JP2013507722A - 挙動に基づいた発見的方法の攻撃性の通知へのファイルの普及度の使用 - Google Patents

Abstract

挙動に基づいた発見的方法による分析を適用する対象であるファイルの普及率を判定し、且つ、この普及率に応答して、分析において使用するべく攻撃性のレベルを調節する。攻撃性は、普及度が低いファイルの場合には、高いレベルに、且つ、普及度が高いファイルの場合には、低いレベルに、設定する。設定された攻撃性レベルを使用し、挙動に基づいた発見的方法による分析をファイルに対して適用する。攻撃性レベルを設定するステップに加えて、発見的分析は、普及度が低いファイルを、悪意を有する可能性が高いものとして、且つ、普及度が高いファイルを、悪意を有する可能性が低いものとして、動的に重み付けするステップを含むこともできる。適用された挙動に基づいた発見的方法による分析に基づいて、ファイルがマルウェアを含むかどうかを判定する。ファイルがマルウェアを含んでいると判定された場合には、ファイルのブロック、削除、隔離、及び／又は駆除などの適切なステップを実行することができる。

Description

本開示は、一般に、コンピュータセキュリティに関し、更に具体的には、対応する挙動に基づいた発見的マルウェア検出の攻撃性の通知へのファイルの普及度の使用に関する。

マルウェア（例えば、ウイルス、ワーム、トロイの木馬、スパイウェアなど）を検出（且つ、これにより、除去）するためのシステムが存在している。このようなマルウェア検出システムは、通常、静的ビットシグネチャ及び／又は発見的方法を使用してマルウェアを識別することにより、動作している。静的ビットシグネチャに基づいたマルウェア検出は、既知のマルウェアの特定のビットレベルパターン（シグネチャ）を識別するステップを伴う。これにより、ファイルをスキャニングし、それらのファイルがこのシグネチャを含んでいるかどうかを判定する。マルウェアが静的ファイルシグネチャを使用して識別された際には、それがマルウェアである可能性が高い。しかしながら、シグネチャに基づいた検出は、コンテンツを変更することにより、回避することができる。自身のマルウェアを操作してシグネチャに基づいた検出を回避することにマルウェアの作成者が熟達するのに伴って、シグネチャは、その有用性を喪失しつつある。

発見的なマルウェア検出は、様々な意思決定に基づいた規則又は重み付け法を適用することにより、所与のファイルがマルウェアである尤度を判定するステップを伴う。発見的分析は、多くの状況において有用な結果をもたらすことができるが、その正しさは、数学的に立証されていない。静的ファイルの発見的方法においては、ファイルのコンテンツを発見的に分析する。挙動に基づいた発見的方法においては、プログラムの挙動を発見的に分析する。いずれの方法も、それぞれと関連するコンテンツ及び挙動のタイプに関する一般化を実行することができるように、マルウェア及びクリーンファイルのサンプルセットによって発見的アナライザをトレーニングするステップを伴う。発見的分析は、ファイルがクリーンである又は悪意を有している尤度を判定するのみであることから、発見的分析を使用した疑わしいマルウェアの識別は、その名のとおり、完全に確実なものでは絶対にありえない。さらに、発見に基づいたファイルのマルウェア判定の信頼性は、トレーニングセットが、その定義が困難であり、且つ、実際世界のものとは常に異なっているという事実に伴う問題点をも有する。

挙動に基づいたマルウェア検出の１つの主要な欠点は、偽陽性である。発見的分析における固有の不確実性に起因し、悪意を有する方式で動作しているように見える悪意を有していないファイルをマルウェアとして判定する可能性が存在している。クリーンファイルを、悪意を有していると誤って分類すれば、正当な潜在的に重要なコンテンツが結果的にしばしばブロックされることになるため、問題である。この問題に対処するべく、偽陽性率を低下させるように、しばしば、使用する発見的方法の攻撃性を低下させている。残念ながら、発見的方法の攻撃性を相応して低下させると、検出される真陽性率も同様に低下することになる。換言すれば、弱い発見的方法を使用するほど、悪意を有するファイルが、クリーンであると誤って分類され、且つ、ユーザーに伝達される可能性が高くなる。

電子データの供給元である供給源の評判の追跡は、悪意を有するファイルを識別するべく使用される別の技法である。例えば、電子メールのアドレス及びドメインの評判を追跡し、信頼できる又は潜在的に悪意を有する電子メール送信者及びファイルシグネチャを識別することができる。評判に基づいたファイルの分類は、所与のファイルの供給源が周知である際には有効であろう。多数の電子コンテンツが供給源から時間の経過に伴って到来する場合には、その供給源の評判を秘密裏に評価し、且つ、これを使用してコンテンツをスクリーニング又は通過させることができる。残念ながら、評判に基づいたファイルの分類は、普及度の低い供給源を、確信をもって評価する際に問題を有する。

これらの課題に対処することが望ましいであろう。

発見的方法の攻撃性管理システムは、ターゲットファイルの普及率に基づいて、挙動に基づいた発見的方法によるマルウェア検出に使用するべく攻撃性レベルを調節する。例えば、評判追跡又はマルウェア検出システムからの入力に基づいて、挙動に基づいた発見的方法による分析を適用する対象であるファイルの普及率を判定する。判定されたファイルの普及率に応答して、ファイルの挙動に基づいた発見的方法による分析において使用するべく攻撃性レベルを調節する。更に詳しくは、攻撃性レベルは、普及度が低いファイルの場合には、高いレベルに、そして、普及度が高いファイルの場合には、低いレベルに設定する。一実施形態においては、異なる普及率を有するファイルに対して偽陽性許容レベルを設定し、且つ、ＲＯＣ（Ｒｅｃｅｉｖｅｒ Ｏｐｅｒａｔｉｎｇ Ｃｈａｒａｃｔｅｒｉｓｔｉｃｓ）に基づいた分析を使用し、対応する攻撃性レベルを設定している。設定された攻撃性レベルを使用し、挙動に基づいた発見的方法による分析をファイルに対して適用する。これは、例えば、ファイルの挙動に基づいた発見的方法による分析の際に、使用する攻撃性レベルに応答して、ファイル属性の処理を変更すると共に／又は異なるファイル属性を測定するステップを伴うことができる。攻撃性レベルを設定するステップに加えて、いくつかの実施形態においては、発見的分析は、普及度が低いファイルを、悪意を有する可能性が高いものとして、且つ、普及度が高いファイルを、正当である可能性が高いものとして、動的に重み付けするステップをも含む。適用された挙動に基づいた発見的方法による分析に基づいて、ファイルがマルウェアを含むかどうかを判定する。ファイルがマルウェアを含んでいないと判定された場合には、必要に応じて、正常なファイル処理の進行を許容する。一方、ファイルがマルウェアを含んでいると判定された場合には、ファイルのブロック、ファイルの削除、ファイルの隔離、及び／又はファイルの駆除などの追加的なステップを実行することができる。

この概要及び以下の詳細な説明に記述されている特徴及び利点は、それらのすべてを網羅したものではなく、且つ、具体的には、添付の図面、本明細書、及び請求項に鑑み、多数の更なる特徴及び利点が当業者に明らかとなろう。更には、本明細書に使用されている言語は、基本的に、可読性及び教育的な目的のために選択されたものであり、従って、本発明の主題を線引き又は制限するべく選択されたものではなく、本発明の主題は、請求項によって判定することを要するという点に留意されたい。

いくつかの実施形態に従って発見的方法の攻撃性管理システムを実装することができる例示用のネットワークアーキテクチャのブロックダイアグラムである。 いくつかの実施形態に従って発見的方法の攻撃性管理システムを実装するのに好適なコンピュータシステムのブロックダイアグラムである。 いくつかの実施形態による発見的方法の攻撃性管理システムの動作のブロックダイアグラムである。

添付図面は、様々な実施形態を示しているが、これらは、例示を目的としたものに過ぎない。当業者は、以下の説明から、本明細書に記述されている原理を逸脱することなしに、本明細書に示されている構造及び方法の代替実施形態を利用してもよいことを容易に認識するであろう。

図１は、発見的方法の攻撃性管理システム１０１を実装することができる例示用のネットワークアーキテクチャ１００を示すブロックダイアグラムである。図示のネットワークアーキテクチャ１００は、複数のクライアント１０３Ａ、１０３Ｂ、及び１０３Ｎと、複数のサーバー１０５Ａ及び１０５Ｎと、を含む。図１には、発見的方法の攻撃性管理システム１０１が、クライアント１０３Ａ上に存在するものとして示されている。これは、一例に過ぎず、且つ、様々な実施形態においては、このシステム１０１の様々な機能は、クライアント１０３やサーバー１０５上にそのインスタンスを生成することも可能であり、或いは、複数のクライアント１０３及び／又はサーバー１０５の間に分散させることもできることを理解されたい。

クライアント１０３及びサーバー１０５は、図２に示されると共に後述されるものなどのコンピュータシステム２１０を使用して実装することができる。クライアント１０３及びサーバー１０５は、例えば、図２との関連において後述するネットワークインターフェイス２４８又はモデム２４７を介して、ネットワーク１０７に対して通信可能に結合されている。クライアント１０３は、例えば、ウェブブラウザ又はその他のクライアントソフトウェア（図示されてはいない）を使用し、サーバー１０５上のアプリカント及び／又はデータにアクセスすることができる。

図１は、一例として、３つのクライアントと、２つのサーバーと、を示しているが、実際には、更に多くの数の（又は、更に少ない数の）クライアント１０３及び／又はサーバー１０５を配備することができる。一実施形態においては、ネットワーク１０７は、インターネットの形態を有する。その他の実施形態においては、その他のネットワーク１０７又はネットワークに基づいた環境を使用することができる。

図２は、発見的方法の攻撃性管理システム１０１を実装するのに好適なコンピュータシステム２１０のブロックダイアグラムである。クライアント１０３及びサーバー１０５は、いずれも、このようなコンピュータシステム２１０の形態において実装することができる。図示のように、コンピュータシステム２１０の１つのコンポーネントは、バス２１２である。バス２１２は、少なくとも１つのプロセッサ２１４、システムメモリ２１７（例えば、ランダムアクセスメモリ（ＲＡＭ）、読み出し専用メモリ（ＲＯＭ）、フラッシュメモリ）、入出力（Ｉ／Ｏ）コントローラ２１８、スピーカシステム２２０などの外部オーディオ装置に対して通信可能に結合されるオーディオ出力インターフェイス２２２、ディスプレイ画面２２４などの外部ビデオ出力装置に対して通信可能に結合されるディスプレイアダプタ２２６、シリアルポート２３０、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）レセプタクル２３０、パラレルポート（図示されてはいない）などの１つ又は複数のインターフェイス、キーボード２３２に対して通信可能に結合されるキーボードコントローラ２３３、少なくとも１つのハードディスク２４４（又は、１つ又は複数のその他の形態の磁気媒体）に対して通信可能に結合されるストレージインターフェイス２３４、フロッピーディスク２３８を受け入れるべく構成されたフロッピーディスクドライブ２３７、ファイバーチャネル（ＦＣ）ネットワーク２９０と接続するべく構成されたホストバスアダプタ（ＨＢＡ）インターフェイスカード２３５Ａ、ＳＣＳＩバス２３９に対して接続するべく構成されたＨＢＡインターフェイスカード２３５Ｂ、光ディスク２４２を受け入れるべく構成された光ディスクドライブ２４０、例えば、ＵＳＢレセプタクル２２８を介してバス２１２に結合されたマウス２４６（又は、その他のポインティング装置）、例えば、シリアルポート２３０を介してバス２１２に結合されたモデム２４７、並びに、例えば、直接的にバス２１２に結合されたネットワークインターフェイス２４８などのコンピュータシステム２１０のその他のコンポーネントを通信可能に結合している。

その他のコンポーネント（図示されてはいない）を同様の方式によって接続してもよい（例えば、文書スキャナ、デジタルカメラ、プリンタなど）。逆に、図２に示されているコンポーネントのすべてが存在することは、必須ではない。コンポーネントは、図２に示されているものとは別の方法によって相互接続することもできる。

バス２１２により、プロセッサ２１４とシステムメモリ２１７の間のデータ通信が可能であり、システムメモリは、前述のように、ＲＯＭ及び／又はフラッシュメモリ、並びに、ＲＡＭを含んでもよい。ＲＡＭは、通常、オペレーティングシステム及びアプリケーションプログラムがその内部に読み込まれる主メモリである。ＲＯＭ及び／又はフラッシュメモリは、その他のコードに加えて、特定の基本ハードウェア動作を制御するＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ−Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）を収容することができる。アプリケーションプログラムは、ローカルなコンピュータ可読媒体（例えば、ハードディスク２４４や光ディスク２４２）上に保存し、且つ、システムメモリ２１７上に読み込むと共に、プロセッサ２１４によって実行することができる。又、アプリケーションプログラムは、例えば、ネットワークインターフェイス２４８又はモデム２４７を介して、遠隔場所（即ち、離れた場所に位置するコンピュータシステム２１０）からシステムメモリ２１７に読み込むこともできる。図２においては、発見的方法の攻撃性管理システム１０１は、システムメモリ２１７内に存在するものとして示されている。発見的方法の攻撃性管理システム１０１の動作については、図３との関連において更に詳しく後述する。

ストレージインターフェイス２３４は、１つ又は複数のハードディスク２４４（及び／又はその他の標準的なストレージ媒体）に結合される。１つ又は複数のハードディスク２４４は、コンピュータシステム２１０の一部であってもよく、或いは、物理的に別個であって、その他のインターフェイスシステムを通じてアクセスするものであってもよい。

ネットワークインターフェイス２４８及び／又はモデム２４７は、インターネットなどのネットワーク１０７に対して直接的に又は間接的に通信可能に結合することができる。このような結合は、有線又は無線であってよい。

図３は、いくつかの実施形態によるコンピュータシステム２１０のシステムメモリ２１７内に存在する発見的方法の攻撃性管理システム１０１の動作を示している。前述のように、発見的方法の攻撃性管理システム１０１の機能は、クライアント１０３やサーバー１０５上に存在することも可能であり、或いは、発見的方法の攻撃性管理システム１０１の機能をネットワーク１０７上のサービスとして提供するクラウドに基づいた演算環境内を含む複数のコンピュータシステム２１０の間に分散させることもできる。図３には、発見的方法の攻撃性管理システム１０１が、単一のエンティティとして示されているが、図示の発見的方法の攻撃性管理システム１０１は、必要に応じて単一の又は複数のモジュールとしてインスタンスを生成可能な機能の集合体を表していることを理解されたい（図３には、発見的方法の攻撃性管理システム１０１の特定の複数のモジュールのインスタンス生成例が示されている）。発見的方法の攻撃性管理システム１０１のモジュールは、コンピュータシステム２１０のプロセッサ２１４がモジュールを処理した際に、関連する機能をコンピュータシステム２１０が実行するように、任意のコンピュータシステム２１０のシステムメモリ２１７（例えば、ＲＡＭ、ＲＯＭ、フラッシュメモリ）内において（例えば、オブジェクトコード又は実行可能なイメージとして）インスタンスを生成することができることを理解されたい。本明細書において使用されている「コンピュータシステム」、「コンピュータ」、「クライアント」、「クライアントコンピュータ」、「サーバー」、「サーバーコンピュータ」、及び「演算装置」という用語は、記述されている機能を実行するべく構成及び／又はプログラムされた１つ又は複数のコンピュータを意味している。更には、発見的方法の攻撃性管理システム１０１の機能を実装するプログラムコードは、コンピュータ可読ストレージ媒体上に保存することができる。この文脈において、磁気又は光ストレージ媒体などの任意の形態の実体のあるコンピュータ可読ストレージ媒体を使用することができる。本明細書において使用されている「コンピュータ可読ストレージ媒体」という用語は、基礎をなす物理的媒体とは別個である電子信号を意味してはいない。

図３に示されているように、発見的方法の攻撃性管理システム１０１の攻撃性調節モジュール３０１は、検査対象であるターゲットファイル３０５のフィールドにおける普及率３０９の関数として、挙動に基づいた発見的方法の増減する攻撃性レベル３０３を調節する。

一般に、非常に普及しているマルウェア３２１は、やがて検出される傾向を有する。換言すれば、特定の悪意を有するファイル３０５が広く分布したら、マルウェア検出システムは、そのファイルを識別する傾向を有する。広く分布したマルウェア３２１が識別されたら、対応するシグネチャを生成し、且つ、マルウェア検出システムは、これを使用してそのマルウェアを識別及びブロックすることができる。普及度が低いマルウェア３２１は、検出及びシグネチャ化されている可能性が低く、且つ、従って、挙動に基づいた発見的方法による分析などのその他の検出方法により依存することになる。これらの理由から、後程詳述するように、攻撃性調節モジュール３０１は、普及度が低いファイル３０５に対しては、挙動に基づいた発見的方法による分析を実行するための攻撃性レベル３０３を増大させ、且つ、普及度が高いファイル３０５の場合には、攻撃性レベル３０３を減少させる。

図３に示されているように、普及度判定モジュール３０７は、マルウェア３２１の検出のために挙動に基づいた発見的方法による分析を適用する対象であるファイル３０５の普及率３０９を判定する。一実施形態においては、普及度判定モジュール３０７は、図示のように、この情報を評判追跡モジュール３１１から収集する。一般に、評判追跡モジュール３１１は、マルウェア検出システムと関連付けられており、マルウェア検出システムは、評判追跡を使用しており、且つ、従って、広範な評判追跡データ３１３の基盤と、従って、様々なファイル３０５のフィールドにおける普及率３０９を識別する情報と、にアクセスしている。その他の実施形態においては、普及度判定モジュール３０７は、フィールドに配置されている複数のクライアントエージェント（図示されてはいない）からコンパイルされたデータを有する中央集中型のマルウェア検出システムリポジトリ（図示されてはいない）などの別の供給源からの入力に基づいて普及率３０９を判定している。具体的には、普及度判定モジュール３０７と、発見的方法の攻撃性管理システム１０１と、全般的には、挙動に基づいた発見的方法による分析と、は、マルウェアを検出及び管理するべくその他の技法（例えば、シグネチャに基づいた分析、評判追跡）をも利用する更に大きなマルウェア検出システムの一部であってよいが、これは必須ではないことを理解されたい。

攻撃性調節モジュール３０１は、普及度判定モジュール３０７によって判定された個別のファイル３０５の関連する普及率３０９に基づいて、個別のファイル３０５に対して挙動に基づいた発見的方法による分析を実施するための攻撃性レベル３０３を調節する。１つしか存在していないファイル３０５（即ち、普及度判定モジュール３０７がそれまで遭遇したことがないファイル３０５）の場合に、最高レベルの攻撃性３０３を使用する。前述のように、高いレベルの攻撃性３０３は、高い真陽性率を結果的にもたらし、これは、普及度が低いファイル３０５の場合には、望ましく、その理由は、この場合には、潜在的に悪意を有していることをその他の方法によって検出することが困難であるためである。高いレベルの攻撃性３０３は、高い偽陽性率を結果的にもたらす傾向をも有する。従って、ファイル３０５の普及率３０９が増大するのに伴って、攻撃性調節モジュール３１０は、相応して、使用する攻撃性のレベル３０３を低下させる。

攻撃性のレベル３０３を変化させることにより、ファイル属性の特定の組合せが、挙動に基づいた発見的方法による分析において、どれだけ確実に処理されるか、並びに、潜在的にどの属性が計測されるか、に対して影響を付与可能であることを理解されたい。様々なレベルの攻撃性３０３において挙動に基づいた発見的方法による分析を実施する実装法については、当業者に周知であり、且つ、記述されている実施形態の環境におけるそれらの使用法についても、本開示に鑑み、当業者に容易に明らかとなろう。

攻撃性調節モジュール３０１が特定のファイル３０５の普及率３０９に基づいて特定のファイル３０５に使用するための攻撃性のレベル３０３を設定したら、挙動に基づいた発見的方法による分析モジュール３１５は、ファイルがマルウェア３２１を含むかどうかを判定するべく、その攻撃性レベル３０３を使用して挙動に基づいた発見的方法による分析を適用する。どの特定のファイル普及率３０９に基づいてどの特定レベルの攻撃性３０３を適用するのかは、可変設計パラメータであることを理解されたい。

マルウェア３２１の発見的な挙動に基づく検出は、真陽性率に対して偽陽性率をプロットする従来のＲＯＣ（Ｒｅｃｅｉｖｅｒ Ｏｐｅｒａｔｉｎｇ Ｃｈａｒａｃｔｅｒｉｓｔｉｃｓ）によって計測することができる。許容可能であると見なされる偽陽性率が付与されたら、従来のＲＯＣに基づいた分析を使用し、対応する真陽性率を算出することができる。一実施形態においては、許容レベル設定モジュール３２３が、異なる普及率３０９を有するファイル３０５に対して偽陽性許容レベル３２５を設定し、且つ、ＲＯＣ分析モジュール３１７が、対応する攻撃性レベル３０３を判定し、これに対して、攻撃性調節モジュール３０１が、これらのファイル３０５のための攻撃性のレベル３０３を設定する。許容レベル設定モジュール３２３によって設定される偽陽性許容レベル３２５は、可変設計パラメータであることを理解されたい。

攻撃性調節モジュール３０１が普及率３０９に基づいて攻撃性レベル３０３を調節している場合に、偽陽性に対する一貫性のある許容値が付与されると、ＲＯＣは、それぞれの普及率３０９において異なり、且つ、従って、異なる普及率３０９において異なる真陽性率を結果的にもたらす。この理由は、前述のように、普及度が低いファイル３０５は、悪意を有する可能性が高く、且つ、従って、対応する検出された陽性が、誤ったものである可能性が低いためである。従って、実際の真陽性率は、普及度が低い場合に、高い。

又、普及度重み付けモジュール３１９は、悪意を有していると分類される方向に、普及度が低いファイル３０５を動的に重み付けすることもできる。換言すれば、普及度重み付けモジュール３１９は、絶対的な限度の使用とは対照的に、高い普及率３０９を有するファイル３０５が、多くの場合に悪意を有していないと見なされ、且つ、低い普及率３０９を有するファイル３０５が、多くの場合に悪意を有していると見なされるようにするべく、所与のファイル３０５の挙動に基づいた発見的分析において使用される動的属性を調節することができる。

要すれば、挙動に基づいた発見的方法による分析モジュール３１５は、それぞれの分析されたファイル３０５の普及率３０９に応じて調節された攻撃性レベル３０３を使用することにより、個別のファイル３０５を分析し、それらのファイルがマルウェア３２１を含んでいるかどうかを判定する。又、挙動に基づいた発見的方法による分析モジュール３１５は、前述のように、悪意を有していると分類される方向に、普及度が低いファイル３０５を重み付けする発見的方法の属性を使用することもできる。これらの技法は、相対的に困難な領域である低い普及度のマルウェア３２１の検出を促進し、且つ、様々なファイル３０５の様々な普及率３０９における偽陽性率と真陽性率の間の均衡を提供する。

正当なファイル３２７であると宣告されたファイル３０５は、必要に応じてコンピュータシステム２１０によって処理可能であり、マルウェア３２１であると判定されたファイルは、ブロック、削除、隔離、駆除、又はさもなければ従来のマルウェア対策機能に従って処理することができることを理解されたい。

当業者には理解されるように、本発明は、その精神又は基本的な特徴を逸脱することなしに、その他の特定の形態において実施してもよい。同様に、部分、モジュール、エージェント、マネージャ、コンポーネント、機能、手順、動作、レイヤ、特徴、属性、方法、データ構造、及びその他の側面の特定の命名及び分割は、必須又は有意ではなく、従って、本発明又はその特徴を実装するメカニズムは、異なる名称、分割、及び／又はフォーマットを有してもよい。説明を目的とした上述の内容は、特定の実施形態を参照して記述している。しかしながら、上述の例示的な説明は、すべてを網羅したり、或いは、開示された形態そのままに限定したりすることを意図したものではない。上述の教示内容に鑑み、多くの変更及び変形が可能である。関連する原理及びそれらの実際の適用について最良に説明し、これにより、当業者が、想定される特定の使用法に好適な様々な変更を伴って又は伴うことなしに様々な実施形態を最良に利用することができるようにするべく、実施形態を選択し、且つ、説明した。

Claims (15)

1. ターゲットファイルの普及率に基づいて、挙動に基づいた発見的方法によるマルウェア検出において使用するべく攻撃性レベルを調節するコンピュータ実装方法であって、
   コンピュータにより、ファイルがマルウェアを含むかどうかを判定するべく、挙動に基づいた発見的方法による分析を適用する対象である前記ファイルの普及率を判定するステップと、
   コンピュータにより、前記ファイルの前記判定された普及率に応答して、前記ファイルの前記挙動に基づいた発見的方法による分析において使用するべく前記攻撃性レベルを調節するステップと、
   コンピュータにより、前記攻撃性レベルを使用し、挙動に基づいた発見的方法による分析を前記ファイルに対して適用するステップと、
   コンピュータにより、前記適用された挙動に基づいた発見的方法による分析に基づいて、前記ファイルがマルウェアを含むかどうかを判定するステップと、
   を含む方法。
2. コンピュータにより、ファイルがマルウェアを含むかどうかを判定するべく、挙動に基づいた発見的方法による分析を適用する対象である前記ファイルの普及率を判定する前記ステップは、
   コンピュータにより、評判追跡システムと関連するデータに基づいて、前記ファイルの前記普及率を判定するステップ
   を更に含む請求項１に記載の方法。
3. コンピュータにより、ファイルがマルウェアを含むかどうかを判定するべく、挙動に基づいた発見的方法による分析を適用する対象である前記ファイルの普及率を判定する前記ステップは、
   コンピュータにより、マルウェア検出システムと関連するデータに基づいて、前記ファイルの前記普及率を判定するステップ
   を更に含む請求項１に記載の方法。
4. コンピュータにより、前記ファイルの前記挙動に基づいた発見的方法による分析において使用するべく前記攻撃性レベルを調節する前記ステップは、
   コンピュータにより、前記攻撃性レベルを、普及度が低いファイルの場合には、高いレベルに、且つ、普及度が高いファイルの場合には、低いレベルに、設定するステップ
   を更に含む請求項１に記載の方法。
5. コンピュータにより、前記ファイルの前記挙動に基づいた発見的方法による分析において使用するべく前記攻撃性レベルを調節する前記ステップは、
   コンピュータにより、異なる普及率を有するファイルに対して偽陽性許容レベルを設定するステップと、
   コンピュータにより、ＲＯＣ（Ｒｅｃｅｉｖｅｒ Ｏｐｅｒａｔｉｎｇ Ｃｈａｒａｃｔｅｒｉｓｔｉｃｓ）に基づいた分析を使用し、異なる設定された偽陽性許容レベルを有するファイルに対して対応する攻撃性レベルを設定するステップと、
   を更に含む請求項１に記載の方法。
6. コンピュータにより、前記攻撃性レベルを使用し、挙動に基づいた発見的方法による分析を前記ファイルに対して適用する前記ステップは、
   コンピュータにより、前記攻撃性レベルに応答して、前記ファイルの前記挙動に基づいた発見的方法による分析中に、少なくともいくつかのファイル属性の処理を変化させるステップ
   を更に含む請求項１に記載の方法。
7. コンピュータにより、前記攻撃性レベルを使用し、挙動に基づいた発見的方法による分析を前記ファイルに対して適用する前記ステップは、
   コンピュータにより、前記攻撃性レベルに応答して、前記ファイルの前記挙動に基づいた発見的方法による分析中に計測するファイル属性を判定するステップ
   を更に含む請求項１に記載の方法。
8. コンピュータにより、普及度が低いファイルを、悪意を有する可能性が高いものとして、且つ、普及度が高いファイルを、正当である可能性が高いものとして、動的に重み付けするステップを更に含む請求項１に記載の方法。
9. コンピュータにより、前記適用された挙動に基づいた発見的方法による分析に基づいて、前記ファイルがマルウェアを含むかどうかを判定する前記ステップは、
   コンピュータにより、前記ファイルが正当であると判定するステップと、
   コンピュータにより、前記ファイルが正当であるという判定に応答して、前記ファイルの標準的な処理を許容するステップと、
   を更に含む請求項１に記載の方法。
10. コンピュータにより、前記適用された挙動に基づいた発見的方法による分析に基づいて、前記ファイルがマルウェアを含むかどうかを判定する前記ステップは、
    コンピュータにより、前記ファイルがマルウェアを含むと判定するステップと、
    コンピュータにより、前記ファイルがマルウェアを含むという判定に応答して、
    前記ファイルをブロックするステップと、
    前記ファイルを削除するステップと、
    前記ファイルを隔離するステップと、
    前記ファイルを駆除するステップと、
    からなる群からの少なくとも１つの追加的なステップを実行するステップと、
    を更に含む請求項１に記載の方法。
11. ターゲットファイルの普及率に基づいて、挙動に基づいた発見的方法によるマルウェア検出において使用するべく攻撃性レベルを調節するコンピュータプログラムプロダクトを含む少なくとも１つのコンピュータ可読ストレージ媒体であって、前記コンピュータプログラムプロダクトは、
    ファイルがマルウェアを含むかどうかを判定するべく、挙動に基づいた発見的方法による分析を適用する対象である前記ファイルの普及率を判定するプログラムコードと、
    前記ファイルの前記判定された普及率に応答して、前記ファイルの前記挙動に基づいた発見的方法による分析において使用するべく前記攻撃性レベルを調節するプログラムコードと、
    前記攻撃性レベルを使用し、挙動に基づいた発見的方法による分析を前記ファイルに対して適用するプログラムコードと、
    前記適用された挙動に基づいた発見的方法による分析に基づいて、前記ファイルがマルウェアを含むかどうかを判定するプログラムコードと、
    を含む、コンピュータ可読ストレージ媒体。
12. ファイルがマルウェアを含むかどうかを判定するべく、挙動に基づいた発見的方法による分析を適用する対象である前記ファイルの普及率を判定する前記プログラムコードは、
    評判追跡システムと関連するデータに基づいて、前記ファイルの前記普及率を判定するプログラムコード
    を更に含む請求項１１に記載のコンピュータプログラムプロダクト。
13. ファイルがマルウェアを含むかどうかを判定するべく、挙動に基づいた発見的方法による分析を適用する対象である前記ファイルの普及率を判定する前記プログラムコードは、
    マルウェア検出システムと関連するデータに基づいて、前記ファイルの前記普及率を判定するプログラムコード
    を更に含む請求項１１に記載のコンピュータプログラムプロダクト。
14. 前記ファイルの前記挙動に基づいた発見的方法による分析において使用するべく前記攻撃性レベルを調節する前記プログラムコードは、
    前記攻撃性レベルを、普及度が低いファイルの場合には、高いレベルに、且つ、普及度が高いファイルの場合には、低いレベルに、設定するプログラムコード
    を更に含む請求項１１に記載のコンピュータプログラムプロダクト。
15. ターゲットファイルの普及率に基づいて、挙動に基づいた発見的方法によるマルウェア検出において使用するべく攻撃性レベルを調節するコンピュータシステムであって、
    プロセッサと、
    コンピュータメモリと、
    ファイルがマルウェアを含むどうかを判定するべく、挙動に基づいた発見的方法による分析を適用する対象である前記ファイルの普及率を判定する手段と、
    前記ファイルの前記判定された普及率に応答して、前記ファイルの前記挙動に基づいた発見的方法による分析において使用するべく前記攻撃性レベルを調節する手段と、
    前記攻撃性レベルを使用し、挙動に基づいた発見的方法による分析を前記ファイルに対して適用する手段と、
    前記適用された挙動に基づいた発見的方法による分析に基づいて、前記ファイルがマルウェアを含むかどうかを判定する手段と、
    を含むコンピュータシステム。