect）し及び
途中停止（intercept）することができる、モニタリング及び捕獲（capturing）
システム。 2．セキュリティ・ルールと、及びデフォルトのルール、選択されたオペレー
ティング・システムの大部分のユーザーにとって好ましい既配布の獲得されたル
ールのセット、獲得された追加的なユーザー定義のルール及びシステムの操作の
間に継続的に習得されたプログラムの正常な又はリーズナブルな活動の統計を保
存するためのデータベース（又は複数のデータベース）。このデータベース領域
は、セキュリティ・システムがユーザーに尋ねた、全ての認可（authorization
）及び選択的に（好ましくは）全ての質問のログ及び彼の回答（少なくとも一定
期間の間保持される）、及び必要とされるとき、また検出された疑がわしい活動
のログ（少なくとも一定期間の間保持される）もまた含み、及びまた定義可能な
付加的なログも含むことができる。データベースは、好ましくは暗号化され及び
、常にモニタされる高度にセキュリティ保護され及び好ましくはバックアップさ
れる領域と解釈される（後の詳細な説明に定義されるように）。 3．受入れられる活動パターンを学ぶために、ユーザーと相互作用し、必要と
されるとき、知覚された危険をユーザーに警告し、及び必要とされるとき、ユー
ザーの認可を求める、ユーザーインタフェース。好ましくはそれはまた、重要な
プログラム又はプログラムのグループ及び特にコミュニケーション・チャンネル
にアクセスすることが許されるプログラム（現在のインターネット・セッション
の開始以来又はある時間間隔の間のような、特に、コミュニケーション・ライン
を経てデータ送ったり及び受け取ったりすることと関連しているものにおいて）
の活動の統計を見ることをユーザーに許す。好ましくは、これはまた何のプロト
コルが使われた等のような情報を含むことができる。ユーザーはまた、直接的に
認可（authorization）のデータベースを見たり又は修正したりしてもよい。
【００１１】
セキュリティ・システムによってなされる主な機能:
妥当なに対する疑がわしい活動を定義するルールの後ろにある主なロジックは
、如何なるデータをも盗み又は如何なる損害をもなし又は自分自身を増殖するこ
とができるために邪悪なプログラムによって要求される全てのエレメント及び活
動を、可能な限り防止することである。セキュリティ・システムは、自動的に殆
どのユーザーに対して適している疑がわしい又は潜在的に危険な活動を定義する
ために、施行錯誤的及び基礎的ルールを使う。一般的なデフォルト・ルールを使
い及びそれらに通常のシステム及びアプリケーションの行動の統計的分析及び認
可要求に対するユーザーの応答から学習されたものを追加することによって、セ
キュリティ・システムは、迅速に、ユーザーのパーソナル・コンピュータ又はサ
ーバー上におけるプログラムのリーズナブルな又はよくなされた行動と解釈され
るものを学ぶ。好ましくは、学習のいくつかは、それそれのオペレーティング・
システムに対して前もってなされ、配布データベース内に含まれる。その結果、
ユーザーによってインストールされたシステムはそのオペレーティング・システ
ムの殆どユーザーにとってデフォルトとして適切な種々のルールを既に学んでい
る。セキュリティ・ルール及びセキュリティ・システムによってなされる機能は
好ましくは以下のものを含む: a．全ての適切な周辺（peripheral）デバイス活動を含めてコンピュータ・シ
ステムのセキュリティに敏感（security-sensitive）なエレメント、及び特に保
存デバイス（storage device）及びコミュニケーション・デバイスを常にモニタ
し、及び如何なる疑がわしい又は危険な活動も検出し及び選択的に途中停止し及
びセキュリティ・ルールのデフォルト及び取得されたセットに従ってそれに作用
（act upon）すること。 b．後の詳細な説明に定められるように、それらの自然な環境へのプログラム
のデフォルト分断（segregation）。 c．セキュリティに敏感な活動及び特にコミュニケーション・チャンネルへア
クセスしようとする如何なる最初の試みに対してもユーザーへの警告及び認可の
要求。 d．後の詳細な説明に定められるように、好ましくは保存メディア上のより高
いセキュリティ領域として種々のルールセットにおいて定義された領域の常時の
及びより厳しいモニタリング及び保護。 e．潜在的に高度に危険な活動の途中停止（interception）及びユーザーへの
より明示的な警告。 f．アプリケーション及びオペレーティング・システム及び特に急に大量のデ
ータを送信することに関連しているものの正常な活動からの重要な統計的逸脱に
ついてのユーザーへの警告. g．ユーザーが自動的即時途中停止（automatic immediate interception）を
要求することを許すこと及び／又は、コミュニケーション・チャンネルを通じて
ユーザーのコンピュータに接続しようとするネットワーク由来の外部プログラム
の如何なる試みもユーザーに警告すること。 h．開かれることが許されるコミュニケーション・ポート上の一般的制限及び
また許されるプロトコルのタイプについてのオプショナルな制限の実施をユーザ
ーが要求することを好ましくは許すこと。 i．セキュリティに敏感なデバイス及び特に保存メディア及びコミュニケーシ
ョン・チャンネルへの直接ポートアクセス（direct port access）を得るための
アプリケーションの全ての試みを、可能な限りモニタリングし及び途中停止する
こと。
、如何なるデータをも盗み又は如何なる損害をもなし又は自分自身を増殖するこ
とができるために邪悪なプログラムによって要求される全てのエレメント及び活
動を、可能な限り防止することである。セキュリティ・システムは、自動的に殆
どのユーザーに対して適している疑がわしい又は潜在的に危険な活動を定義する
ために、施行錯誤的及び基礎的ルールを使う。一般的なデフォルト・ルールを使
い及びそれらに通常のシステム及びアプリケーションの行動の統計的分析及び認
可要求に対するユーザーの応答から学習されたものを追加することによって、セ
キュリティ・システムは、迅速に、ユーザーのパーソナル・コンピュータ又はサ
ーバー上におけるプログラムのリーズナブルな又はよくなされた行動と解釈され
るものを学ぶ。好ましくは、学習のいくつかは、それそれのオペレーティング・
システムに対して前もってなされ、配布データベース内に含まれる。その結果、
ユーザーによってインストールされたシステムはそのオペレーティング・システ
ムの殆どユーザーにとってデフォルトとして適切な種々のルールを既に学んでい
る。セキュリティ・ルール及びセキュリティ・システムによってなされる機能は
好ましくは以下のものを含む: a．全ての適切な周辺（peripheral）デバイス活動を含めてコンピュータ・シ
ステムのセキュリティに敏感（security-sensitive）なエレメント、及び特に保
存デバイス（storage device）及びコミュニケーション・デバイスを常にモニタ
し、及び如何なる疑がわしい又は危険な活動も検出し及び選択的に途中停止し及
びセキュリティ・ルールのデフォルト及び取得されたセットに従ってそれに作用
（act upon）すること。 b．後の詳細な説明に定められるように、それらの自然な環境へのプログラム
のデフォルト分断（segregation）。 c．セキュリティに敏感な活動及び特にコミュニケーション・チャンネルへア
クセスしようとする如何なる最初の試みに対してもユーザーへの警告及び認可の
要求。 d．後の詳細な説明に定められるように、好ましくは保存メディア上のより高
いセキュリティ領域として種々のルールセットにおいて定義された領域の常時の
及びより厳しいモニタリング及び保護。 e．潜在的に高度に危険な活動の途中停止（interception）及びユーザーへの
より明示的な警告。 f．アプリケーション及びオペレーティング・システム及び特に急に大量のデ
ータを送信することに関連しているものの正常な活動からの重要な統計的逸脱に
ついてのユーザーへの警告. g．ユーザーが自動的即時途中停止（automatic immediate interception）を
要求することを許すこと及び／又は、コミュニケーション・チャンネルを通じて
ユーザーのコンピュータに接続しようとするネットワーク由来の外部プログラム
の如何なる試みもユーザーに警告すること。 h．開かれることが許されるコミュニケーション・ポート上の一般的制限及び
また許されるプロトコルのタイプについてのオプショナルな制限の実施をユーザ
ーが要求することを好ましくは許すこと。 i．セキュリティに敏感なデバイス及び特に保存メディア及びコミュニケーシ
ョン・チャンネルへの直接ポートアクセス（direct port access）を得るための
アプリケーションの全ての試みを、可能な限りモニタリングし及び途中停止する
こと。
【００１２】
従って、本発明は、従来技術に対して以下の主な利益を提供する:
1．これは、それらが完全に新しい及び前に遭遇した他のバンダル（vandal）
に似ていないときでさえ、ウイルス、トロージャンホース、ワーム（worm）、E
メールマクロウイルス及び他のバンダルの全ての種類及びバリエーションの共通
的検出及び途中停止を可能にする。従って、それはまた、損害が既に数千万のコ
ンピュータになされた後治療を待つことに代えて、最初の突然の攻撃を検出及び
途中停止することができる。 2．これは、通常のアンチ・ウイルス・システムと異なり、ウイルス・ナレッ
ジ（knowledge）ベースの一定の更新に依存しない。 3．これは、パケット・フィルタリングのような本質的に制限された方法に依
存しない。 4．これは、種々の脅威に対して複数の予防手段を提供し、その結果、邪悪な
プログラムは典型的に複数のセキュリティ・ルールを突破しなければならず、及
び従って捕獲されるずっと高いチャンスを有している。それは、ユーザーにシス
テム内で起こっていることのより多くの知識を与え、及び従ってユーザーが邪悪
なアプリケーションに騙されるチャンスを非常に顕著に減少する。 5．これは、他の解決策よりずっと包括的であり、及び最終的にオペレーティ
ング・システムそれ自身内に存在するかもしれないバックドアを掴み及び途中停
止することさえできる。また、それは、監視のためにアプリケーションの制限さ
れたグループをマークすることに依存しない。その結果、それらが、どのような
方法によってシステムに導入されたとしても（セキュリティ・システムがインス
トールされる前からでさえそこにあった場合を含めて）、全てアプリケーション
はチェックされる。 6．それは、性質上、大変に倹約的であり、その結果、これは、種々のブラウ
ザ又はEメール・プログラムのような特定プログラムの正確な性質についての特
定の知識を必要とせず、及び従ってまたユーザーがインターネット・アプリケー
ションの新しいバージョン又は種類をダウンロードするとき、更新が必要とされ
ない。 7．たとえそれらがウイルス又はワームのような行動を全く示さなくても、（
例えば、たとえそれがそれ自身を広げ又はシステム領域を修正しようとする如何
なる試みも示さなくても、スクリーンセーバーがデータを盗み始め及びこれをコ
ミュニケーション・ラインを通じて送り出そうとするならば、）プログラムの邪
悪な活動は、検出され及び途中停止されうる。 8．オンライン銀行のような、がっちりした暗号化ポリシーによって保護され
たシステムでさえ、例えばサブセブン・トロージャン（Subseven Trojan）のよ
うな、邪悪なソフトウェアは、システムにおいて種々のレベルで進行している全
てのことについての情報を外部へ送ることによって、暗号化を無意味にすること
ができるので、我々のセキュリティ・システムなしでは、本当に安全ではない。
に似ていないときでさえ、ウイルス、トロージャンホース、ワーム（worm）、E
メールマクロウイルス及び他のバンダルの全ての種類及びバリエーションの共通
的検出及び途中停止を可能にする。従って、それはまた、損害が既に数千万のコ
ンピュータになされた後治療を待つことに代えて、最初の突然の攻撃を検出及び
途中停止することができる。 2．これは、通常のアンチ・ウイルス・システムと異なり、ウイルス・ナレッ
ジ（knowledge）ベースの一定の更新に依存しない。 3．これは、パケット・フィルタリングのような本質的に制限された方法に依
存しない。 4．これは、種々の脅威に対して複数の予防手段を提供し、その結果、邪悪な
プログラムは典型的に複数のセキュリティ・ルールを突破しなければならず、及
び従って捕獲されるずっと高いチャンスを有している。それは、ユーザーにシス
テム内で起こっていることのより多くの知識を与え、及び従ってユーザーが邪悪
なアプリケーションに騙されるチャンスを非常に顕著に減少する。 5．これは、他の解決策よりずっと包括的であり、及び最終的にオペレーティ
ング・システムそれ自身内に存在するかもしれないバックドアを掴み及び途中停
止することさえできる。また、それは、監視のためにアプリケーションの制限さ
れたグループをマークすることに依存しない。その結果、それらが、どのような
方法によってシステムに導入されたとしても（セキュリティ・システムがインス
トールされる前からでさえそこにあった場合を含めて）、全てアプリケーション
はチェックされる。 6．それは、性質上、大変に倹約的であり、その結果、これは、種々のブラウ
ザ又はEメール・プログラムのような特定プログラムの正確な性質についての特
定の知識を必要とせず、及び従ってまたユーザーがインターネット・アプリケー
ションの新しいバージョン又は種類をダウンロードするとき、更新が必要とされ
ない。 7．たとえそれらがウイルス又はワームのような行動を全く示さなくても、（
例えば、たとえそれがそれ自身を広げ又はシステム領域を修正しようとする如何
なる試みも示さなくても、スクリーンセーバーがデータを盗み始め及びこれをコ
ミュニケーション・ラインを通じて送り出そうとするならば、）プログラムの邪
悪な活動は、検出され及び途中停止されうる。 8．オンライン銀行のような、がっちりした暗号化ポリシーによって保護され
たシステムでさえ、例えばサブセブン・トロージャン（Subseven Trojan）のよ
うな、邪悪なソフトウェアは、システムにおいて種々のレベルで進行している全
てのことについての情報を外部へ送ることによって、暗号化を無意味にすること
ができるので、我々のセキュリティ・システムなしでは、本当に安全ではない。
【００１３】
理解の単純化のために多数回、我々は、（パーソナル・コンピュータにとって
最も共通的なオペレーティング・システムである）マイクロソフト・ウィンドウ
ズ環境内で最も共通に使われる用語を使用する。従ってリナックス又はマッキン
トッシュのような他のオパレーション・システムにおいて、これらの幾つかは、
原則は同じであるが、違った名前、やや違った実施等を持っているかもしれない
ということを、心に留められるべきである。 本明細書及び請求項を通じて、以下の用語は以下に示された意味を持つ: "プログラム”、“エグゼキュータブル”又は“アプリケーション”は、．exe
又は．comファイル、バッチファイル、種々のマクロファイル、等のような、実
行可能なコマンドを含んでいるメモリ内の何らかのファイル又は領域である。 "マクロ”は、通常スクリプト言語（scripting language）で書かれ及びマイ
クロソフトのアウト・ルック又はワードのような複雑な（complex）アプリケー
ションによって実行されるエグゼキュータブルである。 "DLL"はダイナミック・リンク・ライブラリである。この用語は、例えばウィ
ンドウズ・オペレーティング・システムの全てのバージョンにおいて、共通であ
る。他のオペレーティング・システムにおいてこれは違う名前を持っているかも
しれないが原則は同じである。一般にそれは、ラン・タイム（run time）の間、
エグゼキュータブルから呼ばれ、ロードされ及びそれらにリンクされ得る、ワン
セットのルーチンに対する用語である。 "デバイス・ドライバ”又は“ドライバ”は、オペレーティング・システムが
、ハードディスク・コントローラ（hard disk controller）、ネットワーク・カ
ード又はディスプレイ・カードのようなコンピュータに取付けられた一つ又はそ
れ以上の特定ハードウェア・デバイスとコミュニケートすることを許す、ソフト
ウェア・コンポーネントである。 "OS"又は“オペレーティング・システム”は、メモリ、中央処理装置タイム（
CPU time）、ディスク・スペース（disk space）、及び周辺ハードウェア・デバ
イスのような、コンピュータ・ハードウェア・リソースの割り当て及び使用法を
コントロールする任を負っているソフトウェアである。 "IRQ"又は“割込み要求ライン（interrupt request line）”は、インプット
／アウトプット・ポート、キーボード、又はディスク・ドライブのようなハード
ウェア・デバイスが、それを通じて、割込み要求を中央処理装置（CPU）に送る
ことができる、ハードウェア・ラインである。割込み要求ラインは、コンピュー
タの内部ハードウェア（internal hardware）に形成されており及びCPUがやって
来るサービス要求のソース及び相対的重要性を決定できるように、種々のレベル
の優先権が割り当てられる。 このテキストを通して使われる“1つのユーザー”又は“複数のユーザー”は
常に、相互交換可能に、1つのユーザー又は複数のユーザーを意味する。1つのユ
ーザー又は複数のユーザーは例えば、1つ又は複数のコンピュータの個人ユーザ
ー又は複数のコンピュータを使う会社又は組織であり得る。従って、好ましくは
種々のタイプの認可（authorization）が、例えばコンピュータの個人ユーザー
によって、又は例えば会社のセキュリティ・アドミニストレータによって、又は
これらの種々の組合せによって、与えられる。例えばある会社が、決定的問題に
ついての全ての権限をシステム・アドミニストレータに与えたいかもしれない。
一方、他の会社は、複数の従業員又はある複数の従業員にずっと多くの直接的な
コントロールを持たせたいかもしれない。 このテキストを通して使われる“ユーザー認可（user authorization）”は、
またもちろん、付加的なガイダンス及びオプション（additional guidance and
options）を含むことができる。 このテキストを通して使われる“1つのデータベース”又は“複数のデータベ
ース”は、常に相互交換可能に1つのデータベース又は複数のデータベースを意
味する。 このテキストを通して使われる“ネットワーク”は常に、1つのネットワーク
又は複数のネットワークのいずれかとして相互交換可能であり及び、コンピュー
タ（定義される）からの1つ又は複数のコンピュータ又は他の何らかのコンパチ
ブル（compatible）なコミュニケーション・デバイスへの何らかの方法による接
続を表す。 "ファイル”は、1つ又は複数のディスク上の1つ又は複数の領域であり、及び
名前、ディレクトリ等で表わされることができ及び他のパラメーターを持つこと
ができる、FAT内の定義を持つことができる。 "レジストリー”は、オペレーティング・システム及び他のプログラム設定を
含むことができる1つ又は複数のファイルであリ、及び主にオペレーティング・
システムによって管理される。 "コンピュータ”は、パーソナルコンピュータ又はワークステーション又はサ
ーバー、又は1つ又は複数のプロセッサ又は中央処理装置（CPU）を備えた単純計
算機能より以上の能力がある如何なる自動化されたデバイス又は小機器をも参照
する（refer to）ことができる。これは、例えばまたセルラー電話機及びパーム
・パイロットのようなポータブル・コンピューティング・デバイスも含む。これ
はまた、例えば、車におけるコンピュータも含む。これは、車がより自動化され
又は自動運転さえ可能になってきている中、ハッカーが、例えばインターネット
又は衛星接続によって、それらに損害を与えることができるならば、それは生命
に危険を及ぼす誤動作を引き起こすかもしれないので、大変重要になってきてい
るかもしれない。他の例は、衛星（satellites）におけるコンピュータ（この場
合、必要とされるとき、ユーザー認可は好ましくは、遠くからユーザー・リモー
ト証明（user remote verification）と共に暗号化されたコミュニケーションに
よって要求されるべきである）、飛行機における繊細なコンピュータ・システム
等であり得る。従って、我々は通常、PC及びウィンドウズの視点から例を与える
が、同様の原則は、パーム・デバイス、セルラー電話機、及びコンピュータ化デ
バイスの他のタイプにもまた適用される。また、このテキストを通して使われて
いる“1つのコンピュータ”又は“複数のコンピュータ”は常に、相互交換可能
に1つのコンピュータ又は複数のコンピュータを意味する。従って、“1つのコン
ピュータ”又は“複数のコンピュータ”の単語が、請求項を含めて、この特許の
テキストを通して使われるときにはいつでも、それは、上記定義されたデバイス
の如何なるものも意味することができる。 "サーバー”は、ネットワークを通してクライアントにデータ及びサービスを
供給するソフトウェアを実行している、ネットワーク上のコンピュータである。
サーバーの用語は、また、同様にクライアントに情報を送り、及びクライアント
プロセスと同じコンピュータ上に又は同じアプリケーション内にでさえ現れる、
オートメーション・サーバーのようなソフトウェアプロセスに適用できる。 "カーネル”は、ハードウェア・リソースへのアクセスを管理及び制御する、
オペレーティング・システムの部分である。これは例えば以下のものをなす:ス
レッド・スケジューリング（thread scheduling）及びディスパッチング（dispa
tching）、割込み（interrupt）及び例外ハンドリング（exception handling）
、及びマルチプロセッサ・シンクロナイゼーション（multiprocessor synchroni
zation）。 "DMA"は直接メモリアクセス（Direct Memory Access）である。 このテキストを通して使われる“イメージ・ロード”は、実行のためにロード
されている又はアンロード／終了されている、実行可能なコード（executable c
ode）を参照する。 このテキストを通して使われる“フックされた機能”は、コールするコードと
コールされる関数との間に置かれる実行可能なフィルタリング・コードを参照し
、及び従って、フックされている関数をモニタ及び／又は途中停止及び／又は再
定義する能力を持っている。
最も共通的なオペレーティング・システムである）マイクロソフト・ウィンドウ
ズ環境内で最も共通に使われる用語を使用する。従ってリナックス又はマッキン
トッシュのような他のオパレーション・システムにおいて、これらの幾つかは、
原則は同じであるが、違った名前、やや違った実施等を持っているかもしれない
ということを、心に留められるべきである。 本明細書及び請求項を通じて、以下の用語は以下に示された意味を持つ: "プログラム”、“エグゼキュータブル”又は“アプリケーション”は、．exe
又は．comファイル、バッチファイル、種々のマクロファイル、等のような、実
行可能なコマンドを含んでいるメモリ内の何らかのファイル又は領域である。 "マクロ”は、通常スクリプト言語（scripting language）で書かれ及びマイ
クロソフトのアウト・ルック又はワードのような複雑な（complex）アプリケー
ションによって実行されるエグゼキュータブルである。 "DLL"はダイナミック・リンク・ライブラリである。この用語は、例えばウィ
ンドウズ・オペレーティング・システムの全てのバージョンにおいて、共通であ
る。他のオペレーティング・システムにおいてこれは違う名前を持っているかも
しれないが原則は同じである。一般にそれは、ラン・タイム（run time）の間、
エグゼキュータブルから呼ばれ、ロードされ及びそれらにリンクされ得る、ワン
セットのルーチンに対する用語である。 "デバイス・ドライバ”又は“ドライバ”は、オペレーティング・システムが
、ハードディスク・コントローラ（hard disk controller）、ネットワーク・カ
ード又はディスプレイ・カードのようなコンピュータに取付けられた一つ又はそ
れ以上の特定ハードウェア・デバイスとコミュニケートすることを許す、ソフト
ウェア・コンポーネントである。 "OS"又は“オペレーティング・システム”は、メモリ、中央処理装置タイム（
CPU time）、ディスク・スペース（disk space）、及び周辺ハードウェア・デバ
イスのような、コンピュータ・ハードウェア・リソースの割り当て及び使用法を
コントロールする任を負っているソフトウェアである。 "IRQ"又は“割込み要求ライン（interrupt request line）”は、インプット
／アウトプット・ポート、キーボード、又はディスク・ドライブのようなハード
ウェア・デバイスが、それを通じて、割込み要求を中央処理装置（CPU）に送る
ことができる、ハードウェア・ラインである。割込み要求ラインは、コンピュー
タの内部ハードウェア（internal hardware）に形成されており及びCPUがやって
来るサービス要求のソース及び相対的重要性を決定できるように、種々のレベル
の優先権が割り当てられる。 このテキストを通して使われる“1つのユーザー”又は“複数のユーザー”は
常に、相互交換可能に、1つのユーザー又は複数のユーザーを意味する。1つのユ
ーザー又は複数のユーザーは例えば、1つ又は複数のコンピュータの個人ユーザ
ー又は複数のコンピュータを使う会社又は組織であり得る。従って、好ましくは
種々のタイプの認可（authorization）が、例えばコンピュータの個人ユーザー
によって、又は例えば会社のセキュリティ・アドミニストレータによって、又は
これらの種々の組合せによって、与えられる。例えばある会社が、決定的問題に
ついての全ての権限をシステム・アドミニストレータに与えたいかもしれない。
一方、他の会社は、複数の従業員又はある複数の従業員にずっと多くの直接的な
コントロールを持たせたいかもしれない。 このテキストを通して使われる“ユーザー認可（user authorization）”は、
またもちろん、付加的なガイダンス及びオプション（additional guidance and
options）を含むことができる。 このテキストを通して使われる“1つのデータベース”又は“複数のデータベ
ース”は、常に相互交換可能に1つのデータベース又は複数のデータベースを意
味する。 このテキストを通して使われる“ネットワーク”は常に、1つのネットワーク
又は複数のネットワークのいずれかとして相互交換可能であり及び、コンピュー
タ（定義される）からの1つ又は複数のコンピュータ又は他の何らかのコンパチ
ブル（compatible）なコミュニケーション・デバイスへの何らかの方法による接
続を表す。 "ファイル”は、1つ又は複数のディスク上の1つ又は複数の領域であり、及び
名前、ディレクトリ等で表わされることができ及び他のパラメーターを持つこと
ができる、FAT内の定義を持つことができる。 "レジストリー”は、オペレーティング・システム及び他のプログラム設定を
含むことができる1つ又は複数のファイルであリ、及び主にオペレーティング・
システムによって管理される。 "コンピュータ”は、パーソナルコンピュータ又はワークステーション又はサ
ーバー、又は1つ又は複数のプロセッサ又は中央処理装置（CPU）を備えた単純計
算機能より以上の能力がある如何なる自動化されたデバイス又は小機器をも参照
する（refer to）ことができる。これは、例えばまたセルラー電話機及びパーム
・パイロットのようなポータブル・コンピューティング・デバイスも含む。これ
はまた、例えば、車におけるコンピュータも含む。これは、車がより自動化され
又は自動運転さえ可能になってきている中、ハッカーが、例えばインターネット
又は衛星接続によって、それらに損害を与えることができるならば、それは生命
に危険を及ぼす誤動作を引き起こすかもしれないので、大変重要になってきてい
るかもしれない。他の例は、衛星（satellites）におけるコンピュータ（この場
合、必要とされるとき、ユーザー認可は好ましくは、遠くからユーザー・リモー
ト証明（user remote verification）と共に暗号化されたコミュニケーションに
よって要求されるべきである）、飛行機における繊細なコンピュータ・システム
等であり得る。従って、我々は通常、PC及びウィンドウズの視点から例を与える
が、同様の原則は、パーム・デバイス、セルラー電話機、及びコンピュータ化デ
バイスの他のタイプにもまた適用される。また、このテキストを通して使われて
いる“1つのコンピュータ”又は“複数のコンピュータ”は常に、相互交換可能
に1つのコンピュータ又は複数のコンピュータを意味する。従って、“1つのコン
ピュータ”又は“複数のコンピュータ”の単語が、請求項を含めて、この特許の
テキストを通して使われるときにはいつでも、それは、上記定義されたデバイス
の如何なるものも意味することができる。 "サーバー”は、ネットワークを通してクライアントにデータ及びサービスを
供給するソフトウェアを実行している、ネットワーク上のコンピュータである。
サーバーの用語は、また、同様にクライアントに情報を送り、及びクライアント
プロセスと同じコンピュータ上に又は同じアプリケーション内にでさえ現れる、
オートメーション・サーバーのようなソフトウェアプロセスに適用できる。 "カーネル”は、ハードウェア・リソースへのアクセスを管理及び制御する、
オペレーティング・システムの部分である。これは例えば以下のものをなす:ス
レッド・スケジューリング（thread scheduling）及びディスパッチング（dispa
tching）、割込み（interrupt）及び例外ハンドリング（exception handling）
、及びマルチプロセッサ・シンクロナイゼーション（multiprocessor synchroni
zation）。 "DMA"は直接メモリアクセス（Direct Memory Access）である。 このテキストを通して使われる“イメージ・ロード”は、実行のためにロード
されている又はアンロード／終了されている、実行可能なコード（executable c
ode）を参照する。 このテキストを通して使われる“フックされた機能”は、コールするコードと
コールされる関数との間に置かれる実行可能なフィルタリング・コードを参照し
、及び従って、フックされている関数をモニタ及び／又は途中停止及び／又は再
定義する能力を持っている。
【００１４】
［図面の簡単な説明］
図1は、フックされた周辺デバイスドライバのいくつか、特に保存デバイス（s
torage device）及びネットワーク・デバイスに関連したそれら、と共に、コン
ピュータのオペレーティング・システムの典型的構造内でのセキュリティ・シス
テムの好ましい主なエレメント、及び上記典型的構造においてセキュリティ・シ
ステムの種々の部分が結合される及び相互作用する好ましい位置及び方法を示す
。 図1bは、より詳細に、ユーザー・インタフェースに重きを置いた、セキュリテ
ィ・システム部分間の相互作用の好ましい方法、及び許可を与えること（permis
sion granting）の好ましいプロセスを示す。 図2は、アプリケーションによってなされるかもしれないコンピュータのオペ
レーティング・システムのファイル関係のフックされる関数（function）を、モ
ニタ及び捕獲システム（monitoring and capturing system）が、相互作用（int
eract）し、モニタし、チェックし及び認可する好ましい方法のフロー図を、よ
り詳細に示す。 図3は、アプリケーションによってなされるかもしれない、コンピュータのオ
ペレーティング・システムのネットワーク関係のフックされる関数（function）
を、モニタ及び捕獲システム（monitoring and capturing system）が、相互作
用し、モニタし、チェックし及び認可するより好ましい方法のフロー図を、より
詳細に示す。 図4は、アプリケーションによってなされるかもしれないコンピュータのオペ
レーティング・システムのレジストリ関係のフックされる関数（function）を、
モニタ及び捕獲システム（monitoring and capturing system）が、相互作用し
、モニタし、チェックし及び認可する好ましい方法のフロー図を、より詳細に示
す。 図5は、エグゼキュータブル・ファイルが実行のためにロードされている時に
、好ましくは何が起きるかを示す。 図6は、アプリケーションによってなされるかもしれないコンピュータのオペ
レーティング・システムのメモリ関係のフックされる関数（function）を、モニ
タ及び捕獲システム（monitoring and capturing system）が、相互作用し、モ
ニタし、チェックし及び認可する好ましい方法のフロー図を、より詳細に示す。 図7は、セキュリティ・システムのデータベース、許可及び分析プロセスのよ
り好ましい主な部分及び方法のフロー図を、より詳細に示す。 図8は、コンピュータのデータバス上のハードウェア・アクセスをモニタし及
びセキュリティ・システムのソフトウェアとの2方向インタフェースを持ってい
る、付加的なハードウェアを使用する可能な変形例の好ましいインタフェース及
び操作を、より詳細に示す。 図9は、好ましい自己保存方法の概観を、より詳細に示す。 図10は、途中停止プロセスの好ましい方法のフロー図を、より詳細に示す。 図11は、プロセスが分断及びコントロールされる好ましい方法のグラフィック
・イラストレーションである。 図12は、仮想環境(virtual environment)の「バブル（Bubble）」内にそれぞ
れのプログラムを保つより極端な実施の視覚的イラストレーションである。 図13は、組織のコンピュータを、例えばシステム・アドミニストレータのコン
ピュータを通じてインターネットに接続する、好ましい構成の視覚的イラストレ
ーションである。
torage device）及びネットワーク・デバイスに関連したそれら、と共に、コン
ピュータのオペレーティング・システムの典型的構造内でのセキュリティ・シス
テムの好ましい主なエレメント、及び上記典型的構造においてセキュリティ・シ
ステムの種々の部分が結合される及び相互作用する好ましい位置及び方法を示す
。 図1bは、より詳細に、ユーザー・インタフェースに重きを置いた、セキュリテ
ィ・システム部分間の相互作用の好ましい方法、及び許可を与えること（permis
sion granting）の好ましいプロセスを示す。 図2は、アプリケーションによってなされるかもしれないコンピュータのオペ
レーティング・システムのファイル関係のフックされる関数（function）を、モ
ニタ及び捕獲システム（monitoring and capturing system）が、相互作用（int
eract）し、モニタし、チェックし及び認可する好ましい方法のフロー図を、よ
り詳細に示す。 図3は、アプリケーションによってなされるかもしれない、コンピュータのオ
ペレーティング・システムのネットワーク関係のフックされる関数（function）
を、モニタ及び捕獲システム（monitoring and capturing system）が、相互作
用し、モニタし、チェックし及び認可するより好ましい方法のフロー図を、より
詳細に示す。 図4は、アプリケーションによってなされるかもしれないコンピュータのオペ
レーティング・システムのレジストリ関係のフックされる関数（function）を、
モニタ及び捕獲システム（monitoring and capturing system）が、相互作用し
、モニタし、チェックし及び認可する好ましい方法のフロー図を、より詳細に示
す。 図5は、エグゼキュータブル・ファイルが実行のためにロードされている時に
、好ましくは何が起きるかを示す。 図6は、アプリケーションによってなされるかもしれないコンピュータのオペ
レーティング・システムのメモリ関係のフックされる関数（function）を、モニ
タ及び捕獲システム（monitoring and capturing system）が、相互作用し、モ
ニタし、チェックし及び認可する好ましい方法のフロー図を、より詳細に示す。 図7は、セキュリティ・システムのデータベース、許可及び分析プロセスのよ
り好ましい主な部分及び方法のフロー図を、より詳細に示す。 図8は、コンピュータのデータバス上のハードウェア・アクセスをモニタし及
びセキュリティ・システムのソフトウェアとの2方向インタフェースを持ってい
る、付加的なハードウェアを使用する可能な変形例の好ましいインタフェース及
び操作を、より詳細に示す。 図9は、好ましい自己保存方法の概観を、より詳細に示す。 図10は、途中停止プロセスの好ましい方法のフロー図を、より詳細に示す。 図11は、プロセスが分断及びコントロールされる好ましい方法のグラフィック
・イラストレーションである。 図12は、仮想環境(virtual environment)の「バブル（Bubble）」内にそれぞ
れのプログラムを保つより極端な実施の視覚的イラストレーションである。 図13は、組織のコンピュータを、例えばシステム・アドミニストレータのコン
ピュータを通じてインターネットに接続する、好ましい構成の視覚的イラストレ
ーションである。
【００１５】
この及び他のセクションにおける全ての記述は、説明的なものとして意図され
ており、制限的なものとしては意図されていない。 図1を参照して、我々は、フックされた周辺デバイス・ドライバのいくつか、
特に保存デバイス（storage device）（110）及びネットワーク・デバイス（111
）に関連したそれら、と共に、コンピュータ（これは、定義に説明するように、
例えばサーバー、パーソナル・コンピューダ、又は他のコンピュータ化された小
機器又は装置であり得る）のオペレーティング・システム（101）の典型的構造
内でのセキュリティ・システム（100）の好ましい主なエレメント、及びセキュ
リティ・システム（100）の種々の部分が上記典型的構造において結合される及
び相互作用する、好ましい位置及び方法を示す。全システム及び方法は、また説
明される機能をなす仮想のマシンとして見なされ得る。
ており、制限的なものとしては意図されていない。 図1を参照して、我々は、フックされた周辺デバイス・ドライバのいくつか、
特に保存デバイス（storage device）（110）及びネットワーク・デバイス（111
）に関連したそれら、と共に、コンピュータ（これは、定義に説明するように、
例えばサーバー、パーソナル・コンピューダ、又は他のコンピュータ化された小
機器又は装置であり得る）のオペレーティング・システム（101）の典型的構造
内でのセキュリティ・システム（100）の好ましい主なエレメント、及びセキュ
リティ・システム（100）の種々の部分が上記典型的構造において結合される及
び相互作用する、好ましい位置及び方法を示す。全システム及び方法は、また説
明される機能をなす仮想のマシンとして見なされ得る。
【００１６】
セキュリティ・システムは、好ましくは、次の主なエレメントから構成される
: a． モニタ及び捕獲システム（102）。これは、コンピュータ・システムのセ
キュリティに敏感なエレメント、及び特に全ての適切な周辺デバイス活動及び特
に保存デバイス（110）（特に1つ又は複数のハードディスク）及びコミュニケー
ション・デバイス（111）（ネットワーク・カード、モデム、等）を常にモニタ
し、及び如何なる疑がわしい及び／又は有害な及び／又は潜在的に危険な活動を
も検出及び途中停止する。セキュリティ・システムのこのエレメントは、少なく
ともその幾つかの部分を、可能な限り、オペレーティング・システム（104）の
カーネル内にインストールし、及び他の部分は、種々の致命的（vital）関数を
フックするために、ある種のドライバ、デバイス・ドライバ、DLL、等のような
、種々のOSファイルと置き換わる。モニタ及び途中停止システムは、引続く図に
おいて、より詳細に、定義される。 b． セキュリティ・ルール（740）と、及びデフォルトのルール（74X-C）、
選択されたオペレーティング・システムの殆どのユーザーにとって好ましい既配
布の獲得されたルールのセット（74X-B）、獲得された追加的なユーザー定義の
ルール（74X-A）、及びシステムの操作の間、継続的に習得される、プログラム
の正常な又はリーズナブルな活動の統計（751）を保存するための1つの又は複数
のデータベース（700）。好ましくはこのデータベース（700）は、全ての認可（
authorizations）に加えて、セキュリティ・システムがユーザーに尋ねた全ての
質問及び彼の答（少なくとも一定期間の間、保持される）のオプショナルなログ
（770）、及び必要とされるときにはまた、検出された疑がわしい活動のログ（7
70）（少なくとも一定期間の間、保持される）を含み及び、また定義可能な付加
的なログを含んでもよい。データベース（700）は、下に定義されるように、好
ましくは、暗号化され及び、常に監視され高セキュリティに保護された及び好ま
しくはバックアップされる領域とみなされる。従って、図7により詳細に示され
るように、データベースへの全てのアクセスは、モニタ及び捕獲システムによっ
て監視される。 c． ユーザーインタフェース（103）。これは、受入れることができる活動パ
ターンを学び、ユーザーに全ての知覚された危険を警告し、及び要求されるとき
、ユーザーの認可又はガイダンスを求めるために、ユーザーと相互作用する。好
ましくはこれはまた、ユーザーに、ユーザーが定めたコンピュータ内の如何なる
プログラム又はプログラムのグループ又は、コミュニケーション・チャンネルに
アクセスすることが許されるプログラムのような、戦略的に重要と見なされるプ
ログラムの統計及び行動ログを見ることを許す。例えば、統計的にチェック及び
分析されている活動の1つは、送られている又は受け取っている量及びデータ、
使われているプロトコル、アドレス等である。ユーザーはまた、直接的に認可（
authorization）のデータベースを見又は修正してもよい。好ましくは、ユーザ
ーはまた、厳しさの一定範囲において、セキュリティ・ソフトウェアのセキュリ
ティ程度を選択できてもよい。
: a． モニタ及び捕獲システム（102）。これは、コンピュータ・システムのセ
キュリティに敏感なエレメント、及び特に全ての適切な周辺デバイス活動及び特
に保存デバイス（110）（特に1つ又は複数のハードディスク）及びコミュニケー
ション・デバイス（111）（ネットワーク・カード、モデム、等）を常にモニタ
し、及び如何なる疑がわしい及び／又は有害な及び／又は潜在的に危険な活動を
も検出及び途中停止する。セキュリティ・システムのこのエレメントは、少なく
ともその幾つかの部分を、可能な限り、オペレーティング・システム（104）の
カーネル内にインストールし、及び他の部分は、種々の致命的（vital）関数を
フックするために、ある種のドライバ、デバイス・ドライバ、DLL、等のような
、種々のOSファイルと置き換わる。モニタ及び途中停止システムは、引続く図に
おいて、より詳細に、定義される。 b． セキュリティ・ルール（740）と、及びデフォルトのルール（74X-C）、
選択されたオペレーティング・システムの殆どのユーザーにとって好ましい既配
布の獲得されたルールのセット（74X-B）、獲得された追加的なユーザー定義の
ルール（74X-A）、及びシステムの操作の間、継続的に習得される、プログラム
の正常な又はリーズナブルな活動の統計（751）を保存するための1つの又は複数
のデータベース（700）。好ましくはこのデータベース（700）は、全ての認可（
authorizations）に加えて、セキュリティ・システムがユーザーに尋ねた全ての
質問及び彼の答（少なくとも一定期間の間、保持される）のオプショナルなログ
（770）、及び必要とされるときにはまた、検出された疑がわしい活動のログ（7
70）（少なくとも一定期間の間、保持される）を含み及び、また定義可能な付加
的なログを含んでもよい。データベース（700）は、下に定義されるように、好
ましくは、暗号化され及び、常に監視され高セキュリティに保護された及び好ま
しくはバックアップされる領域とみなされる。従って、図7により詳細に示され
るように、データベースへの全てのアクセスは、モニタ及び捕獲システムによっ
て監視される。 c． ユーザーインタフェース（103）。これは、受入れることができる活動パ
ターンを学び、ユーザーに全ての知覚された危険を警告し、及び要求されるとき
、ユーザーの認可又はガイダンスを求めるために、ユーザーと相互作用する。好
ましくはこれはまた、ユーザーに、ユーザーが定めたコンピュータ内の如何なる
プログラム又はプログラムのグループ又は、コミュニケーション・チャンネルに
アクセスすることが許されるプログラムのような、戦略的に重要と見なされるプ
ログラムの統計及び行動ログを見ることを許す。例えば、統計的にチェック及び
分析されている活動の1つは、送られている又は受け取っている量及びデータ、
使われているプロトコル、アドレス等である。ユーザーはまた、直接的に認可（
authorization）のデータベースを見又は修正してもよい。好ましくは、ユーザ
ーはまた、厳しさの一定範囲において、セキュリティ・ソフトウェアのセキュリ
ティ程度を選択できてもよい。
【００１７】
セキュリティ・システムはまた、（他の可能な変形例として）図8においてよ
り詳細に示される、オプショナル・ハードウェア・エレメント（800）を含んで
いてもよい。これは、アクセスが、該セキュリティ・システムのソフトウェアに
よってモニタされるシステムレベルでの明白な対応するイベントなしに、セキュ
リティに敏感なポート（803）及び／又はメモリ（801）になされた如何なるイベ
ントをも、セキュリティ・システムのソフトウェアに、警告することができる。
り詳細に示される、オプショナル・ハードウェア・エレメント（800）を含んで
いてもよい。これは、アクセスが、該セキュリティ・システムのソフトウェアに
よってモニタされるシステムレベルでの明白な対応するイベントなしに、セキュ
リティに敏感なポート（803）及び／又はメモリ（801）になされた如何なるイベ
ントをも、セキュリティ・システムのソフトウェアに、警告することができる。
【００１８】
更に図1を参照して、好ましくは、セキュリティ・システムによってなされる
主なルール及び機能は次のことである: 1． デフォルトとして、それそれのプログラム（ソフトウェア・アプリケー
ション）は、その自然な環境（natural environment）（これは主にそれがイン
ストールされたディレクトリ、そのサブディレクトリ、及び（読むことに対して
のみ）非戦略的な共有ファイル（shared files））内のファイルのみにアクセス
（読む（read）、書く（write）、実行（execute）、作り出し（create）、削除
（delete）、等）することが許される。この方法により、ブラウザ内のJava又は
Active-Xのような、他のアプリケーション内で実行されるアプリケーションでさ
え、依然としてブラウザそれ自身と共に、セキュリティ・ルールに従わなければ
ならない。好ましくは、ユーザーはまた、前もって、あるディレクトリ（又はデ
ィレクトリのグループ）のみ保護及びモニタすることを求めることができるが、
しかしデフォルトとして全てのディレクトリが監視される。もしプログラムが、
何らかのドライブのルートにインストールされることを試みているならば、好ま
しくはセキュリティ・システムのユーザー・インタフェース部分（103）は、そ
のことについてユーザーに警告し、及びもし彼がそれを許すならば、そのような
プログラムの自然な環境は、そのドライブのルートのみに制限され及びそのサブ
ディレクトリは含まない。さもなければ分枝への分断（segregation to branche
s）は、この場合、無意味だろう。同様に、セキュリティ・システムは常に、プ
ログラムによる、ダイレクトI／Oを通じての保存デバイス（110）にアクセスし
ようとする如何なる試みをもモニタし、途中停止し、及びユーザーに、警告する
（これは分断ルールを無意味にするので）。（これはインテル・アーキテクチャ
の用語を使用して、例えばリング0にセキュリティ・システムを置くことによっ
て遂行され得る）。これは、プログラムの分断又はプロセスの分断として見られ
得るが、しかしながら、プログラム・ファイルに従ってこれを実施することが、
より好ましい（例えばネットスケープ（Netscape）のメモリにおける2又はそれ
以上のコピーは依然として典型的に同じ特権（privilege）及び定義を持つので
）。他方、もし、あるプログラムによって種々の異なったスレッドが実行される
とき（例えばネットスケープによるジャバ（Java）又はジャバ・スクリプト（Ja
vascript）のように）、これらはプロセスとして別々に扱われ得るか、又はこれ
らは、例えばDLLが由来するファイル等により、いずれにせよ別々に識別される
。これを説明する他の方法（これはまた、最新技術の状況の馬鹿馬鹿しさを示す
）は、コンピュータをホテルに比較することである。プログラムに、他のプログ
ラムに対して又はそれらのデータファイルに対して又はオペレーティング・シス
テムの決定的ファイルに対して、それが好むことを何でもすることを許すことは
、ホテルの客に如何なる他の客にも、彼が好むように迷惑をかけさせ、彼らの財
産（property）を盗み又はそれをコピーし又はそれを破壊し、彼らの部屋を破壊
させる、等、又は例えばホテルの金庫又は電子スイッチボード又はエレベーター
・コントロール・ルーム、又は電話に自由にアクセスさせるのと同じく馬鹿げて
いる。本概念は、はっきりとした許可によってのみそれぞれの客は付加的な特権
を得ることができるように、それぞれの客をデフォルトとして彼の部屋にのみ制
限し及びホテルの戦略的リソース（resources）への彼のアクセスをデフォルト
として制限することに似ている。 2． デフォルトとして、如何なるプログラムも、許可なしには、（決定的な
オパレ-ティング-システム・ファイル、レジストリー、INIファイル、重要なDLL
（ダイナミック・リンク・ライブラリ）ファイル及びコミュニケーション-関連
ファイル（Winsock、等のような）、ブート・セクタ、FAT、オートエグゼグ（au
toexec）又はコンフィギュレーション（configuration）ファイル、オペレーテ
ィング・システムの初期化領域（initialization areas）、ウィンドウズ・スタ
ートアップ・ディレクトリ、BIOS、ユーザー定義の高セキュリティ・ファイル又
はディレクトリ、そこからユーザーに尋ねることなしにドライバが自動的にダウ
ンロードされる（ウィンドウズ2000におけるように）ところのURLのリストを含
むシステム・ファイル、セキュリティ・システムそれ自身に関連した全てのエグ
ゼキュータブル及びデータファイル及びデータベース、又はセキュリティ・シス
テムが適切に機能し続けること又は次のブートの後適切に初期化することを妨げ
るかもしれない他の何らかのもののような）高セキュリティ領域としてセキュリ
ティ・システムによって見なされる、保存メディア内の（及び好ましくは、可能
な限度で、時々またコンピュータのラム（RAM）（112）内の）、敏感な領域又は
ファイル（下に定義される）又はデバイス・ドライバに、アクセス及び特に修正
又は置き換ることは許されない。同様に、セキュリティ・システムは好ましくは
常に、種々のプログラムによる、スワップ・ファイルのためにオペレーティング
・システムによって使われるハードディスクの領域に直接的にアクセスする試み
を、モニタする（例えば、それらが仮想メモリ・スワップ中にディスク上にキャ
ッシュされている間に、決定的なDLLを邪悪なDLLで置き換えるような、種々のセ
キュリティ突破を、それがまた許すことができるので）。これに加えて、それら
がコンピュータのオペレーティング・システム（101）によって十分に保護され
ないならば、このシステムは好ましくは、可能な限度で、またあるラム（RAM）
（112）領域を保護（600）する。例えば、アプリケーションが「システム内部オ
ブジェクト・ネーム・スペース」と呼ばれる共有メモリ領域にアクセスし及びDL
Lの名前を変える（従ってそれらを邪悪なDLLへの参照で置き換えながら）ことを
可能にする脆弱性があるかもしれない。これに加えて、セキュリティ・システム
は好ましくは、それが、それを無効力化を試みるかもしれない他のアプリケーシ
ョンによって、RAMから投げ出されないことを確実にする（例えば他のアプリケ
ーションによってDDB（デバイス記述子ブロック（Device Descriptor Block））
から投げ出されていないことを常にチェックし及びそれ自身を常にそこに第1の
地位で置くことにより、及び／又は自己保存について図9で説明する方法によっ
て）（600）。好ましくは、それがオペレーティング・システムそれ自身によっ
て十分になされない限り、可能な限度で、セキュリティ・システムはまた、プロ
グラムがメモリにおいてまた他のプログラムのコード又はデータ又はそれらのド
ライバ又はDLL、等にアクセスすること（そうすることの明示的許可が与えられ
ない限り）を防止する。 3． これに加えて、可能な限り、好ましくは上記第2節で述べられた高セキュ
リティ領域の殆どが、もし未認可の変化が起こったならばファイルにフィットす
ることを止めるだろうそれぞれのそのようなファイルに対する隠されたフィンガ
ープリント（hidden fingerprint）の手段で、疑わしい変化のサインに対して規
則的にモニタされ、及び好ましくはまた、追加的な隠された暗号化され及び規則
的にリフレッシュされる、重要な領域のバックアップ（それらが破損した場合に
それらを修復するために用いられ得る）が設けられる。 4． IPアドレス、ポート及びプロトコルを含めて、コミュニケーション・チ
ャンネル（111）（主にwinソケット（win-socket）及びネットワーク共有デバイ
ス・ドライバ（300））に（送信、受信、リスニング、接続等のような）アクセ
スを試みようとする何らかのプログラムは、ユーザーからの許可を得る必要があ
る（既にこの特権が与えられていない限り）。このモニタに基づいて、ユーザー
は警告され及び、ネットワーク（120）からのプログラム又はハッカーからのユ
ーザーのコンピュータに接続しようとする何らかの試みを含めて、内向き又は外
向きの、（何らかの以前に未認可だった接続に対して）認可が求められ、及びセ
キュリティ・システムはまた、攻撃のソース（source）を発見するために、ネッ
ト（120）上のそのような試みを追跡（trace-route）する。好ましくは、セキュ
リティ・システムがユーザーに例えばあるアプリケーションがコミュニケーショ
ン・チャンネルにアクセスすることを許すか否かを尋ねるときに、ある敵意ある
アプリケーションが例えばそれ自身をあるディレクトリの下にインストールし及
びそれ自身をnetscape．exeと名前付けし及び従って不注意にユーザーによって
ウェブへのアクセスを与えられるチャンスを減少するために、それは、例えば、
エグゼキュータブルがインストールされている場所の全パス、そのサイズ、その
日付のような、アプリケーションの名前とは別の付加的な適切なデータ、及び／
又は例えばCRC、メモリ・セグメント、又は他の識別子（identifier）のような
詳細を示す。同様に、好ましくは、もし同じ又は同様な名前を持った他のアプリ
ケーションが既にセキュリティ・システムのデータベースにリストされていれば
、更に混乱を避けるために、それは好ましくは、ユーザーにこのことについて警
告する。もしユーザーが例えば組織であり及び組織が例えばシステム・アドミニ
ストレータがどのアプリケーションがウェブへのアクセス権を持つかをコントロ
ールすることを許可することを望むならば、そのときは例えばあるコンピュータ
を用いて働いている従業員があるアプリケーションがウェブへアクセスすること
を許可する度毎に、好ましくはそれがなるほど許されたアプリケーションであり
及び同じ名前を持ったある他のエグゼキュータブルではないことを確実にするた
めの種々の識別マークを使用しながら、それがアドミニストレータによって許さ
れた定義にフィットする場合にのみ、好ましくはこれは、許可され得る。これは
数多くの可能な方法において遂行され得る:例えばアドミニストレータは許され
るアプリケーションをそれらの識別マークと共に定義し及びこれを時々組織の全
てのコンピュータにブロードカーストし、及びセキュリティ・システムはコミュ
ニケーション・チャンネルへのアクセスをこれらの定義（好ましくはこれらの定
義はパスワード保護され及びまた高セキュリティの領域と見なされる領域内に存
在する）に従っているアプリケーションのみに許可する。他の可能な変形例は、
認可の種々の要求（好ましくはアプリケーションの種々の識別マークを含む）は
従業員に尋ねることさえなしに、セキュリティ・システムによって直接的にアド
ミニストレータへブロードカーストされ及び好ましくは認可が彼によって与えら
れ得ない限り、阻止され続けるということである。他の可能な変形例は、例えば
、従業員によってアプリケーションに与えられた新しい認可（又は少なくとも重
要な問題についての認可）はセキュリティ・システムによってまたアドミニスト
レータへブロードカーストされ、及び彼がそれをOKしたときにのみ許されるとい
うことである。他の可能な変形例は、例えば少なくとも、ある認可に対して、ユ
ーザーはアドミニストレータに電話（call）しなければならず、及び彼のみが、
例えばパスワードと共に、それらを認可できるということである。他の可能な変
形例は、例えば、ウェブ及び／又は他のコミュニケーション・チャンネルへのア
クセスを許されたアプリケーションはネットワーク内の1つ（又はそれ以上の）
コンピュータにのみ存在し及び、他のコンピュータは、例えばローカル-エリア
・ネットワークを通じての制限されたアクセスによってのみ、それらにアクセス
できるということである。これら及び他の解決法の種々の結合がまた可能である
。また、好ましくはセキュリティ・システムは、ユーザーに、開くことが許され
たコミュニケーション・チャンネル（111）についての一般的制限及び、選択的
にまた、許されたプロトコルのタイプについての制限を定義することを許可する
。このことは、コンピュータがサーバーとして使われている場合に（このような
場合コンピュータは殆どの時間ユーザーによって付き添われないで動くので）、
又は例えばもしユーザーが全ての入ってくるコミュニケーション試みを自動的に
ブロックし及び単にそれらをログ記録することを望むならば、特に有益である。
追加的に、Eメール・マクロ-ウイルスの性質により、追加されたセキュリティ手
段として、システムは好ましくは、常に、出て行くEメール・メッセージに対し
てコミュニケーション・チャンネルをモニタし及び1つ又はそれより多くのEメー
ル・メッセージが何らかのプログラム（認可されたプログラムでさえ）によって
送信されている如何なる時でさえ又は少なくとも特に複数のEメールが継続して
送信されている時には、ユーザーに確認を求める。好ましくは、セキュリティ・
システムはまた、このプロセスによって、ユーザーが通常Eメール・メッセージ
を送信している方法の種々の特徴（characteristics）を習得する、その結果、
急なる異常な特徴が明白である時にはいつも、好ましくは特別の途中停止及び警
告が発せられ得る。例えば通常アウトルック・エクスプレスのようなプログラム
を通じてEメールを送信しているときには、例えばアウトルック・エクスプレス
によって実行されたビジュアル・ベーシック・スクリプト（Visual Basic Scrip
t）からEメールを送信しているときとは異なって、適切なMAPI関数が呼び出され
及び／又は他のプロセスが起こり得る。これに加えて、コミュニケーション・ラ
インへのアクセスを許されたプログラム（及び特にブラウザ及びEメール・プロ
グラム）はインターネット関連の攻撃において通常重要な繋がりがあるので、好
ましくはこのようなプログラムは常にセキュリティ・システムによって、より完
全にモニタされ、及び従ってこのようなプログラムに関しては好ましくはユーザ
ーは、セキュリティ・システムに、種々の活動について尋ねることを停止するこ
とを言うことができない。ハードウェアの点からの該コミュニケーション・チャ
ンネルの例は、モデム、イーサーネット・カード（又は複数の）、又は例えばま
たADSL接続のために使われ得るUSB（ユニバーサル・シアリアル・バス）さえ、
又はコンピュータ内又は外へデータをコミュニケートするために使われるかもし
れない、存在し又は将来存在するかもしれない、何らかの他のデバイスであり得
る。全ての可能なコミュニケーション・チャンネルのこの包括的カバーは、さも
なければセキュリティ・システム全体が無駄になるかもしれないので、極めて重
要である。ソフトウェアの点からの該コミュニケーション・チャンネルの例は、
例えば、コミュニケーションのために使われ得る該ハードウェア・デバイスのい
ずれかにアクセスできるシステム関数（ファックスを送信するためにモデムを使
用できるTAPI関数を含めて（さもなければ、邪悪なアプリケーションは例えばモ
デムの内部スピーカーを切り及びダイヤルし及びファックスとして盗んだデータ
を送信するかもしれないので））のいずれかであり得る。これはまた例えば、ワ
イヤレス・チャンネルへの如何なるアクセス（例えばブルーツース又は赤外線の
ような）にも適用する（これはまたコンピュータにデータを送るため又はそれか
らデータを盗むために使われうるので）。 5． 好ましくは、モニター＆捕獲システム（102）は、通常の行動について学
習し及び通常の行動からの重要な逸脱（通常より以上のデータを送信する、通常
より以上のファイルにアクセスする、等のような）を識別するために、コンピュ
ータ内の種々のイベントの一定の統計的分析を行う。好ましくは、特にコミュニ
ケーション・チャンネル（111）の使用を認可されたプログラムは、それらの通
常の統計的行動パターンからの疑がわしい逸脱に対して、常に統計的に分析され
及びモニタされ、その結果、もしこのようなプログラムが例えば急に通常よりか
なり多くのファイルへのアクセス又はディスクの大きな領域のスキャンを開始（
たとえユーザーによって、その自然な環境の外の領域へのアクセスが許されてい
ても）又は異常な量のデータの送信を開始するならば、それは即時に途中停止さ
れ及びユーザーは警告され及び認可を求められる。これはまた、プログラムが、
例えばあるハードウェアの故障（failure）により又はこれらはストリング・オ
ーバフローによりクラッシュさせられることにより等で、既にメモリにロードさ
れている間にこれらが変更されることにより、奇妙に行動し始める場合に重要で
ある。 6． セキュリティ・システムは可能な限り、セキュリティに敏感なデバイス
（モデム及びネットワーク・カード（111）、ハードディスク・コントローラ、
等のような）に直接ポート・アクセスを得ようとする又はwin-socketドライバを
バイパスしようとする、ソフトウェア・アプリケーションの全ての試みをモニタ
する（このようなアクセスはオペレーティング・システムをバイパスできるので
）。ウィンドウズNTは例えば、リング0にインストールされているドライバのみ
を、このようなポートに直接的にアクセスすることを許し従って、普通のアプリ
ケーションは自動的に、これをなすことから防止されるがしかし、ウィンドウズ
のある他のバージョンはこの制限を実施しない。従って、セキュリティ・システ
ムは、これが実施されないシステムにおいてさえ、可能な限りこれを実施しよう
と試みる。 7． それ自身のインストールの間、セキュリティ・システムは好ましくは、
種々の重要なシステム・ファイルが既に汚染されている疑がいがないかについて
の種々のチェックをなし、及びこの場合には例えば、ユーザーに、再びセキュリ
ティ・ソフトウェアのインストールを試みる前に、オペレーティング・システム
を再インストールすることを推奨してもよい。 8． ウィンドウズのtemp領域のような書込み可能な共有ディレクトリ（write
able shared directory）の存在によって作り出されるセキュリティ問題を解決
するために、セキュリティ・システムは好ましくは、また新しい概念を実施する
:仮想の共有ディレクトリ（virtual Shared Directory）。この方法により、エ
グゼキュータブルがこのような共有ディレクトリにアクセスしようと試みる度毎
に、それは好ましくは、それはそれにアクセスしているという幻想を与えられる
がしかし、実際には、それぞれのこのようなエグゼキュータブルは好ましくは、
それのみがアクセスできる、別々のプライベートなサブ-ディレクトリへリダイ
レクトされる。同様に、エグゼキュータブルがレジストリー内の共有キー（shar
ed key）へアクセスしている時は、セキュリティ・システムは好ましくは、また
登録されたコンポーネント、等のような仮想の共有キー（virtual Shared-Key）
システムを実施しその結果、再び、好ましくはエグゼキュータブルは、それらが
共有キーにアクセスしたという幻想を与えられるがしかし、好ましくはそれらは
実際には、それぞれ、適切なレジストリー・キーのその個々のプライベートなフ
ァイルへリダイレクトされている。これは、他のルール／機能（特にルールNo．
1（自動的分断（segregation）に関する））と結合して、また、換言すれば、複
数の自動的サンドボックス（multiple automatic sandboxes）のシステム又はそ
れぞれのプログラムはそれ自身の仮想のコンピュータに制限されるシステムとし
て、説明され得る。 9． 可能な限度で、セキュリティ・システムは好ましくはまた、オペレーテ
ィング・システム又は少なくともその部分を、好ましくは実行するために必要と
される全ての機能をリング0に代えてリング1に変換する付加的なコンポーネント
の援助で、プロセッサ・リング0（特権が与えられている）からリング1（特権が
より少なく与えられている）へ移そう（push）と試みる。これは、オペレーティ
ング・システムに存在するかもしれない何らかの隠れたドア（hidden door）を
ブロックする付加的な方法である。そして無論これは、システム・リソースへの
アクセスのより容易なコントロールを許す。これらのリング（ring）はインテル
・プロセッサにおける概念であるが、同様のリング又は概念はまた、他のプロセ
ッサにも存在する。
主なルール及び機能は次のことである: 1． デフォルトとして、それそれのプログラム（ソフトウェア・アプリケー
ション）は、その自然な環境（natural environment）（これは主にそれがイン
ストールされたディレクトリ、そのサブディレクトリ、及び（読むことに対して
のみ）非戦略的な共有ファイル（shared files））内のファイルのみにアクセス
（読む（read）、書く（write）、実行（execute）、作り出し（create）、削除
（delete）、等）することが許される。この方法により、ブラウザ内のJava又は
Active-Xのような、他のアプリケーション内で実行されるアプリケーションでさ
え、依然としてブラウザそれ自身と共に、セキュリティ・ルールに従わなければ
ならない。好ましくは、ユーザーはまた、前もって、あるディレクトリ（又はデ
ィレクトリのグループ）のみ保護及びモニタすることを求めることができるが、
しかしデフォルトとして全てのディレクトリが監視される。もしプログラムが、
何らかのドライブのルートにインストールされることを試みているならば、好ま
しくはセキュリティ・システムのユーザー・インタフェース部分（103）は、そ
のことについてユーザーに警告し、及びもし彼がそれを許すならば、そのような
プログラムの自然な環境は、そのドライブのルートのみに制限され及びそのサブ
ディレクトリは含まない。さもなければ分枝への分断（segregation to branche
s）は、この場合、無意味だろう。同様に、セキュリティ・システムは常に、プ
ログラムによる、ダイレクトI／Oを通じての保存デバイス（110）にアクセスし
ようとする如何なる試みをもモニタし、途中停止し、及びユーザーに、警告する
（これは分断ルールを無意味にするので）。（これはインテル・アーキテクチャ
の用語を使用して、例えばリング0にセキュリティ・システムを置くことによっ
て遂行され得る）。これは、プログラムの分断又はプロセスの分断として見られ
得るが、しかしながら、プログラム・ファイルに従ってこれを実施することが、
より好ましい（例えばネットスケープ（Netscape）のメモリにおける2又はそれ
以上のコピーは依然として典型的に同じ特権（privilege）及び定義を持つので
）。他方、もし、あるプログラムによって種々の異なったスレッドが実行される
とき（例えばネットスケープによるジャバ（Java）又はジャバ・スクリプト（Ja
vascript）のように）、これらはプロセスとして別々に扱われ得るか、又はこれ
らは、例えばDLLが由来するファイル等により、いずれにせよ別々に識別される
。これを説明する他の方法（これはまた、最新技術の状況の馬鹿馬鹿しさを示す
）は、コンピュータをホテルに比較することである。プログラムに、他のプログ
ラムに対して又はそれらのデータファイルに対して又はオペレーティング・シス
テムの決定的ファイルに対して、それが好むことを何でもすることを許すことは
、ホテルの客に如何なる他の客にも、彼が好むように迷惑をかけさせ、彼らの財
産（property）を盗み又はそれをコピーし又はそれを破壊し、彼らの部屋を破壊
させる、等、又は例えばホテルの金庫又は電子スイッチボード又はエレベーター
・コントロール・ルーム、又は電話に自由にアクセスさせるのと同じく馬鹿げて
いる。本概念は、はっきりとした許可によってのみそれぞれの客は付加的な特権
を得ることができるように、それぞれの客をデフォルトとして彼の部屋にのみ制
限し及びホテルの戦略的リソース（resources）への彼のアクセスをデフォルト
として制限することに似ている。 2． デフォルトとして、如何なるプログラムも、許可なしには、（決定的な
オパレ-ティング-システム・ファイル、レジストリー、INIファイル、重要なDLL
（ダイナミック・リンク・ライブラリ）ファイル及びコミュニケーション-関連
ファイル（Winsock、等のような）、ブート・セクタ、FAT、オートエグゼグ（au
toexec）又はコンフィギュレーション（configuration）ファイル、オペレーテ
ィング・システムの初期化領域（initialization areas）、ウィンドウズ・スタ
ートアップ・ディレクトリ、BIOS、ユーザー定義の高セキュリティ・ファイル又
はディレクトリ、そこからユーザーに尋ねることなしにドライバが自動的にダウ
ンロードされる（ウィンドウズ2000におけるように）ところのURLのリストを含
むシステム・ファイル、セキュリティ・システムそれ自身に関連した全てのエグ
ゼキュータブル及びデータファイル及びデータベース、又はセキュリティ・シス
テムが適切に機能し続けること又は次のブートの後適切に初期化することを妨げ
るかもしれない他の何らかのもののような）高セキュリティ領域としてセキュリ
ティ・システムによって見なされる、保存メディア内の（及び好ましくは、可能
な限度で、時々またコンピュータのラム（RAM）（112）内の）、敏感な領域又は
ファイル（下に定義される）又はデバイス・ドライバに、アクセス及び特に修正
又は置き換ることは許されない。同様に、セキュリティ・システムは好ましくは
常に、種々のプログラムによる、スワップ・ファイルのためにオペレーティング
・システムによって使われるハードディスクの領域に直接的にアクセスする試み
を、モニタする（例えば、それらが仮想メモリ・スワップ中にディスク上にキャ
ッシュされている間に、決定的なDLLを邪悪なDLLで置き換えるような、種々のセ
キュリティ突破を、それがまた許すことができるので）。これに加えて、それら
がコンピュータのオペレーティング・システム（101）によって十分に保護され
ないならば、このシステムは好ましくは、可能な限度で、またあるラム（RAM）
（112）領域を保護（600）する。例えば、アプリケーションが「システム内部オ
ブジェクト・ネーム・スペース」と呼ばれる共有メモリ領域にアクセスし及びDL
Lの名前を変える（従ってそれらを邪悪なDLLへの参照で置き換えながら）ことを
可能にする脆弱性があるかもしれない。これに加えて、セキュリティ・システム
は好ましくは、それが、それを無効力化を試みるかもしれない他のアプリケーシ
ョンによって、RAMから投げ出されないことを確実にする（例えば他のアプリケ
ーションによってDDB（デバイス記述子ブロック（Device Descriptor Block））
から投げ出されていないことを常にチェックし及びそれ自身を常にそこに第1の
地位で置くことにより、及び／又は自己保存について図9で説明する方法によっ
て）（600）。好ましくは、それがオペレーティング・システムそれ自身によっ
て十分になされない限り、可能な限度で、セキュリティ・システムはまた、プロ
グラムがメモリにおいてまた他のプログラムのコード又はデータ又はそれらのド
ライバ又はDLL、等にアクセスすること（そうすることの明示的許可が与えられ
ない限り）を防止する。 3． これに加えて、可能な限り、好ましくは上記第2節で述べられた高セキュ
リティ領域の殆どが、もし未認可の変化が起こったならばファイルにフィットす
ることを止めるだろうそれぞれのそのようなファイルに対する隠されたフィンガ
ープリント（hidden fingerprint）の手段で、疑わしい変化のサインに対して規
則的にモニタされ、及び好ましくはまた、追加的な隠された暗号化され及び規則
的にリフレッシュされる、重要な領域のバックアップ（それらが破損した場合に
それらを修復するために用いられ得る）が設けられる。 4． IPアドレス、ポート及びプロトコルを含めて、コミュニケーション・チ
ャンネル（111）（主にwinソケット（win-socket）及びネットワーク共有デバイ
ス・ドライバ（300））に（送信、受信、リスニング、接続等のような）アクセ
スを試みようとする何らかのプログラムは、ユーザーからの許可を得る必要があ
る（既にこの特権が与えられていない限り）。このモニタに基づいて、ユーザー
は警告され及び、ネットワーク（120）からのプログラム又はハッカーからのユ
ーザーのコンピュータに接続しようとする何らかの試みを含めて、内向き又は外
向きの、（何らかの以前に未認可だった接続に対して）認可が求められ、及びセ
キュリティ・システムはまた、攻撃のソース（source）を発見するために、ネッ
ト（120）上のそのような試みを追跡（trace-route）する。好ましくは、セキュ
リティ・システムがユーザーに例えばあるアプリケーションがコミュニケーショ
ン・チャンネルにアクセスすることを許すか否かを尋ねるときに、ある敵意ある
アプリケーションが例えばそれ自身をあるディレクトリの下にインストールし及
びそれ自身をnetscape．exeと名前付けし及び従って不注意にユーザーによって
ウェブへのアクセスを与えられるチャンスを減少するために、それは、例えば、
エグゼキュータブルがインストールされている場所の全パス、そのサイズ、その
日付のような、アプリケーションの名前とは別の付加的な適切なデータ、及び／
又は例えばCRC、メモリ・セグメント、又は他の識別子（identifier）のような
詳細を示す。同様に、好ましくは、もし同じ又は同様な名前を持った他のアプリ
ケーションが既にセキュリティ・システムのデータベースにリストされていれば
、更に混乱を避けるために、それは好ましくは、ユーザーにこのことについて警
告する。もしユーザーが例えば組織であり及び組織が例えばシステム・アドミニ
ストレータがどのアプリケーションがウェブへのアクセス権を持つかをコントロ
ールすることを許可することを望むならば、そのときは例えばあるコンピュータ
を用いて働いている従業員があるアプリケーションがウェブへアクセスすること
を許可する度毎に、好ましくはそれがなるほど許されたアプリケーションであり
及び同じ名前を持ったある他のエグゼキュータブルではないことを確実にするた
めの種々の識別マークを使用しながら、それがアドミニストレータによって許さ
れた定義にフィットする場合にのみ、好ましくはこれは、許可され得る。これは
数多くの可能な方法において遂行され得る:例えばアドミニストレータは許され
るアプリケーションをそれらの識別マークと共に定義し及びこれを時々組織の全
てのコンピュータにブロードカーストし、及びセキュリティ・システムはコミュ
ニケーション・チャンネルへのアクセスをこれらの定義（好ましくはこれらの定
義はパスワード保護され及びまた高セキュリティの領域と見なされる領域内に存
在する）に従っているアプリケーションのみに許可する。他の可能な変形例は、
認可の種々の要求（好ましくはアプリケーションの種々の識別マークを含む）は
従業員に尋ねることさえなしに、セキュリティ・システムによって直接的にアド
ミニストレータへブロードカーストされ及び好ましくは認可が彼によって与えら
れ得ない限り、阻止され続けるということである。他の可能な変形例は、例えば
、従業員によってアプリケーションに与えられた新しい認可（又は少なくとも重
要な問題についての認可）はセキュリティ・システムによってまたアドミニスト
レータへブロードカーストされ、及び彼がそれをOKしたときにのみ許されるとい
うことである。他の可能な変形例は、例えば少なくとも、ある認可に対して、ユ
ーザーはアドミニストレータに電話（call）しなければならず、及び彼のみが、
例えばパスワードと共に、それらを認可できるということである。他の可能な変
形例は、例えば、ウェブ及び／又は他のコミュニケーション・チャンネルへのア
クセスを許されたアプリケーションはネットワーク内の1つ（又はそれ以上の）
コンピュータにのみ存在し及び、他のコンピュータは、例えばローカル-エリア
・ネットワークを通じての制限されたアクセスによってのみ、それらにアクセス
できるということである。これら及び他の解決法の種々の結合がまた可能である
。また、好ましくはセキュリティ・システムは、ユーザーに、開くことが許され
たコミュニケーション・チャンネル（111）についての一般的制限及び、選択的
にまた、許されたプロトコルのタイプについての制限を定義することを許可する
。このことは、コンピュータがサーバーとして使われている場合に（このような
場合コンピュータは殆どの時間ユーザーによって付き添われないで動くので）、
又は例えばもしユーザーが全ての入ってくるコミュニケーション試みを自動的に
ブロックし及び単にそれらをログ記録することを望むならば、特に有益である。
追加的に、Eメール・マクロ-ウイルスの性質により、追加されたセキュリティ手
段として、システムは好ましくは、常に、出て行くEメール・メッセージに対し
てコミュニケーション・チャンネルをモニタし及び1つ又はそれより多くのEメー
ル・メッセージが何らかのプログラム（認可されたプログラムでさえ）によって
送信されている如何なる時でさえ又は少なくとも特に複数のEメールが継続して
送信されている時には、ユーザーに確認を求める。好ましくは、セキュリティ・
システムはまた、このプロセスによって、ユーザーが通常Eメール・メッセージ
を送信している方法の種々の特徴（characteristics）を習得する、その結果、
急なる異常な特徴が明白である時にはいつも、好ましくは特別の途中停止及び警
告が発せられ得る。例えば通常アウトルック・エクスプレスのようなプログラム
を通じてEメールを送信しているときには、例えばアウトルック・エクスプレス
によって実行されたビジュアル・ベーシック・スクリプト（Visual Basic Scrip
t）からEメールを送信しているときとは異なって、適切なMAPI関数が呼び出され
及び／又は他のプロセスが起こり得る。これに加えて、コミュニケーション・ラ
インへのアクセスを許されたプログラム（及び特にブラウザ及びEメール・プロ
グラム）はインターネット関連の攻撃において通常重要な繋がりがあるので、好
ましくはこのようなプログラムは常にセキュリティ・システムによって、より完
全にモニタされ、及び従ってこのようなプログラムに関しては好ましくはユーザ
ーは、セキュリティ・システムに、種々の活動について尋ねることを停止するこ
とを言うことができない。ハードウェアの点からの該コミュニケーション・チャ
ンネルの例は、モデム、イーサーネット・カード（又は複数の）、又は例えばま
たADSL接続のために使われ得るUSB（ユニバーサル・シアリアル・バス）さえ、
又はコンピュータ内又は外へデータをコミュニケートするために使われるかもし
れない、存在し又は将来存在するかもしれない、何らかの他のデバイスであり得
る。全ての可能なコミュニケーション・チャンネルのこの包括的カバーは、さも
なければセキュリティ・システム全体が無駄になるかもしれないので、極めて重
要である。ソフトウェアの点からの該コミュニケーション・チャンネルの例は、
例えば、コミュニケーションのために使われ得る該ハードウェア・デバイスのい
ずれかにアクセスできるシステム関数（ファックスを送信するためにモデムを使
用できるTAPI関数を含めて（さもなければ、邪悪なアプリケーションは例えばモ
デムの内部スピーカーを切り及びダイヤルし及びファックスとして盗んだデータ
を送信するかもしれないので））のいずれかであり得る。これはまた例えば、ワ
イヤレス・チャンネルへの如何なるアクセス（例えばブルーツース又は赤外線の
ような）にも適用する（これはまたコンピュータにデータを送るため又はそれか
らデータを盗むために使われうるので）。 5． 好ましくは、モニター＆捕獲システム（102）は、通常の行動について学
習し及び通常の行動からの重要な逸脱（通常より以上のデータを送信する、通常
より以上のファイルにアクセスする、等のような）を識別するために、コンピュ
ータ内の種々のイベントの一定の統計的分析を行う。好ましくは、特にコミュニ
ケーション・チャンネル（111）の使用を認可されたプログラムは、それらの通
常の統計的行動パターンからの疑がわしい逸脱に対して、常に統計的に分析され
及びモニタされ、その結果、もしこのようなプログラムが例えば急に通常よりか
なり多くのファイルへのアクセス又はディスクの大きな領域のスキャンを開始（
たとえユーザーによって、その自然な環境の外の領域へのアクセスが許されてい
ても）又は異常な量のデータの送信を開始するならば、それは即時に途中停止さ
れ及びユーザーは警告され及び認可を求められる。これはまた、プログラムが、
例えばあるハードウェアの故障（failure）により又はこれらはストリング・オ
ーバフローによりクラッシュさせられることにより等で、既にメモリにロードさ
れている間にこれらが変更されることにより、奇妙に行動し始める場合に重要で
ある。 6． セキュリティ・システムは可能な限り、セキュリティに敏感なデバイス
（モデム及びネットワーク・カード（111）、ハードディスク・コントローラ、
等のような）に直接ポート・アクセスを得ようとする又はwin-socketドライバを
バイパスしようとする、ソフトウェア・アプリケーションの全ての試みをモニタ
する（このようなアクセスはオペレーティング・システムをバイパスできるので
）。ウィンドウズNTは例えば、リング0にインストールされているドライバのみ
を、このようなポートに直接的にアクセスすることを許し従って、普通のアプリ
ケーションは自動的に、これをなすことから防止されるがしかし、ウィンドウズ
のある他のバージョンはこの制限を実施しない。従って、セキュリティ・システ
ムは、これが実施されないシステムにおいてさえ、可能な限りこれを実施しよう
と試みる。 7． それ自身のインストールの間、セキュリティ・システムは好ましくは、
種々の重要なシステム・ファイルが既に汚染されている疑がいがないかについて
の種々のチェックをなし、及びこの場合には例えば、ユーザーに、再びセキュリ
ティ・ソフトウェアのインストールを試みる前に、オペレーティング・システム
を再インストールすることを推奨してもよい。 8． ウィンドウズのtemp領域のような書込み可能な共有ディレクトリ（write
able shared directory）の存在によって作り出されるセキュリティ問題を解決
するために、セキュリティ・システムは好ましくは、また新しい概念を実施する
:仮想の共有ディレクトリ（virtual Shared Directory）。この方法により、エ
グゼキュータブルがこのような共有ディレクトリにアクセスしようと試みる度毎
に、それは好ましくは、それはそれにアクセスしているという幻想を与えられる
がしかし、実際には、それぞれのこのようなエグゼキュータブルは好ましくは、
それのみがアクセスできる、別々のプライベートなサブ-ディレクトリへリダイ
レクトされる。同様に、エグゼキュータブルがレジストリー内の共有キー（shar
ed key）へアクセスしている時は、セキュリティ・システムは好ましくは、また
登録されたコンポーネント、等のような仮想の共有キー（virtual Shared-Key）
システムを実施しその結果、再び、好ましくはエグゼキュータブルは、それらが
共有キーにアクセスしたという幻想を与えられるがしかし、好ましくはそれらは
実際には、それぞれ、適切なレジストリー・キーのその個々のプライベートなフ
ァイルへリダイレクトされている。これは、他のルール／機能（特にルールNo．
1（自動的分断（segregation）に関する））と結合して、また、換言すれば、複
数の自動的サンドボックス（multiple automatic sandboxes）のシステム又はそ
れぞれのプログラムはそれ自身の仮想のコンピュータに制限されるシステムとし
て、説明され得る。 9． 可能な限度で、セキュリティ・システムは好ましくはまた、オペレーテ
ィング・システム又は少なくともその部分を、好ましくは実行するために必要と
される全ての機能をリング0に代えてリング1に変換する付加的なコンポーネント
の援助で、プロセッサ・リング0（特権が与えられている）からリング1（特権が
より少なく与えられている）へ移そう（push）と試みる。これは、オペレーティ
ング・システムに存在するかもしれない何らかの隠れたドア（hidden door）を
ブロックする付加的な方法である。そして無論これは、システム・リソースへの
アクセスのより容易なコントロールを許す。これらのリング（ring）はインテル
・プロセッサにおける概念であるが、同様のリング又は概念はまた、他のプロセ
ッサにも存在する。
【００１９】
とりわけ、このシステム及び方法は、例えば、秘密暗号化キー又はクレジット
・カード詳細のような、高度にセンシティブなコードの泥棒の防止のために、重
要である。これは、米国において最近の立法がデジタル・サインを手書きサイン
と同等の義務を負うものと見なすので、及び他の国において進行中の同様の立法
が存在するので、重要である。この領域において最も大きいサービスの供給者（
supplier）の1つが、これらのデジタル・サインにおける秘密キーを破るのに、
殆ど無限の時間がかかるだろう、と誇らしげに語るがしかし、例えば、ブラウザ
又はEメール・プログラムにおける種々のループホールをあさることによって、E
メールによって又はウェブ・ページを通じて到着しているトロージャン・ホース
によって、それらを盗むことは遥かに容易なので、キーを破る必要はないという
単純な事実を無視している。このようなサインは、如何なる種類の契約（遺言及
び莫大な不動産の取り扱い（特に不拒否（non-repudiation）のポリシーと共に
やって来る地域において）を含めて）においても、勝り得るので、盗まれたキー
からの損害は巨大であり得るということは明白である。これは、例えばブラウザ
によって、多数回このような秘密キーは生成され及び保存されるので、特に危険
である。自動的分断ルールのようなルールを実施すること及び如何なるコミュニ
ケーション・チャンネルへの如何なるアクセスについてもユーザーからの認可を
求めることによって、このような泥棒は完全に避けられ得る。しかしながら、キ
ーがブラウザによって生成され又は保存される場合には、これらのキーが保持さ
れているディレクトリを識別するために、好ましくは付加的なルールが使われる
。さもなければ、ブラウザによってキーにアクセスすることはブラウザのデフォ
ルトの認可内にあることになるだろう。また、好ましくは、この場合セキュリテ
ィ・システムはまた、ユーザーが通常キーにアクセスする方法の種々の特徴（ch
aracteristics）を学びその結果、急なる異常な特徴が明白である時に、好まし
くは特別の途中停止及び警告が発せられる。暗号化キーを保存するためにスマー
ト・カード（smart card）のようなハードウェア・カードがたとえ使われても、
これらのキーはやはり、例えばこれらのカードにアクセスするプログラムの部分
を上書きすることによって又はこれがこれらのプログラムによって生成されてい
る間に、メモリ内のデータをモニタすることによって、トロジャン（Trojans）
によって盗まれるかもしれない。セルラー電話機において、例えば、これらは通
常、例えばウィンドウズと比較してまだ洗練された又はセンシティブなオペレー
ティング・システム及びファイル・システムを有しておらず及びオペレーティン
グ・システムは通常EPROMMに基づいているが、やはり少なくとも本システム及び
方法の原理（principles）の幾つかが次のように適用され得る: 1． 自己防御原理（BIOSのEPROMMを修正する認可を要求することのような及
び例えば図9にアウトラインしているような）、及びシステムに決定的な領域を
保護することは、全オペレーティング・システム及びセキュリティ・システムは
EPROMM又は同様な容易には修正できないメモリ上に存在し得るので、より容易に
実施し得る。従って、例えば、如何なるEPROMMデータの修正の如何なる試みも、
ユーザーからの明示的許可が必要である。 2． データ・オペレーションを処理するために使われるラム（RAM）メモリは
好ましくは、敵意ある活動に対してモニタされる。 3． セルラー電話機及び他の携帯デバイスは、益々、電子取引サイトからの
買いもの、資金の転送、ストックマーケット教示、等のような、ビジネス取引に
使われるので、クレジット・カード・データ及び特にプライベート暗号化キーの
ような、センシティブなコードのセキュリティは極めて重要である。そこで、例
えば、秘密暗号化キーにアクセスしようとする如何なる試みも、いずれにせよ好
ましくは、ユーザーからの明示的許可が必要である。好ましくはこれらの場合に
おいて、ユーザーはまた、パスワードが求められ、これは例えば電話機が盗まれ
た場合には、助けとなる。 4． 自動的にダイヤルし又は自動的に入ってくるコールに答えようとする如
何なる試みも好ましくは、特にもし複数の自動ダイヤルが試みられるならば、ユ
ーザーからの明示的許可が必要である。これは何らかのウイルスが、電話機に、
自動的にメッセージを種々の場所に送らせようとすること又は例えば室内で進行
していることを記録し及びそれをユーザーの知ることなしに送信しながら、スパ
イ・デバイスになることを防止する。 5． 例えば第3世代セルラー電話機において予想されているコンスタントなオ
ープン・インターネット接続の場合には、PCの例の場合のように、好ましくはど
のようなプログラムも、先立つユーザーの許可なしには、ウェブにアクセスでき
ず及び外部から開始されたどのような接続も、ユーザーの許可なしにはやって来
ることはできない。 6． 付加的なコミュニケーション・チャンネルへの如何なる未認可のアクセ
ス（ブルーツース（Bluetooth）・デバイスのような）をもまた好ましくは、阻
止され又はユーザーによって認可されなければならない。 7． セルラー又は携帯又は他の電話機は、より洗練され及びコンピュータ化
され又は例えばパーム・デバイスと一体化されてきているので、これらは、普通
のコンピュータ及びオペレーティング・システムに典型的な特徴を益々含むこと
ができ、及び従って、本システム及び方法のより多くの特徴が必要とされ及び実
施され得る。
・カード詳細のような、高度にセンシティブなコードの泥棒の防止のために、重
要である。これは、米国において最近の立法がデジタル・サインを手書きサイン
と同等の義務を負うものと見なすので、及び他の国において進行中の同様の立法
が存在するので、重要である。この領域において最も大きいサービスの供給者（
supplier）の1つが、これらのデジタル・サインにおける秘密キーを破るのに、
殆ど無限の時間がかかるだろう、と誇らしげに語るがしかし、例えば、ブラウザ
又はEメール・プログラムにおける種々のループホールをあさることによって、E
メールによって又はウェブ・ページを通じて到着しているトロージャン・ホース
によって、それらを盗むことは遥かに容易なので、キーを破る必要はないという
単純な事実を無視している。このようなサインは、如何なる種類の契約（遺言及
び莫大な不動産の取り扱い（特に不拒否（non-repudiation）のポリシーと共に
やって来る地域において）を含めて）においても、勝り得るので、盗まれたキー
からの損害は巨大であり得るということは明白である。これは、例えばブラウザ
によって、多数回このような秘密キーは生成され及び保存されるので、特に危険
である。自動的分断ルールのようなルールを実施すること及び如何なるコミュニ
ケーション・チャンネルへの如何なるアクセスについてもユーザーからの認可を
求めることによって、このような泥棒は完全に避けられ得る。しかしながら、キ
ーがブラウザによって生成され又は保存される場合には、これらのキーが保持さ
れているディレクトリを識別するために、好ましくは付加的なルールが使われる
。さもなければ、ブラウザによってキーにアクセスすることはブラウザのデフォ
ルトの認可内にあることになるだろう。また、好ましくは、この場合セキュリテ
ィ・システムはまた、ユーザーが通常キーにアクセスする方法の種々の特徴（ch
aracteristics）を学びその結果、急なる異常な特徴が明白である時に、好まし
くは特別の途中停止及び警告が発せられる。暗号化キーを保存するためにスマー
ト・カード（smart card）のようなハードウェア・カードがたとえ使われても、
これらのキーはやはり、例えばこれらのカードにアクセスするプログラムの部分
を上書きすることによって又はこれがこれらのプログラムによって生成されてい
る間に、メモリ内のデータをモニタすることによって、トロジャン（Trojans）
によって盗まれるかもしれない。セルラー電話機において、例えば、これらは通
常、例えばウィンドウズと比較してまだ洗練された又はセンシティブなオペレー
ティング・システム及びファイル・システムを有しておらず及びオペレーティン
グ・システムは通常EPROMMに基づいているが、やはり少なくとも本システム及び
方法の原理（principles）の幾つかが次のように適用され得る: 1． 自己防御原理（BIOSのEPROMMを修正する認可を要求することのような及
び例えば図9にアウトラインしているような）、及びシステムに決定的な領域を
保護することは、全オペレーティング・システム及びセキュリティ・システムは
EPROMM又は同様な容易には修正できないメモリ上に存在し得るので、より容易に
実施し得る。従って、例えば、如何なるEPROMMデータの修正の如何なる試みも、
ユーザーからの明示的許可が必要である。 2． データ・オペレーションを処理するために使われるラム（RAM）メモリは
好ましくは、敵意ある活動に対してモニタされる。 3． セルラー電話機及び他の携帯デバイスは、益々、電子取引サイトからの
買いもの、資金の転送、ストックマーケット教示、等のような、ビジネス取引に
使われるので、クレジット・カード・データ及び特にプライベート暗号化キーの
ような、センシティブなコードのセキュリティは極めて重要である。そこで、例
えば、秘密暗号化キーにアクセスしようとする如何なる試みも、いずれにせよ好
ましくは、ユーザーからの明示的許可が必要である。好ましくはこれらの場合に
おいて、ユーザーはまた、パスワードが求められ、これは例えば電話機が盗まれ
た場合には、助けとなる。 4． 自動的にダイヤルし又は自動的に入ってくるコールに答えようとする如
何なる試みも好ましくは、特にもし複数の自動ダイヤルが試みられるならば、ユ
ーザーからの明示的許可が必要である。これは何らかのウイルスが、電話機に、
自動的にメッセージを種々の場所に送らせようとすること又は例えば室内で進行
していることを記録し及びそれをユーザーの知ることなしに送信しながら、スパ
イ・デバイスになることを防止する。 5． 例えば第3世代セルラー電話機において予想されているコンスタントなオ
ープン・インターネット接続の場合には、PCの例の場合のように、好ましくはど
のようなプログラムも、先立つユーザーの許可なしには、ウェブにアクセスでき
ず及び外部から開始されたどのような接続も、ユーザーの許可なしにはやって来
ることはできない。 6． 付加的なコミュニケーション・チャンネルへの如何なる未認可のアクセ
ス（ブルーツース（Bluetooth）・デバイスのような）をもまた好ましくは、阻
止され又はユーザーによって認可されなければならない。 7． セルラー又は携帯又は他の電話機は、より洗練され及びコンピュータ化
され又は例えばパーム・デバイスと一体化されてきているので、これらは、普通
のコンピュータ及びオペレーティング・システムに典型的な特徴を益々含むこと
ができ、及び従って、本システム及び方法のより多くの特徴が必要とされ及び実
施され得る。
【００２０】
より技術的な詳細は引続く図において説明される。
図1bは、ユーザー・インタフェース（好ましくはグラフィック・ユーザー・イ
ンタフェース）に重きを置いた、セキュリティ・システム部分間の好ましい相互
作用、及び許可の付与の好ましいプロセスを、より詳細に示す。プログラム（エ
グゼキュータブル）が、セキュリティ・システムによって、疑がわしい又は潜在
的に危険な活動（プログラムの自然な環境を超える又はコミュニケーション・チ
ャンネルをアクセスしようと試みるような）として見なすことを為そうと試みる
や否や、モニタ及び途中停止システム（102）は即時に、プログラム（1002）を
停止し及びユーザーに認可を求め、及びもしユーザーが留守ならば（例えばサー
バーの保護の場合に）、疑がわしい活動は、ユーザーが戻るまで阻止され及び／
又はログ（770）されてもよく、及びそのような決定は、セキュリティ・ルール
の種々のセット（740）及び疑わしい又は危険な活動の性質に従って、又はユー
ザー定義によって、行われる。好ましくは、高くはない危険な活動（1106）につ
いては、セキュリティ・システムは、例えば、攻撃プログラムを即時に未遂（ab
ort）にする、今回だけ許す、不許可にするがプログラムに進行させる、今から
常に又はあるイベントまで許す、このプログラムに対しての同様な違反について
尋ねるのを完全に停止する、又はこのディレクトリ及びこのサブ-ディレクトリ
における全てのプログラムに対しての同様な違反について尋ねるのを完全に停止
するのような、ユーザー・オプションを与える。もし疑いのある活動がファイル
に関連しているならば、セキュリティ・システムは好ましくはまた、許可はデー
タの読み込み（reading）に対してのみ与えられるか又はまたデータの修正に対
してもか、等を尋ねる。もし疑わしい活動がコミュニケーション・チャンネルに
関連していれば、システムは好ましくはまた、ユーザーがどのチャンネルをアプ
リケーションが使用することを許可するか及びどのような関連した活動を許すか
を特定することを許す。例（図面の全てにおいて）は説明的であることが意図さ
れており従って制限的ではない。好ましくは、ユーザーによる不注意な応答を避
けるため、ユーザーは常に、注意を払わない応答は常に、最も危険が少ないオプ
ションにデフォルトされるような方法で、認可を求められる。好ましくは、ドラ
イブをフォーマットする、ファイルを大量削除する、ハードディスクのパーティ
ション情報を変える、ブート領域の情報を変える、オペレーティング・システム
のカーネルに近いレベルでドライバをインストールする、定義された高-セキュ
リティ領域にアクセスする、又は攻撃しているエグゼキュータブル・プログラム
（exe及びcomファイル、バッチ・ファイル、DLL、MS-DOC、MS-XLSファイル、又
は実行可能なコマンドを含むかもしれない何らかの他のファイルのような）の自
然な環境の外側に存在するエグゼキュータブルを修正する、それらの名前を変更
する、新しいエグゼキュータブルを作り出す、又はそれらをクリックするときに
実行されるファイル・タイプのアプリケーションとの関連付けを変更する、等の
ような、高度に危険な活動（1108）に対しては、ユーザーは、より明示的に警告
され（好ましくはまた、可能な意味及び原因についての説明と共に）及び好まし
くは少なくとも2回、認可（authorization）を繰り返すことを求められる。好ま
しくは、これは全ての場合において適用される（ユーザーによって、それらの自
然な環境を超えることを許されたプログラムにおいてでさえ）。好ましくは、ユ
ーザーが認可を求められた時、セキュリティ・システムはまた、他の如何なるプ
ログラムもあたかもそれらがキーボード又はマウス又は何らかの他のインプット
・デバイスを通してユーザーによって入れられたかのように偽りの答えを入力で
きないことを、例えば他のプログラム（許された適切なインプット・デバイス・
ドライバを除いて）が例えばメモリ内のタイプされるキーのバッファ及びマウス
のイベントのバッファにデータを追加することを防止することによって、又は例
えばキーボード又はマウスから読み込まれたものは何でもそれらのイベント・バ
ッファ内に存在するものと同一であることを確実にするために全てのキーボード
・アクセス及び全てのマウス・イベントのフッッキング（hooking）を使用する
、又はこれらのフックされた関数（hooked functions）を通じて直接に来たコマ
ンドのみを使用することによって、確実にする。これの他の可能な変形例は、例
えば少なくとも高度に危険な活動について、それがユーザーの返答を待っている
間、セキュリティ・システムが全ての他のプロセスを凍結するということである
。これの他の可能な変形例は、セキュリティ・システムが通常使用されるそれら
に代えて、それ自身のキーボード及びマウス・ドライバを移植（plant）すると
いうことであるが、しかしながら、これは、標準外のキーボード又はマウスが使
われるときに、問題があるだろう。これの他の可能な変形例は、例えば、好まし
くは後述するアドミニストレータのコンピュータとのコミュニケーションの場合
におけるように、日付 & 時間スタンプ（date & time stamp）と共に、暗号化も
また用いる、より洗練された（smarter）キーボード及び／又はマウスを使用す
ることである。これに加えて、好ましくはセキュリティ・システムはまた、イベ
ントへの及びオブジェクト（例えば編集ボックス(edit box)のような）への及び
例えばshell32.dll、user32.dll及びgdi32.dll（これらは、ウィンドウズ・ユー
ザー・インタフェースに関連する、例えば標準のオープン・ファイル・ダイアロ
グ・ボックスを使用するとき、）のようなプログラムのメモリへのアクセスをコ
ントロールし、その結果、プログラムは、偽りのイベント（例えばそれが実際押
されていなくても、OKボタンを押したような）を作り出さず、又は例えばダイレ
クト・メモリ・アクセス（direct memory access）によって、ファイル名前を含
むインプット・ラインの内容を変更しない。好ましくはこれら又は同様の方法は
、また例えば音声コマンド（voice command）を許すシステムにおいても、適用
され得る。これの他の可能な変形例は、少なくともこれらの認可の幾つか（ユー
ザーにまた、高度に危険な活動に対してのような）に対して、パスワードを求め
ることであり、これはまた、例えばユーザーが一時的に離れている間に認可が他
の誰かによって与えられるチャンスを減少するために、好ましい。無論、これら
の方法の種々の組合せが、また使われ得る。好ましくは、これに加えて、図4を
参照して与えられる例においてのように、セキュリティ・システムはまた好まし
くは、ユーザー又はアプリケーションのいずれが、例えば、まだその特権を持た
ないプログラムに対して、プログラムの自然な環境の外側のファイルへのアクセ
スのような潜在的にセキュリティ上危険なコマンドを開始したかについて識別し
、及び従って例えば、もしコマンドが直接的にユーザーによって開始されたなら
ば、もしそれがアプリケーションによって開始された場合に比して、より柔軟性
及びより少ない制限（又は制限を設けないことさえ）を許すことができる。これ
は、彼が、彼自身、直接的にコマンドを開始したような場合に、例えばそれが高
度に危険な活動でない時、確認をユーザーに求める必要を省くことができる。再
び、これを信頼あるものにするために、セキュリティ・システムは好ましくは、
アプリケーションが、あたかもユーザーが例えばキーボード上で何かをタイプし
た及び従ってコマンドを開始したかのように、偽りの印象を作り出すことを、好
ましくは上記の方法のいずれかを用いて、防止する。好ましくは、高度に危険な
活動の追加的な定義は、アップデートとして、容易に供給され得る。しかしなが
ら、例えばプログラムがそれ自身をインストールしている間に、複数の警告を発
するのを避けるために、好ましくはセキュリティ・システムは、それを、同じ文
脈内（same context）における継続的なアクションとして、賢く（smartly）扱
うことができる。また、新しいプログラムがそれ自身をインストールする時に、
好ましくはセキュリティ・システムは、それら（その関連ファイル）が他の領域
（area）に存在するときにでさえ、その関連ファイルをより容易に識別できるた
めに、どのファイルがそれによって作り出されたかを記録する。好ましくはセキ
ュリティ・システムはまた、プログラムの活動及びその必要とするものを予期す
ることを試みるために、インストールの間、プログラムの共有DLL（shared DLLs
）においてインポートされた関数を分析する。そこで好ましくはセキュリティ・
システムは、オペレーティング・システムがインストールされた後可能な限り早
く、他のアプリケーションの前に、インストールされる。（しかしながら、上述
のように、セキュリティ・システムはまた、これの前にインストールされたアプ
リケーションに対して、働くことができる。）また、これを組織（organization
）においてより効率的にするために、好ましくは1つのコンピュータが、例えば
、それぞれのプログラムに対して全ての分断ルール（segregation rule）及び種
々の環境パラメーター（environment parameters）を学ぶために使われ得、及び
この知識は、他のコンピュータにおいてアプリケーションがインストールされた
順序（order）に拘らず、組織内の全ての他のコンピュータに転送され得る。図1
の参照において4番目の機能において与えられた例と同様に、もしユーザーが例
えば組織（organization）であり及び組織が例えばシステム・アドミニストレー
タに幾つかの又は全ての重要な認可又は全ての認可、又は例えば全ての潜在的に
高度に危険な活動をコントロールすることを許可することを望むならば、そのと
きには好ましくは種々の又は全ての認可（authorization）の要求は例えば、セ
キュリティ・システムによって、そのコンピュータに従事している従業員に代え
て又は加えて、直接的にシステム・アドミニストレータに向けられ、又は例えば
、それらがアドミニストレータによる既定義の許可（これは好ましくは必要とさ
れるときにはいつでも、彼によって、容易に更新され得る）に適合していない限
り、自動的に阻止される（4番目の機能において与えられた適切な例において説
明されたものと同様な方法によって）。また、好ましくは、例えば1つ又は複数
のコンピュータ上で習得されたパラメーター又は疑わしい活動のような種々の情
報は、好ましくはアドミニストレータによる認可の後にのみ、他のコンピュータ
に転送され得る。好ましくはこの権威（authority）（アドミニストレータのコ
ンピュータのような）との全てのコミュニケーションは確実にされ及び暗号化さ
れ及び好ましくはまた正確な時間及び日付スタンプ（time and date stamp）を
含む（邪悪なプログラムが例えば偽りの認可の送信又は偽りの認可を生成するた
めに古い認証された認可を再利用することを試みることから防止するために）。
また、好ましくはこのコミュニケーションは、オペレーティング・システムの通
常のネットワーク・デバイス・ドライバ及びプロトコルに代えて、セキュリティ
・システムの特別のプロトコルを使用する。これは、また実際上ジェネラル・ポ
リシーの実施（general policy enforcement）を可能にし得、その結果、組織は
例えば、プログラムのあるセットのみ全ての又はある一定のコンピュータ上で実
行され得る、又はある一定のアクションのみ全ての又はある一定のコンピュータ
上で許される、等を大変容易に決定し及び実施し得る。これらの種々のオプショ
ンは、種々の可能な実施例として見なされ得る。これらの幾つかは、例えば単独
の製品として、又は例えば同一製品内の種々のオプションとして、利用可能にさ
れ得る。好ましくは組織（organization）内のそれぞれのコンピュータ上で、従
業員に与えられたコントロールのレベルに対する例えばシステム・アドミニスト
レータによるコントロールは、好ましくは組織内のそれぞれのコンピュータに対
して別々に設定され得る。
ンタフェース）に重きを置いた、セキュリティ・システム部分間の好ましい相互
作用、及び許可の付与の好ましいプロセスを、より詳細に示す。プログラム（エ
グゼキュータブル）が、セキュリティ・システムによって、疑がわしい又は潜在
的に危険な活動（プログラムの自然な環境を超える又はコミュニケーション・チ
ャンネルをアクセスしようと試みるような）として見なすことを為そうと試みる
や否や、モニタ及び途中停止システム（102）は即時に、プログラム（1002）を
停止し及びユーザーに認可を求め、及びもしユーザーが留守ならば（例えばサー
バーの保護の場合に）、疑がわしい活動は、ユーザーが戻るまで阻止され及び／
又はログ（770）されてもよく、及びそのような決定は、セキュリティ・ルール
の種々のセット（740）及び疑わしい又は危険な活動の性質に従って、又はユー
ザー定義によって、行われる。好ましくは、高くはない危険な活動（1106）につ
いては、セキュリティ・システムは、例えば、攻撃プログラムを即時に未遂（ab
ort）にする、今回だけ許す、不許可にするがプログラムに進行させる、今から
常に又はあるイベントまで許す、このプログラムに対しての同様な違反について
尋ねるのを完全に停止する、又はこのディレクトリ及びこのサブ-ディレクトリ
における全てのプログラムに対しての同様な違反について尋ねるのを完全に停止
するのような、ユーザー・オプションを与える。もし疑いのある活動がファイル
に関連しているならば、セキュリティ・システムは好ましくはまた、許可はデー
タの読み込み（reading）に対してのみ与えられるか又はまたデータの修正に対
してもか、等を尋ねる。もし疑わしい活動がコミュニケーション・チャンネルに
関連していれば、システムは好ましくはまた、ユーザーがどのチャンネルをアプ
リケーションが使用することを許可するか及びどのような関連した活動を許すか
を特定することを許す。例（図面の全てにおいて）は説明的であることが意図さ
れており従って制限的ではない。好ましくは、ユーザーによる不注意な応答を避
けるため、ユーザーは常に、注意を払わない応答は常に、最も危険が少ないオプ
ションにデフォルトされるような方法で、認可を求められる。好ましくは、ドラ
イブをフォーマットする、ファイルを大量削除する、ハードディスクのパーティ
ション情報を変える、ブート領域の情報を変える、オペレーティング・システム
のカーネルに近いレベルでドライバをインストールする、定義された高-セキュ
リティ領域にアクセスする、又は攻撃しているエグゼキュータブル・プログラム
（exe及びcomファイル、バッチ・ファイル、DLL、MS-DOC、MS-XLSファイル、又
は実行可能なコマンドを含むかもしれない何らかの他のファイルのような）の自
然な環境の外側に存在するエグゼキュータブルを修正する、それらの名前を変更
する、新しいエグゼキュータブルを作り出す、又はそれらをクリックするときに
実行されるファイル・タイプのアプリケーションとの関連付けを変更する、等の
ような、高度に危険な活動（1108）に対しては、ユーザーは、より明示的に警告
され（好ましくはまた、可能な意味及び原因についての説明と共に）及び好まし
くは少なくとも2回、認可（authorization）を繰り返すことを求められる。好ま
しくは、これは全ての場合において適用される（ユーザーによって、それらの自
然な環境を超えることを許されたプログラムにおいてでさえ）。好ましくは、ユ
ーザーが認可を求められた時、セキュリティ・システムはまた、他の如何なるプ
ログラムもあたかもそれらがキーボード又はマウス又は何らかの他のインプット
・デバイスを通してユーザーによって入れられたかのように偽りの答えを入力で
きないことを、例えば他のプログラム（許された適切なインプット・デバイス・
ドライバを除いて）が例えばメモリ内のタイプされるキーのバッファ及びマウス
のイベントのバッファにデータを追加することを防止することによって、又は例
えばキーボード又はマウスから読み込まれたものは何でもそれらのイベント・バ
ッファ内に存在するものと同一であることを確実にするために全てのキーボード
・アクセス及び全てのマウス・イベントのフッッキング（hooking）を使用する
、又はこれらのフックされた関数（hooked functions）を通じて直接に来たコマ
ンドのみを使用することによって、確実にする。これの他の可能な変形例は、例
えば少なくとも高度に危険な活動について、それがユーザーの返答を待っている
間、セキュリティ・システムが全ての他のプロセスを凍結するということである
。これの他の可能な変形例は、セキュリティ・システムが通常使用されるそれら
に代えて、それ自身のキーボード及びマウス・ドライバを移植（plant）すると
いうことであるが、しかしながら、これは、標準外のキーボード又はマウスが使
われるときに、問題があるだろう。これの他の可能な変形例は、例えば、好まし
くは後述するアドミニストレータのコンピュータとのコミュニケーションの場合
におけるように、日付 & 時間スタンプ（date & time stamp）と共に、暗号化も
また用いる、より洗練された（smarter）キーボード及び／又はマウスを使用す
ることである。これに加えて、好ましくはセキュリティ・システムはまた、イベ
ントへの及びオブジェクト（例えば編集ボックス(edit box)のような）への及び
例えばshell32.dll、user32.dll及びgdi32.dll（これらは、ウィンドウズ・ユー
ザー・インタフェースに関連する、例えば標準のオープン・ファイル・ダイアロ
グ・ボックスを使用するとき、）のようなプログラムのメモリへのアクセスをコ
ントロールし、その結果、プログラムは、偽りのイベント（例えばそれが実際押
されていなくても、OKボタンを押したような）を作り出さず、又は例えばダイレ
クト・メモリ・アクセス（direct memory access）によって、ファイル名前を含
むインプット・ラインの内容を変更しない。好ましくはこれら又は同様の方法は
、また例えば音声コマンド（voice command）を許すシステムにおいても、適用
され得る。これの他の可能な変形例は、少なくともこれらの認可の幾つか（ユー
ザーにまた、高度に危険な活動に対してのような）に対して、パスワードを求め
ることであり、これはまた、例えばユーザーが一時的に離れている間に認可が他
の誰かによって与えられるチャンスを減少するために、好ましい。無論、これら
の方法の種々の組合せが、また使われ得る。好ましくは、これに加えて、図4を
参照して与えられる例においてのように、セキュリティ・システムはまた好まし
くは、ユーザー又はアプリケーションのいずれが、例えば、まだその特権を持た
ないプログラムに対して、プログラムの自然な環境の外側のファイルへのアクセ
スのような潜在的にセキュリティ上危険なコマンドを開始したかについて識別し
、及び従って例えば、もしコマンドが直接的にユーザーによって開始されたなら
ば、もしそれがアプリケーションによって開始された場合に比して、より柔軟性
及びより少ない制限（又は制限を設けないことさえ）を許すことができる。これ
は、彼が、彼自身、直接的にコマンドを開始したような場合に、例えばそれが高
度に危険な活動でない時、確認をユーザーに求める必要を省くことができる。再
び、これを信頼あるものにするために、セキュリティ・システムは好ましくは、
アプリケーションが、あたかもユーザーが例えばキーボード上で何かをタイプし
た及び従ってコマンドを開始したかのように、偽りの印象を作り出すことを、好
ましくは上記の方法のいずれかを用いて、防止する。好ましくは、高度に危険な
活動の追加的な定義は、アップデートとして、容易に供給され得る。しかしなが
ら、例えばプログラムがそれ自身をインストールしている間に、複数の警告を発
するのを避けるために、好ましくはセキュリティ・システムは、それを、同じ文
脈内（same context）における継続的なアクションとして、賢く（smartly）扱
うことができる。また、新しいプログラムがそれ自身をインストールする時に、
好ましくはセキュリティ・システムは、それら（その関連ファイル）が他の領域
（area）に存在するときにでさえ、その関連ファイルをより容易に識別できるた
めに、どのファイルがそれによって作り出されたかを記録する。好ましくはセキ
ュリティ・システムはまた、プログラムの活動及びその必要とするものを予期す
ることを試みるために、インストールの間、プログラムの共有DLL（shared DLLs
）においてインポートされた関数を分析する。そこで好ましくはセキュリティ・
システムは、オペレーティング・システムがインストールされた後可能な限り早
く、他のアプリケーションの前に、インストールされる。（しかしながら、上述
のように、セキュリティ・システムはまた、これの前にインストールされたアプ
リケーションに対して、働くことができる。）また、これを組織（organization
）においてより効率的にするために、好ましくは1つのコンピュータが、例えば
、それぞれのプログラムに対して全ての分断ルール（segregation rule）及び種
々の環境パラメーター（environment parameters）を学ぶために使われ得、及び
この知識は、他のコンピュータにおいてアプリケーションがインストールされた
順序（order）に拘らず、組織内の全ての他のコンピュータに転送され得る。図1
の参照において4番目の機能において与えられた例と同様に、もしユーザーが例
えば組織（organization）であり及び組織が例えばシステム・アドミニストレー
タに幾つかの又は全ての重要な認可又は全ての認可、又は例えば全ての潜在的に
高度に危険な活動をコントロールすることを許可することを望むならば、そのと
きには好ましくは種々の又は全ての認可（authorization）の要求は例えば、セ
キュリティ・システムによって、そのコンピュータに従事している従業員に代え
て又は加えて、直接的にシステム・アドミニストレータに向けられ、又は例えば
、それらがアドミニストレータによる既定義の許可（これは好ましくは必要とさ
れるときにはいつでも、彼によって、容易に更新され得る）に適合していない限
り、自動的に阻止される（4番目の機能において与えられた適切な例において説
明されたものと同様な方法によって）。また、好ましくは、例えば1つ又は複数
のコンピュータ上で習得されたパラメーター又は疑わしい活動のような種々の情
報は、好ましくはアドミニストレータによる認可の後にのみ、他のコンピュータ
に転送され得る。好ましくはこの権威（authority）（アドミニストレータのコ
ンピュータのような）との全てのコミュニケーションは確実にされ及び暗号化さ
れ及び好ましくはまた正確な時間及び日付スタンプ（time and date stamp）を
含む（邪悪なプログラムが例えば偽りの認可の送信又は偽りの認可を生成するた
めに古い認証された認可を再利用することを試みることから防止するために）。
また、好ましくはこのコミュニケーションは、オペレーティング・システムの通
常のネットワーク・デバイス・ドライバ及びプロトコルに代えて、セキュリティ
・システムの特別のプロトコルを使用する。これは、また実際上ジェネラル・ポ
リシーの実施（general policy enforcement）を可能にし得、その結果、組織は
例えば、プログラムのあるセットのみ全ての又はある一定のコンピュータ上で実
行され得る、又はある一定のアクションのみ全ての又はある一定のコンピュータ
上で許される、等を大変容易に決定し及び実施し得る。これらの種々のオプショ
ンは、種々の可能な実施例として見なされ得る。これらの幾つかは、例えば単独
の製品として、又は例えば同一製品内の種々のオプションとして、利用可能にさ
れ得る。好ましくは組織（organization）内のそれぞれのコンピュータ上で、従
業員に与えられたコントロールのレベルに対する例えばシステム・アドミニスト
レータによるコントロールは、好ましくは組織内のそれぞれのコンピュータに対
して別々に設定され得る。
【００２１】
認可（authorizations）のデータベースを見たり及び／又は修正する好ましい
方法は例えば、名前及び好ましくはコミュニケーション・チャンネル（及び好ま
しくはどのチャンネルかのリスト）をアクセスすること、又はそれらの自然な環
境を超えること、又はデフォルトとして通常のアプリケーションは持たない何ら
かの他の特権（privileges）を持つことを許されたアプリケーションの種々の識
別マーク（identification marks）をリストし、及びそれらがどのような特権を
与えられたかをリストする、テーブルの形式である。例えばキーストロークを掴
む（catch）ために、キーボード・デバイスをトラップ（trap）するような、幾
つかの活動は、如何なるアプリケーションに対しても不許可とされ続けるだろう
。好ましくはこのテーブルはまた、前に説明されたように、それぞれのプログラ
ムの活動についての種々の統計的データ（statistical data）も含む。殆どのコ
ントロールがシステム・アドミニストレータの手中にある組織において、好まし
くはそれぞれのコンピュータにインストールされたセキュリティ・システムは、
依然として同様なテーブルを実行し及び同様なデータベースを維持するがしかし
ながら、システムは、従業員がアドミニストレータの認可なしで変えることがで
きることを制限することができる。このような組織において、好ましくはアドミ
ニストレータのコンピュータ上で、このテーブルはまた、例えば、組織内でシス
テムに接続されているコンピュータのリスト（好ましくはそれぞれのコンピュー
タのユニークな識別子（unique identifier）と共に、及び好ましくはリスト内
のそれぞれのコンピュータの活動についての付加的な統計的な情報と共に）のよ
うな、付加的な情報及びコントロールを含んでおり、従って好ましくはシステム
は、例えばシステム内のあるコンピュータが、通常でないディスク活動又は通常
でないコミュニケーション活動のように、その正常な活動からかなり反れ始める
ときはいつでも、アドミニストレータに警告する。このようなデータは好ましく
はまた、記録（log）される。好ましくはアドミニストレータのコンピュータと
従業員のコンピュータとの間のコミュニケーションは、暗号化され及び確実にさ
れる。好ましくは、これに加えて、例えば何れかのコンピュータ上のセキュリテ
ィ・システムが損害を受けた又は不可能にされたかを迅速に知ることができるよ
うに、アドミニストレータのコンピュータ上のセキュリティ・システムは常に、
システム内の他のコンピュータへ短い時間間隔で短いコミュニケーションを送信
する。好ましくは、この短いコミュニケーションは、例えばそれぞれのコンピュ
ータに対して異なったキーを有する特別のコードを含み得、その結果、アクティ
ブなセキュリティ・システムのみがそれに適切に応答し得、及び異なった応答は
セキュリティ・システムが不可能にされている又は適切に作動していない（例え
ばコンピュータがハードディスクに代えてディスケットからブートされた場合を
含む）稼動コンピュータからやって来、及び例えばスイッチが切られたコンピュ
ータからは応答がない。他の可能な変形例は好ましくは、これに加えて、図13に
示されるように、もし、例えばシステム内のそれぞれの通常のコンピュータは独
立したモデムを持たず及び例えばネットワーク・カードのみを持つように、組織
内のコンピュータが、例えば1つ（又はそれより多くの）中心のゲートウェイ・
コンピュータ（これはアドミニストレータのコンピュータ、又は別のコンピュー
タであり得る）のみを通って、ウェブにアクセスするよう構成されているならば
、これは、例えばオペレーティング・システムそれ自身内にさえ存在するかもし
れないバックドア（backdoor）を掴む（catch）ための付加的なコントロールと
して使われ得るだろう、ということである:この場合、好ましくは全てのコミュ
ニケーションはまたアドミニストレータのコンピュータを経由し、及びそれぞれ
のコンピュータ上のセキュリティ・システムは好ましくは、アドミニストレータ
のコンピュータ上のセキュリティ・システムに、常時又は好ましくは短い時間間
隔で、例えばそれはどれだけの量のデータがコンピュータのコミュニケーション
・チャンネルから送り出されるのを許したかをリポート（report）し、その結果
、アドミニストレータのコンピュータ上のセキュリティ・システムは好ましくは
、実際のコミュニケーションの量がそのコンピュータのセキュリティ・システム
によって報告された量に適合しないコンピュータからのコミュニケーション試み
を、即時に又は短い時間間隔で、知り及び途中停止することができる。それぞれ
のコンピュータによってどれだけの量のデータが実際に送り出されたかを発見す
るために、アドミニストレータのコンピュータ上のセキュリティ・システムは例
えば、パケット・ヘッダーを独力でチェックし又はこの目的のためにゲートウェ
イ・コンピュータ上のネットワーク・ファイア・ウォールのサービス（もしこの
ようなファイア・ウォールが使われているならば）を使用し、又はどのコンピュ
ータからデータが来ているかを知るために何らかの他のルーティング情報（rout
ing information）を使用する。この特徴は大変重要であり及び送り出されたデ
ータの実際の量が報告された量に、例えばオペレーティング・システムのダイヤ
ラーによって報告された量にさえ、適合しない場合を発見するために、他の特徴
と独立してまた使われ得る。もちろん、2人以上のアドミニストレータが存在し
得る。他の可能な変形例は、そのコミュニケーション・デバイスが好ましくはコ
ンピュータのセキュリティ・システムにどれだけの量のデータが実際に送り出さ
れたかをリポートできるように、例えばそれぞれのコンピュータ（又はコンピュ
ータのそれぞれのグループ）に対して、少なくとも送り出されたデータの量をモ
ニタ可能な、モデム又はネットワーク・カード又は他のコミュニケーション・デ
バイス（図1の111）を使用することであり、その結果、好ましくは、もし実際の
コミュニケーションの量がそのコンピュータのセキュリティ・システムによって
報告された量に適合しないならば、コミュニケーションは、即時に阻止（block
）され得及び警告は、発せられ得る。（好ましくはこの場合のブロックはセキュ
リティ・システムによってなされるが、しかしながら、他の可能な変形例は、そ
れはまた、コミュニケーション・デバイスそれ自身によって、又は全てのトラフ
ィックがそれらを通過する場合の組織内のアドミニストレータのコンピュータ又
はゲートウェイ・コンピュータによってなされ得るということである。）これは
、それはまた中央制御（central control）を使用しない単一のコンピュータ又
はコンピュータの小さいグループに対して使われ得るという利点を有しているが
、しかしながら、それはまた中央制御を備えた組織においても使われ得るだろう
。再び、これは重要であり及び送り出されたデータの実際の量が報告された量に
、例えばオペレーティング・システムのダイヤラーによって報告された量にさえ
、適合しない場合を発見するために、他の特徴と独立してまた使われ得る。これ
の他の可能な変形例は例えば、同様にまたどれだけの量のデータが流れ入ったか
を報告することである。組織における他の可能な変形例は、このような不一致の
ケースについてのリポートは、自動的にこれらのコミュニケーション・デバイス
によってまた（又は代わりに）、例えばシステム・アドミニストレータに報告さ
れるということである。
方法は例えば、名前及び好ましくはコミュニケーション・チャンネル（及び好ま
しくはどのチャンネルかのリスト）をアクセスすること、又はそれらの自然な環
境を超えること、又はデフォルトとして通常のアプリケーションは持たない何ら
かの他の特権（privileges）を持つことを許されたアプリケーションの種々の識
別マーク（identification marks）をリストし、及びそれらがどのような特権を
与えられたかをリストする、テーブルの形式である。例えばキーストロークを掴
む（catch）ために、キーボード・デバイスをトラップ（trap）するような、幾
つかの活動は、如何なるアプリケーションに対しても不許可とされ続けるだろう
。好ましくはこのテーブルはまた、前に説明されたように、それぞれのプログラ
ムの活動についての種々の統計的データ（statistical data）も含む。殆どのコ
ントロールがシステム・アドミニストレータの手中にある組織において、好まし
くはそれぞれのコンピュータにインストールされたセキュリティ・システムは、
依然として同様なテーブルを実行し及び同様なデータベースを維持するがしかし
ながら、システムは、従業員がアドミニストレータの認可なしで変えることがで
きることを制限することができる。このような組織において、好ましくはアドミ
ニストレータのコンピュータ上で、このテーブルはまた、例えば、組織内でシス
テムに接続されているコンピュータのリスト（好ましくはそれぞれのコンピュー
タのユニークな識別子（unique identifier）と共に、及び好ましくはリスト内
のそれぞれのコンピュータの活動についての付加的な統計的な情報と共に）のよ
うな、付加的な情報及びコントロールを含んでおり、従って好ましくはシステム
は、例えばシステム内のあるコンピュータが、通常でないディスク活動又は通常
でないコミュニケーション活動のように、その正常な活動からかなり反れ始める
ときはいつでも、アドミニストレータに警告する。このようなデータは好ましく
はまた、記録（log）される。好ましくはアドミニストレータのコンピュータと
従業員のコンピュータとの間のコミュニケーションは、暗号化され及び確実にさ
れる。好ましくは、これに加えて、例えば何れかのコンピュータ上のセキュリテ
ィ・システムが損害を受けた又は不可能にされたかを迅速に知ることができるよ
うに、アドミニストレータのコンピュータ上のセキュリティ・システムは常に、
システム内の他のコンピュータへ短い時間間隔で短いコミュニケーションを送信
する。好ましくは、この短いコミュニケーションは、例えばそれぞれのコンピュ
ータに対して異なったキーを有する特別のコードを含み得、その結果、アクティ
ブなセキュリティ・システムのみがそれに適切に応答し得、及び異なった応答は
セキュリティ・システムが不可能にされている又は適切に作動していない（例え
ばコンピュータがハードディスクに代えてディスケットからブートされた場合を
含む）稼動コンピュータからやって来、及び例えばスイッチが切られたコンピュ
ータからは応答がない。他の可能な変形例は好ましくは、これに加えて、図13に
示されるように、もし、例えばシステム内のそれぞれの通常のコンピュータは独
立したモデムを持たず及び例えばネットワーク・カードのみを持つように、組織
内のコンピュータが、例えば1つ（又はそれより多くの）中心のゲートウェイ・
コンピュータ（これはアドミニストレータのコンピュータ、又は別のコンピュー
タであり得る）のみを通って、ウェブにアクセスするよう構成されているならば
、これは、例えばオペレーティング・システムそれ自身内にさえ存在するかもし
れないバックドア（backdoor）を掴む（catch）ための付加的なコントロールと
して使われ得るだろう、ということである:この場合、好ましくは全てのコミュ
ニケーションはまたアドミニストレータのコンピュータを経由し、及びそれぞれ
のコンピュータ上のセキュリティ・システムは好ましくは、アドミニストレータ
のコンピュータ上のセキュリティ・システムに、常時又は好ましくは短い時間間
隔で、例えばそれはどれだけの量のデータがコンピュータのコミュニケーション
・チャンネルから送り出されるのを許したかをリポート（report）し、その結果
、アドミニストレータのコンピュータ上のセキュリティ・システムは好ましくは
、実際のコミュニケーションの量がそのコンピュータのセキュリティ・システム
によって報告された量に適合しないコンピュータからのコミュニケーション試み
を、即時に又は短い時間間隔で、知り及び途中停止することができる。それぞれ
のコンピュータによってどれだけの量のデータが実際に送り出されたかを発見す
るために、アドミニストレータのコンピュータ上のセキュリティ・システムは例
えば、パケット・ヘッダーを独力でチェックし又はこの目的のためにゲートウェ
イ・コンピュータ上のネットワーク・ファイア・ウォールのサービス（もしこの
ようなファイア・ウォールが使われているならば）を使用し、又はどのコンピュ
ータからデータが来ているかを知るために何らかの他のルーティング情報（rout
ing information）を使用する。この特徴は大変重要であり及び送り出されたデ
ータの実際の量が報告された量に、例えばオペレーティング・システムのダイヤ
ラーによって報告された量にさえ、適合しない場合を発見するために、他の特徴
と独立してまた使われ得る。もちろん、2人以上のアドミニストレータが存在し
得る。他の可能な変形例は、そのコミュニケーション・デバイスが好ましくはコ
ンピュータのセキュリティ・システムにどれだけの量のデータが実際に送り出さ
れたかをリポートできるように、例えばそれぞれのコンピュータ（又はコンピュ
ータのそれぞれのグループ）に対して、少なくとも送り出されたデータの量をモ
ニタ可能な、モデム又はネットワーク・カード又は他のコミュニケーション・デ
バイス（図1の111）を使用することであり、その結果、好ましくは、もし実際の
コミュニケーションの量がそのコンピュータのセキュリティ・システムによって
報告された量に適合しないならば、コミュニケーションは、即時に阻止（block
）され得及び警告は、発せられ得る。（好ましくはこの場合のブロックはセキュ
リティ・システムによってなされるが、しかしながら、他の可能な変形例は、そ
れはまた、コミュニケーション・デバイスそれ自身によって、又は全てのトラフ
ィックがそれらを通過する場合の組織内のアドミニストレータのコンピュータ又
はゲートウェイ・コンピュータによってなされ得るということである。）これは
、それはまた中央制御（central control）を使用しない単一のコンピュータ又
はコンピュータの小さいグループに対して使われ得るという利点を有しているが
、しかしながら、それはまた中央制御を備えた組織においても使われ得るだろう
。再び、これは重要であり及び送り出されたデータの実際の量が報告された量に
、例えばオペレーティング・システムのダイヤラーによって報告された量にさえ
、適合しない場合を発見するために、他の特徴と独立してまた使われ得る。これ
の他の可能な変形例は例えば、同様にまたどれだけの量のデータが流れ入ったか
を報告することである。組織における他の可能な変形例は、このような不一致の
ケースについてのリポートは、自動的にこれらのコミュニケーション・デバイス
によってまた（又は代わりに）、例えばシステム・アドミニストレータに報告さ
れるということである。
【００２２】
図2は、ディスク関連のアクション（201）（ファイル・オーブン、ファイル読
み込み、ファイル書き込み、ファイル・チェンジ、ディスク読み込み、ディスク
書き込み、ディスク・フォーマット、等のような）のために呼ばれるフックされ
た関数へのアクセスをモニタし、チェックし及び認可するための好ましい方法を
示す。好ましくは関数は、アクセスの適当なメソッド（読み込み（read）、書き
込み（write）、クエリー（query）、等）にトンネル（tunnel）される（202）
。それからセキュリティ・システムは、コーラー（caller）の正体（identity）
を検索し（203）、もし必要とされるならば、データベースからその適切な情報
を検索し（700）、及び要求されたファイル・アクションのパラメーター（ファ
イル・ネーム、パス・ネーム、等のような）を検索する（204）。パラメーター
はトラック（track）され（211）及び、もし必要とされるならば、適切な部分は
、更なる使用のため（例えば統計のため）に、データベースに保存される（700
）。もし必要とされるならば、データベース（700）内のルール・セッティング
（rule settings）へのアクセスが、現在のアクションは許されるか否かをチェ
ックするために、行われ、及び回答の起源（answer's origin）が、セキュリテ
ィ・システムのハッキングを防止するために、認可される（207）。（例えば、
もしプログラムがそれ自身の自然な環境（natural environment）内のファイル
へのアクセスを試みるならば、データベースへアクセスすることは必要ない。）
また、好ましくはセキュリティ・システムはまた、図1bにおいて説明されたよう
に、アクションはユーザー又はアプリケーションのいずれによって開始されたか
を、考慮に入れることができる。もしハッキングが認められたならば、セキュリ
ティ・システムは好ましくは、特別の終了プロセス（special termination proc
ess）に進む（1001）。もし回答の起源がなるほどデータベースから来ているも
のとして認証されるならば、セキュリティ・システムは、アクションは許される
か否かについてのチェックをなす。もし許されないならば、セキュリティ・シス
テムは例えば、ユーザーから許可を求め、又はプロセスを終了し、又はそれに何
かが存在しないと告げ、又はそれに要求はなされたと告げ（実際にそれをするこ
となしに）、又はもしユーザーが同意しないならば上記のことをなし、又は好ま
しくはまたユーザーによって求められた視感度（visibility）の程度（amount）
に依存して、他のアクションを選択することができ（1002）、及びもし認可され
るならば、それは、オリジナルのフックされた関数にパラメーターを渡し（212
）、及び、もし必要とされるならば、データベースは、新しい認可でもって更新
される。この及び他の図、及び特にフローチャートは一般的例に過ぎず、及び種
々のステップは例えば変化し又は異なった順序であり得ることを、また言及され
るべきである。
み込み、ファイル書き込み、ファイル・チェンジ、ディスク読み込み、ディスク
書き込み、ディスク・フォーマット、等のような）のために呼ばれるフックされ
た関数へのアクセスをモニタし、チェックし及び認可するための好ましい方法を
示す。好ましくは関数は、アクセスの適当なメソッド（読み込み（read）、書き
込み（write）、クエリー（query）、等）にトンネル（tunnel）される（202）
。それからセキュリティ・システムは、コーラー（caller）の正体（identity）
を検索し（203）、もし必要とされるならば、データベースからその適切な情報
を検索し（700）、及び要求されたファイル・アクションのパラメーター（ファ
イル・ネーム、パス・ネーム、等のような）を検索する（204）。パラメーター
はトラック（track）され（211）及び、もし必要とされるならば、適切な部分は
、更なる使用のため（例えば統計のため）に、データベースに保存される（700
）。もし必要とされるならば、データベース（700）内のルール・セッティング
（rule settings）へのアクセスが、現在のアクションは許されるか否かをチェ
ックするために、行われ、及び回答の起源（answer's origin）が、セキュリテ
ィ・システムのハッキングを防止するために、認可される（207）。（例えば、
もしプログラムがそれ自身の自然な環境（natural environment）内のファイル
へのアクセスを試みるならば、データベースへアクセスすることは必要ない。）
また、好ましくはセキュリティ・システムはまた、図1bにおいて説明されたよう
に、アクションはユーザー又はアプリケーションのいずれによって開始されたか
を、考慮に入れることができる。もしハッキングが認められたならば、セキュリ
ティ・システムは好ましくは、特別の終了プロセス（special termination proc
ess）に進む（1001）。もし回答の起源がなるほどデータベースから来ているも
のとして認証されるならば、セキュリティ・システムは、アクションは許される
か否かについてのチェックをなす。もし許されないならば、セキュリティ・シス
テムは例えば、ユーザーから許可を求め、又はプロセスを終了し、又はそれに何
かが存在しないと告げ、又はそれに要求はなされたと告げ（実際にそれをするこ
となしに）、又はもしユーザーが同意しないならば上記のことをなし、又は好ま
しくはまたユーザーによって求められた視感度（visibility）の程度（amount）
に依存して、他のアクションを選択することができ（1002）、及びもし認可され
るならば、それは、オリジナルのフックされた関数にパラメーターを渡し（212
）、及び、もし必要とされるならば、データベースは、新しい認可でもって更新
される。この及び他の図、及び特にフローチャートは一般的例に過ぎず、及び種
々のステップは例えば変化し又は異なった順序であり得ることを、また言及され
るべきである。
【００２３】
図3は、コミュニケーション関連のアクション（301）（コミュニケーションを
開く、コミュニケーションを閉じる、送信、受信、等のような）のために呼ばれ
るフックされた関数へのアクセスをモニタし、チェックし及び認可するための好
ましい方法を示す。好ましくは関数は、アクセスの適当なメソッド（送信（send
）、受信（receive）、等）にトンネルされる（302）。それからセキュリティ・
システムは、コーラー（caller）の正体（identity）を検索し（303）、データ
ベースからその適切な情報を検索し（700）、及び要求されたコミュニケーショ
ン・アクションのパラメーター（ハンドルid、アドレス、プロトコル、等のよう
な）を検索する（304）。パラメーターはトラック（track）され（311）及び、
もし必要とされるならば、適切な部分は、更なる使用のため（例えば統計のため
）に、データベースに保存される（700）。また、好ましくは、可能なときは、
セキュリティ・システムはまた、図1bにおいて説明されたように、アクションは
ユーザー又はアプリケーションのいずれによって開始されたかを、考慮に入れる
ことができる。もし必要とされるならば、データベース（700）内のルール・セ
ッティングへのアクセスが、現在のアクションは許されるか否かをチェックする
ために、行われ、及び回答の起源（answer's origin）が、セキュリティ・シス
テムのハッキングを防止するために、認可される（307）。もしハッキングが認
められたならば、セキュリティ・システムは好ましくは、特別の終了プロセス（
special termination process）に進む（1001）。もし回答の起源がなるほどデ
ータベースから来ているものとして認証されるならば、セキュリティ・システム
は、アクションは許されるか否かについてのチェックをなす。もし許されないな
らば、セキュリティ・システムは例えば、ユーザーから許可を求め、又はプロセ
スを終了し、又はそれに何かが存在しないと告げ、又はそれに要求はなされたと
告げ（実際にそれをすることなしに）、又はもしユーザーが同意していないなら
ば上記のことをなし、又は好ましくはまたユーザーによって求められた視感度（
visibility）の程度（amount）に依存して、他のアクションを選択することがで
き（1002）、及びもし認可されるならば、それは、オリジナルのフックされた関
数にパラメーターを渡し（312）、及び、もし必要とされるならば、データベー
スは、新しい認可でもって更新される。
開く、コミュニケーションを閉じる、送信、受信、等のような）のために呼ばれ
るフックされた関数へのアクセスをモニタし、チェックし及び認可するための好
ましい方法を示す。好ましくは関数は、アクセスの適当なメソッド（送信（send
）、受信（receive）、等）にトンネルされる（302）。それからセキュリティ・
システムは、コーラー（caller）の正体（identity）を検索し（303）、データ
ベースからその適切な情報を検索し（700）、及び要求されたコミュニケーショ
ン・アクションのパラメーター（ハンドルid、アドレス、プロトコル、等のよう
な）を検索する（304）。パラメーターはトラック（track）され（311）及び、
もし必要とされるならば、適切な部分は、更なる使用のため（例えば統計のため
）に、データベースに保存される（700）。また、好ましくは、可能なときは、
セキュリティ・システムはまた、図1bにおいて説明されたように、アクションは
ユーザー又はアプリケーションのいずれによって開始されたかを、考慮に入れる
ことができる。もし必要とされるならば、データベース（700）内のルール・セ
ッティングへのアクセスが、現在のアクションは許されるか否かをチェックする
ために、行われ、及び回答の起源（answer's origin）が、セキュリティ・シス
テムのハッキングを防止するために、認可される（307）。もしハッキングが認
められたならば、セキュリティ・システムは好ましくは、特別の終了プロセス（
special termination process）に進む（1001）。もし回答の起源がなるほどデ
ータベースから来ているものとして認証されるならば、セキュリティ・システム
は、アクションは許されるか否かについてのチェックをなす。もし許されないな
らば、セキュリティ・システムは例えば、ユーザーから許可を求め、又はプロセ
スを終了し、又はそれに何かが存在しないと告げ、又はそれに要求はなされたと
告げ（実際にそれをすることなしに）、又はもしユーザーが同意していないなら
ば上記のことをなし、又は好ましくはまたユーザーによって求められた視感度（
visibility）の程度（amount）に依存して、他のアクションを選択することがで
き（1002）、及びもし認可されるならば、それは、オリジナルのフックされた関
数にパラメーターを渡し（312）、及び、もし必要とされるならば、データベー
スは、新しい認可でもって更新される。
【００２４】
図4は、レジストリ関連のアクション（301）（読み込み（read）、書き込み（
write）、チェンジ（change）、等のような）のために呼ばれるフックされた関
数へのアクセスをモニタし、チェックし及び認可するための好ましい方法を示す
。好ましくは関数は、アクセスの適当なメソッド（読み込み（read）、書き込み
（write）、等）にトンネルされる（402）。それからセキュリティ・システムは
、コーラー（caller）の正体（identity）を検索し（403）、データベース（700
）からその適切な情報を検索し、及び要求されたレジストリ・アクションのパラ
メーター（キー（key）、値（value）、等のような）を検索する（404）。パラ
メーターはトラック（track）され（411）及び、もし必要とされるならば、適切
な部分は、更なる使用のため（例えば統計のため）に、データベースに保存され
る（700）。データベース（700）内のルール・セッティングへのアクセスが、現
在のアクションは許されるか否かをチェックするために、行われ、回答の起源（
answer's origin）が、セキュリティ・システムのハッキングを防止するために
、認可される（407）。もしハッキングが認められたならば、セキュリティ・シ
ステムは好ましくは、特別の終了プロセス（special termination process）に
進む（1001）。もし回答の起源がなるほどデータベースから来ているものとして
認証されるならば、セキュリティ・システムは、アクションは許されるか否かに
ついてのチェックをなす。もし許されないならば、セキュリティ・システムは例
えば、ユーザーから許可を求め、又はプロセスを終了し、又はそれに何かが存在
しないと告げ、又はそれに要求はなされたと告げ（実際にそれをすることなしに
）、又はもしユーザーが同意していないならば上記のことをなし、又は好ましく
はまたユーザーによって求められた視感度（visibility）の程度（amount）に依
存して、他のアクションを選択することができ（1002）、及びもし認可されるな
らば、それは、オリジナルのフックされた関数にパラメーターを渡し（412）、
及び、もし必要とされるならば、データベースは、新しい認可でもって更新され
る。
write）、チェンジ（change）、等のような）のために呼ばれるフックされた関
数へのアクセスをモニタし、チェックし及び認可するための好ましい方法を示す
。好ましくは関数は、アクセスの適当なメソッド（読み込み（read）、書き込み
（write）、等）にトンネルされる（402）。それからセキュリティ・システムは
、コーラー（caller）の正体（identity）を検索し（403）、データベース（700
）からその適切な情報を検索し、及び要求されたレジストリ・アクションのパラ
メーター（キー（key）、値（value）、等のような）を検索する（404）。パラ
メーターはトラック（track）され（411）及び、もし必要とされるならば、適切
な部分は、更なる使用のため（例えば統計のため）に、データベースに保存され
る（700）。データベース（700）内のルール・セッティングへのアクセスが、現
在のアクションは許されるか否かをチェックするために、行われ、回答の起源（
answer's origin）が、セキュリティ・システムのハッキングを防止するために
、認可される（407）。もしハッキングが認められたならば、セキュリティ・シ
ステムは好ましくは、特別の終了プロセス（special termination process）に
進む（1001）。もし回答の起源がなるほどデータベースから来ているものとして
認証されるならば、セキュリティ・システムは、アクションは許されるか否かに
ついてのチェックをなす。もし許されないならば、セキュリティ・システムは例
えば、ユーザーから許可を求め、又はプロセスを終了し、又はそれに何かが存在
しないと告げ、又はそれに要求はなされたと告げ（実際にそれをすることなしに
）、又はもしユーザーが同意していないならば上記のことをなし、又は好ましく
はまたユーザーによって求められた視感度（visibility）の程度（amount）に依
存して、他のアクションを選択することができ（1002）、及びもし認可されるな
らば、それは、オリジナルのフックされた関数にパラメーターを渡し（412）、
及び、もし必要とされるならば、データベースは、新しい認可でもって更新され
る。
【００２５】
図5は、何らかのエグゼキュータブル・ファイルがオペレーティング・システ
ムによって実行のためにロードされている時（501）、好ましくは何が起こるか
を、示す。セキュリティ・システムは、それについて通知され、及びそれが実際
に実行を開始する前に、それをチェックする。更にまた、ファイルは、それはメ
モリへのロード前にアクセスされているので、セキュリティ・システムがファイ
ルへのアクセスを許可する時（図2を見よ）という、より早い段階で（例えば、
もしformat．exeが全てに対して否定されたならば、それは、この段階に到達し
ない）、アクセスされている（図2を見よ）。セキュリティ・システムは、ファ
イル・パラメーター及び適切なデータ（プロセスid（PID）、スレッド、割り当
てられたメモリ（allocated memory）、等のような）を更なる使用のためにトラ
ック（track）し（502）、もし必要とされるならば、それらをデータベースに保
存し（700）、及びパラメーターを渡す。
ムによって実行のためにロードされている時（501）、好ましくは何が起こるか
を、示す。セキュリティ・システムは、それについて通知され、及びそれが実際
に実行を開始する前に、それをチェックする。更にまた、ファイルは、それはメ
モリへのロード前にアクセスされているので、セキュリティ・システムがファイ
ルへのアクセスを許可する時（図2を見よ）という、より早い段階で（例えば、
もしformat．exeが全てに対して否定されたならば、それは、この段階に到達し
ない）、アクセスされている（図2を見よ）。セキュリティ・システムは、ファ
イル・パラメーター及び適切なデータ（プロセスid（PID）、スレッド、割り当
てられたメモリ（allocated memory）、等のような）を更なる使用のためにトラ
ック（track）し（502）、もし必要とされるならば、それらをデータベースに保
存し（700）、及びパラメーターを渡す。
【００２６】
図6は、メモリ関連のアクション（601）（読み込み（read）、書き込み（writ
e）、等のような）のために呼ばれるフックされた関数へのアクセスをモニタし
、チェックし及び認可するための好ましい方法を示す。それからセキュリティ・
システムは、コーラー（caller）の正体（identity）を検索し（602）、その適
切な情報をデータベースから検索し（700）、その部分（ライブラリ（library）
、等）及びその自己割り当て（self-allocated）メモリ（物理的（physical）、
仮想的（virtual）、等）を入手し（603）、及びプロセスがそのメモリ・ボーダ
ーを超えたか否かをチェックする（604）。もしそれが、それを超えたならば、
セキュリティ・システムは例えば、ユーザーから許可を求め、又はプロセスを終
了し、又はそれに何かが存在しないと告げ、又はそれに要求はなされたと告げ（
実際にそれをすることなしに）、又はもしユーザーが同意していないならば上記
のことをなし、又は好ましくはまたユーザーによって求められた視感度（visibi
lity）の程度（amount）に依存して、他のアクションを選択することができ（10
02）、さもなくば、それは、オリジナルのフックされた関数にパラメーターを渡
す（605）。この特徴は、その実施は種々のオペレーティング・システムにおい
て制限され又は部分的に制限されるかもしれないので、可能な限度で実施される
。もし必要とされるならば、図8において説明されるオプショナルの付加的なハ
ードウェアはまた、この文脈（context）において有益である。
e）、等のような）のために呼ばれるフックされた関数へのアクセスをモニタし
、チェックし及び認可するための好ましい方法を示す。それからセキュリティ・
システムは、コーラー（caller）の正体（identity）を検索し（602）、その適
切な情報をデータベースから検索し（700）、その部分（ライブラリ（library）
、等）及びその自己割り当て（self-allocated）メモリ（物理的（physical）、
仮想的（virtual）、等）を入手し（603）、及びプロセスがそのメモリ・ボーダ
ーを超えたか否かをチェックする（604）。もしそれが、それを超えたならば、
セキュリティ・システムは例えば、ユーザーから許可を求め、又はプロセスを終
了し、又はそれに何かが存在しないと告げ、又はそれに要求はなされたと告げ（
実際にそれをすることなしに）、又はもしユーザーが同意していないならば上記
のことをなし、又は好ましくはまたユーザーによって求められた視感度（visibi
lity）の程度（amount）に依存して、他のアクションを選択することができ（10
02）、さもなくば、それは、オリジナルのフックされた関数にパラメーターを渡
す（605）。この特徴は、その実施は種々のオペレーティング・システムにおい
て制限され又は部分的に制限されるかもしれないので、可能な限度で実施される
。もし必要とされるならば、図8において説明されるオプショナルの付加的なハ
ードウェアはまた、この文脈（context）において有益である。
【００２７】
図7を参照して、我々は、セキュリティ・システム・データベースのより好ま
しい主な部分及び方法を示す。データベース又はその部分は、コンピュータのメ
モリ及び保存メディア内に位置している。データベースへの如何なるアクセスも
暗号化され（701）及びその起源（origin）は識別（identify）される（702）。
認証（authentication）はチェックされ（703）及びもしハッキングが認められ
たならば、プログラムは、好ましくは特別の終了プロセスに進む（1001）。もし
アクセスが認証（authenticate）されるならば、データベースは、レコード（74
0）（これは好ましくは、統計（statistics）レコード（751）、プロセスID（PI
D）レコード（752）、付加的なレコード（760）、活動（activity）のログ（770
）及び好ましくはファイル・レコード（741）、ネットワーク・レコード（742）
及びレジストリー・レコード（743）のような情報を含む、セキュリティ・ルー
ル（740）を含む）から又はそれに、情報をセットし又は検索することができる
（704）。ルール・レコードのそれぞれのグループは好ましくは、以下の情報を
含む:取得されたユーザーのルール、既配布の取得されたルール、デフォルトの
ルール及び種々のパラメーター（上述のような）。もし要求が情報を保存するた
めならば、要求は、行われ及びコーラー（caller）（セキュリティ・システム内
部関数の1つ）に戻される（706）。もし要求が情報を検索するためならば、以下
が好ましくは起こる:データベースは、統計（statistics）のトラックを維持し
及び分析する（707）。もしセキュリティ・システムが活動における何らかの疑
がわしい逸脱を認識するならば、コーラー関数に戻された回答はネガティブであ
り及び適当な説明が渡され（このアクションは、PID（752）等のような内部セキ
ュリティ・データベースでない情報を扱うとき、行われる。）（710）、さもな
ければそれは、データベースから検索された回答を戻す（709）。
しい主な部分及び方法を示す。データベース又はその部分は、コンピュータのメ
モリ及び保存メディア内に位置している。データベースへの如何なるアクセスも
暗号化され（701）及びその起源（origin）は識別（identify）される（702）。
認証（authentication）はチェックされ（703）及びもしハッキングが認められ
たならば、プログラムは、好ましくは特別の終了プロセスに進む（1001）。もし
アクセスが認証（authenticate）されるならば、データベースは、レコード（74
0）（これは好ましくは、統計（statistics）レコード（751）、プロセスID（PI
D）レコード（752）、付加的なレコード（760）、活動（activity）のログ（770
）及び好ましくはファイル・レコード（741）、ネットワーク・レコード（742）
及びレジストリー・レコード（743）のような情報を含む、セキュリティ・ルー
ル（740）を含む）から又はそれに、情報をセットし又は検索することができる
（704）。ルール・レコードのそれぞれのグループは好ましくは、以下の情報を
含む:取得されたユーザーのルール、既配布の取得されたルール、デフォルトの
ルール及び種々のパラメーター（上述のような）。もし要求が情報を保存するた
めならば、要求は、行われ及びコーラー（caller）（セキュリティ・システム内
部関数の1つ）に戻される（706）。もし要求が情報を検索するためならば、以下
が好ましくは起こる:データベースは、統計（statistics）のトラックを維持し
及び分析する（707）。もしセキュリティ・システムが活動における何らかの疑
がわしい逸脱を認識するならば、コーラー関数に戻された回答はネガティブであ
り及び適当な説明が渡され（このアクションは、PID（752）等のような内部セキ
ュリティ・データベースでない情報を扱うとき、行われる。）（710）、さもな
ければそれは、データベースから検索された回答を戻す（709）。
【００２８】
図8を参照して、他の可能な変形例は、セキュリティ・システムはまた、モニ
ターされるハードウェア・ポート・アクセス（803）、DMA（801）、IRQ（802）
、等の情報を集め（804）及び／又はログする（805）、オプショナルなハードウ
ェア・エレメント（800）を含むことができるということである。モニタリング
・ハードウェアは主に、保存デバイス（特にハードディスク・コントローラ）へ
のアクセス及びネットワーク・デバイス（モデム、ネットワークカード、等のよ
うな）へのアクセスをモニタする。好ましくは、モニタリング・ハードウェアは
、セキュリティ・システムのソフトウェア（104）から該ハードウェア・エレメ
ント（800）への情報の転送のための（該ハードウェア・エレメント（800）のリ
ード（read）及び／又はライト（write）ポートへのアクセスを通じてのような
）及びセキュリティ・システムのソフトウェア（104）への即時フィードバック
のための（該ハードウェア・エレメント（800）のリード（read）及び／又はラ
イト（write）ポートへのアクセスを通じて、割込み（interrupt）を通じて、等
のような）インタフェース（811）を持っており、従って、それは、セキュリテ
ィ・システムのソフトウェア（104）に、ビルトインのローカル・データベース
（806）内に定義されている如何なるイベントをも警告できる。ソフトウェア・
モニタリングとハードウェア・モニタリングとの間のイベントの比較は好ましく
は、ハードウェア・エレメント（800）によって、セキュリティ・システムのソ
フトウェア部分（104）によって又はそれらの双方によっての何れかのよって、
なされ得る。ハードウェア・エレメント（800）又はセキュリティ・システムの
ソフトウェアの何れかが、セキュリティ・システム・ソフトウェア（104）によ
ってモニタされているようなトップのシステム・レベルでの明白な対応するイベ
ントなしで、未知のアクセスが上記モニターされているハードウェアになされた
と決定したとき、イベントは途中停止され及び報告される。これらのイベントを
モニタし及びキャッチすることは、セキュリティ・システムが更に如何なる残存
するオペレーティング・システム内のループホール及びフックしているエージェ
ント（agent）をオーバーライド（override）するかもしれないプログラムをも
閉じ、及びオペレーティング・システム内のバックドア（backdoor）さえも（も
しそれらが存在するならば）、最終的に掴み及び途中停止することを可能にする
。
ターされるハードウェア・ポート・アクセス（803）、DMA（801）、IRQ（802）
、等の情報を集め（804）及び／又はログする（805）、オプショナルなハードウ
ェア・エレメント（800）を含むことができるということである。モニタリング
・ハードウェアは主に、保存デバイス（特にハードディスク・コントローラ）へ
のアクセス及びネットワーク・デバイス（モデム、ネットワークカード、等のよ
うな）へのアクセスをモニタする。好ましくは、モニタリング・ハードウェアは
、セキュリティ・システムのソフトウェア（104）から該ハードウェア・エレメ
ント（800）への情報の転送のための（該ハードウェア・エレメント（800）のリ
ード（read）及び／又はライト（write）ポートへのアクセスを通じてのような
）及びセキュリティ・システムのソフトウェア（104）への即時フィードバック
のための（該ハードウェア・エレメント（800）のリード（read）及び／又はラ
イト（write）ポートへのアクセスを通じて、割込み（interrupt）を通じて、等
のような）インタフェース（811）を持っており、従って、それは、セキュリテ
ィ・システムのソフトウェア（104）に、ビルトインのローカル・データベース
（806）内に定義されている如何なるイベントをも警告できる。ソフトウェア・
モニタリングとハードウェア・モニタリングとの間のイベントの比較は好ましく
は、ハードウェア・エレメント（800）によって、セキュリティ・システムのソ
フトウェア部分（104）によって又はそれらの双方によっての何れかのよって、
なされ得る。ハードウェア・エレメント（800）又はセキュリティ・システムの
ソフトウェアの何れかが、セキュリティ・システム・ソフトウェア（104）によ
ってモニタされているようなトップのシステム・レベルでの明白な対応するイベ
ントなしで、未知のアクセスが上記モニターされているハードウェアになされた
と決定したとき、イベントは途中停止され及び報告される。これらのイベントを
モニタし及びキャッチすることは、セキュリティ・システムが更に如何なる残存
するオペレーティング・システム内のループホール及びフックしているエージェ
ント（agent）をオーバーライド（override）するかもしれないプログラムをも
閉じ、及びオペレーティング・システム内のバックドア（backdoor）さえも（も
しそれらが存在するならば）、最終的に掴み及び途中停止することを可能にする
。
【００２９】
図9を参照して、我々は、好ましい自己保存（self-preservation）方法の概観
を示す。呼び出されている如何なるセキュリティ・システム部分（901）も、定
められた時間毎に（902）、全てセキュリティ・システム・ファイルの真実性（i
ntegrity）（903）及びその動作している機能（図1に説明されたような）の真実
性（integrity）（904）に対して、規則的なチェックを行なう。もし逸脱が発見
されるならば（905）、それは、ユーザーに、状況の十分な理解のために、告知
し、及び自己保存の途中停止及び報告を行なう（1001）。これに加えて、好まし
くはセキュリティ・システムは、メモリにおいて自分自身を保護するために、（
フックされた関数の1つを呼び出すときのような）制限された数の呼び出しゲー
ト（calling gate）を使用することによる場合を除いて他の如何なるプロセスも
それにアクセスできないように、物質的メモリ（physical memory）の一部分を
定義し、及び例えば読み込み又は書き込みのためにこのメモリ領域にアクセスし
ようとする如何なる他の試みも、コントロールをセキュリティ・システムに移す
こととなる、CPU例外（exception）を引き起こす。セキュリティ・システムは、
これから、どのアプリケーションがそれを“攻撃”しようと試みているかを知る
ことができるので、セキュリティ・システムは好ましくは、例えばプロセスの攻
撃している部分を不可能にする、プロセスを終了する、プロセスの環境（enviro
nment）を破壊する、等のような、“アンチハッキング”手段を開始する。
を示す。呼び出されている如何なるセキュリティ・システム部分（901）も、定
められた時間毎に（902）、全てセキュリティ・システム・ファイルの真実性（i
ntegrity）（903）及びその動作している機能（図1に説明されたような）の真実
性（integrity）（904）に対して、規則的なチェックを行なう。もし逸脱が発見
されるならば（905）、それは、ユーザーに、状況の十分な理解のために、告知
し、及び自己保存の途中停止及び報告を行なう（1001）。これに加えて、好まし
くはセキュリティ・システムは、メモリにおいて自分自身を保護するために、（
フックされた関数の1つを呼び出すときのような）制限された数の呼び出しゲー
ト（calling gate）を使用することによる場合を除いて他の如何なるプロセスも
それにアクセスできないように、物質的メモリ（physical memory）の一部分を
定義し、及び例えば読み込み又は書き込みのためにこのメモリ領域にアクセスし
ようとする如何なる他の試みも、コントロールをセキュリティ・システムに移す
こととなる、CPU例外（exception）を引き起こす。セキュリティ・システムは、
これから、どのアプリケーションがそれを“攻撃”しようと試みているかを知る
ことができるので、セキュリティ・システムは好ましくは、例えばプロセスの攻
撃している部分を不可能にする、プロセスを終了する、プロセスの環境（enviro
nment）を破壊する、等のような、“アンチハッキング”手段を開始する。
【００３０】
図10を参照して、我々は、途中停止プロセスの好ましい方法を示す。これは好
ましくは、2つの主要な途中停止ルートを含む:第1のそれは、通常の途中停止で
ある（1002）-これは、エグゼキュータブルが未認可の活動を行なおうと試みる
時に使われる。この場合それは好ましくは、ユーザーに通知し（1101）（上述の
ように）、パラメーターがオリジナルの関数に到達するのをブロックし（1006）
、及び例えば、オリジナルのコーラー（caller）（関数を要求したプログラム）
に関数の失敗（failure）について知らせることができる。第2のそれは、自己保
存（Self-preservation）の途中停止である（1001）。それは、セキュリティ・
システムが、攻撃的プログラム又はハッカーによる何らかの種類の侵入を検出し
たときに、使われる。この場合好ましくはそれは、攻撃的プログラムを即時に終
了し（1007）（メモリからのアンロード、等のような）（終了の方法は、オペレ
ーティング・システムが異なる毎に異なり得る）、及びデータベース（700）は
修正され、その結果、それは攻撃的プログラム及び／又はそのファイルをマーク
してそれらへのアクセスを許さない、等のようにする（1009）。自己チェック（
self-check）は、行なわれており（900）（図9において説明されているように）
及びもしセキュリティ・システムが危険に遭遇したならば（1010）、それは、延
命のための緊急事態（emergency）手続を開始する（1011）（再インストール、
部分的なシャットダウン、再ロード、等のような）。もしそうでないならば、そ
れは、モニタし続ける（1010）。図から、ある場合において、無限ループが起こ
るように見えるかもしれないが、実際にはそのようなことはなく、図が単純化さ
れているのでそのように見えるだけである。
ましくは、2つの主要な途中停止ルートを含む:第1のそれは、通常の途中停止で
ある（1002）-これは、エグゼキュータブルが未認可の活動を行なおうと試みる
時に使われる。この場合それは好ましくは、ユーザーに通知し（1101）（上述の
ように）、パラメーターがオリジナルの関数に到達するのをブロックし（1006）
、及び例えば、オリジナルのコーラー（caller）（関数を要求したプログラム）
に関数の失敗（failure）について知らせることができる。第2のそれは、自己保
存（Self-preservation）の途中停止である（1001）。それは、セキュリティ・
システムが、攻撃的プログラム又はハッカーによる何らかの種類の侵入を検出し
たときに、使われる。この場合好ましくはそれは、攻撃的プログラムを即時に終
了し（1007）（メモリからのアンロード、等のような）（終了の方法は、オペレ
ーティング・システムが異なる毎に異なり得る）、及びデータベース（700）は
修正され、その結果、それは攻撃的プログラム及び／又はそのファイルをマーク
してそれらへのアクセスを許さない、等のようにする（1009）。自己チェック（
self-check）は、行なわれており（900）（図9において説明されているように）
及びもしセキュリティ・システムが危険に遭遇したならば（1010）、それは、延
命のための緊急事態（emergency）手続を開始する（1011）（再インストール、
部分的なシャットダウン、再ロード、等のような）。もしそうでないならば、そ
れは、モニタし続ける（1010）。図から、ある場合において、無限ループが起こ
るように見えるかもしれないが、実際にはそのようなことはなく、図が単純化さ
れているのでそのように見えるだけである。
【００３１】
図11を参照して、我々は、プロセスが分断され及びコントロールされる好まし
い方法のグラフィック・イラストレーションを示す。プロセス（1111）が他のプ
ロセス又はそれらの自然な環境（1113）又は重要と思われるシステム・リソース
（1114-1124）にアクセスしようと試みるときは何時でも、それは、セキュリテ
ィ・システムの途中停止及び決定エンジン（interception and decision engine
）を通過しなければならず、従って、実際上、仮想の環境（virtual environmen
t）又は仮想のコンピュータ（virtual computer）（1112）が、その周囲に作り
出される。しかしながら、このグラフィック・イラストレーションは可能な例に
過ぎないことが言及されるべきである。これらの機能の全てが、必ずしも実施さ
れない。（カテゴリー1122-他-は、例えば他のオペレーティング・システム又は
他のCPUにおいて適切かもしれない、他の可能なリソースを参照する。）この概
念のより極端な可能な実施（また図12に説明されているように）は例えば、新し
いプログラムがインストールされる毎に、それ自身及びオペレーティング・シス
テム及びそれが見ることを許されたコンピュータ・リソースを除いて他の何物も
コンピュータ上に存在しないという幻想をそれが与えられ、従って、ユーザー及
びあるプログラム（例えばウィンドウズ・ディレクトリ・エクスプローラの適当
な部分及びユーザーによって又は予め定義されたルールによって特別の明示的許
可が与えられた特権プログラム（privileged program）のような）のみが実際の
ディレクトリ構造及びリソースを見ることができるということである。これらの
許可は、全プログラムのレベルで、又は例えばプログラムのセグメント又は部分
のレベルで、与えられることができ、従って、例えばスクリーンを取り扱うエク
スポーラの部分は、ディレクトリ・システムにアクセスする許可が与えられる必
要がない。これは更に、例えば種々の漁り（exploits）によって引き起こされ得
る損害の範囲を限定することができる。このようにして、これは、それぞれがク
リーンで新しいオペレーティング・システムを持った、新しくインストールされ
たコンピュータの無限のセットのようであり、及びそれぞれのコンピュータは1
つのプログラムのみを実行する:例えば、1つはインターネット・エクスポーラを
実行し、第2のそれはウィンドウズのワード（Word）を実行し、第3のそれはドー
ム（DOOM）IIを実行する、等。この実施のため好ましくはセキュリティ・システ
ムは、オペレーティング・システムの後にインストールされる最初のものであり
、及びセキュリティ・システムは好ましくは、ユーザー又はプログラムのいずれ
がそれぞれのセキュリティに敏感なアクションを開始したかを識別することに主
に依存する（自動的にそれを許す又は許さないを決定するために）。組織におい
てこれをより効率的にするために、好ましくは1つのコンピュータは、例えば分
断ルールの全て及びそれぞれのプログラムについての仮想の環境パラメーターを
学ぶために使われ得、及びこの知識は、、組織内の全ての他のコンピュータに転
送され得る（他のコンピュータにおいて他のアプリケーションの前にセキュリテ
ィ・システムをインストールする必要なしに）。
い方法のグラフィック・イラストレーションを示す。プロセス（1111）が他のプ
ロセス又はそれらの自然な環境（1113）又は重要と思われるシステム・リソース
（1114-1124）にアクセスしようと試みるときは何時でも、それは、セキュリテ
ィ・システムの途中停止及び決定エンジン（interception and decision engine
）を通過しなければならず、従って、実際上、仮想の環境（virtual environmen
t）又は仮想のコンピュータ（virtual computer）（1112）が、その周囲に作り
出される。しかしながら、このグラフィック・イラストレーションは可能な例に
過ぎないことが言及されるべきである。これらの機能の全てが、必ずしも実施さ
れない。（カテゴリー1122-他-は、例えば他のオペレーティング・システム又は
他のCPUにおいて適切かもしれない、他の可能なリソースを参照する。）この概
念のより極端な可能な実施（また図12に説明されているように）は例えば、新し
いプログラムがインストールされる毎に、それ自身及びオペレーティング・シス
テム及びそれが見ることを許されたコンピュータ・リソースを除いて他の何物も
コンピュータ上に存在しないという幻想をそれが与えられ、従って、ユーザー及
びあるプログラム（例えばウィンドウズ・ディレクトリ・エクスプローラの適当
な部分及びユーザーによって又は予め定義されたルールによって特別の明示的許
可が与えられた特権プログラム（privileged program）のような）のみが実際の
ディレクトリ構造及びリソースを見ることができるということである。これらの
許可は、全プログラムのレベルで、又は例えばプログラムのセグメント又は部分
のレベルで、与えられることができ、従って、例えばスクリーンを取り扱うエク
スポーラの部分は、ディレクトリ・システムにアクセスする許可が与えられる必
要がない。これは更に、例えば種々の漁り（exploits）によって引き起こされ得
る損害の範囲を限定することができる。このようにして、これは、それぞれがク
リーンで新しいオペレーティング・システムを持った、新しくインストールされ
たコンピュータの無限のセットのようであり、及びそれぞれのコンピュータは1
つのプログラムのみを実行する:例えば、1つはインターネット・エクスポーラを
実行し、第2のそれはウィンドウズのワード（Word）を実行し、第3のそれはドー
ム（DOOM）IIを実行する、等。この実施のため好ましくはセキュリティ・システ
ムは、オペレーティング・システムの後にインストールされる最初のものであり
、及びセキュリティ・システムは好ましくは、ユーザー又はプログラムのいずれ
がそれぞれのセキュリティに敏感なアクションを開始したかを識別することに主
に依存する（自動的にそれを許す又は許さないを決定するために）。組織におい
てこれをより効率的にするために、好ましくは1つのコンピュータは、例えば分
断ルールの全て及びそれぞれのプログラムについての仮想の環境パラメーターを
学ぶために使われ得、及びこの知識は、、組織内の全ての他のコンピュータに転
送され得る（他のコンピュータにおいて他のアプリケーションの前にセキュリテ
ィ・システムをインストールする必要なしに）。
【００３２】
図12を参照して、我々は、仮想の環境の「バブル」内にそれぞれのプログラム
を維持する、より極端な実施の視覚的イラストレーションを示し、その結果、ア
プリケーションは、自分自身（2001）のみを見ることができ、オパレーション・
システム及びそれが見ることを許されたリソースを含むその仮想の環境（2002）
を除いて、他のプログラムを見ることができない。ユーザーからのはっきりとし
た許可によってのみ、プログラムは、他のプログラム又はそれらのデータを見又
は他のシステム・リソースにアクセスすることができる。
を維持する、より極端な実施の視覚的イラストレーションを示し、その結果、ア
プリケーションは、自分自身（2001）のみを見ることができ、オパレーション・
システム及びそれが見ることを許されたリソースを含むその仮想の環境（2002）
を除いて、他のプログラムを見ることができない。ユーザーからのはっきりとし
た許可によってのみ、プログラムは、他のプログラム又はそれらのデータを見又
は他のシステム・リソースにアクセスすることができる。
【００３３】
図13を参照して、我々は、可能な変形例の好ましい構成の視覚的イラストレー
ションを示し、これにおいて、組織（organization）内の個々のコンピュータ（
それぞれセキュリティ・システムがインストールされている）（3001-3005）が
、セキュリティ・システムをそれ自身インストールしている、例えばシステム・
アドミニストレータのような、中央のオーソリティのコンピュータ（3010）を通
って（又はそれぞれのコンピュータから実際に送信されたデータの量について、
中央のオーソリティに情報を供給する他のゲートウェイ・コンピュータを通って
）、インターネット（3020）に接続され、その結果、中央のオーソリティのコン
ピュータのセキュリティ・システムが、実際のコミュニケーションの量がそのコ
ンピュータのセキュリティ・システムによって報告された量に適合しないコンピ
ュータからのコミュニケーションの試みを、知覚し及び途中停止する（図1bを参
照して説明されように）。 本発明は、制限された数の実施例に関して説明されているが、当業者によって
明らかであるように、本発明の範囲に含まれる、本発明の多くの変形例、修正、
拡張及び他の適用がなされうることが予期される。
ションを示し、これにおいて、組織（organization）内の個々のコンピュータ（
それぞれセキュリティ・システムがインストールされている）（3001-3005）が
、セキュリティ・システムをそれ自身インストールしている、例えばシステム・
アドミニストレータのような、中央のオーソリティのコンピュータ（3010）を通
って（又はそれぞれのコンピュータから実際に送信されたデータの量について、
中央のオーソリティに情報を供給する他のゲートウェイ・コンピュータを通って
）、インターネット（3020）に接続され、その結果、中央のオーソリティのコン
ピュータのセキュリティ・システムが、実際のコミュニケーションの量がそのコ
ンピュータのセキュリティ・システムによって報告された量に適合しないコンピ
ュータからのコミュニケーションの試みを、知覚し及び途中停止する（図1bを参
照して説明されように）。 本発明は、制限された数の実施例に関して説明されているが、当業者によって
明らかであるように、本発明の範囲に含まれる、本発明の多くの変形例、修正、
拡張及び他の適用がなされうることが予期される。
【図１】
図1は、フックされた周辺デバイスドライバのいくつか、特に保存デバイス（s
torage device）及びネットワーク・デバイスに関連したそれら、と共に、コン
ピュータのオペレーティング・システムの典型的構造内でのセキュリティ・シス
テムの好ましい主なエレメント、及び上記典型的構造においてセキュリティ・シ
ステムの種々の部分が結合される及び相互作用する好ましい位置及び方法を示す
。
torage device）及びネットワーク・デバイスに関連したそれら、と共に、コン
ピュータのオペレーティング・システムの典型的構造内でのセキュリティ・シス
テムの好ましい主なエレメント、及び上記典型的構造においてセキュリティ・シ
ステムの種々の部分が結合される及び相互作用する好ましい位置及び方法を示す
。
【図１ｂ】
図1bは、より詳細に、ユーザー・インタフェースに重きを置いた、セキュリテ
ィ・システム部分間の相互作用の好ましい方法、及び許可を与えること（permis
sion granting）の好ましいプロセスを示す。
ィ・システム部分間の相互作用の好ましい方法、及び許可を与えること（permis
sion granting）の好ましいプロセスを示す。
【図２】
図2は、アプリケーションによってなされるかもしれないコンピュータのオペ
レーティング・システムのファイル関係のフックされる関数（function）を、モ
ニタ及び捕獲システム（monitoring and capturing system）が、相互作用（int
eract）し、モニタし、チェックし及び認可する好ましい方法のフロー図を、よ
り詳細に示す。
レーティング・システムのファイル関係のフックされる関数（function）を、モ
ニタ及び捕獲システム（monitoring and capturing system）が、相互作用（int
eract）し、モニタし、チェックし及び認可する好ましい方法のフロー図を、よ
り詳細に示す。
【図３】
図3は、アプリケーションによってなされるかもしれない、コンピュータのオ
ペレーティング・システムのネットワーク関係のフックされる関数（function）
を、モニタ及び捕獲システム（monitoring and capturing system）が、相互作
用し、モニタし、チェックし及び認可するより好ましい方法のフロー図を、より
詳細に示す。
ペレーティング・システムのネットワーク関係のフックされる関数（function）
を、モニタ及び捕獲システム（monitoring and capturing system）が、相互作
用し、モニタし、チェックし及び認可するより好ましい方法のフロー図を、より
詳細に示す。
【図４】
図4は、アプリケーションによってなされるかもしれないコンピュータのオペ
レーティング・システムのレジストリ関係のフックされる関数（function）を、
モニタ及び捕獲システム（monitoring and capturing system）が、相互作用し
、モニタし、チェックし及び認可する好ましい方法のフロー図を、より詳細に示
す。
レーティング・システムのレジストリ関係のフックされる関数（function）を、
モニタ及び捕獲システム（monitoring and capturing system）が、相互作用し
、モニタし、チェックし及び認可する好ましい方法のフロー図を、より詳細に示
す。
【図５】
図5は、エグゼキュータブル・ファイルが実行のためにロードされている時に
、好ましくは何が起きるかを示す。
、好ましくは何が起きるかを示す。
【図６】
図6は、アプリケーションによってなされるかもしれないコンピュータのオペ
レーティング・システムのメモリ関係のフックされる関数（function）を、モニ
タ及び捕獲システム（monitoring and capturing system）が、相互作用し、モ
ニタし、チェックし及び認可する好ましい方法のフロー図を、より詳細に示す。
レーティング・システムのメモリ関係のフックされる関数（function）を、モニ
タ及び捕獲システム（monitoring and capturing system）が、相互作用し、モ
ニタし、チェックし及び認可する好ましい方法のフロー図を、より詳細に示す。
【図７】
図7は、セキュリティ・システムのデータベース、許可及び分析プロセスのよ
り好ましい主な部分及び方法のフロー図を、より詳細に示す。
り好ましい主な部分及び方法のフロー図を、より詳細に示す。
【図８】
図8は、コンピュータのデータバス上のハードウェア・アクセスをモニタし及
びセキュリティ・システムのソフトウェアとの2方向インタフェースを持ってい
る、付加的なハードウェアを使用する可能な変形例の好ましいインタフェース及
び操作を、より詳細に示す。
びセキュリティ・システムのソフトウェアとの2方向インタフェースを持ってい
る、付加的なハードウェアを使用する可能な変形例の好ましいインタフェース及
び操作を、より詳細に示す。
【図９】
図9は、好ましい自己保存方法の概観を、より詳細に示す。
【図１０】
図10は、途中停止プロセスの好ましい方法のフロー図を、より詳細に示す。
【図１１】
図11は、プロセスが分断及びコントロールされる好ましい方法のグラフィック
・イラストレーションである。
・イラストレーションである。
【図１２】
図12は、仮想環境(virtual environment)の「バブル（Bubble）」内にそれぞ
れのプログラムを保つより極端な実施の視覚的イラストレーションである。
れのプログラムを保つより極端な実施の視覚的イラストレーションである。
【図１３】
図13は、組織のコンピュータを、例えばシステム・アドミニストレータのコン
ピュータを通じてインターネットに接続する、好ましい構成の視覚的イラストレ
ーションである。
ピュータを通じてインターネットに接続する、好ましい構成の視覚的イラストレ
ーションである。
─────────────────────────────────────────────────────
フロントページの続き
(31)優先権主張番号 ６０，２８４，０１９
(32)優先日 平成13年４月15日(2001．4．15)
(33)優先権主張国 米国（ＵＳ）
(81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ，
ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，Ｉ
Ｔ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ，ＴＲ)，ＯＡ(ＢＦ
，ＢＪ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ，
ＭＬ，ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，Ｇ
Ｍ，ＫＥ，ＬＳ，ＭＷ，ＭＺ，ＳＤ，ＳＬ，ＳＺ，ＴＺ
，ＵＧ，ＺＷ)，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，
ＭＤ，ＲＵ，ＴＪ，ＴＭ)，ＡＥ，ＡＧ，ＡＬ，ＡＭ，
ＡＴ，ＡＵ，ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，Ｂ
Ｚ，ＣＡ，ＣＨ，ＣＮ，ＣＯ，ＣＲ，ＣＵ，ＣＺ，ＤＥ
，ＤＫ，ＤＭ，ＤＺ，ＥＣ，ＥＥ，ＥＳ，ＦＩ，ＧＢ，
ＧＤ，ＧＥ，ＧＨ，ＧＭ，ＨＲ，ＨＵ，ＩＤ，ＩＬ，Ｉ
Ｎ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＲ，ＫＺ，ＬＣ
，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，ＭＡ，ＭＤ，
ＭＧ，ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＭＺ，ＮＯ，ＮＺ，Ｐ
Ｌ，ＰＴ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，ＳＫ
，ＳＬ，ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＴＺ，ＵＡ，ＵＧ，
ＵＳ，ＵＺ，ＶＮ，ＹＵ，ＺＡ，ＺＷ
(71)出願人 デコビッチ ザック
Ｄｅｃｈｏｖｉｃｈ， Ｚａｋ
ハサイレット ハエルシャルミット 16
／６，ピスガット ジーブ，97543 イェ
ルサレム，イスラエル
Ｈａｓａｙｅｒｅｔ Ｈａｙｅｒｕｓｈａ
ｌｍｉｔ 16／６， Ｐｉｓｇａｔ Ｚｅ
ｅｖ， 97543 Ｊｅｒｕｓａｌｅｍ，
Ｉｓｒａｅｌ
(72)発明者 メイヤー ヤロン
21 アハッド ハーム ストリート，
92151 イェルサレム，イスラエル
(72)発明者 デコビッチ ザック
ハサイレット ハエルシャルミット 16
／６，ピスガット ジーブ，97543 イェ
ルサレム，イスラエル
Ｆターム(参考） 5B076 FD08
【要約の続き】
と、敵意あるアプリケーションはコンピュータ又はサー
バー又は全ネットワークを乗っ取りかつ無限の損害を作
り出すことできる（直接に又は追加的な邪悪なアプリケ
ーションにドアを開くことによって）。それらはまた、
例えばブラウザ又はEメール・プログラムにおける又は
オパレーティング・システムそれ自身におけるセキュリ
ティ・ホールに対して効果的でない。2001年1月24日のZ
Dnetの記事によれば、決定的アプリケーション内のセキ
ュリティ・ホールは非常に頻繁に発見されるので、まさ
に全てパッチについて行くのは非実際的である。また、
例えばトロージャン・ホースに対しての適当な共通的保
護（如何なる邪悪なプログラムも、前もってのそれにつ
いての知識なしに、識別できるような）なしでは、VPN
（仮想プライベート・ネットワーク）及びデジタル・サ
インを含めて、データ暗号化の他の形式でさえ、情報暗
号化の前又は下層で 盗まれ得るので、本当に安全では
ない。この発明は、問題のルートに深く入りこむことに
よって、一般的で共通的で包括的な解決法を作り出す。
最新技術の状況の最も大きな馬鹿馬鹿しさの1つは、デ
フォルトとして、プログラムに、他のプログラムに対し
て又はそれらのデータ・ファイルに対して又はオペレー
ティング・システムの決定的ファイルに対して、それが
好むことを何でもすることを許すことであり、これは、
ホテルの客に如何なる他の客にも、彼が好むように迷惑
をかけさせ、彼らの財産（property）を盗み又はそれを
コピーし又はそれを破壊し、彼らの部屋を破壊させる、
等、 又は例えばホテルの金庫又は電子スイッチボード
又はエレベーター・コントロール・ルーム、又は電話に
自由にアクセスさせるのと同じく馬鹿げている。本概念
は、プログラム間の自動的分断に基づいている：これ
は、はっきりとした許可によってのみそれぞれの客は付
加的な特権を得ることができるように、それぞれの客を
デフォルトとして彼の部屋にのみ制限し及びホテルの戦
略的リソース（resources）への彼のアクセスをデフォ
ルトとして制限することに似ている。
Claims (98)
- 【請求項１】プログラム間の自動的分断を作り出すことが可能な、コンピュータ
のためのセキュリティ・システム。 - 【請求項２】モニタ及び捕獲システムと、 少なくともデフォルト・ルールのセットと、選択されたオペレーティング・シ
ステムの多くのユーザーにとって好ましい既配布の獲得されたルールのセットと
、取得された付加的なユーザー定義のルールとを有するセキュリティ・ルールの
データベースと、 受入れることができる活動パターンを学び、ユーザーに知覚された危険を警告
し及び必要なときはいつでも彼の認可を待つために、ユーザーと相互作用するこ
とができる、ユーザー・インタフェースとを備えた、 該コンピュータのユーザーが邪悪なソフトウェア・アプリケーションによって
騙されるチャンスを減少するために、コンピュータ・システムにおけるオペレー
ティング・システム及びソフトウェア・アプリケーションのリーズナブルな活動
をモニタし及び学び及び共通的（ｇｅｎｅｒｉｃ）セキュリティ・ルールを実施
することが可能な請求項 １のシステム。 - 【請求項３】該主な３エレメントは、 コンピュータ・システムのセキュリティに敏感なエレメント、及び主に全ての
適切な周辺デバイス活動、及び特に保存デバイス及びコミュニケーション・デバ
イスを常にモニタし、及びセキュリティ・ルールのデフォルト及び取得されたセ
ットに従って如何なる疑がわしい及び危険な活動をも検出及び選択的に途中停止
し及びその上に作用し、及び必要なときは何時でもユーザーの認可及びガイダン
スを求め、またそのシステムに関連したファイルは高度セキュリティ保護領域と
して常に監視される、モニタ及び捕獲システムと、 少なくともデフォルト・ルールのセットと、選択されたオペレーティング・シ
ステムの殆どのユーザーにとって好ましい既配布の獲得されたルールのセットと
、取得された付加的なユーザー定義のルールとを有し、そのデータベースは高度
セキュリティ保護領域として常に監視される、セキュリティ・ルールのデータベ
ースと、 少なくとも受入れることができる活動パターンを学び、ユーザーに、知覚され
た危険を警告し及び必要なときは何時でも彼の認可を待ち、及びユーザーに認可
のデータベースを見及び修正することを許すために、ユーザーと相互作用する、
ユーザー・インタフェースとである請求項２のシステム。 - 【請求項４】該ユーザー・インタフェースは少なくともまた、潜在的に高度に危
険な活動の場合、より明白にユーザーに警告する、請求項３のシステム。 - 【請求項５】該データベースはまた、少なくともユーザーのコンピュータにおけ
るプログラムの通常の及びリーズナブルな活動の継続的に習得された統計を有す
る、請求項３のシステム。 - 【請求項６】該ユーザー・インタフェースは少なくともまた、重要なプログラム
及び特にコミュニケーション・チャンネルへのアクセスが許されるプログラム、
特にコミュニケーション・ラインを通じてデータを送り出し及び受け取りするこ
とに関連しているものの活動の統計をユーザーが見ることを許す、請求項３のシ
ステム。 - 【請求項７】該データベースはまた少なくとも、少なくとも一定期間の間保持さ
れる、セキュリティ・システムがユーザーに尋ねた質問及び彼の回答のログを有
する、請求項３のシステム。 - 【請求項８】該データベースはまた少なくとも、必要とされるとき、少なくとも
一定期間の間保持される、検出された疑がわしい活動のログを有する、請求項３
のシステム。 - 【請求項９】セキュリティ・システムによってなされる該セキュリティ・ルール
及び機能は少なくとも、 コンピュータ・システムのセキュリティに敏感なエレメント、及び主に全ての
適切な周辺デバイス活動、及び特に保存デバイス及びコミュニケーション・デバ
イスを常にモニタし、及びセキュリティ・ルールのデフォルト及び取得されたセ
ットに従って疑がわしい活動及び危険な活動を検出及び選択的に途中停止し及び
それらの上に作用することと、 プログラムを、それらの自然な環境へ、デフォルトで自動的に分断することと
、 セキュリティに敏感な活動及び特に如何なる最初のコミュニケーション・チャ
ンネルにアクセスしようとする試みに対してもユーザーに警告し及び認可を求め
ることとと、 ネットワークからの外部プログラムが、コミュニケーション・チャンネルを通
じて、ユーザーのコンピュータに接続しようとする如何なる試みも、ユーザーが
即時の途中停止を要求することを可能にすること及びユーザーに警告することと
、 潜在的に高度に危険な活動を途中停止すること及びユーザーにより明示的に警
告することからなる機能を有する、請求項３のシステム。 - 【請求項１０】また少なくとも、アプリケーション及びオペレーティング・シス
テムの通常の活動からの重要な統計的逸脱及び特に大量のデータを急に送り出す
ことに関連しているようなことについてユーザーに警告することを有する、請求
項９のシステム。 - 【請求項１１】また少なくとも、ユーザーが、開かれることが許されたコミュニ
ケーション・ポート上の一般的制限及び必要とされるときまた、許されたプロト
コルのタイプ上の制限の実施を要求することを、可能にすることを有する、請求
項９のシステム。 - 【請求項１２】また少なくとも可能な限り、アプリケーションの、セキュリティ
に敏感なデバイス及び特に保存メディア及びコミュニケーション・チャンネルへ
のダイレクト・ポート・アクセスを得ようとする、全ての試みをモニタし及び途
中停止することを有する、請求項９のシステム。 - 【請求項１３】また少なくとも、保存メディア上に、テンポラリ・ファイルのた
め及びレジストリー内のアクセス・キーのためのような仮想の共有データ領域（
Ｖｉｒｔｕａｌ Ｓｈａｒｅｄ ｄａｔａ ａｒｅａ）を実施することを有し、
その結果、プログラムは、それらが共有領域にアクセスしているという幻想を与
えられるが、実際はそれぞれは別々のプライベートな領域にリダイレクトされる
、請求項９のシステム。 - 【請求項１４】また少なくとも、オペレーティング・システムそれ自身のバック
ドア及びループホールを掴むために、可能な限度で、オペレーティング・システ
ムの少なくとも一部を最も特権が与えられたプロセッサ・リングからより低い特
権のリングへと変えること及び必要とされる関数が該より低い特権のリングで実
行することを可能にすることを有する、請求項９のシステム。 - 【請求項１５】該モニタ及び捕獲システムはまた、コンピュータのバス上でハー
ドウェアへのアクセスをモニタし及びセキュリティ・システムのソフトウェアか
らの及びそれへのコミュニケーションのための２方向インタフェースを有する、
ハードウェア・エレメントを含み、その結果、セキュリティ・システムが、該セ
キュリティ・システムのソフトウェアによってモニタされているようなシステム
・レベルにおける明白な対応するイベントなしで、アクセスがセキュリティに敏
感なポート、特に保存メディア及びコミュニケーション・チャンネルになされた
イベントを、発見できる、請求項９のシステム。 - 【請求項１６】該デフォルトの自動的分断は、更なる権利が特に与えられない限
り、デフォルトとして、それぞれのプログラムは、主にそれがインストールされ
たディレクトリ及びそのサブディレクトリであるその自然な環境内のみのファイ
ル、及び読み込み（ｒｅａｄ）のためだけに非戦略的な共有ファイルに、読み込
み（ｒｅａｄ）、書き込み（ｗｒｉｔｅ）、実行（ｅｘｅｃｕｔｅ）、作り出し
（ｃｒｅａｔｅ）、及び削除（ｄｅｌｅｔｅ）のようなアクセスをすることが許
されように実施される、請求項９のシステム。 - 【請求項１７】該コンピュータのオペレーティング・システム及び使用法（ｕｓ
ａｇｅ）は、主にパーソナル・コンピュータとして機能するように構成される、
請求項９のシステム。 - 【請求項１８】該コンピュータのオペレーティング・システム及び使用法（ｕｓ
ａｇｅ）は、主にネットワーク・サーバーとして機能するように構成される、請
求項９のシステム。 - 【請求項１９】該コンピュータは、例えばセルラー電話機、パーム・パイロット
（ｐａｌｍ ｐｉｌｏｔ）、車のコンピュータ、等のようなコンピュータ化され
た小機器である、請求項９のシステム。 - 【請求項２０】高度にセキュリティ保護された領域は、また暗号化される、請求
項３のシステム。 - 【請求項２１】高度にセキュリティ保護された領域はまた、追加の安全のために
、少なくとも更にもう１つの領域に、自動的にバックされる、請求項３のシステ
ム。 - 【請求項２２】高度にセキュリティ保護された領域はまた、追加の安全のために
、少なくとももう１つの領域に、自動的にバックされる、請求項２０のシステム
。 - 【請求項２３】該コミュニケーション・チャンネルはまた、ＵＳＢインタフェー
スを含む、請求項３のシステム。 - 【請求項２４】該コミュニケーション・チャンネルはまた、例えばブルーツース
（Ｂｌｕｅｔｏｏｔｈ）・デバイスのような、ワイヤレス・デバイスを含む、請
求項３のシステム。 - 【請求項２５】該プロトコルはまた、ファックスを送るためのプロトコルを含む
、請求項３のシステム。 - 【請求項２６】高度にセキュリティ保護された領域はまた、暗号化される、請求
項９のシステム。 - 【請求項２７】高度にセキュリティ保護された領域はまた、追加の安全のために
、少なくとももう１つの領域に、自動的にバックされる、請求項９のシステム。 - 【請求項２８】高度にセキュリティ保護された領域はまた、追加の安全のために
、少なくとももう１つの領域に、自動的にバックされる、請求項２６のシステム
。 - 【請求項２９】該コミュニケーション・チャンネルはまた、ＵＳＢインタフェー
スを含む、請求項９のシステム。 - 【請求項３０】該コミュニケーション・チャンネルはまた、例えばブルーツース
（Ｂｌｕｅｔｏｏｔｈ）・デバイスのような、ワイヤレス・デバイスを含む、請
求項９のシステム。 - 【請求項３１】該プロトコルはまた、ファックスを送るためのプロトコルを含む
、請求項９のシステム。 - 【請求項３２】プログラム間の自動的分断を作り出すことが可能な、コンピュー
タのためのセキュリティ方法。 - 【請求項３３】モニタ及び捕獲システムの供給と、 少なくともデフォルト・ルールのセットと、選択されたオペレーティング・シ
ステムの多くのユーザーにとって好ましい既配布の獲得されたルールのセットと
、取得された付加的なユーザー定義のルールとを有するセキュリティ・ルールの
データベースの創出と維持と、 受入れることができる活動パターンを学び、ユーザーに知覚された危険を警告
し及び必要なときはいつでも彼の認可を待つために、ユーザーと相互作用するこ
とができる、ユーザー・インタフェースの供給の段階を備えた、 該コンピュータのユーザーが邪悪なソフトウェア・アプリケーションによって
騙されるチャンスを減少するために、コンピュータ・システムにおけるオペレー
ティング・システム及びソフトウェア・アプリケーションのリーズナブルな活動
をモニタし及び学び及び共通的（ｇｅｎｅｒｉｃ）セキュリティ・ルールを実施
することが可能な請求項 ３２の方法。 - 【請求項３４】該主な３エレメントは、 コンピュータ・システムのセキュリティに敏感なエレメント、及び主に全ての
適切な周辺デバイス活動、及び特に保存デバイス及びコミュニケーション・デバ
イスを常にモニタし、及びセキュリティ・ルールのデフォルト及び取得されたセ
ットに従って如何なる疑がわしい及び危険な活動をも検出及び選択的に途中停止
し及びその上に作用し、及び必要なときは何時でもユーザーの認可及びガイダン
スを求め、またそのシステムに関連したファイルは高度セキュリティ保護領域と
して常に監視される、モニタ及び捕獲システムの供給と、 少なくともデフォルト・ルールのセットと、選択されたオペレーティング・シ
ステムの殆どのユーザーにとって好ましい既配布の獲得されたルールのセットと
、取得された付加的なユーザー定義のルールとを有し、そのデータベースは高度
セキュリティ保護領域として常に監視される、セキュリティ・ルールのデータベ
ースの創出と維持と、 少なくとも受入れることができる活動パターンを学び、ユーザーに、知覚され
た危険を警告し及び必要なときは何時でも彼の認可を待ち、及びユーザーに認可
のデータベースを見及び修正することを許すために、ユーザーと相互作用する、
ユーザー・インタフェースの供給とである請求項３３の方法。 - 【請求項３５】該ユーザー・インタフェースは少なくともまた、潜在的に高度に
危険な活動の場合、より明白にユーザーに警告する、請求項３４の方法。 - 【請求項３６】該データベースはまた、少なくともユーザーのコンピュータにお
けるプログラムの通常の及びリーズナブルな活動の継続的に習得された統計を有
する、請求項３４の方法。 - 【請求項３７】該ユーザー・インタフェースは少なくともまた、重要なプログラ
ム及び特にコミュニケーション・チャンネルへのアクセスが許されるプログラム
、特にコミュニケーション・ラインを通じてデータを送り出し及び受け取りする
ことに関連しているものの活動の統計をユーザーが見ることを許す、請求項３４
の方法。 - 【請求項３８】該データベースはまた少なくとも、少なくとも一定期間の間保持
される、セキュリティ・システムがユーザーに尋ねた質問及び彼の回答のログを
有する、請求項３４の方法。 - 【請求項３９】該データベースはまた少なくとも、必要とされるとき、少なくと
も一定期間の間保持される、検出された疑がわしい活動のログを有する、請求項
３４の方法。 - 【請求項４０】セキュリティ・システムによってなされる該セキュリティ・ルー
ル及び機能は少なくとも、 コンピュータ・システムのセキュリティに敏感なエレメント、及び主に全ての
適切な周辺デバイス活動、及び特に保存デバイス及びコミュニケーション・デバ
イスを常にモニタし、及びセキュリティ・ルールのデフォルト及び取得されたセ
ットに従って疑がわしい活動及び危険な活動を検出及び選択的に途中停止し及び
それらの上に作用することと、 プログラムを、それらの自然な環境へ、デフォルトで自動的に分断することと
、 セキュリティに敏感な活動及び特に如何なる最初のコミュニケーション・チャ
ンネルにアクセスしようとする試みに対してもユーザーに警告し及び認可を求め
ることとと、 ネットワークからの外部プログラムが、コミュニケーション・チャンネルを通
じて、ユーザーのコンピュータに接続しようとする如何なる試みも、ユーザーが
即時の途中停止を要求することを可能にすること及びユーザーに警告することと
、 潜在的に高度に危険な活動を途中停止すること及びユーザーにより明示的に警
告することからなる機能を有する、請求項３４の方法。 - 【請求項４１】また少なくとも、アプリケーション及びオペレーティング・シス
テムの通常の活動からの重要な統計的逸脱及び特に大量のデータを急に送り出す
ことに関連しているようなことについてユーザーに警告することを有する、請求
項４０の方法。 - 【請求項４２】また少なくとも、ユーザーが、開かれることが許されたコミュニ
ケーション・ポート上の一般的制限及び必要とされるときまた、許されたプロト
コルのタイプ上の制限の実施を要求することを、可能にすることを有する、請求
項４０の方法。 - 【請求項４３】また少なくとも可能な限り、アプリケーションの、セキュリティ
に敏感なデバイス及び特に保存メディア及びコミュニケーション・チャンネルへ
のダイレクト・ポート・アクセスを得ようとする、全ての試みをモニタし及び途
中停止することを有する、請求項４０の方法。 - 【請求項４４】また少なくとも、保存メディア上に、テンポラリ・ファイルのた
め及びレジストリー内のアクセス・キーのためのような仮想の共有データ領域（
Ｖｉｒｔｕａｌ Ｓｈａｒｅｄ ｄａｔａ ａｒｅａ）を実施することを有し、
その結果、プログラムは、それらが共有領域にアクセスしているという幻想を与
えられるが、実際はそれぞれは別々のプライベートな領域にリダイレクトされる
、請求項４０の方法。 - 【請求項４５】また少なくとも、オペレーティング・システムそれ自身のバック
ドア及びループホールを掴むために、可能な限度で、オペレーティング・システ
ムの少なくとも一部を最も特権が与えられたプロセッサ・リングからより低い特
権のリングへと変えること及び必要とされる関数が該より低い特権のリングで実
行することを可能にすることを有する、請求項４０の方法。 - 【請求項４６】該モニタ及び捕獲システムはまた、コンピュータのバス上でハー
ドウェアへのアクセスをモニタし及びセキュリティ・システムのソフトウェアか
らの及びそれへのコミュニケーションのための２方向インタフェースを有する、
ハードウェア・エレメントを含み、その結果、セキュリティ・システムが、該セ
キュリティ・システムのソフトウェアによってモニタされているようなシステム
・レベルにおける明白な対応するイベントなしで、アクセスがセキュリティに敏
感なポート、特に保存メディア及びコミュニケーション・チャンネルになされた
イベントを、発見できる、請求項４０の方法。 - 【請求項４７】該デフォルトの自動的分断は、更なる権利が特に与えられない限
り、デフォルトとして、それぞれのプログラムは、主にそれがインストールされ
たディレクトリ及びそのサブディレクトリであるその自然な環境内のみのファイ
ル、及び読み込み（ｒｅａｄ）のためだけに非戦略的な共有ファイルに、読み込
み（ｒｅａｄ）、書き込み（ｗｒｉｔｅ）、実行（ｅｘｅｃｕｔｅ）、作り出し
（ｃｒｅａｔｅ）、及び削除（ｄｅｌｅｔｅ）のようなアクセスをすることが許
されように実施される、請求項４０の方法。 - 【請求項４８】該コンピュータのオペレーティング・システム及び使用法（ｕｓ
ａｇｅ）は、主にパーソナル・コンピュータとして機能するように構成される、
請求項４０の方法。 - 【請求項４９】該コンピュータのオペレーティング・システム及び使用法（ｕｓ
ａｇｅ）は、主にネットワーク・サーバーとして機能するように構成される、請
求項４０の方法。 - 【請求項５０】該コンピュータは、例えばセルラー電話機、パーム・パイロット
（ｐａｌｍ ｐｉｌｏｔ）、車のコンピュータ、等のようなコンピュータ化され
た小機器である、請求項４０の方法。 - 【請求項５１】高度にセキュリティ保護された領域は、また暗号化される、請求
項３４の方法。 - 【請求項５２】高度にセキュリティ保護された領域はまた、追加の安全のために
、少なくとも更にもう１つの領域に、自動的にバックされる、請求項３４の方法
。 - 【請求項５３】高度にセキュリティ保護された領域はまた、追加の安全のために
、少なくとももう１つの領域に、自動的にバックされる、請求項５１の方法。 - 【請求項５４】該コミュニケーション・チャンネルはまた、ＵＳＢインタフェー
スを含む、請求項３４の方法。 - 【請求項５５】該コミュニケーション・チャンネルはまた、例えばブルーツース
（Ｂｌｕｅｔｏｏｔｈ）・デバイスのような、ワイヤレス・デバイスを含む、請
求項３４の方法。 - 【請求項５６】該プロトコルはまた、ファックスを送るためのプロトコルを含む
、請求項３４の方法。 - 【請求項５７】高度にセキュリティ保護された領域はまた、暗号化される、請求
項４０の方法。 - 【請求項５８】高度にセキュリティ保護された領域はまた、追加の安全のために
、少なくとももう１つの領域に、自動的にバックされる、請求項４０の方法。 - 【請求項５９】高度にセキュリティ保護された領域はまた、追加の安全のために
、少なくとももう１つの領域に、自動的にバックされる、請求項５７の方法。 - 【請求項６０】該コミュニケーション・チャンネルはまた、ＵＳＢインタフェー
スを含む、請求項４０の方法。 - 【請求項６１】該コミュニケーション・チャンネルはまた、例えばブルーツース
（Ｂｌｕｅｔｏｏｔｈ）・デバイスのような、ワイヤレス・デバイスを含む、請
求項４０の方法。 - 【請求項６２】該プロトコルはまた、ファックスを送るためのプロトコルを含む
、請求項４０の方法。 - 【請求項６３】更なる権利が特に与えられない限り、それぞれのプログラムは、
主にそれがインストールされたディレクトリ及びそのサブディレクトリであるそ
の自然な環境内のみのファイル、及び読み込み（ｒｅａｄ）のためだけに非戦略
的な共有ファイルに、読み込み（ｒｅａｄ）、書き込み（ｗｒｉｔｅ）、実行（
ｅｘｅｃｕｔｅ）、作り出し（ｃｒｅａｔｅ）、及び削除（ｄｅｌｅｔｅ）のよ
うなアクセスをすることが許されような、プログラムのそれぞれの自然な環境へ
の自動的分断が可能なコンピュータ・セキュリティ・システム。 - 【請求項６４】更なる権利が特に与えられない限り、それぞれのプログラムは、
主にそれがインストールされたディレクトリ及びそのサブディレクトリであるそ
の自然な環境内のみのファイル、及び読み込み（ｒｅａｄ）のためだけに非戦略
的な共有ファイルに、読み込み（ｒｅａｄ）、書き込み（ｗｒｉｔｅ）、実行（
ｅｘｅｃｕｔｅ）、作り出し（ｃｒｅａｔｅ）、及び削除（ｄｅｌｅｔｅ）のよ
うなアクセスをすることが許されような、プログラムのそれぞれの自然な環境へ
の自動的分断によるコンピュータにおけるセキュリティ実施の方法。 - 【請求項６５】クレジット・カード詳細又はプライベート暗号化キーのような高
度にセンシティブなデータへのアクセスは、ユーザーによる明示の許可を必要と
する、例えばセルラー電話機、車のコンピュータ、等のような、コンピュータ化
された小機器におけるセキュリティ・システム。 - 【請求項６６】出て行くコミュニケーションを自動的に作り出そうとする如何な
る試みも、ユーザーによる明示の許可を必要とする、例えばセルラー電話機、車
のコンピュータ、等のような、コンピュータ化された小機器におけるセキュリテ
ィ・システム。 - 【請求項６７】出て行くコミュニケーションを自動的に作り出そうとする如何な
る試みも、ユーザーによる明示の許可を必要とする、請求項６４のシステム。 - 【請求項６８】例えばＥＭＲＯＭＭ及び重要なシステム・ファイルのような、セ
ンシティブなデータを変えようとする如何なる試みも、ユーザーによる明示の許
可を必要とする、請求項６４のシステム。 - 【請求項６９】ユーザーは個人である、請求項３のシステム。
- 【請求項７０】ユーザーは組織であり及び少なくとも認可に対するコントロール
の幾つかは、システム・アドミニストレータのような、少なくとも１つの中央の
オーソリティの手中にある、請求項３のシステム。 - 【請求項７１】中央のオーソリティのセキュリティ・システムはまた、他のコン
ピュータにおいてセキュリティ・システムが正しく機能しているかのチェックを
、自動的に少なくとも時折行なう、請求項７０のシステム。 - 【請求項７２】中央のオーソリティのコンピュータ上のセキュリティ・システム
はまた、実際のコミュニケーションの量がそのコンピュータのセキュリティ・シ
ステムによって報告された量に適合しないようなコンピュータからのコミュニケ
ーションの試みを知覚し及び途中停止することができる、請求項７０のシステム
。 - 【請求項７３】中央のオーソリティのコンピュータ上のセキュリティ・システム
はまた、実際のコミュニケーションの量がそのコンピュータのセキュリティ・シ
ステムによって報告された量に適合しないようなコンピュータからのコミュニケ
ーションの試みを知覚し及び途中停止することができる、請求項７１のシステム
。 - 【請求項７４】それぞれのコンピュータのコミュニケーション・デバイスがまた
、実際のコミュニケーションの量がそのコンピュータのセキュリティ・システム
によって報告された量に適合しないようなケースについて知覚し及び少なくとも
そのコンピュータに報告し返すことができる、請求項３のシステム。 - 【請求項７５】それぞれのコンピュータのコミュニケーション・デバイスがまた
、実際のコミュニケーションの量がそのコンピュータのセキュリティ・システム
によって報告された量に適合しないようなケースについて知覚し及び少なくとも
そのコンピュータに報告し返すことができる、請求項７０のシステム。 - 【請求項７６】それぞれのコンピュータのコミュニケーション・デバイスがまた
、実際のコミュニケーションの量がそのコンピュータのセキュリティ・システム
によって報告された量に適合しないようなケースについて知覚し及び少なくとも
中央のコントロールに報告し返すことができる、請求項７０のシステム。 - 【請求項７７】コンピュータのそれぞれのグループのコミュニケーション・デバ
イスがまた、実際のコミュニケーションの量がそのコンピュータのセキュリティ
・システムによって報告された量に適合しないようなケースについて知覚し及び
少なくとも適切なコンピュータに報告し返すことができる、請求項７０のシステ
ム。 - 【請求項７８】コンピュータのそれぞれのグループのコミュニケーション・デバ
イスがまた、実際のコミュニケーションの量がそのコンピュータのセキュリティ
・システムによって報告された量に適合しないようなケースについて知覚し及び
少なくとも中央のコントロールに報告し返すことができる、請求項７０のシステ
ム。 - 【請求項７９】デフォルトで、それぞれのプログラムは、それ自身及びオペレー
ティング・システム及びそれが見ることを許されたリソース（ソフトウエア及び
ハードウエア）のみを見ることができる、請求項３のシステム。 - 【請求項８０】デフォルトで、それぞれのプログラムは、それ自身及びオペレー
ティング・システム及びそれが見ることを許されたリソース（ソフトウエア及び
ハードウエア）のみを見ることができる、請求項９のシステム。 - 【請求項８１】セキュリティ・システムはまた、ユーザー又はアプリケーション
のいずれが、その特権をまだ持っていないプログラムに対して、例えばプログラ
ムの自然な環境の外側のファイルにアクセスするような、潜在的にセキュリティ
上危険なコマンドを開始したかを識別し、及び従ってもしコマンドがユーザーに
よって直接に開始された場合にはそれがアプリケーションによって開始された場
合に比して、より大きなフレキシビリティ及びより少ない制限を許すことができ
る、請求項３のシステム。 - 【請求項８２】セキュリティ・システムはまた、ユーザー又はアプリケーション
のいずれが、その特権をまだ持っていないプログラムに対して、例えばプログラ
ムの自然な環境の外側のファイルにアクセスするような、潜在的にセキュリティ
上危険なコマンドを開始したかを識別し、及び従ってもしコマンドがユーザーに
よって直接に開始された場合にはそれがアプリケーションによって開始された場
合に比して、より大きなフレキシビリティ及びより少ない制限を許すことができ
る、請求項９のシステム。 - 【請求項８３】セキュリティ・システムはまた、プログラムが、インプット・デ
バイスの１つを通じてユーザー・インプットを偽って表わす（ｆａｌｓｉｆｙ）
ことにより、あるアクションがユーザーによって開始されたという偽りの印象を
作り出すことができないことを確実にする、請求項８１のシステム。 - 【請求項８４】セキュリティ・システムはまた、プログラムが、インプット・デ
バイスの１つを通じてユーザー・インプットを偽って表わす（ｆａｌｓｉｆｙ）
ことにより、あるアクションがユーザーによって開始されたという偽りの印象を
作り出すことができないことを確実にする、請求項８２のシステム。 - 【請求項８５】セキュリティ・システムはまた、それが認可を要求するとき、他
の如何なるプログラムも、あたかもそれらがインプット・デバイスの１つを通じ
てユーザーによって入力されたかのような偽りの回答を入力できないことを確実
にする、請求項３のシステム。 - 【請求項８６】セキュリティ・システムはまた、それが認可を要求するとき、他
の如何なるプログラムも、あたかもそれらがインプット・デバイスの１つを通じ
てユーザーによって入力されたかのような偽りの回答を入力できないことを確実
にする、請求項９のシステム。 - 【請求項８７】プライベート・キーがブラウザにより生成され及び保存される場
合に、ブラウザによるキーへのアクセスがブラウザのデフォルトの認可内にない
ように、それらのキーが保持されるディレクトリを特定するために、追加のルー
ルが用いられる、請求項３のシステム。 - 【請求項８８】プライベート・キーがブラウザにより生成され及び保存される場
合に、ブラウザによるキーへのアクセスがブラウザのデフォルトの認可内にない
ように、それらのキーが保持されるディレクトリを特定するために、追加のルー
ルが用いられる、請求項９のシステム。 - 【請求項８９】ユーザーは組織であり及び少なくとも認可に対するコントロール
の幾つかは、システム・アドミニストレータのような、少なくとも１つの中央の
オーソリティの手中にある、請求項３４のシステム。 - 【請求項９０】中央のオーソリティのコンピュータ上のセキュリティ・システム
はまた、実際のコミュニケーションの量がそのコンピュータのセキュリティ・シ
ステムによって報告された量に適合しないようなコンピュータからのコミュニケ
ーションの試みを知覚し及び途中停止することができる、請求項８９のシステム
。 - 【請求項９１】それぞれのコンピュータのコミュニケーション・デバイスがまた
、実際のコミュニケーションの量がそのコンピュータのセキュリティ・システム
によって報告された量に適合しないようなケースについて知覚し及び少なくとも
そのコンピュータに報告し返すことができる、請求項３４のシステム。 - 【請求項９２】それぞれのコンピュータのコミュニケーション・デバイスがまた
、実際のコミュニケーションの量がそのコンピュータのセキュリティ・システム
によって報告された量に適合しないようなケースについて知覚し及び少なくとも
中央のコントロールに報告し返すことができる、請求項８９のシステム。 - 【請求項９３】ユーザーは組織であり及び少なくとも認可に対するコントロール
の幾つかは、システム・アドミニストレータのような、少なくとも１つの中央の
オーソリティの手中にあり及び中央のオーソリティのコンピュータ上のセキュリ
ティ・システムはまた、実際のコミュニケーションの量がそのコンピュータのソ
フトウエアによって報告された量に適合しないようなコンピュータからのコミュ
ニケーションの試みを知覚し及び途中停止することができるセキュリティ・シス
テム。 - 【請求項９４】ユーザーは組織であり及び少なくとも認可に対するコントロール
の幾つかは、システム・アドミニストレータのような、少なくとも１つの中央の
オーソリティの手中にあり及び中央のオーソリティのコンピュータ上のセキュリ
ティ・システムはまた、実際のコミュニケーションの量がそのコンピュータのオ
パレーティング・システムによって報告された量に適合しないようなコンピュー
タからのコミュニケーションの試みを知覚し及び途中停止することができるセキ
ュリティ方法。 - 【請求項９５】それぞれのコンピュータのコミュニケーション・デバイスがまた
、実際のコミュニケーションの量がそのコンピュータのソフトウエアによって報
告された量に適合しないようなケースについて知覚し及び少なくともそのコンピ
ュータに報告し返すことができる、セキュリティ・システム。 - 【請求項９６】ユーザーは組織であり及びそれぞれのコンピュータのコミュニケ
ーション・デバイスがまた、実際のコミュニケーションの量がそのコンピュータ
のソフトウエアによって報告された量に適合しないようなケースについて知覚し
及び少なくとも中央のコントロールに報告し返すことができる、セキュリティ・
システム。 - 【請求項９７】それぞれのコンピュータのコミュニケーション・デバイスがまた
、実際のコミュニケーションの量がそのコンピュータのソフトウエアによって報
告された量に適合しないようなケースについて知覚し及び少なくともそのコンピ
ュータに報告し返すことができる、セキュリティ方法。 - 【請求項９８】ユーザーは組織であり及びそれぞれのコンピュータのコミュニケ
ーション・デバイスがまた、実際のコミュニケーションの量がそのコンピュータ
のソフトウエアによって報告された量に適合しないようなケースについて知覚し
及び少なくとも中央のコントロールに報告し返すことができる、セキュリティ方
法。
Applications Claiming Priority (7)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| IL13641400 | 2000-05-28 | ||
| IL136414 | 2000-05-28 | ||
| US20959300P | 2000-06-06 | 2000-06-06 | |
| US60/209,593 | 2000-06-06 | ||
| US28401901P | 2001-04-15 | 2001-04-15 | |
| US60,284,019 | 2001-04-15 | ||
| PCT/IL2001/000487 WO2001092981A2 (en) | 2000-05-28 | 2001-05-28 | System and method for comprehensive general generic protection for computers against malicious programs that may steal information and/or cause damages |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2003535414A true JP2003535414A (ja) | 2003-11-25 |
Family
ID=27271933
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2002501128A Pending JP2003535414A (ja) | 2000-05-28 | 2001-05-28 | 情報を盗んだり及び／又は損害を引き起こしたりするかもしれない邪悪なプログラムに対するコンピュータの包括的一般的共通的保護のためのシステム及び方法 |
Country Status (8)
| Country | Link |
|---|---|
| EP (1) | EP1305688A2 (ja) |
| JP (1) | JP2003535414A (ja) |
| CN (1) | CN1444742A (ja) |
| AU (1) | AU6263201A (ja) |
| CA (1) | CA2424352A1 (ja) |
| GB (2) | GB2380303B (ja) |
| HK (2) | HK1084739A1 (ja) |
| WO (1) | WO2001092981A2 (ja) |
Cited By (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPWO2004075060A1 (ja) * | 2003-02-21 | 2006-06-01 | 田部井 光 | コンピュータウィルス判断方法 |
| JP2006172449A (ja) * | 2004-12-15 | 2006-06-29 | Microsoft Corp | ポータブルアプリケーション |
| JP2007535727A (ja) * | 2004-02-24 | 2007-12-06 | ソフトキャンプ カンパニー リミテッド | 仮想ディスクを利用した応用プログラム別接近統制システムとその統制方法 |
| US9031904B2 (en) | 2005-12-13 | 2015-05-12 | Microsoft Technology Licensing, Llc | Portable application registry |
| JP2015228233A (ja) * | 2011-09-08 | 2015-12-17 | マカフィー， インコーポレイテッド | マルウェアリスクスキャナー |
Families Citing this family (55)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| GB2404262B (en) * | 2003-06-19 | 2008-03-05 | Yaron Mayer | System and method for comprehensive general generic protection for computers against malicious programs that may steal information and/or cause damages |
| US20030159070A1 (en) * | 2001-05-28 | 2003-08-21 | Yaron Mayer | System and method for comprehensive general generic protection for computers against malicious programs that may steal information and/or cause damages |
| US7613930B2 (en) | 2001-01-19 | 2009-11-03 | Trustware International Limited | Method for protecting computer programs and data from hostile code |
| EP1225513A1 (en) | 2001-01-19 | 2002-07-24 | Eyal Dotan | Method for protecting computer programs and data from hostile code |
| US7028305B2 (en) | 2001-05-16 | 2006-04-11 | Softricity, Inc. | Operating system abstraction and protection layer |
| JP2004126854A (ja) * | 2002-10-01 | 2004-04-22 | Mitsubishi Electric Corp | 攻撃対策装置 |
| US7793346B1 (en) | 2003-01-17 | 2010-09-07 | Mcafee, Inc. | System, method, and computer program product for preventing trojan communication |
| EP1627330A2 (en) * | 2003-05-07 | 2006-02-22 | Linuxcare, Inc. | Detection and alerting of viruses in a shared read-only file system |
| US7188127B2 (en) | 2003-10-07 | 2007-03-06 | International Business Machines Corporation | Method, system, and program for processing a file request |
| US7730318B2 (en) * | 2003-10-24 | 2010-06-01 | Microsoft Corporation | Integration of high-assurance features into an application through application factoring |
| US20050091658A1 (en) * | 2003-10-24 | 2005-04-28 | Microsoft Corporation | Operating system resource protection |
| US7111246B2 (en) * | 2004-02-17 | 2006-09-19 | Microsoft Corporation | User interface accorded to tiered object-related trust decisions |
| US8332943B2 (en) | 2004-02-17 | 2012-12-11 | Microsoft Corporation | Tiered object-related trust decisions |
| US7406606B2 (en) * | 2004-04-08 | 2008-07-29 | International Business Machines Corporation | Method and system for distinguishing relevant network security threats using comparison of refined intrusion detection audits and intelligent security analysis |
| US20050259678A1 (en) * | 2004-05-21 | 2005-11-24 | Gaur Daniel R | Network interface controller circuitry |
| JP4638494B2 (ja) * | 2004-08-21 | 2011-02-23 | ファン・コ−チェン | コンピュータのデータ保護方法 |
| CN100461091C (zh) * | 2004-08-24 | 2009-02-11 | 华盛顿大学 | 用可重新配置硬件进行内容检测的方法和系统 |
| US7587594B1 (en) | 2004-08-30 | 2009-09-08 | Microsoft Corporation | Dynamic out-of-process software components isolation for trustworthiness execution |
| US7690033B2 (en) | 2004-09-28 | 2010-03-30 | Exobox Technologies Corp. | Electronic computer system secured from unauthorized access to and manipulation of data |
| JP4688472B2 (ja) * | 2004-11-01 | 2011-05-25 | 株式会社エヌ・ティ・ティ・ドコモ | 端末制御装置及び端末制御方法 |
| US7478237B2 (en) * | 2004-11-08 | 2009-01-13 | Microsoft Corporation | System and method of allowing user mode applications with access to file data |
| US7654590B2 (en) | 2005-01-04 | 2010-02-02 | Illinois Tool Works, Inc. | Magnetic appliance latch |
| US7490352B2 (en) * | 2005-04-07 | 2009-02-10 | Microsoft Corporation | Systems and methods for verifying trust of executable files |
| DE602005017585D1 (de) | 2005-04-18 | 2009-12-24 | Research In Motion Ltd | Verfahren und System zur Erkennung von bösartigen drahtlosen Anwendungen |
| US7665098B2 (en) | 2005-04-29 | 2010-02-16 | Microsoft Corporation | System and method for monitoring interactions between application programs and data stores |
| CN100346252C (zh) * | 2005-09-28 | 2007-10-31 | 珠海金山软件股份有限公司 | 计算机软件安全漏洞修复装置和方法 |
| CN1909453B (zh) * | 2006-08-22 | 2011-04-20 | 深圳市深信服电子科技有限公司 | 一种基于网关/网桥的防间谍软件侵犯方法 |
| US7870336B2 (en) | 2006-11-03 | 2011-01-11 | Microsoft Corporation | Operating system protection against side-channel attacks on secrecy |
| WO2008067371A2 (en) * | 2006-11-29 | 2008-06-05 | Wisconsin Alumni Research Foundation | System for automatic detection of spyware |
| EP2015212A1 (en) * | 2007-06-29 | 2009-01-14 | Axalto SA | Portable mass storage device with hooking process |
| CN101370305B (zh) * | 2008-09-23 | 2011-10-26 | 中兴通讯股份有限公司 | 一种保护数据业务安全的方法和系统 |
| US8719901B2 (en) * | 2008-10-24 | 2014-05-06 | Synopsys, Inc. | Secure consultation system |
| US8695090B2 (en) | 2008-10-31 | 2014-04-08 | Symantec Corporation | Data loss protection through application data access classification |
| US8850428B2 (en) | 2009-11-12 | 2014-09-30 | Trustware International Limited | User transparent virtualization method for protecting computer programs and data from hostile code |
| US9311482B2 (en) * | 2010-11-01 | 2016-04-12 | CounterTack, Inc. | Inoculator and antibody for computer security |
| US9043918B2 (en) * | 2011-10-13 | 2015-05-26 | Mcafee, Inc. | System and method for profile based filtering of outgoing information in a mobile environment |
| RU2477520C1 (ru) | 2012-03-14 | 2013-03-10 | Закрытое акционерное общество "Лаборатория Касперского" | Система и способ динамической адаптации функционала антивирусного приложения на основе конфигурации устройства |
| US8732834B2 (en) * | 2012-09-05 | 2014-05-20 | Symantec Corporation | Systems and methods for detecting illegitimate applications |
| US20160055331A1 (en) * | 2013-03-28 | 2016-02-25 | Irdeto B.V. | Detecting exploits against software applications |
| CN103729937A (zh) * | 2013-12-20 | 2014-04-16 | 广西科技大学 | 一种电动车充电计费监测系统 |
| CN103906045B (zh) * | 2013-12-25 | 2017-12-22 | 武汉安天信息技术有限责任公司 | 一种移动终端隐私窃取行为的监控方法及系统 |
| CN105162620B (zh) * | 2015-08-04 | 2018-11-27 | 南京百敖软件有限公司 | 一种实现异架构下系统监控的方法 |
| US10303878B2 (en) * | 2016-01-22 | 2019-05-28 | Yu-Liang Wu | Methods and apparatus for automatic detection and elimination of functional hardware trojans in IC designs |
| CN106020874A (zh) * | 2016-05-13 | 2016-10-12 | 北京金山安全软件有限公司 | 数据上报方法、装置及终端设备 |
| CN106598866A (zh) * | 2016-12-22 | 2017-04-26 | 合肥国信车联网研究院有限公司 | 一种基于smali中间语言的静态检测系统及方法 |
| CN106599708A (zh) * | 2017-02-21 | 2017-04-26 | 柳州桂通科技股份有限公司 | 一种防止网络之间互访时访客恶意破坏原始数据的实时访问方法及其系统 |
| KR102405752B1 (ko) * | 2017-08-23 | 2022-06-08 | 삼성전자주식회사 | 어플리케이션 프로그램의 권한을 제어하는 방법 및 전자 장치 |
| CN108217349B (zh) * | 2017-12-06 | 2020-10-13 | 上海新时达电气股份有限公司 | 一种电梯预先授权控制系统及调试方法 |
| CN108345522B (zh) * | 2017-12-15 | 2019-03-29 | 清华大学 | 用于对中央处理器cpu进行安全检测的方法、装置和系统 |
| US10742483B2 (en) | 2018-05-16 | 2020-08-11 | At&T Intellectual Property I, L.P. | Network fault originator identification for virtual network infrastructure |
| DE102018120344A1 (de) * | 2018-08-21 | 2020-02-27 | Pilz Gmbh & Co. Kg | Automatisierungssystem zur Überwachung eines sicherheitskritischen Prozesses |
| EP3623886A1 (de) * | 2018-09-17 | 2020-03-18 | Siemens Aktiengesellschaft | Verfahren zur verwaltung eines produktionsprozesses, sowie computerprogramm zum ausführen des verfahrens und elektronisch lesbarer datenträger |
| DE102020114199A1 (de) | 2020-05-27 | 2021-12-02 | Basler Aktiengesellschaft | Absicherung von Computersystemen gegen Manipulationen und Funktionsanomalien |
| CN112600757B (zh) * | 2020-12-25 | 2023-03-10 | 深圳深度探测科技有限公司 | 一种基于不对称数据传输限速器的安全维护方法 |
| CN114821314B (zh) * | 2022-04-19 | 2024-03-08 | 中铁建设集团有限公司 | 基于机器视觉的机场路面异常检测方法 |
Family Cites Families (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5440723A (en) * | 1993-01-19 | 1995-08-08 | International Business Machines Corporation | Automatic immune system for computers and computer networks |
| AU683038B2 (en) * | 1993-08-10 | 1997-10-30 | Addison M. Fischer | A method for operating computers and for processing information among computers |
| US5684875A (en) * | 1994-10-21 | 1997-11-04 | Ellenberger; Hans | Method and apparatus for detecting a computer virus on a computer |
| US5765030A (en) * | 1996-07-19 | 1998-06-09 | Symantec Corp | Processor emulator module having a variable pre-fetch queue size for program execution |
| US5832208A (en) * | 1996-09-05 | 1998-11-03 | Cheyenne Software International Sales Corp. | Anti-virus agent for use with databases and mail servers |
| US6108799A (en) * | 1997-11-21 | 2000-08-22 | International Business Machines Corporation | Automated sample creation of polymorphic and non-polymorphic marcro viruses |
| EP1127314A4 (en) * | 1998-09-10 | 2003-03-12 | Sanctum Ltd | METHOD AND SYSTEM FOR UPDATING RESTRICTED OPERATING CONTEXTS FOR APPLICATION PROGRAMS OR OPERATING SYSTEMS |
| US6256773B1 (en) * | 1999-08-31 | 2001-07-03 | Accenture Llp | System, method and article of manufacture for configuration management in a development architecture framework |
-
2001
- 2001-05-28 CA CA002424352A patent/CA2424352A1/en not_active Abandoned
- 2001-05-28 AU AU62632/01A patent/AU6263201A/en not_active Abandoned
- 2001-05-28 JP JP2002501128A patent/JP2003535414A/ja active Pending
- 2001-05-28 EP EP01936773A patent/EP1305688A2/en not_active Withdrawn
- 2001-05-28 WO PCT/IL2001/000487 patent/WO2001092981A2/en not_active Application Discontinuation
- 2001-05-28 GB GB0230154A patent/GB2380303B/en not_active Expired - Lifetime
- 2001-05-28 CN CN01813512.9A patent/CN1444742A/zh active Pending
-
2005
- 2005-03-29 GB GB0506281A patent/GB2411988B/en not_active Expired - Lifetime
-
2006
- 2006-03-07 HK HK06102975A patent/HK1084739A1/xx not_active IP Right Cessation
- 2006-03-07 HK HK06102974A patent/HK1084738A1/xx not_active IP Right Cessation
Cited By (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPWO2004075060A1 (ja) * | 2003-02-21 | 2006-06-01 | 田部井 光 | コンピュータウィルス判断方法 |
| JP2007535727A (ja) * | 2004-02-24 | 2007-12-06 | ソフトキャンプ カンパニー リミテッド | 仮想ディスクを利用した応用プログラム別接近統制システムとその統制方法 |
| JP4717058B2 (ja) * | 2004-02-24 | 2011-07-06 | ソフトキャンプ カンパニー リミテッド | 仮想ディスクを利用した応用プログラム別アクセス制御システム |
| JP2006172449A (ja) * | 2004-12-15 | 2006-06-29 | Microsoft Corp | ポータブルアプリケーション |
| US9031904B2 (en) | 2005-12-13 | 2015-05-12 | Microsoft Technology Licensing, Llc | Portable application registry |
| JP2015228233A (ja) * | 2011-09-08 | 2015-12-17 | マカフィー， インコーポレイテッド | マルウェアリスクスキャナー |
| JP2017021852A (ja) * | 2011-09-08 | 2017-01-26 | マカフィー， インコーポレイテッド | マルウェアリスクスキャナー |
Also Published As
| Publication number | Publication date |
|---|---|
| CN1444742A (zh) | 2003-09-24 |
| GB2380303A (en) | 2003-04-02 |
| HK1084739A1 (en) | 2006-08-04 |
| GB0230154D0 (en) | 2003-02-05 |
| GB0506281D0 (en) | 2005-05-04 |
| GB2411988B (en) | 2005-10-19 |
| EP1305688A2 (en) | 2003-05-02 |
| WO2001092981A3 (en) | 2002-04-25 |
| CA2424352A1 (en) | 2001-12-06 |
| HK1084738A1 (en) | 2006-08-04 |
| AU6263201A (en) | 2001-12-11 |
| GB2380303B (en) | 2005-09-14 |
| WO2001092981A2 (en) | 2001-12-06 |
| GB2411988A (en) | 2005-09-14 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP2003535414A (ja) | 情報を盗んだり及び／又は損害を引き起こしたりするかもしれない邪悪なプログラムに対するコンピュータの包括的一般的共通的保護のためのシステム及び方法 | |
| US9213836B2 (en) | System and method for comprehensive general electric protection for computers against malicious programs that may steal information and/or cause damages | |
| US20030159070A1 (en) | System and method for comprehensive general generic protection for computers against malicious programs that may steal information and/or cause damages | |
| CN109766699B (zh) | 操作行为的拦截方法及装置、存储介质、电子装置 | |
| US20040034794A1 (en) | System and method for comprehensive general generic protection for computers against malicious programs that may steal information and/or cause damages | |
| USRE43528E1 (en) | System and method for protecting a computer system from malicious software | |
| JP5203969B2 (ja) | ネットワーク化環境におけるデータの安全保護 | |
| US20090247125A1 (en) | Method and system for controlling access of computer resources of mobile client facilities | |
| US20040103317A1 (en) | Method and apparatus for protecting secure credentials on an untrusted computer platform | |
| US20110239306A1 (en) | Data leak protection application | |
| US20050223239A1 (en) | Method for protecting computer programs and data from hostile code | |
| KR100997802B1 (ko) | 정보 단말기의 보안 관리 장치 및 방법 | |
| US20110126293A1 (en) | System and method for contextual and behavioral based data access control | |
| JP2019075131A (ja) | ファイル・アクセス監視方法、プログラム、および、システム | |
| GB2404262A (en) | Protection for computers against malicious programs using a security system which performs automatic segregation of programs | |
| CA2471505A1 (en) | System and method for comprehensive general generic protection for computers against malicious programs that may steal information and/or cause damages | |
| GB2411748A (en) | Anti-virus system for detecting abnormal data outputs | |
| CA2424144A1 (en) | System and method for comprehensive general generic protection for computers against malicious programs that may steal information and/or cause damages | |
| US20240314136A1 (en) | Method for controlling the access of a user to a network, network, and computer program | |
| AU2007201692A1 (en) | System and method for comprehensive general generic protection for computers against malicious programs that may steal information and/or cause damages | |
| Koropiotis | CIS Microsoft Windows Server 2019 compliance | |
| KR20040027682A (ko) | 변형된 파일드라이버를 이용한 사용권한 컨트롤을 통해 바이러스, 해킹, 파일의 무단사용을 예방할 수 있는 방법 | |
| Olzak | Wireless Handheld Device Security | |
| Khelafa | Prevention and handling of malicious code | |
| CA2446144A1 (en) | System and method for comprehensive general generic protection for computers against malicious programs that may steal information and/or cause damages |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20080528 |
|
| A072 | Dismissal of procedure [no reply to invitation to correct request for examination] |
Free format text: JAPANESE INTERMEDIATE CODE: A073 Effective date: 20081104 |