JP2019518298A - ウィルス検出技術ベンチマーキング - Google Patents

Abstract

脅威インテリジェンスクラウドが開示される。その脅威インテリジェンスクラウドはマシンを備えることができる。そのマシン上の受信部が、アンチウィルスソリューションによって検出される脅威を含む、電子ファイルを受信することができる。ウィルストータルサービスが、電子ファイルをスキャンする従来のアンチウィルスソリューションからの情報を特定することができる。データベースが、ウィルストータルサービスからの情報を記憶することができる。報告ジェネレータが、情報から報告を生成することができる。【選択図】図６

Description

本発明は、包括的には電子的脅威を検出することに関し、より詳細には、種々の脅威検出技術を比較する情報を提供することに関する。

［関連出願データ］
本出願は、全ての目的のために引用することにより本明細書の一部をなすものとする、２０１６年６月６日に出願された米国仮特許出願第６２／３４６，０４０号の恩典を主張する。

本出願は、２００５年６月９日に出願された英国特許出願第０５１１７４９．４号の優先権を主張する２００６年６月９日に出願されたＰＣＴ出願ＰＣＴ／ＧＢ２００６／００２１０７号の国内移行出願である２０１２年５月２２日に発行された現米国特許第８，１８５，９５４号である２００８年６月１７日に出願された米国特許出願第１１／９１５，１２５号の継続出願である、２０１４年１０月２１日に発行された現米国特許第８，８６９，２８３号である２０１２年４月４日に出願された米国特許出願第１３／４３８，９３３号の継続出願である、２０１６年１２月６日に発行された現米国特許第９，５１６，０４５号である２０１４年１０月２日に出願された米国特許出願第１４／５０４，８４４号の継続出願である、現在係属中の２０１６年７月２９日に出願された米国特許出願第１５／２２３，２５７号に関連し、上記の全てが全ての目的のために引用することにより本明細書の一部をなすものとする。

本出願は、２００６年１２月４日に出願された英国特許出願第０６２４２２４．２号の優先権を主張する２００７年１１月８日に出願されたＰＣＴ出願ＰＣＴ／ＧＢ２００７／００４２５８号の国内移行出願である２０１３年９月１０日に発行された現米国特許第８，５３３，８２４号である２０１０年２月５日に出願された米国特許出願第１２／５１７，６１４号の継続出願である、２０１５年５月１９日に発行された現米国特許第９，０３４，１７４号である２０１３年５月２１日に出願された米国特許出願第１３／８９９，０４３号の分割出願であるとともに放棄された、２０１５年５月１８日に出願された米国特許出願第１４／７１５，３００号の一部継続出願である、現在係属中の２０１５年８月１３日に出願された米国特許出願第１４／８２５，８０８号に関連し、上記の全てが引用することにより本明細書の一部をなすものとする。

本出願は、２０１３年１０月４日に出願された英国特許出願第１３１７６０７．８号の優先権を主張する、現在係属中の２０１４年１０月２日に出願された米国特許出願第１４／５０４，６６６号に関連し、いずれの特許出願も引用することにより本明細書の一部をなすものとする。

本出願は、現在期限が切れている２０１４年１１月２６日に出願された米国仮特許出願第６２／０８４，８３２号の恩典を主張する２０１６年５月３日に発行された現米国特許第９，３３０，２６４号である２０１５年１月２０日に出願された米国特許出願第１４／６００，４３１号の継続出願である、現在係属中の２０１６年３月２６日に出願された米国特許出願第１５／０８２，７９１号に関連し、上記の全てが引用することにより本明細書の一部をなすものとする。

従来のアンチウィルス技術は、シグネチャ（signature）を用いて動作する。脅威が識別されると、これらの脅威に関するシグネチャが生成される。これらのシグネチャは、アンチウィルスソフトウェアアプリケーションによってアクセスされるデータベースに記憶され、その後、アンチウィルスソフトウェアアプリケーションは、ファイルをスキャンして、それらのファイルが任意の脅威に感染しているか否かを判断することができる。

新たな脅威が毎日のように識別されているので、シグネチャデータベースは増大し続けている。この事実は、アンチウィルスソフトウェアアプリケーションが、シグネチャデータベースを最新かつ有効にしておくために、更新情報を日常的にダウンロードしなければならないことを意味する。

しかし、異なるアンチウィルスソフトウェアアプリケーションは、異なる度合いで自らのシグネチャデータベースを更新する。この事実は、いくつかのアンチウィルスソフトウェアアプリケーションが、従来のアンチウィルスソフトウェアアプリケーションより迅速に或る特定の脅威を検出できることを意味する。新たに識別された脅威に関して特に、新たな脅威がアンチウィルスソフトウェアアプリケーションに追加される速さは、コンピュータシステムを保護するのに極めて重要である。

種々のアンチウィルスソフトウェアアプリケーションの性能を比較する方法が依然として必要とされている。

従来のアンチウィルスソリューションの詳細を示す図である。 改善されたアンチウィルスソリューションの詳細を示す図である。 電子ファイル内の脅威を識別する、図１及び図２のアンチウィルスソリューションを示す図である。 本発明の一実施形態による、ウィルストータルサービスを用いて、図２のアンチウィルスソリューションの性能を図１の従来のアンチウィルスソリューションと比較するように設計されるマシンを示す図である。 図４のマシンの更なる詳細を示す図である。 図１の従来のアンチウィルスソリューションが図３の電子ファイル内の脅威を検出できるか否かを判断する、図４のウィルストータルサービスを示す図である。 図４の報告ジェネレータの動作を示す図である。 図４のデータベースからの情報を用いて生成することができる、図７の報告の詳細を示す図である。 図７の報告の代替の提示を示す図である。 図７の報告の代替の提示を示す図である。 図７の報告の代替の提示を示す図である。 図７の報告の代替の提示を示す図である。 図７の報告の代替の提示を示す図である。 本発明の一実施形態による、図４のウィルストータルサービスを用いて、アンチウィルスソリューションの性能を比較するための手順のフローチャートである。 本発明の一実施形態による、図４のウィルストータルサービスを用いて、アンチウィルスソリューションの性能を比較するための手順のフローチャートである。 本発明の一実施形態による、図４のウィルストータルサービスを用いて、アンチウィルスソリューションの性能を比較するための手順のフローチャートである。 本発明の一実施形態による、図４のウィルストータルサービスを用いて、アンチウィルスソリューションの性能を比較するための手順のフローチャートである。 本発明の一実施形態による、図４のウィルストータルサービスに送達する前に、電子ファイルをいかに準備できるかの詳細を示す図である。

ここで、本発明の実施形態が詳細に参照されることになり、その例が添付の図面に示される。以下の詳細な説明において、本発明を完全に理解できるようにするために、数多くの具体的な詳細が説明される。しかしながら、これらの具体的な詳細を用いることなく、当業者が本発明を実施できることは理解されたい。他の事例では、実施形態の態様を無用にわかりにくくしないように、既知の方法、手順、構成要素、回路及びネットワークは詳細には説明されていない。

種々の要素を説明するために、本明細書において、第１の、第２の等の用語が使用される可能性があるが、これらの要素はこれらの用語によって制限されるべきでないことは理解されよう。これらの用語は、或る要素を別の要素と区別するためにのみ使用される。例えば、本発明の範囲から逸脱することなく、第１のモジュールを第２のモジュールと呼ぶことができ、同様に、第２のモジュールを第１のモジュールと呼ぶことができる。

本明細書において発明を説明する際に使用される用語は、特定の実施形態を説明することのみを目的としており、本発明を限定することは意図していない。本発明及び添付の特許請求の範囲を説明する際に使用されるとき、単数形「一（a、an）及びその（the）」は、文脈において明確に別段の指示がない限り、複数形も含むことを意図している。また、本明細書において使用されるときに、「及び／又は」という用語は、関連して列挙される物品の１つ以上の物品のありとあらゆる組み合わせを指しており、網羅することも理解されよう。本明細書において使用されるときに、「備える、含む（comprises、comprising）」という用語は、明言される機構、整数、ステップ、動作、要素及び／又は構成要素の存在を規定するが、１つ以上の他の機構、整数、ステップ、動作、要素、構成要素及び／又はそのグループの存在又は追加を除外しないことは更に理解されよう。図面の構成要素及び機構は必ずしも縮尺通りに描かれていない。

従来のアンチウィルスプログラムは、悪意のあるコンテンツについてファイルを調べることによって動作する。より詳細には、従来のアンチウィルスプログラムは、既知のウィルスのシグネチャについてファイルを調べる。しかし、ウィルス数が増大するにつれ、ファイル内で探索しなくてはならないシグネチャ数は増加の一途を辿る。さらに、経験則により、アンチウィルス開発者にまだ知られていないウィルスに対する或るレベルの保護が提供されるが、その保護は完全であると想定することができない。経験則によって検出することができる特徴を呈さない新たなウィルスが設計され得る可能性が常に存在する。

図１は、そのような従来のアンチウィルスソリューションの詳細を示す。図１には、従来のアンチウィルスソリューション１０５が示される。従来のアンチウィルスソリューション１０５は、シグネチャデータベース１１０と、データベース更新１１５と、スキャナ１２０と、隔離部１２５とを含むことができる。シグネチャデータベース１１０は、従来のアンチウィルスソリューション１０５によって認識することができるウィルスのシグネチャを記憶することができる。データベース更新１１５は、シグネチャデータベース１１０を新たなウィルスシグネチャで更新することができる。スキャナ１２０は、ファイルをスキャンして、シグネチャデータベース１１０内のウィルスシグネチャに基づいて、ファイル内で任意の認識されたウィルスを検出できるか否かを確認することができる。そして、隔離部１２５は、ユーザがファイルから後に脅威を除去しようと試みることができるように、認識された脅威を有するファイルを記憶することができる。

毎日のように新たなウィルスが現れている。ウィルスが認識され、そのシグネチャが識別されると、シグネチャデータベース１１０は、新たな脅威を反映するように更新される必要がある。これらの事実は、いくつかの問題をはらむ結論につながる。

第一に、シグネチャデータベース１１０が頻繁に更新されないとき、従来のアンチウィルスソリューション１０５は効力がなくなる。従来のアンチウィルスソリューション１０５の効力がなくなると、従来のアンチウィルスソリューション１０５は、最新の脅威からユーザを保護することができない。それゆえ、ユーザは、シグネチャデータベース１１０が可能な限り頻繁に更新されるのを確実にしなければならない。

第二に、新しい脅威ほど、ユーザの防御を突破する可能性が高いので、古い脅威より懸念が大きい。古い脅威ほどよく知られているが、それはこれらの脅威を無視できることを意味しない。すなわち、古い脅威も、新たな脅威と同じだけの損害をユーザのシステムに与える可能性がある。シグネチャデータベース１１０は、ユーザのシステムへの攻撃が達成されてしまうというリスクを伴わずには、より古い脅威のシグネチャを削除できない。それゆえ、シグネチャデータベース１１０のサイズは増大する一方であり、（データ圧縮が改善されなければ）そのサイズは減少しない。

第三に、従来のアンチウィルスソリューション１０５の動作に関する重要な点は、従来のアンチウィルスソリューション１０５は既知のウィルスを防ぐことしかできないことである。ウィルスが認識され、そのシグネチャがシグネチャデータベース１１０に追加されるまで、従来のアンチウィルスソリューション１０５は、ウィルスからユーザを保護することはできない。そのような攻撃は、ゼロデイ脅威として知られており、従来のアンチウィルスソリューション１０５にとって現実的な問題である。従来のアンチウィルスソリューションは、自らが知識を持たない脅威を防ぐことはできない。そして、発見的アルゴリズムは、シグネチャデータベース１１０によってまだ認識されていない新たな脅威を防ぐ手段を与えるが、発見的アルゴリズムは決して完全ではない。

２００６年６月９日に出願されたＰＣＴ出願ＰＣＴ／ＧＢ２００６／００２１０７号の国内移行出願である２０１２年５月２２日に発行された現米国特許第８，１８５，９５４号である２００８年６月１７日に出願された米国特許出願第１１／９１５，１２５号の継続出願である、２０１４年１０月２１日に発行された現米国特許第８，８６９，２８３号である２０１２年４月４日に出願された米国特許出願第１３／４３８，９３３号の継続出願である、２０１６年１２月６日に発行された現米国特許第９，５１６，０４５号である２０１４年１０月２日に出願された米国特許出願第１４／５０４，８４４号の継続出願である、現在係属中の２０１６年７月２９日に出願された米国特許出願第１５／２２３，２５７号は、ファイルが受信者に送達される前に、いかに検査できるかを記述しており、上記の全てが引用することにより本明細書の一部をなすものとする。従来のアンチウィルスソリューション１０５とは対照的に、このアンチウィルスソリューションの手法は、既知のウィルスのシグネチャ又は潜在的なウィルスの経験則を探さない。代わりに、その手法は、特定のタイプのファイルがどのように見えるべきであるかを反映する一組の規則を構築することによって機能する。言い換えると、この手法は、電子ファイル内の悪意のある（「不良」）コンテンツを識別するのではなく、良好であることが分かっている電子ファイルを識別することによって機能する。

手法は、ファイルの想定タイプ（意図されるファイルタイプ）を判断することによって開始する。これは、複数の異なる方法によって行うことができる。例えば、ファイルの拡張子は、多くの場合、意図されるファイルタイプを識別する。ファイル拡張子が．ＰＤＦである場合、ファイルは、Ａｄｏｂｅ（登録商標）ＰＤＦファイルフォーマットのファイルである可能性が最も高いのに対し、ファイル拡張子が．ＤＯＣである場合、ファイルは、Ｍｉｃｒｏｓｏｆｔ（登録商標）Ｗｏｒｄファイルフォーマットのファイルである可能性が最も高い。（Ａｄｏｂｅ及びＰＤＦは、米国及び／又は他の国におけるAdobe Systems Incorporated社の登録商標又は商標である。Ｍｉｃｒｏｓｏｆｔは、米国及び／又は他の国におけるMicrosoft Corporation社の登録商標又は商標である。）意図されるファイルタイプを判断する別の方法は、ファイルを調べることである。いくつかのファイルフォーマットは、ファイル自体の中にファイルのタイプをデータ（テキスト又はデジタル）として含める。

意図されるファイルフォーマットが判断されると、そのファイルフォーマットに関連付けられた一組の規則を特定することができる。一組の規則は、ファイルがどのようにフォーマット設定されるべきか、及びそのコンテンツがどのように組織化されるべきかを指定する。ファイルが意図されるファイルタイプについての一組の規則に適合していない場合、ファイルが悪意のあるコンテンツを含む可能性がある。

一組の規則は、ファイル内の或る特定のコンテンツ要素が、ファイルタイプの規則に適合することができるコンテンツ要素であっても、悪意がある可能性があると指定することもできる。例えば、Ｍｉｃｒｏｓｏｆｔ Ｗｏｒｄファイルフォーマットのファイルは、マクロを含む可能性がある。しかし、マクロは、悪意がある可能性もある。このため、一組の規則は、マクロが、ファイルフォーマットの規則に適合している場合であっても、潜在的に悪意があるとみなされることを指定することができる。

ファイルが調べられると、ファイルをサニタイズ（sanitize）することができる。ファイルのサニタイズは、不適合なファイルの部分を除去し、規則に適合しているファイルの部分のみを残すことを含む。ファイルの一部分が一組の規則に適合していない場合、必ずしもファイルが全体として拒否されるわけではないことに留意されたい。例えば、文書からマクロを除去することができ、一方で文書のテキストは許可することができる。

悪意のあるコンテンツが受信者に届くリスクを更に低減するために、サニタイズされたファイルを再生することができる。ファイルを再生することは、ファイルを再作成することを含み、送信者によって準備されたコンテンツを含めることができ、ファイルの不変部分はシステムによって作成することができる。例えば、文書の基本形式をシステムによって生成することができるのに対し、文書のテキスト及びそのフォーマット設定は、元のファイルから再生ファイルにコピーすることができる。このようにして、ファイルの不変部分に含められ得る任意の悪意のあるコンテンツが除去される。

ファイルがサニタイズされ、及び／又は、再生されると、ファイルを受信者に送達することができる。

図１の従来のアンチウィルスソリューション１０５等の、従来のアンチウィルスソリューションを上回る本システムの利点は、シグネチャがまだ知られていない新たなウィルスの発生に関する懸念がないことである。悪意のあるコンテンツを含むファイルは、ファイルタイプに関連付けられた規則に適合しないため、悪意のあるコンテンツを検出するのにシグネチャを用いることができるか否かと無関係に、悪意のあるコンテンツがブロックされることになる。

図２は、改善されたアンチウィルスソリューションの詳細を示す。図２において、アンチウィルスソリューション２０５は、ファイルタイプ識別部２１０と、ストレージ２１５と、スキャナ２２０と、サニタイザ２２５と、隔離部１２５とを含むことができる。ファイルタイプ識別部２１０は、電子ファイルの意図されるファイルタイプを識別することができる。上記で説明されたように、ファイルタイプ識別部２１０は、電子ファイルの拡張子に基づいて、又は意図されるファイルタイプのファイルのコンテンツを検査することによって、又は任意の他の望ましい手法によって動作する。さらに、ファイルタイプ識別部２１０は、異なる技法を用いて異なるファイルタイプを識別できるように、手法の組み合わせを使用することができる。

ストレージ２１５は、一組の規則２３０を記憶することができる。アンチウィルスソリューション２０５によって認識される意図されるファイルごとに、ストレージ２１５内に規則の異なる組２３０を含むことができる。一組の規則２３０は、電子ファイルが準拠していると見なされる条件を規定することができ、その場合、その電子ファイルは脅威がないと見なされる。

スキャナ２２０は、ファイルタイプ識別部２１０によって特定されるような、電子ファイルの意図されるファイルタイプに関する一組の規則２３０に従って電子ファイルをスキャンすることができる。スキャナ２２０は、図１のスキャナ１２０と同様の動作上の目的、すなわち、電子ファイル内の悪意のある脅威を識別すること、を有する。ただし、図１の従来のアンチウィルスソリューション１０５のスキャナ１２０が、図１のシグネチャデータベース１１０からのシグネチャを見つけるために電子ファイルをスキャンするのに対して、図２のアンチウィルスソリューション２０５のスキャナ２２０は、電子ファイル内のどのコンテンツが一組の規則２３０に準拠するか、そして、どのコンテンツが一組の規則２３０に準拠しないかを判断する。アンチウィルスソリューション２０５及び図１の従来のアンチウィルスソリューション１０５は非常に異なる原理を用いて動作するので、図２のアンチウィルスソリューション２０５内のスキャナ２２０の代わりに、図１の従来のアンチウィルスソリューション１０５内のスキャナ１２０を使用することはできない。

電子ファイル内の任意のコンテンツが準拠していないと判断される場合、すなわち、電子ファイル内の任意のコンテンツが一組の規則２３０（一組の規則２３０がいかに定義されるかに応じて、個々の規則、又は一組の規則２３０のサブセットのいずれか）を満たさない場合には、その非準拠コンテンツは、電子ファイルからサニタイズすることができる。例えば、Ｍｉｃｒｏｓｏｆｔ Ｗｏｒｄ文書の場合、一組の規則２３０内の１つの規則は、「マクロが許されない」とすることができる。特定の電子ファイルがマクロを含むとわかった場合には、マクロ自体を非準拠コンテンツと見なすことができ、一方、電子ファイルの残りの部分は、準拠するコンテンツと見なすことができる。サニタイザ２２５は、準拠するコンテンツをそこに残しながら、電子ファイルから非準拠コンテンツを除去することによって、電子ファイルをサニタイズすることができる。サニタイザ２２５の代わりとして、又はそれに加えて、アンチウィルスソリューション２０５は、電子ファイルを再生することができるリジェネレータ（図２には示されない）を含むことができる。電子ファイルを再生することは、元のファイルと同じ（準拠する）コンテンツを有するが、元の電子ファイルを変更することによるのではなく、「一から新規に」構築される新たなファイルを構成することを伴うことができる。いくつかの状況：例えば、非準拠コンテンツを除去することによって、元の電子ファイルが潜在的に不安定な状態のままになる可能性がある場合に、又は準拠するコンテンツが終了する場所及び非準拠コンテンツが開始する場所を特定するのが難しい可能性があるときに、又は電子ファイルが再構成から恩恵を受けるときには、再生が有用である可能性がある。例えば、いくつかのファイルタイプが、特定の順序において見つけられると予想されるか、又は不要なセクションを含まないと予想される、そのファイルに関するセクションを規定する。非準拠コンテンツを除去することは、ファイルセクションを誤った順序のままにする場合があるか、又は不要なファイルセクションをそこに残したままにする場合がある。一方、電子ファイルを再生することは、その安定性が予測可能である電子ファイルを生成することになる。

隔離部１２５は、図１の隔離部１２５と同様に、ユーザが後にファイルから脅威を除去しようと試みることができるように、認識された脅威を有し、サニタイザ２２５によってサニタイズすることができないファイルを記憶することができる。

図３は、電子ファイル内の脅威を識別する、図２のアンチウィルスソリューション２０５及び図１のアンチウィルスソリューション１０５を示す。上記で説明されたように、図２のアンチウィルスソリューション２０５は、上位レベルにおいて、図１のアンチウィルスソリューション１０５に類似の機能を実行するが、２つのソリューションは異なる内部動作を使用する。電子ファイル３０５を与えられると、アンチウィルスソリューション２０５及び１０５は、電子ファイル３０５をスキャンし、脅威３１０が存在するか否かを判断することができる。問題は、各アンチウィルスソリューション２０５及び１０５が電子ファイル３０５内の脅威３１０をいつ識別できるか（さらには、それらのアンチウィルスソリューションが電子ファイル３０５内の脅威３１０を検出できるか否か）である。

図２に戻ると、アンチウィルスソリューション２０５は、図１の従来のアンチウィルスソリューション１０５と比べて、いくつかの技術的利点を有する。第一に、更新が必要とされるのは、一組の規則２３０に対してだけであり、それらの規則が変化するときだけである。一組の規則２３０は、悪意のある脅威を識別するのではなく、準拠するコンテンツを規定するので、一組の規則２３０は、特定のファイルフォーマットに関する規則が変化するときのみ更新を必要とする。そのような変化は、そのファイルタイプを使用するアプリケーションプログラムの新たなバージョンがリリースされるときに、又は場合によっては、そのアプリケーションが少なくとも一度の更新を受けるときに生じる場合がある。しかし、そのような変化が起こる頻度は相対的に低く、それは、アンチウィルスソリューション２０５が、アンチウィルスソリューション２０５の効力がなくなるのを回避するために一組の規則２３０を頻繁に更新する必要がないことを意味する。

第二に、一組の規則２３０の更新が起こる頻度は相対的に（図１のシグネチャデータベース１１０の更新に比べて）低いので、一組の規則２３０を記憶するために必要とされる空間は経時的に著しく増大しない。さらに、古くなった一組の規則２３０を削除し、不要なストレージを解放することができる。例えば、ユーザがアプリケーションの或るバージョンを別のバージョンにアップグレードし、そのアプリケーションの新たなバージョンが異なるファイルフォーマットを使用する場合には、古い方のファイルフォーマットを管理する一組の規則は必要とされない場合がある（アプリケーションの新たなバージョンは、例えば、そのようなファイルを読み出すことができない場合がある）。その場合、古い方の一組の規則は保持される必要はない。また、古い方の一組の規則を削除しても、システムのセキュリティは脆弱にならない。古い方の一組の規則を削除することは、以前に準拠していると見なされた或る特定のファイルがもはや認識されなくなり、セキュリティが向上する（そして、古い方のファイルタイプを使用する新たに受信されたファイルは非準拠と見なされ、古い方のファイルタイプを使用する悪意のあるコンテンツの侵入を防ぐ）ことを意味する。

最後に、図１の従来のアンチウィルスソリューション１０５とは異なり、アンチウィルスソリューション２０５は、ゼロデイ脅威を阻止することができる。ゼロデイ脅威は、図３の電子ファイル３０５内に非準拠コンテンツとして現れることになる。非準拠コンテンツが検出され、阻止されるので、ゼロデイ脅威は、ユーザのシステムに影響を及ぼさないように阻止されることになる。脅威があらかじめ識別されていなかったため、そのシグネチャが特定されていないという事実は、問題とされなくなる。

しかし、アンチウィルスソリューション２０５はゼロデイ脅威を検出し、阻止することができるが、アンチウィルスソリューション２０５が、図１の従来のアンチウィルスソリューション１０５と比べていかに優れているかを明らかにするのは容易ではない。その所説がいかに正しくても、小売業者が、アンチウィルスソリューション２０５が図１の従来のアンチウィルスソリューション１０５より良好にゼロデイ脅威を検出し、阻止できると断言するのは、その断言を支持するだけの証拠なしには、利己的であるように思われる。また、アンチウィルスソリューション２０５が、従来のアンチウィルスソリューションでは検出しなかったであろうゼロデイ脅威を阻止したと顧客に断言するのは、そのような断言を支持するだけの証拠なしには、必ずしも容易ではない。

図４は、本発明の一実施形態による、ウィルストータルサービスを用いて、図２のアンチウィルスソリューション２０５の性能を図１の従来のアンチウィルスソリューション１０５と比較するように設計されるマシンを示す。図４には、マシン４０５が示される。マシン４０５は、限定はしないが、デスクトップ若しくはラップトップコンピュータ、サーバ（スタンドアローンサーバ若しくはラックサーバ）、又は本発明の実施形態から恩恵を受けることができる任意の他のデバイスを含む、任意の所望のマシンとすることができる。マシン４０５は、特殊なポータブルコンピューティングデバイス、タブレットコンピュータ、スマートフォン、及び他のコンピューティングデバイスを含むこともできる。マシン４０５は、任意の所望のアプリケーションを実行することができる。データベースアプリケーションが好例であるが、本発明の実施形態は、任意の所望のアプリケーションに及ぶことができる。

マシン４０５は、その具体的な形態にかかわらず、プロセッサ４１０と、メモリ４１５と、ストレージデバイス４２０とを備えることができる。プロセッサ４１０は、任意の種々のプロセッサとすることができ、例えば、Ｉｎｔｅｌ Ｘｅｏｎ、Ｃｅｌｅｒｏｎ、Ｉｔａｎｉｕｍ、若しくはＡｔｏｍプロセッサ、ＡＭＤ Ｏｐｔｅｒｏｎプロセッサ、ＡＲＭプロセッサ等とすることができる。図４は、単一のプロセッサを示すが、マシン４０５は、任意の数のプロセッサ、又はマルチコアプロセッサを含むことができる。メモリ４１５は、フラッシュメモリ、スタティックランダムアクセスメモリ（ＳＲＡＭ）、永続性ランダムアクセスメモリ、強誘電性ランダムアクセスメモリ（ＦＲＡＭ（登録商標））、又は磁気抵抗ランダムアクセスメモリ（ＭＲＡＭ）等の不揮発性ランダムアクセスメモリ（ＮＶＲＡＭ）等の任意の種類のメモリとすることができるが、通常は、ＤＲＡＭである。メモリ４１５は、異なるメモリタイプの任意の所望の組み合わせとすることもできる。メモリ４１５は、マシン４０５の一部でもある、メモリコントローラ４２５によって制御することができる。

ストレージデバイス４２０は、ハードディスクドライブ、ソリッドステートドライブ（ＳＳＤ）、又は任意の他の種類のストレージ等の任意の種類のストレージデバイスとすることができる。ストレージデバイス４２０は、そのタイプのストレージデバイスに適しており、メモリ４１５内に常駐することができるデバイスドライバ４３０によって制御することができる。

本発明の動作を支援するために、本発明の実施形態は、ウィルストータルサービス４３５に接続されるマシン４０５を有することができる。ウィルストータルサービス４３５は、図３の電子ファイル３０５を図１の種々の従来のアンチウィルスソリューション１０５に対して試験し、もしあるなら、従来のアンチウィルスソリューションのどのアンチウィルスソリューションが図３の電子ファイル３０５内の脅威を検出することができるかを判断することができる。ウィルストータルサービス４３５は、図６を参照しながら後に更に説明される。ウィルストータルサービス４３５は、マシン４０５内に含まれる構成要素とすることができるか、マシン４０５に直接接続される第２のマシンから、接続を介してアクセス可能とすることができるか、又はネットワーク（図４には示されない）を介してアクセス可能とすることができる。

また、マシン４０５は、アンチウィルスソリューション２０５、受信部４４０、データベース４４５及び報告ジェネレータ４５０を備えることもできる。アンチウィルスソリューション２０５は、上記で説明された通りとすることができ、図３の電子ファイル３０５が図２の一組の規則２３０に準拠するか否かを判断することができる。受信部４４０は、供給源から電子ファイルを受信することができ、その電子ファイルはアンチウィルスソリューション２０５に送達することができる。それに加えて、又はその代わりに、受信部４４０は、ウィルストータルサービス４３５で試験するために、アンチウィルスソリューション２０５から図３の電子ファイル３０５を受信することができる（例えば、マシン４０５が、アンチウィルスソリューション２０５がインストールされたマシンでない場合）。ウィルストータルサービス４３５がマシン４０５にのみ接続され、マシン４０５の一部でない場合、マシン４０５は、図３の電子ファイル３０５をウィルストータルサービス４３５に送信する送信機（図４には示されない）を備えることもできる。データベース４４５は、図３の電子ファイル３０５に対する図１の種々の従来のアンチウィルスソリューション１０５の性能に関する、ウィルストータルサービス４３５から受信された情報を記憶することができる。報告ジェネレータ４５０は、データベース４４５から情報を取り込み、アンチウィルスソリューション２０５の性能を図１の従来のアンチウィルスソリューション１０５と比較して、顧客又は販売業者（marketer）への報告を生成することができる。

プロセッサ４１０、メモリ４１５、ストレージデバイス４２０、メモリコントローラ４２５、デバイスドライバ４３０、受信部４４０、データベース４４５及び報告ジェネレータ４５０を備えるマシン４０５は、ウィルストータルサービス４３５への接続とともに、脅威インテリジェンスクラウドを構成する。さらに、適切な要求に応じて、本発明の実施形態では、これらの構成要素のサブセットで十分である可能性があるか、又は更なる構成要素を追加することができる。例えば、ウィルストータルサービス４３５からの情報を記憶する必要がない場合には、データベース４４５を除外することができるか、又はウィルストータルサービス４３５がマシン４０５の一部として含まれる場合には、受信部４４０を除外することができる。

図５は、図４のマシン４０５の更なる詳細を示す。図５を参照すると、通常、マシン４０５は１つ以上のプロセッサ４１０を備え、プロセッサはメモリコントローラ４２５及びクロック５０５を備えることができ、クロックは、マシン４０５の構成要素の動作を協調させるために使用することができる。また、プロセッサ４１０はメモリ４１５に結合することもでき、メモリ４１５は、例として、ランダムアクセスメモリ（ＲＡＭ）、リードオンリーメモリ（ＲＯＭ）、又は他の状態保存媒体（state preserving media）を含むことができる。また、プロセッサ４１０は、ストレージデバイス４２０に、そしてネットワークコネクタ５１０に結合することもでき、ネットワークコネクタは、例えば、イーサネット（登録商標）コネクタ又はワイヤレスコネクタとすることができる。また、プロセッサ４１０はバス５１５に接続することもでき、バスには、ユーザインターフェース５２０及び入力／出力インターフェースポートを取り付けることができ、入力／出力インターフェースポートは、数ある構成要素の中でも、入力／出力エンジン５２５を用いて管理することができる。

図６は、図１の従来のアンチウィルスソリューション１０５が図３の電子ファイル３０５内の脅威を検出できるか否かを判断する、図４のウィルストータルサービス４３５を示す。図６において、ウィルストータルサービス４３５は、電子ファイル３０５を受信することができる。ウィルストータルサービス４３５は、電子ファイル３０５が各従来のアンチウィルスソリューション１０５−１〜１０５−ｎによってスキャンされるように準備することができる。従来のアンチウィルスソリューション１０５−１〜１０５−ｎはそれぞれ異なるアンチウィルスソリューションとすることができ、それにより、図４のアンチウィルスソリューション２０５を任意の数の従来のアンチウィルスソリューション１０５−１〜１０５−ｎと比較できるようにする。それゆえ、従来のアンチウィルスソリューション１０５−１〜１０５−ｎはそれぞれ、異なる時点において電子ファイル３０５内の脅威を検出できる場合がある（従来のアンチウィルスソリューション１０５−１〜１０５−ｎの更新が、対象となる脅威のためのシグネチャを追加した時点による）。例えば、図６に示される時点において、従来のアンチウィルスソリューション１０５−１及び１０５−ｎは脅威３１０を検出することができるが、従来のアンチウィルスソリューション１０５−２は脅威３１０を検出することができない。

従来のアンチウィルスソリューション１０５−１〜１０５−ｎは、異なる更新後に脅威３１０を検出できる場合があるので（仮に、従来のアンチウィルスソリューション１０５−２が、例えば、従来のアンチウィルスソリューション１０５−２が脅威３１０を検出できるようにする更新を全く受信しない場合があることも起こり得るが、可能性は低い）、単に、電子ファイル３０５を従来のアンチウィルスソリューション１０５−１〜１０５−ｎに対して一度だけ試験することは、図４のアンチウィルスソリューション２０５がいかに優れているかを判断するのに十分でない場合がある。言い換えると、種々の従来のアンチウィルスソリューションが脅威３１０を検出するのにかかる時間を知ることが有用な可能性がある。したがって、本発明のいくつかの実施形態において、ウィルストータルサービス４３５は、電子ファイル３０５を従来のアンチウィルスソリューション１０５−１〜１０５−ｎに対して何度も試験することができる。ウィルストータルサービス４３５は、電子ファイル３０５を従来のアンチウィルスソリューション１０５−１〜１０５−ｎに対して所望の回数だけ、そして１日１回等の任意の所望の間隔において試験することができる。

ウィルストータルサービス４３５が電子ファイル３０５を従来のアンチウィルスソリューション１０５−１〜１０５−ｎに対して繰返し永久に試験していたなら、ウィルストータルサービス４３５は結局、過度の情報を与えることになっていた。例えば、全ての従来のアンチウィルスソリューション１０５−１〜１０５−ｎが電子ファイル３０５内の脅威３１０を検出するのに成功した時点で、電子ファイル３０５を再試験する必要はない（ただし、その後の更新によって、従来のアンチウィルスソリューション１０５−１〜１０５−ｎの１つ以上が電子ファイル３０５内の脅威３１０を検出するのを中止するかもしれないという可能性がある）。そして、或る時点において、１つ以上の従来のアンチウィルスソリューション１０５−１〜１０５−ｎが電子ファイル３０５内の脅威３１０を引き続き検出できない場合には、そのような情報は古い情報になる。したがって、本発明のいくつかの実施形態において、ウィルストータルサービス４３５は、或る時間窓中に電子ファイル３０５を従来のアンチウィルスソリューション１０５−１〜１０５−ｎに対して試験することができ、その後、ウィルストータルサービス４３５は、電子ファイル３０５を試験するのを中止することができる。

図６のように単独で示されるとき、ウィルストータルサービス４３５は、電子ファイル３０５のみを試験するように見える。しかし、実際には、ウィルストータルサービス４３５は、任意の数の電子ファイルを従来のアンチウィルスソリューション１０５−１〜１０５−ｎに対して試験することができる。電子ファイルがウィルストータルサービス１４５によって最初に受信された日付に基づいて、各電子ファイルは異なる試験窓を有することができる。さらに、本発明の実施形態は、異なる電子ファイルのための異なる窓をサポートすることができる。

電子ファイル３０５を従来のアンチウィルスソリューション１０５−１〜１０５−ｎに対して試験した後に、ウィルストータルサービス４３５は、情報６０５をデータベース４４５に送信することができる。このようにして、図４の報告ジェネレータ４５０は、電子ファイル３０５についての適切な報告を生成することができる。

図７は、図４の報告ジェネレータ４５０の動作を示す。図７において、報告ジェネレータ４５０は、データベース４４５から図６の情報６０５にアクセスすることができる。報告ジェネレータ４５０は、その後、図６の情報６０５を報告７０５に変換することができ、その報告は任意の所望の方法で使用することができる。例えば、報告７０５は、図６の従来のアンチウィルスソリューション１０５−１〜１０５−ｎと比べて、図４のアンチウィルスソリューション２０５がいかに優れているかを顧客に示すために、顧客に提供することができる。又は、報告７０５を用いて、図４のアンチウィルスソリューション２０５を売り出すことができる。

図８は、図４のデータベース４４５からの図６の情報６０５を用いて生成することができる、図７の報告７０５の詳細を示す。図８は、１つの報告例であり、他の報告も可能である。

図８において、報告７０５は、種々の列を含むものとして示される。これらの列は、ファイル名８０５、初期スキャン日８１０、種々の後の日付８１５−１〜８１５−５、及び脅威記述３１０を含む。また、報告７０５は、情報の種々の行８２０−１〜８２０−５も示す。各行８２０−１〜８２０−５は、図４のアンチウィルスソリューション２０５によって処理され、図４の従来のアンチウィルスソリューション１０５−１〜１０５−ｎに対して試験するために図６のウィルストータルサービス４３５に対してその後に提出される特定のファイルを記述することができる。例えば、行８２０−１は、「Invoice 1.doc」という名称のファイルが２０１７年４月２６日に最初にスキャンされたことを示す。さらに、２０１７年４月２６日に、図４の従来のアンチウィルスソリューション１０５−１〜１０５−ｎに対して試験されたときに（「Ｔ＋０」は、「初期スキャン後のゼロデイ」を意味する）、従来のアンチウィルスソリューション１０５−１〜１０５−ｎのうちの２０％のみが脅威「Ｗ９７Ｍ／Ｄｏｗｎｌｏａｄｅｒ．ａｘｕ」を検出できた。そのパーセンテージは、２０１７年４月２６日の初期スキャンの１日後、３日後、７日後、３０日後にそれぞれ、２３．３％、３０．５％、４５．４％及び５０．８％まで増加した。

行８２０−２〜８２０−５が、列８１５−５内に何も情報を示さないことに留意されたい。この事実は、例えば、初期スキャンの３０日後にスキャンしなかったことを示すことができる。例えば、当日が２０１７年５月２６日であったなら、当日は行８２０−２〜８２０−５内に示されるファイルの初期スキャン日の３０日後ではなかった。

報告７０５は、列ファイル名８０５を含むことに留意されたい。ファイル名は、個人情報（ＰＩＩ（Personally Identifinable Information））と見なすことができる。本発明のいくつかの実施形態において、顧客が、ＰＩＩの流出を防ぐことを望む場合がある。そのため、任意のＰＩＩを除去するように、電子ファイルを「スクラブする（scrubbed）」ことができる。例えば、コンテンツ、隠れコンテンツ、及びメタデータを含む、電子ファイル内の任意の情報を「スクラブ」してＰＩＩを除去することができ、ファイルに、ランダムに生成された別の名前を割り当てることができる。又は、元の電子ファイルを図４のウィルストータルサービス４３５に与えるのではなく、代わりに、電子ファイルのハッシュを図４のウィルストータルサービス４３５に与えることができる。ハッシュによって、依然として、従来のアンチウィルスソリューション１０５−１〜１０５−ｎ（又は従来のアンチウィルスソリューション１０５−１〜１０５−ｎの少なくともサブセット）がハッシュをスキャンして脅威のシグネチャを得るのに成功できるようになるなら、ウィルストータルサービス４３５に元の電子ファイルを全く与える必要はない。ハッシュは、任意の所望のハッシュアルゴリズムを用いて生成することができる。

図８は、図４のアンチウィルスソリューション２０５の性能を、図６の従来のアンチウィルスソリューション１０５−１〜１０５−ｎと比較する表として報告７０５を示すが、報告７０５は他の形態をとることもできる。図９Ａ〜図９Ｅは、図７のいくつかの報告７０５の代替の提示を示す。

図９Ａには、表９０５が示される。表９０５は、種々の送信者と、それらの送信者によって送信された電子ファイル内に含まれるウィルス（又は他の脅威）の数とを示す。これらの送信者は、必要に応じて、顧客のサイトを起源とする電子ファイルを送信する人々、又は他の送信者とすることができる。表９０５は、任意の数の送信者についての情報を示すことができる。表９０５は３人の送信者についての情報を示すが、例示にすぎない。

図９Ｂには、折れ線グラフ９１０が示される。折れ線グラフ９１０は、２つの異なる供給源から経時的にいくつの脅威が受信されたかを示す線９１５及び９２０を示す。折れ線グラフ９１０は、任意の数の供給源についての情報を示すことができる。折れ線グラフ９１０は２つの供給源についての情報を示すが、例示にすぎない。所望により、折れ線グラフ９１０とともに凡例を含むことができるか、又は供給源の素性がＰＩＩと見なされる場合には、除外することができることに留意されたい。

折れ線グラフ９１０及び図９Ａの表９０５は、類似の情報を提示する代替の方法であり、交換可能であることに留意されたい。図９Ａの表９０５と同様の表を用いて、異なる供給源からいくつの脅威が受信されたかについての情報を提示することができ、折れ線グラフ９１０と同様の折れ線グラフを用いて、いくつの脅威が送信されたかについての情報を提示することができる。

図９Ｃには、折れ線グラフ９２５が示される。折れ線グラフ９２５は、任意の特定のタイプのいくつの脅威が経時的に受信されたかを示す、３つの線９３０、９３５及び９４０を示す。例えば、線９３０は、マクロに関していくつの脅威が受信されたかを示すことができ、線９３５は、埋込みファイルに関していくつの脅威が受信されたかを示すことができ、線９４０は、ＪａｖａＳｃｒｉｐｔ（登録商標）に関していくつの脅威が受信されたかを示すことができる。折れ線グラフ９２５は、任意の数の脅威タイプについての情報を示すことができる。折れ線グラフ９２５は３つの脅威タイプについての情報を示すが、例示にすぎない。折れ線グラフ９２５に含むことができる他のタイプの脅威は、不正形式の画像、及びＡｄｏｂｅ Ａｃｒｏｂａｔ形式の脅威を含む。（Ａｃｒｏｂａｔは、米国及び／又は他の国におけるAdobe Systems Incorporated社の登録商標又は商標である。）

図９Ｄには、ヒストグラム９４５が示される。ヒストグラム９４５は、電子ファイルのタイプに基づいて、いくつの電子ファイルが脅威を含んでいたかを示す。ヒストグラム９４５は、任意の数のファイルタイプについての情報を示すことができる。ヒストグラム９４５は、６つのファイルタイプについての情報を示すが、例示にすぎない。

図９Ｅには、円グラフ９５０が示される。円グラフ９５０は、図４のアンチウィルスソリューション２０５によって電子ファイルがいかに処理されたかの結果を示す。例えば、セグメント９５５は、１０個の電子ファイルがサニタイズされたことを示すことができ、セグメント９６０は、１０個の電子ファイルが隔離されたことを示すことができ、セグメント９６５は、１００個の電子ファイルが電子ファイルのファイルタイプに適したファイルの組に準拠した（そして、サニタイズ又は隔離を必要としなかった）ことを示すことができる。円グラフ９５０は、セグメント９５５、９６０、及び９６５のそれぞれに表されるファイルの数を示す表９７０を含むこともできる。円グラフ９５０は、任意の数のファイルについての情報を示すことができ、任意の数のセグメントを含むことができる。円グラフ９５０は３つのセグメント内に全部で１２０個のファイルについての情報を示すが、例示にすぎない。

図１０Ａ〜図１０Ｄは、本発明の一実施形態による、図４のウィルストータルサービス４３５を使用して、アンチウィルスソリューションの性能を比較するための手順のフローチャートを示す。図１０Ａでは、ブロック１００５において、図４のアンチウィルスソリューション２０５が図３の電子ファイル３０５を受信することができる。ブロック１０１０において、図４のアンチウィルスソリューション２０５が、図３の電子ファイル３０５をスキャンすることができる。ブロック１０１５において、図２のファイルタイプ識別部２１０が、図３の電子ファイル３０５のための意図されるファイルタイプを特定することができる。ブロック１０２０において、図４のアンチウィルスソリューション２０５が、図２の一組の規則２３０を識別することができる。

ブロック１０２５（図１０Ｂ）において、図２のスキャナ２２０が、図３の電子ファイル３０５が図２の一組の規則２３０に準拠するか否かを判断することができる。図３の電子ファイル３０５が図２の一組の規則２３０に準拠する場合には、ブロック１０３０において、図４のアンチウィルス２０５が、図３の電子ファイル３０５に脅威がないと判断することができる。そうでない場合には、ブロック１０３５において、図２のスキャナ２２０が、図３の電子ファイル３０５が図２の一組の規則２３０に準拠しない箇所に基づいて、図３の脅威３１０を識別することができる。

図３の電子ファイル３０５に脅威がないか否かにかかわりなく、ブロック１０４０（図１０Ｃ）において、図４の受信部４４０が、図３の電子ファイル３０５を受信することができる。ブロック１０４５において、図４のウィルストータルサービス４３５が、図３の電子ファイル３０５を図４の従来のアンチウィルスソリューション１０５−１〜１０５−ｎに対して試験することができる。ブロック１０４５は、破線１０５０によって示されるように、２回以上、そして所望により／必要に応じて何度も実行することができる。ブロック１０５５において、図４のウィルストータルサービス４３５が、従来のアンチウィルスソリューション１０５−１〜１０５−ｎのどのアンチウィルスソリューションが図３の電子ファイル３０５内の図３の脅威３１０を検出できるかを判断することができる。ブロック１０６０において、図４のウィルストータルサービス４３５が、従来のアンチウィルスソリューション１０５−１〜１０５−ｎがそれぞれ図３の電子ファイル３０５内の図３の脅威３１０を検出した時点を判断することができる。

ブロック１０６５（図１０Ｄ）において、データベース４４５が図６の情報６０５を記憶することができる。図６の情報６０５は、従来のアンチウィルスソリューション１０５−１〜１０５−ｎのどのアンチウィルスソリューションが図３の電子ファイル３０５内の図３の脅威３１０を検出できるか、及び従来のアンチウィルスソリューション１０５−１〜１０５−ｎが図３の電子ファイル３０５内の図３の脅威３１０を検出した時点を含むことができる。ブロック１０７０において、図４の報告ジェネレータ４５０が、図４のデータベース４４５に記憶される図６の情報６０５から図７の報告７０５を生成することができる。ブロック１０７５において、報告７０５を、顧客に送達することができ、及び／又はブロック１０８０において、報告７０５を図４のアンチウィルスソリューション２０５を売り込む際に使用することができる。

図１１は、本発明の一実施形態による、図４のウィルストータルサービス４３５に送達する前に、電子ファイル１２０５をいかに準備することができるかの詳細を示す。図１１では、ブロック１１０５において、図３の電子ファイル３０５からＰＩＩを除去することができる。ブロック１１１０において、図３の電子ファイル３０５からハッシュを生成することができる。ブロック１１０５及び１１１０は、それぞれ破線１１１５及び１１２０によって示されるように、所望により除外することができる。

図１０Ａ〜図１１において、本発明のいくつかの実施形態が示される。しかし、ブロックの順序を変更することによって、ブロックを除外することによって、又は図示されないリンクを含むことによって、本発明の他の実施形態も可能であることは当業者には認識されよう。フローチャートの全てのそのような変形は、明確に説明されるか否かにかかわりなく、本発明の実施形態であると見なされる。

以下の論考は、本発明の概念の或る特定の態様を実施することができる適切な単数又は複数のマシンの簡単な概略説明を与えることが意図される。単数又は複数のマシンは、少なくとも部分的に、キーボード、マウス等の従来の入力デバイスからの入力によって、及び別のマシンから受信した命令、バーチャルリアリティ（ＶＲ）環境、バイオメトリックフィードバック、又は他の入力信号とのインタラクションによって制御することができる。本明細書において用いられるとき、「マシン」という語は、単一のマシン、仮想マシン、又は通信可能に結合された複数のマシン若しくは複数の仮想マシン若しくは複数のデバイスが共に動作するシステムを広義に含むことが意図される。例示的なマシンは、パーソナルコンピュータ、ワークステーション、サーバ、ポータブルコンピュータ、ハンドヘルドデバイス、電話、タブレット等のコンピューティングデバイス、及びプライベート又は公衆輸送機関、例えば、自動車、電車、タクシ等の輸送手段（transportation devices）を含む。

単数又は複数のマシンは、プログラマブル又は非プログラマブル論理デバイス又はアレイ等の埋込み型コントローラ、特定用途向け集積回路（ＡＳＩＣ）、埋込み型コンピュータ、スマートカード等を含むことができる。単数又は複数のマシンは、ネットワークインタフェース、モデム、又は他の通信可能な結合等を通じて、１つ以上のリモートマシンへの１つ以上の接続を利用することができる。マシンは、イントラネット、インターネット、ローカルエリアネットワーク、広域ネットワーク等の物理及び／又は論理ネットワークによって相互接続することができる。当業者であれば、ネットワーク通信は、無線周波数（ＲＦ）、衛星、マイクロ波、電気電子技術者協会（ＩＥＥＥ）８０２．１１、Ｂｌｕｅｔｏｏｔｈ（登録商標）、光、赤外線、ケーブル、レーザー等を含む、様々な有線及び／又は無線短距離又は長距離キャリア及びプロトコルを利用することができることを理解するであろう。

本発明の実施形態は、マシンによってアクセスされると、結果として、マシンがタスクを実行するか、又は抽象データタイプ若しくは低レベルハードウェアコンテキストを定義する、関数、プロシージャ、データ構造、アプリケーションプログラム等を含む関連データを参照して又はこれらと併せて説明することができる。関連データは、例えば、揮発性及び／又は不揮発性メモリ、例えば、ＲＡＭ、ＲＯＭ等に、又はハードドライブ、フロッピディスク、光ストレージ、テープ、フラッシュメモリ、メモリスティック、デジタルビデオディスク、バイオロジカルストレージ等を含む、他のストレージデバイス及びそれらの関連ストレージ媒体に記憶することができる。関連データは、物理及び／又は論理ネットワークを含む送信環境を介して、パケット、シリアルデータ、パラレルデータ、伝播信号等の形態で送達することができ、圧縮又は暗号化されたフォーマットで用いることができる。関連データを、分散環境において用い、マシンアクセスのためにローカルに及び／又は遠隔で記憶することができる。

本発明の実施形態は、１つ以上のプロセッサによって実行可能な命令を含む、有形の非一時的マシン可読媒体を含むことができ、命令は、本明細書に記載の本発明の要素を実行するための命令を含む。

本発明の原理を、例示される実施形態を参照して説明及び例示してきたが、例示される実施形態は、そのような原理から逸脱することなく構成及び詳細を変更することができ、任意の所望の方式で組み合わせることができることを認識されたい。そして、上記の論考は、特定の実施形態に焦点を当ててきたが、他の構成が予期される。特に、「本発明の一実施形態によれば」等の表現が本明細書において用いられているが、これらのフレーズは、実施形態の可能性を包括的に参照することが意図され、本発明を特定の実施形態の構成に制限することを意図していない。本明細書において用いられるとき、これらの語は、同じ実施形態、又は組み合わされて他の実施形態にされた異なる実施形態を参照することができる。

上記の例示的な実施形態は、本発明を限定するものとして解釈されない。いくつかの実施形態が説明されたが、当業者であれば、本開示の新規の教示及び利点から実質的に逸脱することなく、これらの実施形態に対し多くの変更が可能であることを容易に理解するであろう。したがって、全てのそのような変更形態が、特許請求の範囲に定義されるような本発明の範囲内に含まれることが意図される。

本発明の実施形態は、限定ではないが、以下の記述に拡張することができる。

記述１．本発明の一実施形態は、脅威インテリジェンスクラウドであって、
マシンと、
マシン上の受信部であって、この受信部は、第１のアンチウィルスソリューションによって検出される脅威を含む電子ファイルを受信するように動作する、受信部と、
電子ファイルに応答して複数の従来のアンチウィルスソリューションからの情報を特定するウィルストータルサービスと、
ウィルストータルサービスからの情報を記憶するデータベースと、
電子ファイル、及びウィルストータルサービスからの情報に応答して報告を生成する報告ジェネレータと、
を備える、脅威インテリジェンスクラウドを含む。

記述２．本発明の一実施形態は、記述１に記載の脅威インテリジェンスクラウドを含み、第１のアンチウィルスソリューションは、良好であると知られていないものとして脅威を識別する。

記述３．本発明の一実施形態は、記述２に記載の脅威インテリジェンスクラウドを含み、第１のアンチウィルスソリューションは、
電子ファイルのための意図されるファイルタイプを特定するファイルタイプ識別部と、
意図されるファイルタイプに関する一組の規則のためのストレージと、
電子ファイルが一組の規則に準拠するか否かを判断するスキャナと、
を備える。

記述４．本発明の一実施形態は、記述１に記載の脅威インテリジェンスクラウドを含み、脅威インテリジェンスクラウドは、ウィルストータルサービスを用いて、複数の時点において電子ファイルに応答して複数の従来のアンチウィルスソリューションからの情報を特定するように動作する。

記述５．本発明の一実施形態は、記述４に記載の脅威インテリジェンスクラウドを含み、脅威インテリジェンスクラウドは、ウィルストータルサービスを用いて、或る窓内の複数の時点において、電子ファイルに応答して複数の従来のアンチウィルスソリューションからの情報を特定するように動作する。

記述６．本発明の一実施形態は、記述４に記載の脅威インテリジェンスクラウドを含み、脅威インテリジェンスクラウドは、ウィルストータルサービスを用いて、１日１回、電子ファイルに応答して複数の従来のアンチウィルスソリューションからの情報を特定するように動作する。

記述７．本発明の一実施形態は、記述１に記載の脅威インテリジェンスクラウドを含み、情報は、複数の従来のアンチウィルスソリューションのどのアンチウィルスソリューションが電子ファイル内の脅威を検出するかを含む。

記述８．本発明の一実施形態は、記述７に記載の脅威インテリジェンスクラウドを含み、情報は、従来のアンチウィルスソリューションのそれぞれが電子ファイル内の脅威を検出する複数の日付を更に含む。

記述９．本発明の一実施形態は、記述１に記載の脅威インテリジェンスクラウドを含み、電子ファイルは、いかなる個人情報（ＰＩＩ）も含まない。

記述１０．本発明の一実施形態は、記述１に記載の脅威インテリジェンスクラウドを含み、電子ファイルは電子ファイルのハッシュを含む。

記述１１．本発明の一実施形態は、記述１に記載の脅威インテリジェンスクラウドを含み、報告は第１のアンチウィルスソリューションを売り込むために使用されるように設計される。

記述１２．本発明の一実施形態は、記述１に記載の脅威インテリジェンスクラウドを含み、報告は、第１のアンチウィルスソリューションと従来のアンチウィルスソリューションとの比較を顧客に示すように設計される。

記述１３．本発明の一実施形態は、
脅威インテリジェンスクラウドにおいて電子ファイルを受信することであって、この電子ファイルは第１のアンチウィルスソリューションによって検出される脅威を含む、受信することと、
脅威インテリジェンスクラウドによって電子ファイルを複数の従来のアンチウィルスソリューションに対して試験することと、
複数の従来のアンチウィルスソリューションの中のどのアンチウィルスソリューションが電子ファイル内の脅威を識別するかを判断することと、
第１のアンチウィルスソリューション及び複数の従来のアンチウィルスソリューションが電子ファイル内の脅威を識別する時点を比較する報告を生成することと、
を含む、方法を含む。

記述１４．本発明の一実施形態は、記述１３に記載の方法を含み、第１のアンチウィルスソリューションは、良好であると知られていないものとして脅威を識別する。

記述１５．本発明の一実施形態は、
第１のアンチウィルスソリューションによって電子ファイルをスキャンすることと、
電子ファイルの意図されるファイルタイプを判断することと、
電子ファイルが意図されるファイルタイプに準拠する時点を規定する一組の規則を識別することと、
電子ファイルが意図されるファイルタイプに準拠する時点を規定する一組の規則を満たさないものとして脅威を識別することと、
を更に含む、記述１４に記載の方法を含む。

記述１６．本発明の一実施形態は、記述１３に記載の方法を含み、脅威インテリジェンスクラウドによって、電子ファイルを複数の従来のアンチウィルスソリューションに対して試験することは、脅威インテリジェンスクラウドによって、複数の時点において電子ファイルを複数の従来のアンチウィルスソリューションに対して試験することを含む。

記述１７．本発明の一実施形態は、記述１６に記載の方法を含み、脅威インテリジェンスクラウドによって、複数の時点において電子ファイルを複数の従来のアンチウィルスソリューションに対して試験することは、脅威インテリジェンスクラウドによって、或る窓内の複数の時点において、電子ファイルを複数の従来のアンチウィルスソリューションに対して試験することを含む。

記述１８．本発明の一実施形態は、記述１６に記載の方法を含み、脅威インテリジェンスクラウドによって、複数の時点において電子ファイルを複数の従来のアンチウィルスソリューションに対して試験することは、脅威インテリジェンスクラウドによって、１日に１回、電子ファイルを複数の従来のアンチウィルスソリューションに対して試験することを含む。

記述１９．本発明の一実施形態は、記述１６に記載の方法を含み、複数の従来のアンチウィルスソリューションの中のどのアンチウィルスソリューションが電子ファイル内の脅威を識別するかを判断することは、複数の従来のアンチウィルスソリューションのそれぞれが電子ファイル内の脅威を最初に検出する時点を識別することを含む。

記述２０．本発明の一実施形態は、記述１３に記載の方法を含み、電子ファイル（３０５）は、いかなる個人情報（ＰＩＩ）も含まない。

記述２１．本発明の一実施形態は、記述２０に記載の方法を含み、ＰＩＩは、電子ファイルが脅威インテリジェンスクラウドによって受信される前に、電子ファイルから除去される。

記述２２．本発明の一実施形態は、記述１３に記載の方法を含み、脅威インテリジェンスクラウドにおいて電子ファイルを受信することは、脅威インテリジェンスクラウドにおいて電子ファイルのハッシュを受信することを含む。

記述２３．本発明の一実施形態は、記述１３に記載の方法を含み、
複数の従来のアンチウィルスソリューションの中のどのアンチウィルスソリューションが電子ファイル内の脅威を識別するかを判断することは、複数の従来のアンチウィルスソリューションの中のどのアンチウィルスソリューションが電子ファイル内の脅威を識別するかをデータベースに記憶することを含み、
第１のアンチウィルスソリューション及び複数の従来のアンチウィルスソリューションが電子ファイル内の脅威を識別する時点を比較する報告を生成することは、データベースに基づいて、報告を生成することを含む。

記述２４．本発明の一実施形態は、記述１３に記載の方法を含み、
報告は、第１のアンチウィルスソリューションが、複数の従来のアンチウィルスソリューションのうちの少なくとも１つのアンチウィルスソリューションの前に電子ファイル内の脅威を検出したことを示し、
方法は、報告を顧客に転送することを更に含む。

記述２５．本発明の一実施形態は、第１のアンチウィルスソリューションを売り込む際に報告を使用することを更に含む、記述１３に記載の方法を含む。

記述２６．本発明の一実施形態は、非一時的記憶媒体を備える物品であって、この非一時的記憶媒体は、マシンによって実行されるときに、結果として、
脅威インテリジェンスクラウドにおいて電子ファイルを受信する命令であって、この電子ファイルは第１のアンチウィルスソリューションによって検出される脅威を含む、受信する命令と、
脅威インテリジェンスクラウドによって電子ファイルを複数の従来のアンチウィルスソリューションに対して試験する命令と、
複数の従来のアンチウィルスソリューションの中のどのアンチウィルスソリューションが電子ファイル内の脅威を識別するかを判断する命令と、
第１のアンチウィルスソリューション及び複数の従来のアンチウィルスソリューションが電子ファイル内の脅威を識別する時点を比較する報告を生成する命令と、
を記憶している、物品を含む。

記述２７．本発明の一実施形態は、記述２６に記載の物品を含み、第１のアンチウィルスソリューションは、良好であると知られていないものとして脅威を識別する。

記述２８．本発明の一実施形態は、記述２７に記載の物品を含み、非一時的記憶媒体は、マシンによって実行されるときに、結果として、
第１のアンチウィルスソリューションによって電子ファイルをスキャンする更なる命令と、
電子ファイルの意図されるファイルタイプを判断する更なる命令と、
電子ファイルが意図されるファイルタイプに準拠する時点を規定する一組の規則を識別する更なる命令と、
電子ファイルが意図されるファイルタイプに準拠する時点を規定する一組の規則を満たさないものとして脅威を識別する更なる命令と、
を記憶している。

記述２９．本発明の一実施形態は、記述２６に記載の物品を含み、脅威インテリジェンスクラウドによって、電子ファイルを複数の従来のアンチウィルスソリューションに対して試験することは、脅威インテリジェンスクラウドによって、複数の時点において電子ファイルを複数の従来のアンチウィルスソリューションに対して試験することを含む。

記述３０．本発明の一実施形態は、記述２９に記載の物品を含み、脅威インテリジェンスクラウドによって、複数の時点において電子ファイルを複数の従来のアンチウィルスソリューションに対して試験することは、脅威インテリジェンスクラウドによって、或る窓内の複数の時点において、電子ファイルを複数の従来のアンチウィルスソリューションに対して試験することを含む。

記述３１．本発明の一実施形態は、記述２９に記載の物品を含み、脅威インテリジェンスクラウドによって、複数の時点において電子ファイルを複数の従来のアンチウィルスソリューションに対して試験することは、脅威インテリジェンスクラウドによって、１日に１回、電子ファイルを複数の従来のアンチウィルスソリューションに対して試験することを含む。

記述３２．本発明の一実施形態は、記述２９に記載の物品を含み、複数の従来のアンチウィルスソリューションの中のどのアンチウィルスソリューションが電子ファイル内の脅威を識別するかを判断することは、複数の従来のアンチウィルスソリューションのそれぞれが電子ファイル内の脅威を最初に検出する時点を識別することを含む。

記述３３．本発明の一実施形態は、記述２６に記載の物品を含み、電子ファイル（３０５）は、いかなる個人情報（ＰＩＩ）も含まない。

記述３４．本発明の一実施形態は、記述３３に記載の物品を含み、ＰＩＩは、電子ファイルが脅威インテリジェンスクラウドによって受信される前に、電子ファイルから除去される。

記述３５．本発明の一実施形態は、記述２６に記載の物品を含み、脅威インテリジェンスクラウドにおいて電子ファイルを受信することは、脅威インテリジェンスクラウドにおいて電子ファイルのハッシュを受信することを含む。

記述３６．本発明の一実施形態は、記述２６に記載の物品を含み、
複数の従来のアンチウィルスソリューションの中のどのアンチウィルスソリューションが電子ファイル内の脅威を識別するかを判断することは、複数の従来のアンチウィルスソリューションの中のどのアンチウィルスソリューションが電子ファイル内の脅威を識別するかをデータベースに記憶することを含み、
第１のアンチウィルスソリューション及び複数の従来のアンチウィルスソリューションが電子ファイル内の脅威を識別する時点を比較する報告を生成することは、データベースに基づいて、報告を生成することを含む。

記述３７．本発明の一実施形態は、記述２６に記載の物品を含み、
報告は、複数の従来のアンチウィルスソリューションのうちの少なくとも１つのアンチウィルスソリューションの前に第１のアンチウィルスソリューションが電子ファイル内の脅威を検出したことを示し、
非一時的記憶媒体は、マシンによって実行されるときに、結果として、報告を顧客に転送する更なる命令を記憶している。

記述３８．本発明の一実施形態は、記述２６に記載の物品を含み、非一時的記憶媒体は、マシンによって実行されるときに、結果として、第１のアンチウィルスソリューションを売り込む際に報告を使用する更なる命令を記憶している。

したがって、本明細書に記載の実施形態に対する多岐にわたる変形の観点から、この詳細な説明及び添付の資料は、例示的であることのみが意図され、本発明の範囲を限定するものとして解釈されるべきでない。したがって、本発明として特許請求されるものは、以下の特許請求及びその均等物の範囲及び趣旨に入り得る全ての変更形態である。

Claims (26)

1. 脅威インテリジェンスクラウドであって、
   マシンと、
   前記マシン上の受信部であって、該受信部は、第１のアンチウィルスソリューションによって検出される脅威を含む電子ファイルを受信するように動作する、受信部と、
   前記電子ファイルに応答して複数の従来のアンチウィルスソリューションからの情報を特定するウィルストータルサービスと、
   前記ウィルストータルサービスからの前記情報を記憶するデータベースと、
   前記電子ファイル、及び前記ウィルストータルサービスからの前記情報に応答して報告を生成する報告ジェネレータと、
   を備える、脅威インテリジェンスクラウド。
2. 前記第１のアンチウィルスソリューションは、良好であると知られていないものとして前記脅威を識別する、請求項１に記載の脅威インテリジェンスクラウド。
3. 前記第１のアンチウィルスソリューションは、
   前記電子ファイルのための意図されるファイルタイプを特定するファイルタイプ識別部と、
   前記意図されるファイルタイプに関する一組の規則のためのストレージと、
   前記電子ファイルが前記一組の規則に準拠するか否かを判断するスキャナと、
   を備える、請求項２に記載の脅威インテリジェンスクラウド。
4. 前記脅威インテリジェンスクラウドは、前記ウィルストータルサービスを用いて、複数の時点において前記電子ファイルに応答して複数の従来のアンチウィルスソリューションからの情報を特定するように動作する、請求項１に記載の脅威インテリジェンスクラウド。
5. 前記脅威インテリジェンスクラウドは、前記ウィルストータルサービスを用いて、或る窓内の前記複数の時点において、前記電子ファイルに応答して複数の従来のアンチウィルスソリューションからの情報を特定するように動作する、請求項４に記載の脅威インテリジェンスクラウド。
6. 前記脅威インテリジェンスクラウドは、前記ウィルストータルサービスを用いて、１日１回、前記電子ファイルに応答して複数の従来のアンチウィルスソリューションからの情報を特定するように動作する、請求項４に記載の脅威インテリジェンスクラウド。
7. 前記情報は、前記複数の従来のアンチウィルスソリューションのどのアンチウィルスソリューションが前記電子ファイル内の前記脅威を検出するかを含む、請求項１に記載の脅威インテリジェンスクラウド。
8. 前記情報は、前記従来のアンチウィルスソリューションのそれぞれが前記電子ファイル内の前記脅威を検出する複数の日付を更に含む、請求項７に記載の脅威インテリジェンスクラウド。
9. 前記電子ファイル（３０５）は、いかなる個人情報（ＰＩＩ）も含まない、請求項１に記載の脅威インテリジェンスクラウド。
10. 前記電子ファイルは前記電子ファイルのハッシュを含む、請求項１に記載の脅威インテリジェンスクラウド。
11. 前記報告は前記第１のアンチウィルスソリューションを売り込むために使用されるように設計される、請求項１に記載の脅威インテリジェンスクラウド。
12. 前記報告は、前記第１のアンチウィルスソリューションと前記従来のアンチウィルスソリューションとの比較を顧客に示すように設計される、請求項１に記載の脅威インテリジェンスクラウド。
13. 脅威インテリジェンスクラウドにおいて電子ファイルを受信することであって、該電子ファイルは第１のアンチウィルスソリューションによって検出される脅威を含む、受信することと、
    前記脅威インテリジェンスクラウドによって前記電子ファイルを複数の従来のアンチウィルスソリューションに対して試験することと、
    前記複数の従来のアンチウィルスソリューションの中のどのアンチウィルスソリューションが前記電子ファイル内の前記脅威を識別するかを判断することと、
    前記第１のアンチウィルスソリューション及び前記複数の従来のアンチウィルスソリューションが前記電子ファイル内の前記脅威を識別する時点を比較する報告を生成することと、
    を含む、方法。
14. 前記第１のアンチウィルスソリューションは、良好であると知られていないものとして前記脅威を識別する、請求項１３に記載の方法。
15. 前記第１のアンチウィルスソリューションによって前記電子ファイルをスキャンすることと、
    前記電子ファイルの意図されるファイルタイプを判断することと、
    前記電子ファイルが前記意図されるファイルタイプに準拠する時点を規定する一組の規則を識別することと、
    前記電子ファイルが前記意図されるファイルタイプに準拠する時点を規定する前記一組の規則を満たさないものとして前記脅威を識別することと、
    を更に含む、請求項１４に記載の方法。
16. 前記脅威インテリジェンスクラウドによって、前記電子ファイルを複数の従来のアンチウィルスソリューションに対して試験することは、前記脅威インテリジェンスクラウドによって、複数の時点において前記電子ファイルを前記複数の従来のアンチウィルスソリューションに対して試験することを含む、請求項１３に記載の方法。
17. 前記脅威インテリジェンスクラウドによって、複数の時点において前記電子ファイルを前記複数の従来のアンチウィルスソリューションに対して試験することは、前記脅威インテリジェンスクラウドによって、或る窓内の前記複数の時点において、前記電子ファイルを前記複数の従来のアンチウィルスソリューションに対して試験することを含む、請求項１６に記載の方法。
18. 前記脅威インテリジェンスクラウドによって、複数の時点において前記電子ファイルを前記複数の従来のアンチウィルスソリューションに対して試験することは、前記脅威インテリジェンスクラウドによって、１日に１回、前記電子ファイルを前記複数の従来のアンチウィルスソリューションに対して試験することを含む、請求項１６に記載の方法。
19. 前記複数の従来のアンチウィルスソリューションの中のどのアンチウィルスソリューションが前記電子ファイル内の前記脅威を識別するかを判断することは、前記複数の従来のアンチウィルスソリューションのそれぞれが前記電子ファイル内の前記脅威を最初に検出する時点を識別することを含む、請求項１６に記載の方法。
20. 前記電子ファイル（３０５）は、いかなる個人情報（ＰＩＩ）も含まない、請求項１３に記載の方法。
21. 前記ＰＩＩは、前記電子ファイルが前記脅威インテリジェンスクラウドによって受信される前に、前記電子ファイルから除去される、請求項２０に記載の方法。
22. 脅威インテリジェンスクラウドにおいて電子ファイルを受信することは、脅威インテリジェンスクラウドにおいて前記電子ファイルのハッシュを受信することを含む、請求項１３に記載の方法。
23. 前記複数の従来のアンチウィルスソリューションの中のどのアンチウィルスソリューションが前記電子ファイル内の前記脅威を識別するかを判断することは、前記複数の従来のアンチウィルスソリューションの中のどのアンチウィルスソリューションが前記電子ファイル内の前記脅威を識別するかをデータベースに記憶することを含み、
    前記第１のアンチウィルスソリューション及び前記複数の従来のアンチウィルスソリューションが前記電子ファイル内の前記脅威を識別する時点を比較する報告を生成することは、前記データベースに基づいて、前記報告を生成することを含む、請求項１３に記載の方法。
24. 前記報告は、前記第１のアンチウィルスソリューションが、前記複数の従来のアンチウィルスソリューションのうちの少なくとも１つのアンチウィルスソリューションの前に前記電子ファイル内の前記脅威を検出したことを示し、
    前記方法は、前記報告を顧客に転送することを更に含む、請求項１３に記載の方法。
25. 前記第１のアンチウィルスソリューションを売り込む際に前記報告を使用することを更に含む、請求項１３に記載の方法。
26. 非一時的記憶媒体を備える物品であって、該非一時的記憶媒体は、マシンによって実行されるときに、結果として、
    脅威インテリジェンスクラウドにおいて電子ファイルを受信する命令であって、該電子ファイルは第１のアンチウィルスソリューションによって検出される脅威を含む、受信する命令と、
    前記脅威インテリジェンスクラウドによって前記電子ファイルを複数の従来のアンチウィルスソリューションに対して試験する命令と、
    前記複数の従来のアンチウィルスソリューションの中のどのアンチウィルスソリューションが前記電子ファイル内の前記脅威を識別するかを判断する命令と、
    前記第１のアンチウィルスソリューション及び前記複数の従来のアンチウィルスソリューションが前記電子ファイル内の前記脅威を識別する時点を比較する報告を生成する命令と、
    を記憶している、物品。