JP2020522808A5 - - Google Patents

Claims (20)

1. カーネルモードにおけるマルウェアのリアルタイム検出およびマルウェアからの保護のための方法であって、
   ユーザモードにおいて実行されているプロセスによって開始されたファイル操作要求を検出するステップと、
   前記検出されたファイル操作要求に関連付けられた書き込みバッファにアクセスするステップと、
   前記書き込みバッファが暗号化されたデータを記憶しているかを検出するステップと、
   前記書き込みバッファが暗号化されたデータを記憶していることを検出することに応答して、前記検出されたファイル操作要求を開始することを担当する前記プロセスを識別するステップと、
   プログラムのブラックリストおよびプログラムのホワイトリストのうちの１つまたは複数において、前記識別されたプロセスの検索を行って、前記識別されたプロセスが信頼されたプロセスであるかどうかを決定するステップと、
   前記識別されたプロセスが信頼されたプロセスではないと決定することに応答して、
   前記識別されたプロセスに対してマルウェア修正アクションを実行するステップと、
   前記マルウェアを記述する情報をクライアントデバイスに送信するステップと
   を含むことを特徴とする方法。
2. 前記ファイル操作要求を検出する前記ステップは、
   前記ファイル操作要求に対応するファイルハンドルから、前記ファイル操作要求が書き込み操作に対応するかどうかを決定するステップと、
   前記ファイル操作要求が前記書き込み操作に対応すると決定することに応答して、前記ファイル操作要求をインターセプトするステップと
   を含むことを特徴とする請求項１に記載の方法。
3. 前記ファイル操作要求を前記インターセプトする前記ステップは、
   フィルタマネージャによって、ファイル操作要求をインターセプトするためにミニフィルタドライバが登録されているかどうかを決定するステップと、
   ファイル操作要求をインターセプトするために前記ミニフィルタドライバが登録されていると決定することに応答して、前記フィルタマネージャによって、前記ファイル操作要求を前記ミニフィルタドライバに送信するステップと
   を含むことを特徴とする請求項２に記載の方法。
4. 前記書き込みバッファが暗号化されたデータを記憶しているかを検出するステップは、モンテカルロ近似、エントロピ決定、系列係数分析、算術平均決定、カイ二乗決定、および標準偏差決定のうちの１つまたは複数を行って、前記ファイルバッファ内のデータが暗号化されているかどうかを決定するステップを含むことを特徴とする請求項１に記載の方法。
5. 前記識別されたプロセスが信頼されたプロセスではないと前記決定するステップは、
   プログラムの前記ブラックリスト上において前記識別されたプロセスを特定するステップをさらに含み、
   前記マルウェア修正アクションを実行する前記ステップは、
   前記検出されたファイル操作要求に関連付けられた書き込み操作を終了するステップと、
   前記検出されたファイル操作要求をメモリから削除することによって、前記検出されたファイル操作要求を終了するステップと、
   前記識別されたプロセスに関連付けられたディスクファイルイメージを隔離するステップと
   をさらに含むことを特徴とする請求項１に記載の方法。
6. プログラムの前記ホワイトリスト上において前記識別されたプロセスを特定することに応答して、ミニフィルタドライバによって、前記検出されたファイル操作要求を無視するステップをさらに含むことを特徴とする請求項１に記載の方法。
7. 前記識別されたプロセスが信頼されたプロセスであるかどうかを決定する前記ステップは、プログラムの前記ブラックリストまたはプログラムの前記ホワイトリスト上において前記プロセスを特定しないことに応答して、前記クライアントデバイスに前記識別されたプロセスを許可することを求める要求を送信するステップをさらに含むことを特徴とする請求項１に記載の方法。
8. 前記識別されたプロセスが信頼されたプロセスではないと前記決定するステップは、前記クライアントデバイスに前記識別されたプロセスを許可することを求める前記要求を前記送信することに応答して、前記識別されたプロセスが許可されないというメッセージを前記クライアントデバイスから受信するステップをさらに含むことを特徴とする請求項７に記載の方法。
9. 前記識別されたプロセスをプログラムの前記ブラックリストに追加するステップをさらに含むことを特徴とする請求項８に記載の方法。
10. 前記識別されたプロセスが許可されたというメッセージを前記クライアントデバイスから受信することに応答して、前記識別されたプロセスをプログラムの前記ホワイトリストに追加するステップをさらに含むことを特徴とする請求項１に記載の方法。
11. 命令を記憶する非一時的コンピュータ可読媒体であって、前記命令は、少なくとも１つのプロセッサによって実行されたとき、前記少なくとも１つのプロセッサに、
    ユーザモードにおいて実行されているプロセスによって開始されたファイル操作要求を検出することと、
    前記検出されたファイル操作要求に関連付けられた書き込みバッファにアクセスすることと、
    前記書き込みバッファが暗号化されたデータを記憶しているかを検出することと、
    前記書き込みバッファが暗号化されたデータを記憶していることを検出することに応答して、前記検出されたファイル操作要求を開始することを担当する前記プロセスを識別することと、
    プログラムのブラックリストおよびプログラムのホワイトリストのうちの１つまたは複数において、前記識別されたプロセスの検索を行って、前記識別されたプロセスが信頼されたプロセスであるかどうかを決定することと、
    前記識別されたプロセスが信頼されたプロセスではないと決定することに応答して、
    前記識別されたプロセスに対してマルウェア修正アクションを実行することと、
    前記マルウェアを記述する情報をクライアントデバイスに送信することと
    を行わせることを特徴とする非一時的コンピュータ可読媒体。
12. 前記ファイル操作要求を検出することを前記少なくとも１つのプロセッサに行わせる前記命令は、前記少なくとも１つのプロセッサに、
    前記ファイル操作要求に対応するファイルハンドルから、前記ファイル操作要求が書き込み操作に対応するかどうかを決定することと、
    前記ファイル操作要求が前記書き込み操作に対応すると決定することに応答して、前記ファイル操作要求をインターセプトすることと
    を行わせる命令をさらに含むことを特徴とする請求項１１に記載の非一時的コンピュータ可読媒体。
13. 前記ファイル操作要求をインターセプトすることを前記少なくとも１つのプロセッサに行わせる前記命令は、前記少なくとも１つのプロセッサに、
    フィルタマネージャによって、ファイル操作要求をインターセプトするためにミニフィルタドライバが登録されているかどうかを決定することと、
    ファイル操作要求をインターセプトするために前記ミニフィルタドライバが登録されていると決定することに応答して、前記フィルタマネージャによって、前記ファイル操作要求を前記ミニフィルタドライバに対して送信することと
    を行わせる命令をさらに含むことを特徴とする請求項１２に記載の非一時的コンピュータ可読媒体。
14. 前記書き込みバッファが暗号化されたデータを記憶しているかを検出することを前記少なくとも１つのプロセッサに行わせる前記命令は、前記少なくとも１つのプロセッサに、
    モンテカルロ近似、エントロピ決定、系列係数分析、算術平均決定、カイ二乗決定、および標準偏差決定のうちの１つまたは複数を行って、前記ファイルバッファ内のデータが暗号化されているかどうかを決定することを行わせる命令をさらに含むことを特徴とする請求項１１に記載の非一時的コンピュータ可読媒体。
15. 前記識別されたプロセスが信頼されたプロセスではないと決定することを前記少なくとも１つのプロセッサに行わせる前記命令は、前記少なくとも１つのプロセッサに、
    プログラムの前記ブラックリスト上において前記識別されたプロセスを特定することを行わせる命令をさらに含み、
    前記マルウェア修正アクションを実行することを前記少なくとも１つのプロセッサに行わせる前記命令は、前記少なくとも１つのプロセッサに、
    前記検出されたファイル操作要求に関連付けられた書き込み操作を終了することと、
    前記検出されたファイル操作要求をメモリから削除することによって、前記検出されたファイル操作要求を終了することと、
    前記識別されたプロセスに関連付けられたディスクファイルイメージを隔離することと
    を行わせる命令をさらに含むことを特徴とする請求項１１に記載の非一時的コンピュータ可読媒体。
16. 前記少なくとも１つのプロセッサによって実行されたとき、前記少なくとも１つのプロセッサに、
    プログラムの前記ホワイトリスト上において前記識別されたプロセスを特定することに応答して、ミニフィルタドライバによって、前記検出されたファイル操作要求を無視することを行わせる命令をさらに記憶することを特徴とする請求項１１に記載の非一時的コンピュータ可読媒体。
17. 前記識別されたプロセスが信頼されたプロセスであるかどうかを決定することを前記少なくとも１つのプロセッサに行わせる前記命令は、前記少なくとも１つのプロセッサに、 プログラムの前記ブラックリストまたはプログラムの前記ホワイトリスト上において前記プロセスを特定しないことに応答して、前記クライアントデバイスに前記識別されたプロセスを許可することを求める要求を送信することを行わせる命令をさらに含むことを特徴とする請求項１１に記載の非一時的コンピュータ可読媒体。
18. 前記識別されたプロセスが信頼されたプロセスではないと決定することを前記少なくとも１つのプロセッサに行わせる前記命令は、前記少なくとも１つのプロセッサに、
    前記クライアントデバイスに前記識別されたプロセスを許可することを求める前記要求を送信することに応答して、前記識別されたプロセスが許可されないというメッセージを前記クライアントデバイスから受信することを行わせる命令をさらに含むことを特徴とする請求項１７に記載の非一時的コンピュータ可読媒体。
19. 前記少なくとも１つのプロセッサによって実行されたとき、前記少なくとも１つのプロセッサに、
    前記識別されたプロセスをプログラムの前記ブラックリストに追加することを行わせる命令をさらに記憶することを特徴とする請求項１８に記載の非一時的コンピュータ可読媒体。
20. 前記少なくとも１つのプロセッサによって実行されたとき、前記少なくとも１つのプロセッサに、
    前記識別されたプロセスが許可されたというメッセージを前記クライアントデバイスから受信することに応答して、前記識別されたプロセスをプログラムの前記ホワイトリストに追加することを行わせる命令をさらに記憶することを特徴とする請求項１１に記載の非一時的コンピュータ可読媒体。