JP2018538633A5 - - Google Patents

Claims (25)

1. ハイパーバイザと、ライブイントロスペクションエンジンと、オンデマンドイントロスペクションエンジンとを実行するように構成されたハードウェアプロセッサを含むクライアントコンピュータシステムであって、
   前記ハイパーバイザは、ゲスト仮想マシン（ＶＭ）と、前記ゲストＶＭとは別個のセキュリティＶＭとを公開するように構成され、前記オンデマンドイントロスペクションエンジンは前記セキュリティＶＭ内で実行され、前記ライブイントロスペクションエンジンは前記ゲストＶＭと前記セキュリティＶＭとの外部で実行され、
   前記ライブイントロスペクションエンジンは、前記ゲストＶＭ内でのイベントの発生を検出するのに応答して、前記イベントのインジケータをリモートサーバコンピュータシステムに通信ネットワークを介して送信するように構成され、
   前記オンデマンドイントロスペクションエンジンは、
   前記ライブイントロスペクションエンジンが前記イベントの前記インジケータを前記リモートサーバコンピュータシステムに送信するのに応答して、分析要求を前記リモートサーバコンピュータシステムから受信することであって、前記分析要求は、前記クライアントコンピュータシステムを含む複数のクライアントにセキュリティツールを配信するように構成されたリモートツールリポジトリにあるセキュリティツールを示し、前記セキュリティツールは、前記イベントの前記発生を分析するように構成されたソフトウェアを含み、前記セキュリティツールは、前記リモートサーバコンピュータシステムによって前記イベントのイベントタイプに従って選択される、受信することと、
   前記分析要求を受信するのに応答して、前記セキュリティツールを前記分析要求に従って識別することと、
   前記セキュリティツールを識別するのに応答して、前記セキュリティツールを前記リモートツールリポジトリから選択的に取り出すことであって、前記セキュリティツールを取り出すことは、前記リモートツールリポジトリに前記通信ネットワークを介して接続することを含む、取り出すことと、
   前記セキュリティツールを選択的に取り出すのに応答して、前記セキュリティツールを実行することと、
   前記セキュリティツールを実行するのに応答して、前記セキュリティツールの実行の結果を前記リモートサーバコンピュータシステムに送信することと
   を行うように構成された、
   クライアントコンピュータシステム。
2. 請求項１に記載のクライアントコンピュータシステムであって、前記リモートサーバコンピュータシステムは、前記クライアントコンピュータシステムが悪意のあるソフトウェアを含むかどうかを前記結果に従って判断するようにさらに構成された、クライアントコンピュータシステム。
3. 請求項１に記載のクライアントコンピュータシステムであって、前記リモートサーバコンピュータシステムは、前記クライアントコンピュータシステムの悪意のある侵入を前記結果に従って検出するようにさらに構成された、クライアントコンピュータシステム。
4. 請求項１に記載のクライアントコンピュータシステムであって、前記オンデマンドイントロスペクションエンジンは、
   前記結果を前記リモートサーバコンピュータシステムに送信するのに応答して、前記リモートサーバコンピュータシステムから前記リモートツールリポジトリにある緩和ツールのインジケータを受信することであって、前記緩和ツールは、前記クライアントコンピュータシステム上で実行される悪意のあるソフトウェアを無能力化するように構成されたソフトウェア含む、受信することと、
   前記緩和ツールの前記インジケータを受信するのに応答して、前記緩和ツールを取り出し、実行することと
   を行うようにさらに構成された、クライアントコンピュータシステム。
5. 請求項１に記載のクライアントコンピュータシステムであって、前記ライブイントロスペクションエンジンは、
   前記イベントの前記発生を検出するのに応答して、前記イベントのイベントタイプに従って、イベント適格性条件が満たされるかどうかを判断することと、
   前記イベントの前記インジケータを前記リモートサーバコンピュータシステムに、前記イベント適格性条件が満たされたときのみ送信することと
   を行うようにさらに構成された、クライアントコンピュータシステム。
6. 請求項１に記載のクライアントコンピュータシステムであって、前記セキュリティツールを前記リモートツールリポジトリから取り出すことは、前記リモートツールリポジトリを前記セキュリティＶＭのファイルシステムにマウントすることを含む、クライアントコンピュータシステム。
7. 請求項１に記載のクライアントコンピュータシステムであって、前記セキュリティＶＭはネットワークフィルタをさらに含み、前記ハイパーバイザは、前記ゲストＶＭとリモートパーティとの間のネットワークトラフィックを、前記ネットワークフィルタを介してルーティングするようにさらに構成された、クライアントコンピュータシステム。
8. 請求項７に記載のクライアントコンピュータシステムであって、
   前記リモートサーバコンピュータシステムは、前記クライアントコンピュータシステムが悪意のあるソフトウェアを含むかどうかを判断するのに応答して、前記クライアントコンピュータシステムが悪意のあるソフトウェアを含むときに、セキュリティアラートを前記クライアントコンピュータシステムに送るようにさらに構成され、
   前記ネットワークフィルタは、前記クライアントコンピュータシステムが前記セキュリティアラートを受信するのに応答して、前記ゲストＶＭと前記リモートパーティとの間のネットワークトラフィックを制限するように構成された、
   クライアントコンピュータシステム。
9. 請求項１に記載のクライアントコンピュータシステムであって、前記セキュリティツールの実行の前記結果は、前記ゲストＶＭによって使用されたメモリのセクションのコンテンツのコピーを含む、クライアントコンピュータシステム。
10. 請求項１に記載のクライアントコンピュータシステムであって、前記セキュリティツールの実行の前記結果は、前記ゲストＶＭ内で実行されるソフトウェアエンティティのリストを含む、クライアントコンピュータシステム。
11. 請求項１に記載のクライアントコンピュータシステムであって、前記セキュリティツールの実行の前記結果は、前記クライアントコンピュータシステムのハードウェア構成のインジケータを含む、クライアントコンピュータシステム。
12. 請求項１に記載のクライアントコンピュータシステムであって、
    前記ハイパーバイザは、前記リモートサーバコンピュータシステムと前記セキュリティＶＭとの間にセキュアなポイントツーポイント通信チャネルを確立するように構成され、
    前記オンデマンドイントロスペクションエンジンは、前記セキュアなポイントツーポイント通信チャネルを介して、前記分析要求を受信し、前記結果を送信するように構成された、
    クライアントコンピュータシステム。
13. 複数のクライアントシステムとのコンピュータセキュリティトランザクションを実施するように構成されたサーバコンピュータシステムであって、前記サーバコンピュータシステムは、ハードウェアプロセッサを含み、該ハードウェアプロセッサは、
    前記複数のクライアントシステムのうちの１つのクライアントシステムから、前記１つのクライアントシステム上で実行されるゲスト仮想マシン（ＶＭ）内でのイベントの発生を示すイベントインジケータを受信するのに応答して、前記複数のクライアントシステムにセキュリティツールを配信するように構成されたリモートツールリポジトリにあるセキュリティツールを選択することであって、前記セキュリティツールは、前記イベントの前記発生を分析するように構成されたソフトウェアを含み、前記セキュリティツールを選択することは、前記イベントのイベントタイプに従って実施される、選択することと、
    前記セキュリティツールを選択するのに応答して、分析要求を前記１つのクライアントシステムに通信ネットワークを介して送信することであって、前記分析要求は前記セキュリティツールの識別子を含む、送信することと、
    前記セキュリティツールの前記識別子を含む前記分析要求を送信するのに応答して、前記１つのクライアントシステムから、前記セキュリティツールを前記１つのクライアントシステム上で実行した結果を受信することと
    を行うように構成され、
    前記１つのクライアントシステムは、ハイパーバイザと、ライブイントロスペクションエンジンと、オンデマンドイントロスペクションエンジンとを実行するように構成され、
    前記ハイパーバイザは、前記ゲストＶＭと、前記ゲストＶＭとは別個のセキュリティＶＭとを公開するように構成され、前記オンデマンドイントロスペクションエンジンは前記セキュリティＶＭ内で実行され、前記ライブイントロスペクションエンジンは前記ゲストＶＭと前記セキュリティＶＭとの外部で実行され、
    前記ライブイントロスペクションエンジンは、前記イベントの前記発生を検出するのに応答して、前記イベントインジケータを前記サーバコンピュータシステムに送信するように構成され、
    前記オンデマンドイントロスペクションエンジンは、
    前記分析要求を受信するのに応答して、前記セキュリティツールを前記分析要求に従って識別することと、
    前記セキュリティツールを識別するのに応答して、前記セキュリティツールを前記リモートツールリポジトリから選択的に取り出すことであって、前記セキュリティツールを取り出すことは、前記１つのクライアントシステムが前記リモートツールリポジトリに前記通信ネットワークを介して接続することを含む、取り出すことと、
    前記セキュリティツールを取り出すのに応答して、前記結果を生成するために前記セキュリティツールを実行することと
    を行うように構成された、
    サーバコンピュータシステム。
14. 請求項１３に記載のサーバコンピュータシステムであって、前記ハードウェアプロセッサは、前記１つのクライアントシステムが悪意のあるソフトウェアを含むかどうかを前記結果に従って判断するようにさらに構成された、サーバコンピュータシステム。
15. 請求項１３に記載のサーバコンピュータシステムであって、前記ハードウェアプロセッサは、前記１つのクライアントシステムの悪意のある侵入を前記結果に従って検出するようにさらに構成された、サーバコンピュータシステム。
16. 請求項１３に記載のサーバコンピュータシステムであって、前記ハードウェアプロセッサは、
    前記１つのクライアントシステムが悪意のあるソフトウェアを含むかどうかを判断するのに応答して、前記１つのクライアントシステムが悪意のあるソフトウェアを含むときに、緩和ツールを前記リモートツールリポジトリから選択することであって、前記緩和ツールは、前記悪意のあるソフトウェアを無能力化するように構成されたソフトウェアを含む、選択することと、
    前記緩和ツールを選択するのに応答して、前記緩和ツールのインジケータを前記１つのクライアントシステムに送信することと
    を行うようにさらに構成された、サーバコンピュータシステム。
17. 請求項１３に記載のサーバコンピュータシステムであって、前記ライブイントロスペクションエンジンは、
    前記イベントの前記発生を検出するのに応答して、前記イベントのイベントタイプに従って、イベント適格性条件が満たされるかどうかを判断することと、
    前記イベントインジケータを前記サーバコンピュータシステムに前記イベント適格性条件が満たされたときのみ送信することと
    を行うようにさらに構成された、サーバコンピュータシステム。
18. 請求項１３に記載のサーバコンピュータシステムであって、前記セキュリティツールを前記リモートツールリポジトリから取り出すことは、前記リモートツールリポジトリを前記セキュリティＶＭのファイルシステムにマウントすることを含む、サーバコンピュータシステム。
19. 請求項１３に記載のサーバコンピュータシステムであって、前記セキュリティＶＭはネットワークフィルタをさらに含み、前記ハイパーバイザは、前記ゲストＶＭとリモートパーティとの間のネットワークトラフィックを、前記ネットワークフィルタを介してルーティングするようにさらに構成された、サーバコンピュータシステム。
20. 請求項１９に記載のサーバコンピュータシステムであって、前記ハードウェアプロセッサは、前記１つのクライアントシステムが悪意のあるソフトウェアを含むかどうかを判断するのに応答して、前記１つのクライアントシステムが悪意のあるソフトウェアを含むときに、セキュリティアラートを前記１つのクライアントシステムに送るようにさらに構成され、前記１つのクライアントシステムによる前記セキュリティアラートの受信が、前記ネットワークフィルタに前記ゲストＶＭと前記リモートパーティとの間のネットワークトラフィックを制限させる、サーバコンピュータシステム。
21. 請求項１３に記載のサーバコンピュータシステムであって、前記セキュリティツールの実行の前記結果は、前記ゲストＶＭによって使用されたメモリのセクションのコンテンツのコピーを含む、サーバコンピュータシステム。
22. 請求項１３に記載のサーバコンピュータシステムであって、前記セキュリティツールの実行の前記結果は、前記ゲストＶＭ内で実行されるソフトウェアエンティティのリストを含む、サーバコンピュータシステム。
23. 請求項１３に記載のサーバコンピュータシステムであって、前記セキュリティツールの実行の前記結果は、前記クライアントシステムのハードウェア構成のインジケータを含む、サーバコンピュータシステム。
24. 請求項１３に記載のサーバコンピュータシステムであって、
    前記ハイパーバイザは、前記サーバコンピュータシステムと前記セキュリティＶＭとの間にセキュアなポイントツーポイント通信チャネルを確立するように構成され、
    前記ハードウェアプロセッサは、前記セキュアなポイントツーポイント通信チャネルを介して、前記セキュリティツールの前記識別子を含む前記分析要求を送り、前記セキュリティツールの実行の前記結果を受信するようにさらに構成された、
    サーバコンピュータシステム。
25. 命令のセットを記憶した非一時的コンピュータ可読媒体であって、命令の前記セットは、クライアントコンピュータシステムのハードウェアプロセッサ上で実行されたときに、前記クライアントコンピュータシステムに、ハイパーバイザと、ライブイントロスペクションエンジンと、オンデマンドイントロスペクションエンジンとを形成させ、
    前記ハイパーバイザは、ゲスト仮想マシン（ＶＭ）と、前記ゲストＶＭとは別個のセキュリティＶＭとを公開するように構成され、前記オンデマンドイントロスペクションエンジンは前記セキュリティＶＭ内で実行され、前記ライブイントロスペクションエンジンは前記ゲストＶＭと前記セキュリティＶＭとの外部で実行され、
    前記ライブイントロスペクションエンジンは、前記ゲストＶＭ内でのイベントの発生を検出するのに応答して、前記イベントのインジケータをリモートサーバコンピュータシステムに通信ネットワークを介して送信するように構成され、
    前記オンデマンドイントロスペクションエンジンは、
    前記ライブイントロスペクションエンジンが前記イベントの前記インジケータを前記リモートサーバコンピュータシステムに送信するのに応答して、分析要求を前記リモートサーバコンピュータシステムから受信することであって、前記分析要求は、前記クライアントコンピュータシステムを含む複数のクライアントにセキュリティツールを配信するように構成されたリモートツールリポジトリにあるセキュリティツールを示し、前記セキュリティツールは、前記イベントの前記発生を分析するように構成されたソフトウェアを含み、前記セキュリティツールは、前記リモートサーバコンピュータシステムによって前記イベントのイベントタイプに従って選択される、受信することと、
    前記分析要求を受信するのに応答して、前記セキュリティツールを前記分析要求に従って識別することと、
    前記セキュリティツールを識別するのに応答して、前記セキュリティツールを前記リモートツールリポジトリから選択的に取り出すことであって、前記セキュリティツールを取り出すことは、前記リモートツールリポジトリに前記通信ネットワークを介して接続することを含む、取り出すことと、
    前記セキュリティツールを選択的に取り出すのに応答して、前記セキュリティツールを実行することと、
    前記セキュリティツールを実行するのに応答して、前記セキュリティツールの実行の結果を前記リモートサーバコンピュータシステムに送信することと
    を行うように構成された、
    非一時的コンピュータ可読媒体。