JP2018520446A5 - - Google Patents

Claims (19)

1. ハードウェアプロセッサおよびメモリを備えるホストシステムであって、前記ハードウェアプロセッサは、対象エンティティ、同期例外アナライザおよび非同期例外アナライザを実行するように構成され、前記ハードウェアプロセッサは、
   前記対象エンティティの実行によって引き起こされたイベントの発生を検出することに応答して、前記対象エンティティの前記実行を一時中断することと、
   前記対象エンティティの実行を一時中断することに応答して、前記同期例外アナライザを実行することに切り替えることと
   を行うようにさらに構成され、
   前記同期例外アナライザは、
   前記対象エンティティが悪意あるものである疑いがあるかどうかを、前記イベントに従って判定することと、
   前記対象エンティティが悪意あるものである疑いのあるときに、複数のルール例外署名から１つのルール例外署名を選択的に取り出すことであって、前記１つのルール例外署名は、前記イベントに従って取り出され、前記１つのルール例外署名は、第１の条件のエンコーディングおよび第２の条件のエンコーディングを含む、取り出すことと、
   前記１つのルール例外署名を取り出すことに応答して、前記第１の条件が満たされるかどうかを、前記イベントに従いかつ前記対象エンティティに従って判定することと、
   前記第１の条件が満たされるかどうかを判定することに応答して、前記第１の条件が満たされるときに、前記ハードウェアプロセッサに前記対象エンティティの実行を再開させることと、
   前記第１の条件が満たされるかどうかを判定することに応答して、前記第１の条件が満たされないときに、前記対象エンティティは悪意あるものであると判定することと
   を行うように構成され、
   前記非同期例外アナライザは、
   前記ハードウェアプロセッサが前記対象エンティティの実行を再開することに応答して、前記第２の条件が満たされるかどうかを、前記イベントに従いかつ前記対象エンティティに従って判定することと、
   前記第２の条件が満たされるかどうかを判定することに応答して、前記第２の条件が満たされるときに、前記対象エンティティは悪意あるものではないと判定することと、
   前記第２の条件が満たされるかどうかを判定することに応答して、前記第２の条件が満たされないときに、前記対象エンティティは悪意あるものであると判定することと
   を行うように構成される、
   ホストシステム。
2. 請求項１に記載のホストシステムであって、
   前記同期例外アナライザは、前記第１の条件が満たされるかどうかを判定することに応答して、前記第１の条件が満たされるときに、分析リクエストをリクエストの待ち行列に挿入するようにさらに構成され、前記分析リクエストは、前記第２の条件に従い、前記イベントに従い、かつ、さらに前記対象エンティティに従って構築され、
   前記非同期例外アナライザは、前記第２の条件が満たされるかどうかを判定することに備えて、前記リクエストの待ち行列から前記分析リクエストを取り除くようにさらに構成される、
   ホストシステム。
3. 請求項１に記載のホストシステムであって、前記ハードウェアプロセッサは、
   前記対象エンティティを終了する試みを検出することに応答して、前記試みを一時中断することと、
   前記試みを一時中断することに応答して、前記非同期例外アナライザに接続された終了ウォッチャを実行することに切り替えることと
   を行うようにさらに構成され、前記終了ウォッチャは、
   前記対象エンティティに従って構築された第２の分析リクエストを求めて、前記リクエストの待ち行列を検索することであって、前記第２の分析リクエストは第３の条件を指示する、検索することと、
   前記非同期例外アナライザを起動して前記第２の分析リクエストを処理することと、
   前記非同期例外アナライザを起動することに応答して、前記非同期例外アナライザが、前記第３の条件は満たされると判定するときに、前記ハードウェアプロセッサに前記対象エンティティを終了する前記試みを再開させることと
   を行うように構成される、
   ホストシステム。
4. 請求項１に記載のホストシステムであって、前記対象エンティティは、前記ホストシステムによって公開されたゲスト仮想マシンの内部で実行され、前記非同期例外アナライザは、前記ゲスト仮想マシンの外側で実行される、ホストシステム。
5. 請求項１に記載のホストシステムであって、前記非同期例外アナライザは、前記ホストシステムによって公開されたセキュリティ仮想マシンの内部で実行され、前記セキュリティ仮想マシンは、前記ゲスト仮想マシンと同時に実行される、ホストシステム。
6. 請求項１に記載のホストシステムであって、前記１つのルール例外署名は、前記第１の条件が満たされるかどうかを判定することが、前記第２の条件が満たされるかどうかを判定することより、低い計算的コストを要するように構成される、ホストシステム。
7. 請求項１に記載のホストシステムであって、前記イベントは、メモリアクセス許可に違反する手法で、前記メモリにアクセスする試みを含む、ホストシステム。
8. 請求項１に記載のホストシステムであって、
   前記第１の条件が満たされるかどうかを判定することは、前記対象エンティティがコードを第２のエンティティにインジェクトしたかどうかを判定することを含み、
   前記第２の条件が満たされるかどうかを判定することは、前記コードが悪意あるものであるかどうかを判定することを含む、
   ホストシステム。
9. ホストシステムのハードウェアプロセッサによって実行されるときに、前記ホストシステムに同期例外アナライザおよび非同期例外アナライザを形成させるプロセッサ命令を記憶した非一時的コンピュータ可読媒体であって、前記ハードウェアプロセッサは、
   対象エンティティの実行によって引き起こされたイベントの発生を検出することに応答して、前記対象エンティティの前記実行を一時中断することと、
   前記対象エンティティの実行を一時中断することに応答して、前記同期例外アナライザを実行することに切り替えることと
   を行うように構成され、
   前記同期例外アナライザは、
   前記対象エンティティが悪意の疑いがあるかどうかを、前記イベントに従って判定することと、
   前記対象エンティティが悪意の疑いのあるときに、複数のルール例外署名から１つのルール例外署名を選択的に取り出すことであって、前記１つのルール例外署名は、前記イベントに従って取り出され、前記１つのルール例外署名は、第１の条件のエンコーディングおよび第２の条件のエンコーディングを含む、取り出すことと、
   前記１つのルール例外署名を取り出すことに応答して、前記第１の条件が満たされるかどうかを、前記イベントに従いかつ前記対象エンティティに従って判定することと、
   前記第１の条件が満たされるかどうかを判定することに応答して、前記第１の条件が満たされるときに、前記ハードウェアプロセッサに前記対象エンティティの実行を再開させることと、
   前記第１の条件が満たされるかどうかを判定することに応答して、前記第１の条件が満たされないときに、前記対象エンティティは悪意あるものであると判定することと
   を行うように構成され、
   前記非同期例外アナライザは、
   前記ハードウェアプロセッサが前記対象エンティティの実行を再開することに応答して、前記第２の条件が満たされるかどうかを、前記イベントに従いかつ前記対象エンティティに従って判定することと、
   前記第２の条件が満たされるかどうかを判定することに応答して、前記第２の条件が満たされるときに、前記対象エンティティは悪意あるものではないと判定することと、
   前記第２の条件が満たされるかどうかを判定することに応答して、前記第２の条件が満たされないときに、前記対象エンティティは悪意あるものであると判定することと
   を行うように構成される、
   非一時的コンピュータ可読媒体。
10. 請求項９に記載のコンピュータ可読媒体であって、
    前記同期例外アナライザは、前記第１の条件が満たされるかどうかを判定することに応答して、前記第１の条件が満たされるときに、分析リクエストをリクエストの待ち行列に挿入するようにさらに構成され、前記分析リクエストは、前記第２の条件に従い、前記イベントに従い、かつ、さらに前記対象エンティティに従って構築され、
    前記非同期例外アナライザは、前記第２の条件が満たされるかどうかを判定することに備えて、前記リクエストの待ち行列から前記分析リクエストを取り除くようにさらに構成される、
    コンピュータ可読媒体。
11. 請求項１０に記載のコンピュータ可読媒体であって、前記ハードウェアプロセッサは、
    前記対象エンティティを終了する試みを検出することに応答して、前記試みを一時中断することと、
    前記試みを一時中断することに応答して、前記非同期例外アナライザに接続された終了ウォッチャを実行することに切り替えることと
    を行うようにさらに構成され、前記終了ウォッチャは、
    前記対象エンティティに従って構築された第２の分析リクエストを求めて、前記リクエストの待ち行列を検索することであって、前記第２の分析リクエストは第３の条件を指示する、検索することと、
    前記非同期例外アナライザを起動して前記第２の分析リクエストを処理することと、
    前記非同期例外アナライザを起動することに応答して、前記非同期例外アナライザが、前記第３の条件は満たされると判定するときに、前記ハードウェアプロセッサに前記対象エンティティを終了する前記試みを再開させることと
    を行うように構成される、
    コンピュータ可読媒体。
12. 請求項９に記載のコンピュータ可読媒体であって、前記対象エンティティは、前記ホストシステムによって公開されたゲスト仮想マシンの内部で実行され、前記非同期例外アナライザは、前記ゲスト仮想マシンの外側で実行される、コンピュータ可読媒体。
13. 請求項１２に記載のコンピュータ可読媒体であって、前記非同期例外アナライザは、前記ホストシステムによって公開されたセキュリティ仮想マシンの内部で実行され、前記セキュリティ仮想マシンは、前記ゲスト仮想マシンと同時に実行される、コンピュータ可読媒体。
14. 請求項９に記載のコンピュータ可読媒体であって、前記１つのルール例外署名は、前記第１の条件が満たされるかどうかを判定することが、前記第２の条件が満たされるかどうかを判定することより、低い計算的コストを要するように構成される、コンピュータ可読媒体。
15. 請求項９に記載のコンピュータ可読媒体であって、前記イベントは、メモリアクセス許可に違反する手法で、前記ホストシステムのメモリにアクセスする試みを含む、コンピュータ可読媒体。
16. 請求項９に記載のコンピュータ可読媒体であって、
    前記第１の条件が満たされるかどうかを判定することは、前記対象エンティティがコードを第２のエンティティにインジェクトしたかどうかを判定することを含み、
    前記第２の条件が満たされるかどうかを判定することは、前記コードが悪意あるものであるかどうかを判定することを含む、
    コンピュータ可読媒体。
17. コンピュータセキュリティ脅威に対してホストシステムを保護する方法であって、前記ホストシステムは、ハードウェアプロセッサおよびメモリを備え、前記方法は、
    前記ハードウェアプロセッサが、対象エンティティの実行によって引き起こされたイベントの発生を検出するステップと、
    前記イベントの前記発生を検出することに応答して、前記ハードウェアプロセッサが、前記対象エンティティの前記実行を一時中断するステップと、
    前記対象エンティティの前記実行を一時中断することに応答して、前記ハードウェアプロセッサが、同期例外アナライザを実行することに切り替えるステップであって、前記同期例外アナライザは、
    前記対象エンティティが、悪意の疑いがあるかどうかを、前記イベントに従って判定することと、
    前記対象エンティティが悪意の疑いのあるときに、複数のルール例外署名から１つのルール例外署名を選択的に取り出すことであって、前記１つのルール例外署名は、前記イベントに従って取り出され、前記１つのルール例外署名は、第１の条件のエンコーディングおよび第２の条件のエンコーディングを含む、取り出すことと、
    前記１つのルール例外署名を取り出すことに応答して、前記第１の条件が満たされるかどうかを、前記イベントに従いかつ前記対象エンティティに従って判定することと、
    前記第１の条件が満たされるかどうかを判定することに応答して、前記第１の条件が満たされるときに、前記ハードウェアプロセッサに前記対象エンティティの実行を再開させることと、
    前記第１の条件が満たされるかどうかを判定することに応答して、前記第１の条件が満たされないときに、前記対象エンティティは悪意あるものであると判定することと
    を行うように構成される、ステップと、
    前記ハードウェアプロセッサが前記対象エンティティの実行を再開することに応答して、前記ハードウェアプロセッサが、前記第２の条件が満たされるかどうかを、前記イベントに従いかつ前記対象エンティティに従って判定するステップと、
    前記第２の条件が満たされるかどうかを判定することに応答して、前記第２の条件が満たされるときに、前記対象エンティティは悪意あるものではないと判定するステップと、
    前記第２の条件が満たされるかどうかを判定することに応答して、前記第２の条件が満たされないときに、前記対象エンティティは悪意あるものであると判定するステップと
    を含む、方法。
18. 請求項１７に記載の方法であって、
    前記第１の条件が満たされるかどうかを判定することに応答して、前記第１の条件が満たされるときに、前記ハードウェアプロセッサが、分析リクエストをリクエストの待ち行列に挿入するステップであって、前記分析リクエストは、前記第２の条件に従い、前記イベントに従い、かつ、さらに前記対象エンティティに従って構築される、ステップと、
    前記第２の条件が満たされるかどうかを判定するステップに備えて、前記ハードウェアプロセッサが、前記リクエストの待ち行列から前記分析リクエストを取り除くステップと
    をさらに含む方法。
19. 請求項１８に記載の方法であって、
    前記対象エンティティを終了する試みを検出することに応答して、前記ハードウェアプロセッサが、前記試みを一時中断するステップと、
    前記試みを一時中断することに応答して、前記ハードウェアプロセッサが、前記対象エンティティに従って構築された第２の分析リクエストを求めて、前記リクエストの待ち行列を検索するステップであって、前記第２の分析リクエストは第３の条件を指示する、ステップと、
    前記第２の分析リクエストを求めて検索することに応答して、前記第３の条件が満たされるかどうかを前記対象エンティティに従って判定するステップと、
    前記第３の条件が満たされるときに、前記ハードウェアプロセッサが、前記対象エンティティを終了するステップと
    をさらに含む方法。