JP2016538614A5 - - Google Patents

Claims (29)

1. メモリと、
   該メモリに接続され、アンチマルウェアエンジンを実行するように構成された少なくとも１つのハードウェアプロセッサと
   を含むクライアントシステムであって、前記アンチマルウェアエンジンは、対象プロセスの悪意あるアクティビティを監視するように構成され、前記対象プロセスは、前記クライアントシステム上で実行され、前記対象プロセスは、メイン実行可能モジュールのインスタンスと、共有ライブラリのインスタンスとを含み、前記少なくとも１つのハードウェアプロセッサは、
   サーバから、前記メイン実行可能モジュールの第１のモジュール評判インジケータ、および、前記共有ライブラリの第２のモジュール評判インジケータを受信することであって、前記第１のモジュール評判インジケータは、前記メイン実行可能モジュールの別のインスタンスの挙動に従って求められ、前記サーバは、アンチマルウェアトランザクションを、前記クライアントシステムを含む複数のクライアントシステムと共に実行するように構成され、前記第１のモジュール評判インジケータは、監視規則の第１の集合のインジケータを含み、前記第２のモジュール評判インジケータは、監視規則の第２の集合のインジケータを含む、受信することと、
   前記の第１および第２のモジュール評判インジケータを受信することに応じて、前記対象プロセスが悪意あるものでありそうかを、前記の第１および第２のモジュール評判インジケータに従って判定することと、
   前記対象プロセスが悪意あるものでありそうかを判定することに応じて、前記対象プロセスが悪意あるものでありそうでないときに、
   監視規則の前記の第１および第２の集合を、監視規則の組み合わされた集合へと組み合わせ、
   前記アンチマルウェアエンジンを、監視規則の前記組み合わされた集合に従って前記対象プロセスを監視するように構成する
   ことと
   を行うようにさらに構成された、クライアントシステム。
2. 請求項１に記載のクライアントシステムであって、前記少なくとも１つのハードウェアプロセッサは、監視規則の前記組み合わされた集合を、監視規則の前記の第１および第２の集合の和集合に従って求めるように構成された、クライアントシステム。
3. 請求項１に記載のクライアントシステムであって、前記少なくとも１つのハードウェアプロセッサは、監視規則の前記組み合わされた集合を、監視規則の前記の第１および第２の集合の共通集合に従って求めるように構成された、クライアントシステム。
4. 請求項１に記載のクライアントシステムであって、監視規則の前記第１の集合のうちの選択された規則は、前記対象プロセスが悪意あるものであるかを判定するために用いられる、選択されたヒューリスティックを含む、クライアントシステム。
5. 請求項１に記載のクライアントシステムであって、監視規則の前記第１の集合のうちの選択された規則は、前記アンチマルウェアエンジンに、前記対象プロセスが選択されたアクションを実行するかを判定するように命令する、クライアントシステム。
6. 請求項１に記載のクライアントシステムであって、前記メイン実行可能モジュールの前記別のインスタンスは、前記複数のクライアントシステムのうちの第２のクライアントシステム上で実行される、クライアントシステム。
7. 請求項１に記載のクライアントシステムであって、前記少なくとも１つのハードウェアプロセッサは、前記アンチマルウェアエンジンを構成することに応じて、
   前記対象プロセスが実行するアクションを検出することであって、前記アクションは、別の実行可能モジュールを前記対象プロセス内にロードすることを含み、前記別の実行可能モジュールは、前記メイン実行可能モジュールおよび前記共有ライブラリとは別個である、検出することと、
   前記アクションを検出することに応じて、前記対象プロセスを再度調べて、前記対象プロセスが悪意あるものでありそうかを、前記別の実行可能モジュールの第３のモジュール評判インジケータであって、前記サーバから受信した前記第３のモジュール評判インジケータに従って判定することと、
   前記アンチマルウェアエンジンを、前記第３のモジュール評判インジケータが示す監視規則の第３の集合に従って再構成することと
   を行うようにさらに構成された、クライアントシステム。
8. 請求項１に記載のクライアントシステムであって、前記対象プロセスが悪意あるものでありそうかを判定することは、
   前記対象プロセスによりロードされるすべての実行可能モジュールを識別することと、
   前記すべての実行可能モジュールの各モジュールが悪意あるものでありそうかを、前記各モジュールのインスタンスに対して求められるモジュール評判インジケータに従って判定することと、
   前記すべての実行可能モジュールの各モジュールが悪意あるものでありそうでないときに、前記対象プロセスは悪意あるものでありそうにないと判定することと
   を含む、クライアントシステム。
9. 請求項８に記載のクライアントシステムであって、前記対象プロセスが悪意あるものでありそうかを判定することは、各モジュールが悪意あるものでありそうかを判定することに応じて、前記すべての実行可能モジュールのうちの少なくとも１つのモジュールが悪意あるものでありそうなときに、前記対象プロセスは悪意あるものでありそうと判定することをさらに含む、クライアントシステム。
10. 請求項１に記載のクライアントシステムであって、前記少なくとも１つのハードウェアプロセッサは、前記アンチマルウェアエンジンを構成することに応じて、
    前記対象プロセスがマルウェアを示すアクションを実行するかを判定することと、
    前記対象プロセスが前記マルウェアを示すアクションを実行するときに、
    前記マルウェアを示すアクションを実行する、前記対象プロセスの疑わしいモジュールを識別することと、
    前記疑わしいモジュールのモジュール評判インジケータを、前記疑わしいモジュールは悪意のあるものでありそうと示すように更新することと、
    前記疑わしいモジュールの前記モジュール評判インジケータを更新することに応じて、前記アンチマルウェアエンジンを、厳格なセキュリティプロトコルに従って前記対象プロセスを監視するように再構成することであって、前記厳格なセキュリティプロトコルは、監視規則の前記組み合わされた集合より計算量が大きい、再構成することと
    を行うように構成された、クライアントシステム。
11. 請求項１０に記載のクライアントシステムであって、前記少なくとも１つのハードウェアプロセッサは、前記疑わしいモジュールの前記モジュール評判インジケータを更新することに応じて、前記疑わしいモジュールの更新された前記モジュール評判インジケータを前記サーバに送信するようにさらに構成された、クライアントシステム。
12. 請求項１０に記載のクライアントシステムであって、前記少なくとも１つのハードウェアプロセッサは、前記疑わしいモジュールの前記モジュール評判インジケータを更新することに応じて、
    前記クライアントシステム上で実行される、前記疑わしいモジュールのインスタンスを含む第２のプロセスを識別することと、
    前記第２のプロセスを識別することに応じて、前記アンチマルウェアエンジンを、前記厳格なセキュリティプロトコルに従って前記第２のプロセスを監視するように構成することと
    を行うようにさらに構成された、クライアントシステム。
13. 請求項１に記載のクライアントシステムであって、前記少なくとも１つのハードウェアプロセッサは、前記アンチマルウェアエンジンを構成することに応じて、
    前記対象プロセスがマルウェアを示すアクションを実行するかを判定することと、
    前記対象プロセスが前記マルウェアを示すアクションを実行するときに、前記アンチマルウェアエンジンを、厳格なセキュリティプロトコルを用いて、前記クライアントシステム上で実行される第２のプロセスを、該第２のプロセスが悪意あるものでありそうかどうかに関わらず監視するように構成することと
    を行うようにさらに構成された、クライアントシステム。
14. メモリと、
    該メモリに接続された少なくとも１つのハードウェアプロセッサと
    を含むサーバであって、前記少なくとも１つのハードウェアプロセッサは、
    メイン実行可能モジュールの第１のモジュール評判インジケータ、および、共有ライブラリの第２のモジュール評判インジケータを求めることであって、前記第１のモジュール評判インジケータは、前記メイン実行可能モジュールのインスタンスの挙動に従って求められ、前記第１のモジュール評判インジケータは、監視規則の第１の集合のインジケータを含み、前記第２のモジュール評判インジケータは、監視規則の第２の集合のインジケータを含む、求めることと、
    前記の第１および第２のモジュール評判インジケータを求めることに応じて、前記の第１および第２のモジュール評判インジケータを、アンチマルウェアトランザクションを前記サーバと共に実行するように構成された複数のクライアントシステムのうちのクライアントシステムに送信すること
    を行うように構成され、前記クライアントシステムは、対象プロセスの悪意あるアクティビティを監視するように構成されたアンチマルウェアエンジンを実行するように構成され、前記対象プロセスは、前記メイン実行可能モジュールの別のインスタンスと、前記共有ライブラリのインスタンスとを含み、前記クライアントシステムは、
    前記対象プロセスが悪意あるものでありそうかを、前記の第１および第２のモジュール評判インジケータに従って判定することと、
    前記対象プロセスが悪意あるものでありそうかを判定することに応じて、前記対象プロセスが悪意あるものでありそうでないときに、
    監視規則の前記の第１および第２の集合を、監視規則の組み合わされた集合へと組み合わせ、
    前記アンチマルウェアエンジンを、監視規則の前記組み合わされた集合に従って前記対象プロセスを監視するように構成する
    ことと
    を行うようにさらに構成された、サーバ。
15. 請求項１４に記載のサーバであって、前記クライアントシステムは、監視規則の前記組み合わされた集合を、監視規則の前記の第１および第２の集合の和集合に従って求めるように構成された、サーバ。
16. 請求項１４に記載のサーバあって、前記クライアントシステムは、監視規則の前記組み合わされた集合を、監視規則の前記の第１および第２の集合の共通集合に従って求めるように構成された、サーバ。
17. 請求項１４に記載のサーバであって、監視規則の前記第１の集合のうちの選択された規則は、前記対象プロセスが悪意あるものであるかを判定するために用いられる、選択されたヒューリスティックを含む、サーバ。
18. 請求項１４に記載のサーバであって、監視規則の前記第１の集合のうちの選択された規則は、前記クライアントシステムに、前記対象プロセスが選択されたアクションを実行するかを判定するように命令する、サーバ。
19. 請求項１４に記載のサーバであって、前記メイン実行可能モジュールの前記インスタンスは、前記複数のクライアントシステムのうちの第２のクライアントシステム上で実行される、サーバ。
20. 請求項１４に記載のサーバであって、前記クライアントシステムは、前記アンチマルウェアエンジンを構成することに応じて、
    前記対象プロセスのアクションを検出することであって、前記アクションは、別の実行可能モジュールを前記対象プロセス内にロードすることを含み、前記別の実行可能モジュールは、前記メイン実行可能モジュールおよび前記共有ライブラリとは別個である、検出することと、
    前記アクションを検出することに応じて、前記対象プロセスを再度調べて、前記対象プロセスが悪意あるものでありそうかを、前記別の実行可能モジュールの第３のモジュール評判インジケータであって、前記サーバから受信した前記第３のモジュール評判インジケータに従って判定することと、
    前記アンチマルウェアエンジンを、前記第３のモジュール評判インジケータが示す監視規則の第３の集合に従って再構成することと
    を行うようにさらに構成された、サーバ。
21. 請求項１４に記載のサーバであって、前記対象プロセスが悪意あるものでありそうかを判定することは、
    前記対象プロセスによりロードされるすべての実行可能モジュールを識別することと、
    前記すべての実行可能モジュールの各モジュールが悪意あるものでありそうかを、前記各モジュールのインスタンスに対して求められるモジュール評判インジケータに従って判定することと、
    前記すべての実行可能モジュールの各モジュールが悪意あるものでありそうでないときに、前記対象プロセスは悪意あるものでありそうにないと判定することと
    を含む、サーバ。
22. 請求項２１に記載のサーバであって、前記対象プロセスが悪意あるものでありそうかを判定することは、各モジュールが悪意あるものでありそうかを判定することに応じて、前記すべての実行可能モジュールのうちの少なくとも１つのモジュールが悪意あるものでありそうなときに、前記対象プロセスは悪意あるものでありそうと判定することをさらに含む、サーバ。
23. 請求項１４に記載のサーバであって、前記クライアントシステムは、前記アンチマルウェアエンジンを構成することに応じて、
    前記対象プロセスがマルウェアを示すアクションを実行するかを判定することと、
    前記対象プロセスが前記マルウェアを示すアクションを実行するときに、
    前記マルウェアを示すアクションを実行する、前記対象プロセスの疑わしいモジュールを識別することと、
    前記疑わしいモジュールのモジュール評判インジケータを、前記疑わしいモジュールは悪意のあるものでありそうと示すように更新することと、
    前記疑わしいモジュールの前記モジュール評判インジケータを更新することに応じて、前記アンチマルウェアエンジンを、厳格なセキュリティプロトコルに従って前記対象プロセスを監視するように再構成することであって、前記厳格なセキュリティプロトコルは、監視規則の前記組み合わされた集合より計算量が大きい、再構成することと
    を行うようにさらに構成された、サーバ。
24. 請求項２３に記載のサーバであって、前記疑わしいモジュールの更新された前記モジュール評判インジケータを前記クライアントシステムから受信するようにさらに構成されたサーバ。
25. 請求項２３に記載のサーバであって、前記クライアントシステムは、前記疑わしいモジュールの前記モジュール評判インジケータを更新することに応じて、
    前記クライアントシステム上で実行される、前記疑わしいモジュールのインスタンスを含む第２のプロセスを識別することと、
    前記第２のプロセスを識別することに応じて、前記アンチマルウェアエンジンを、前記厳格なセキュリティプロトコルに従って前記第２のプロセスを監視するように構成することと
    を行うようにさらに構成された、サーバ。
26. 請求項１４に記載のサーバであって、前記クライアントシステムは、前記アンチマルウェアエンジンを構成することに応じて、
    前記対象プロセスがマルウェアを示すアクションを実行するかを判定することと、
    前記対象プロセスが前記マルウェアを示すアクションを実行するときに、前記アンチマルウェアエンジンを、厳格なセキュリティプロトコルを用いて、前記クライアントシステム上で実行される第２のプロセスを、該第２のプロセスが悪意あるものでありそうかどうかに関わらず監視するように構成することと
    を行うようにさらに構成された、サーバ。
27. 命令を記憶するコンピュータ可読記憶媒体であって、前記命令は、クライアントシステムの少なくとも１つのプロセッサにより実行されると、メイン実行可能モジュールのインスタンスと、共有ライブラリのインスタンスとを含む対象プロセスを実行する前記クライアントシステムを、
    サーバから、前記メイン実行可能モジュールの第１のモジュール評判インジケータ、および、前記共有ライブラリの第２のモジュール評判インジケータを受信することであって、前記第１のモジュール評判インジケータは、前記メイン実行可能モジュールの別のインスタンスの挙動に従って求められ、前記サーバは、アンチマルウェアトランザクションを、前記クライアントシステムを含む複数のクライアントシステムと共に実行するように構成され、前記第１のモジュール評判インジケータは、監視規則の第１の集合のインジケータを含み、前記第２のモジュール評判インジケータは、監視規則の第２の集合のインジケータを含む、受信することと、
    前記の第１および第２のモジュール評判インジケータを受信することに応じて、前記対象プロセスが悪意あるものでありそうかを、前記の第１および第２のモジュール評判インジケータに従って判定することと、
    前記対象プロセスが悪意あるものでありそうかを判定することに応じて、前記対象プロセスが悪意あるものでありそうでないときに、
    監視規則の前記の第１および第２の集合を、監視規則の組み合わされた集合へと組み合わせ、
    前記クライアントシステム上で実行されるアンチマルウェアエンジンを、監視規則の前記組み合わされた集合に従って前記対象プロセスを監視するように構成する
    ことと
    を行うように構成する、コンピュータ可読記憶媒体。
28. 請求項１に記載のクライアントシステムであって、前記少なくとも１つのハードウェアプロセッサは、前記対象プロセスが悪意あるものでありそうかを判定することに応じて、前記対象プロセスが悪意あるものでありそうなときに、前記アンチマルウェアエンジンを、前記対象プロセスを厳格なセキュリティプロトコルに従って監視するように構成することであって、前記厳格なセキュリティプロトコルは、監視規則の前記組み合わされた集合より計算量が大きい、構成することを行うようにさらに構成された、クライアントシステム。
29. 請求項１４に記載のサーバであって、前記クライアントシステムは、前記対象プロセスが悪意あるものでありそうかを判定することに応じて、前記対象プロセスが悪意あるものでありそうなときに、前記アンチマルウェアエンジンを、前記対象プロセスを厳格なセキュリティプロトコルに従って監視するように構成することであって、前記厳格なセキュリティプロトコルは、監視規則の前記組み合わされた集合より計算量が大きい、構成することを行うようにさらに構成された、サーバ。