JP2022141590A - 空のスパースファイルを使用してアーカイブスライスをマルウェアについて検査するシステムおよび方法 - Google Patents

Abstract

【課題】空のスパースファイルを使用してアーカイブスライスをマルウェアについて検査するシステム及び方法を提供する。
【解決手段】方法は、バックアップスライスと、仮想ボリュームとを生成することを含む。方法は、仮想ボリュームをディスクにマウントすることを含む。方法は、仮想ボリューム内に、空のスパースファイルを作成することを含む。方法は、それぞれの空のスパースファイルと、以前のバックアップスライス内の対応するファイルとの間の変更を検出し、それに応じて、それぞれの空のスパースファイルの代わりに、仮想ボリューム内のファイルの実際のコンテンツを格納することを含む。方法は、悪意のあるソフトウェアについて仮想ボリュームをスキャンすることと、検出時にバックアップアーカイブ内のバックアップスライスを置き換える修復されたスライスを生成することとを含む。
【選択図】図２

Description

本開示は、一般に、格納されたアーカイブにおけるウイルスおよびマルウェア検出の分野に関し、より具体的には、空のスパースファイルを使用してマルウェアについてアーカイブのスライスを検査することによってバックアップアーカイブをスキャンするシステムおよび方法に関する。

通常、リカバリのための、アーカイブのバックアップおよび保存は、スケジュールに従って定期的に実行される。バックアップが、悪意のあるソフトウェアで汚染される可能性がある場合が多いため、企業は、バックアップ前、バックアップ中、リストア前などのいずれかにマルウェアスキャンを実行する自動化ソフトウェアを有することが多い。新しい種類のマルウェアの出現により、アンチウイルスデータベースは頻繁に更新されるため、ウイルスおよびマルウェアスキャンは周期的かつ定期的に実行する必要がある。しかしながら、大規模なアーカイブのフルスキャンにはかなりの時間および計算リソースが必要であり、多くの場合、時間およびリソースを利用できないか、または効率的に使用できない。アーカイブがローカルに格納されておらず、クラウドストレージに格納されている場合、アーカイブのスキャンは特に重要になる。これは、クラウド内のアーカイブへのアクセス速度が、（使用されているネットワークもしくは通信チャネルの速度、および／またはチャネルにどの程度負荷がかかっているかに応じて）ローカルストレージデバイスへのアクセスよりも大幅に遅くなる可能性があるためである。さらに、ウイルスおよび／または悪意のあるファイルがアーカイブで発見されるような問題が発生した場合、アーカイブは損傷または感染しているとみなされ、システムリカバリ、またはファイルおよびデータの抽出における使用に完全には適していない可能性がある。

従来、感染したデータのリストアを回避するために、新しいスライスがアーカイブに追加されたとき、および／またはデータをリストアする前に、データの保存中に、アーカイブはアンチウイルススキャナで周期的にスキャンされる。しかしながら、現在、アーカイブ内の任意の時点をスキャンするソリューションはない。ソリューションは、任意の時点ではなく、アーカイブ全体をスキャンすることを強制される。さらに、アーカイブ内の、現在損傷または感染しているデータを修復することはできない。

本開示の態様は、格納されたアーカイブにおけるウイルスおよびマルウェア検出の分野に関する。特に、本開示の態様は、アーカイブのスライスを検査することによってバックアップアーカイブをスキャンするための方法およびシステムを説明する。

例示的な一態様において、本方法は、第１の時点におけるデータ状態を反映するバックアップスライスであって、バックアップアーカイブに格納されるバックアップスライスを生成することを含む。本方法は、バックアップスライス内のファイルのリストおよび関連付けられたファイル情報を備えた仮想ボリュームであって、ファイルのリスト内で参照されるファイルを格納しない仮想ボリュームを生成することを含む。本方法は、仮想ボリュームをディスクにマウントすることを含む。本方法は、仮想ボリューム内に、ファイルのリスト内にある複数のファイル参照それぞれのプレースホルダである空のスパースファイルを作成することを含む。本方法は、各それぞれの空のスパースファイルについて、それぞれの空のスパースファイルに関連付けられたファイル情報と、第２の時点におけるデータ状態を反映する、別のバックアップスライス内の対応するファイルに関連付けられたファイル情報とを比較することと、それぞれの空のスパースファイルと対応するファイルとの間の変更を検出したことに応じて、バックアップスライスからそれぞれの空のスパースファイルに関連付けられたコンテンツを取得することと、それぞれの空のスパースファイルの代わりに、コンテンツを仮想ボリュームに格納することとを含む。本方法は、ウイルスおよび／または悪意のあるソフトウェアについて仮想ボリュームをスキャンすることを含む。本方法は、仮想ボリューム内の少なくとも１つのファイルがウイルスおよび／または悪意のあるソフトウェアに感染していることを検出したことに応じて、バックアップアーカイブ内のバックアップスライスを置き換える修復されたスライスを生成することを含む。

いくつかの態様では、第１の時点は第２の時点の後である。

いくつかの態様では、仮想ボリュームは、仮想ボリュームドライバによって生成される。

いくつかの態様では、関連付けられた前記ファイル情報は、（１）リスト内のファイルのうち、それぞれファイルのファイル番号、（２）バックアップスライス内のそれぞれのファイルの位置、（３）それぞれのファイルのファイルサイズの少なくとも１つを含む。

いくつかの態様では、修復されたスライスを生成することは、マウントされた仮想ボリュームから少なくとも１つのファイルを除去することを含む。

いくつかの態様では、修復されたスライスを生成することは、バックアップスライスのコピーを生成することと、ファイルのリスト内の、少なくとも１つのファイルを含まないすべての変更されていないファイルを修復されたスライスであるバックアップスライスのコピーに移すこととを含む。

いくつかの態様では、仮想ボリュームは、別のバックアップスライスに関連付けられた別の仮想ボリュームに続いて、または同時に、ディスクにマウントされる。

いくつかの態様では、修復されたスライスをバックアップアーカイブに追加する。

上述した方法は、ハードウェアプロセッサを備えるシステムで実装されてもよいことに留意されたい。あるいは、本方法は、非一時的コンピュータ可読媒体のコンピュータが実行可能な命令を使用して実装されてもよい。

例示的な態様の上記の簡略化された概要は、本開示の基本的な理解を提供するのに役立つ。本概要は、考えられるすべての態様の広範な概観ではなく、すべての態様の主要または重要な要素を特定することも、本開示のいずれかまたはすべての態様の範囲を描写することも意図されていない。その唯一の目的は、以下の本開示のより詳細な説明の前置きとして、簡略化された形態で１つ以上の態様を提示することである。上記を達成するために、本開示の１つ以上の態様は、請求項に記載され例示的に挙げられた特徴を含む。

本明細書に組み込まれ、本明細書の一部を構成する添付の図面は、本開示の１つ以上の例示的な態様を示し、詳細な説明と共に、それら態様の原理および実装形態を説明するのに役立つ。
アーカイブスライスを検査することによってバックアップアーカイブをスキャンするシステムのブロック図である。 アーカイブスライスを検査することによってバックアップアーカイブのスキャンシーケンスを示すブロック図である。 空のスパースファイルを使用して、マルウェアについてアーカイブスライスを検査するブロック図である。 アーカイブスライスを検査することによってバックアップアーカイブをスキャンする方法のフロー図である。 アーカイブスライスを検査することによってバックアップアーカイブをスキャンする方法を示すフローチャートである。 空のスパースファイルを使用して、マルウェアについてアーカイブスライスを検査する方法を示すフローチャートである。 例示的な態様による、開示されたシステムおよび方法を実装することができるコンピュータシステムのブロック図である。

例示的な態様は、本明細書では、マルウェアについてアーカイブスライスを検査するためのシステム、方法、およびコンピュータプログラム製品の文脈で説明される。当業者は、以下の説明が例示にすぎず、決して限定することを意図するものではないことを理解するであろう。他の態様は、本開示の利益を有する当業者に容易に示唆されるであろう。ここで、添付の図面に示す例示的な態様の実装形態を詳細に参照する。図面および以下の説明を通して可能な範囲で同じ参照符号を使用して、同じまたは同様の項目を参照する。

図１は、本開示の例示的な態様による、アーカイブスライスを検査することによってバックアップアーカイブをスキャンするシステム１００のブロック図である。

システム１００は、コンピューティングデバイス１０２と、アーカイブスキャナ１１０と、ディスク１２０と、クラウドアーカイブ１３０とを備える。クライアントコンピューティングデバイス１０２は、ラップトップコンピュータ、タブレットコンピュータ、モバイルデバイスなどの任意の種類のモバイルコンピューティングデバイスであってもよい。コンピューティングデバイス１０２はまた、コンピューティングデバイス１０２に格納されたユーザデータのバックアップを実行するバックアップモジュール１０４を含み、ユーザデータは、コンピューティングデバイス１０２のディスクのバックアップイメージ全体、デバイス１０２にインストールされたソフトウェア、個人文書などのユーザアプリケーションデータなどを含んでもよい。

バックアップモジュール１０４はまた、コンピューティングデバイス１０２にローカルに格納されていないデータを取得してもよい。例示的な態様では、バックアップモジュール１０４は、クラウドアーカイブ１３０、あるいはコンピューティングデバイス１０２に関連付けられた物理ディスクにあるローカルアーカイブとの間で、複数のバックアップスライス１０６のセットとしてユーザデータを格納および／または取得する。複数のバックアップスライス１０６は、クラウドアーカイブ１３０内のバックアップアーカイブ１０８にまとめて格納される。各バックアップスライスは、特定の時点における、コンピューティングデバイス１０２の、ユーザデータまたは物理ディスクのイメージである。時が経つにつれて、クラウドアーカイブ１３０は、異なるコンピューティングデバイスであって、各々が複数のバックアップスライスを有するコンピューティングデバイスのための多くのバックアップアーカイブ１０８を含む。

バックアップモジュール１０４は、ネットワーク１０１（例えば、インターネット）を介してクラウドアーカイブ１３０と通信する。場合によっては、バックアップモジュール１０４がバックアップアーカイブ１０８からデータをリストアしようとする場合、スキャンが実行される。バックアップアーカイブ１０８のサイズが非常に大きくなった場合（例えば、５００ＧＢなどの所定の閾値を超える場合）、スキャンの実行を要求するにはかなりの時間とリソースがかかる可能性がある。アーカイブ１０８がローカルに格納される場合、バックアップモジュール１０４は、他の場所で必要とされる可能性がある、コンピューティングデバイス１０２の多くのリソースを占有する可能性がある。そのようなリソースには、ストレージスペース、メモリ（例えば、ＲＡＭ）、および処理能力が含まれる場合がある。

いくつかの例示的な態様によれば、ローカルおよび／またはクラウドプラットフォームにかかわらず、リソースの過剰な消費を回避するために、クラウドアーカイブ１３０は、アーカイブスキャナ１１０によって周期的にスキャンされる。アーカイブスキャナ１１０は、アーカイブマウントサービス１１２と、アーカイブＡＰＩ１１４と、アーカイブマウントドライバ１１６とを備える。いくつかの態様では、アーカイブスキャナ１１０は、ネットワーク１０１を介したサービスとして実行されているが、他の態様では、アーカイブスキャナ１１０は、コンピューティングデバイス１０２上で実行されていてもよい。さらに、アーカイブスキャナがクラウドアーカイブ１３０とは異なるサーバまたは同じサーバ上で動作することができる他の構成も考えられる。

アーカイブスキャナ１１０は、クラウドアーカイブからデータが取得されるときに、コンピューティングデバイス１０２などのコンピューティングデバイスが誤って感染しないようにするために、バックアップアーカイブ１０８に対してアンチウイルスおよびマルウェアスキャンを実行する。アーカイブスキャナ１１０を実行しているデバイス（例えば、サーバ）は、物理ディスク１２０を有していてもよい。例示的な態様では、デバイスは、ホストマシンおよび仮想マシンを備えていてもよい。例示的な態様では、アーカイブスキャナ１１０は、バックアップアーカイブ１０８をスキャンする要求を受信する。アーカイブＡＰＩ１１４は、バックアップアーカイブ１０８に格納されたスライスから、新しいブロックおよび変更されたブロックを取得するために使用される。アーカイブマウントドライバ１１６は、バックアップアーカイブ１０８からのアーカイブスライスをマウントする要求を受信し、アーカイブスキャナ１１０が、アーカイブをディスクとして使用して動作することを可能にする。アーカイブマウントドライバ１１６は、アーカイブスライスを仮想ディスク１２２としてマウントしてもよい。いくつかの態様によれば、マウントされたスライス内のデータに対して変更が行われた場合には、アーカイブマウントドライバ１１６は、変更を保存する能力を与える。

例示的な態様では、アーカイブスキャナ１１０は、最新のスライスの作成以降の、最新のスライス内のすべての変更されたブロックを検出する。続いて、アーカイブスキャナ１１０は、アーカイブＡＰＩ１１４を使用して、１つ以上のスライス内のファイルの、マウントされたディスクにおけるデータブロックとの対応関係を判定する。そのような判定は、ブロックマップを使用して行ってもよい。一度対応関係が作成されると、変更されたブロックと対応するマウントされた仮想ディスク１２２にあるファイルもまた、新しいファイルまたは変更されたファイルのいずれかであると推定される。したがって、仮想ディスク１２２にあるこれらの新しいファイルは、感染、ウイルス、および悪意のあるソフトウェアについてスキャンすることができる。アーカイブＡＰＩ１１４は、仮想ディスク１２２から感染および／または損傷したファイルおよびマルウェアを除去するためにアーカイブスキャナ１１０によってさらに呼び出されることができる。最後に、アーカイブスキャナ１１０は、クラウドアーカイブ１３０に格納された（またはコンピューティングデバイス１０２のローカルなストレージデバイスに格納された）バックアップアーカイブ１０８に、仮想ディスク１２２を新しい修復されたスライスとして保存することができる。いくつかの他の態様では、既存のスライスを除去し、新しい修復されたスライスと置き換えてもよい。

ブロックマップを形成する態様は、特定のＯＳおよびファイルシステムに依存する。例えば、Ｗｉｎｄｏｗｓ ＮＴＦＳでは、ファイルは、（ＭＦＴレコード内に格納された）マスタファイルテーブル（ＭＦＴ）のレジデントファイルであるか、または、ボリュームストレージスペースに格納されたノンレジデントファイルである。一態様では、ノンレジデントファイルの割り当てられたブロックは、システム関数呼び出し、例えば、「ＦＳＣＴＬ＿ＧＥＴ＿ＲＥＴＲＩＥＶＡＬ＿ＰＯＩＮＴＥＲＳ ＡＰＩ」を使用して取得してもよい。ＭＦＴレジデントファイルブロックマップは、ＭＦＴ割当て、および一般にＭＦＴレコード番号である既知のファイル識別子の分析を使用して判定してもよい。ＭＦＴレコード番号によって、ＭＦＴレジデントファイルのブロックを検査することおよび認識することが可能になる。ＭＦＴ割当ての分析は、例えばシステム関数「ＦＳＣＴＬ＿ＧＥＴ＿ＲＥＴＲＩＥＶＡＬ＿ＰＯＩＮＴＥＲＳ」を使用して判定することもできるが、ファイルでもあるＭＦＴ全体が対象である。他のファイルシステムは、ファイルブロックマップを構築する独自の特別なアルゴリズムを必要とする可能性がある。

アーカイブスキャナ１１０はまた、感染したスライスを発見するために、バックアップアーカイブ１０８内の１つ以上の古いスライスをスキャンするように構成されてもよい。そのような、感染したスライス、または別の方法で破損したスライスが特定されると、アーカイブスキャナ１１０は、感染したスライスおよび（時間的に）その後に取り込まれたスライスとを、感染しており、任意のコンピューティングデバイスのデータリカバリには適していないものとしてマークする。したがって、バックアップモジュール１０４は、感染したとマークされたスライスをリストアしようとするあらゆる試みもブロックするように構成される。さらに、これにより、アーカイブスキャナ１１０は、破損の時点を確立することができ、この破損の時点は、感染の種類および破損に関与していた可能性のある要因に関する更なる分析に使用することができる。いくつかの態様では、コンピューティングデバイス１０２の過去の属性を、クラウドアーカイブ１３０または他の場所に格納し、破損の時点と共に分析して、破損／感染の原因のセットを確立することができる。この分析は、将来の感染またはマルウェア攻撃を防ぐために使用できる。

図２は、本開示の例示的な態様による、アーカイブスライスを検査することによってバックアップアーカイブをスキャンするシステムおよび方法のシーケンスを示すブロック図である。

例示的な態様では、アーカイブマウントサービス１１２、アーカイブＡＰＩ１１４、クラウドアーカイブ１３０、およびローカルアーカイブ２００は、ユーザメモリスペース（ＵＭ）に配置してもよく、一方、アーカイブマウントドライバ１１６は、カーネルメモリスペース（ＫＭ）に配置してもよい。クラウドアーカイブ１３０またはローカルアーカイブ２００にアクセスするために、アーカイブスキャナ１１０は、アーカイブマウントサービス１１２にコンタクトする。アーカイブマウントサービス１１２は、マウントドライバ１１６を使用して、アーカイブをディスク（例えば、仮想ディスク）にマウントする。

図２を参照すると、マウントドライバ１１６は、クラウドアーカイブ１３０内の複数のスライス（例えば、スライス２０２～２０６）のうちの第１のスライス２０２をディスク１２０にマウントする。この第１のスライスは、第１の時点における（例えば、コンピューティングデバイス１０２における）ユーザデータのイメージである。次に、アーカイブＡＰＩ１１４は、マウントされた第１のスライスのブロックを、複数のスライスのうちの第２のスライス２０４のブロックと比較することによって、マウントされた第１のスライスの変更されたブロックを検出する。この第２のスライスは、第１の時点の前にキャプチャされたユーザデータのイメージである。例えば、第１のスライス２０２は、時点ｔに作成されていてもよい。第２のスライス２０４は、時点ｔ－１に作成されていてもよい。

次に、アーカイブＡＰＩ１１４は、それぞれのスライスのそれぞれのマウントされたディスクのブロックを比較して、変更されたブロックを発見してもよい。変更されたブロックが発見されると、アーカイブマウントサービス１１２は、ディスクのファイルシステム上で、検出された変更されたブロックに対応するマウントされた第１のスライス内の少なくとも１つのファイルを特定する。次に、アーカイブスキャナ１１０は、ウイルスおよび悪意のあるソフトウェアについて少なくとも１つのファイルをスキャンする。少なくとも１つのファイルが感染したことを検出したことに応じて、アーカイブスキャナ１１０は、マウントされた第１のスライスから当該少なくとも１つのファイルを除いたユーザデータを備える修復されたスライスを生成する。この生成プロセスは、マウントされた第１のスライス２０２から当該少なくとも１つのファイルを除去することを含んでもよい。スライス２０２内に、スライス２０４に対して変更された複数のブロックが発見された場合、生成プロセスは、第２のスライス２０４のコピーを生成することと、第２のスライスのコピーに、感染したファイルを含まない、変更された複数のブロックに対応するすべてのファイルを移すこととを含む（ここで、第２のスライスのコピーは修復されたスライスである）。

いくつかの態様では、アーカイブスキャナ１１０は、ウイルスおよび悪意のあるソフトウェアについて、バックアップアーカイブ内の複数のスライスのうちの第３のスライス２０６を任意にスキャンしてもよい。第３のスライス２０６は、第２のスライスの作成時点の前（すなわち、ｔ－Ｎ）にキャプチャされたユーザデータのイメージであってもよい。第３のスライス２０６内の感染したファイルを検出したことに応じて、アーカイブスキャナ１１０は、第３のスライスの作成時点の後にキャプチャされた複数のスライスのサブセットを、データリカバリに適していないものとしてマークしてもよい。この特定の例では、第１のスライス２０２および第２のスライス２０４の両方がサブセットに含まれる。

いくつかの態様では、アーカイブスキャナ１１０は、感染したファイルに対応する第３のスライス２０６のブロックを特定してもよい。アーカイブスキャナ１１０は、第２のスライス２０４および第１のスライス２０２をディスク１２０にマウントしてもよい。アーカイブスキャナ１１０は、当該ブロックを追跡し、感染したファイルが第２のスライスおよび第１のスライスのいずれかに存在するか否かを判定してもよい。例えば、感染したファイルは第２のスライス２０４に存在する場合があるが、ユーザが感染したファイルを第１のスライス２０２から手動で除去する場合がある。感染したファイルは第１のスライス２０２に存在しないので、第３のスライス２０６および第２のスライス２０４のみが修復される必要がある。これにより、バックアップアーカイブが、ユーザがバックアップすることができる、スライスのクリーンなセットを有することが保証される。

いくつかの態様では、アーカイブが感染したスライスを含む場合、アーカイブスキャナ１１０は、これらのスライスを発見して、これらのスライスをスキャンすることによって、いつ感染が発生したか（スライス作成時点に基づいて）および感染源またはマルウェアを判定してもよい。

図３は、空のスパースファイルを使用して、マルウェアについてアーカイブスライスを検査するブロック図３００である。ブロック図３００は、ＨＳＭアーカイブファイルシステムフィルタドライバ３０２および仮想ボリュームドライバ３０４を示す。クラウドに格納されたバックアップのアンチウイルススキャンは、通常、多くのハードウェアリソースを必要とする非常に時間のかかる手順である。これは、クラウドストレージが通常大量のデータを含み、クラウドへのアクセス速度がローカルストレージよりも著しく遅く、同時に、バックアップを非常に頻繁にスキャンしなければならないという事実に起因する。

本開示の、上述した技術は、データがセクタごとにバックアップされるときにイメージアーカイブに適用可能である。しかしながら、ファイルのみのアーカイブおよび異なる性質のアーカイブ（例えば、データベース、電子メールアーカイブなど）があり、ブロックセクタレベルでそのようなオブジェクトを処理することは効果的ではない場合がある。現在、アーカイブ内の任意の時点のスキャンが可能で、最新のスライスを修正し、または古いスライスをリカバリに適さないものとしてマークすることができる。しかしながら、この機能はイメージアーカイブに限定され、ファイルアーカイブには適用されない。

したがって、仮想ボリュームドライバ３０４およびＨＳＭアーカイブファイルシステムフィルタドライバ３０２は、ファイルアーカイブの任意のスライス、およびスライスの任意のファイルへのアクセスを提供して、スライスをさらにスキャンし、悪意のある／感染したファイルを除去するために利用される。大まかな概要から、スライスは、仮想ボリュームドライバ３０４を使用して、空（例えば、ファイルなし）としてアーカイブ（クラウドまたはローカル）にマウントすることができる。より具体的には、マウントされたスライスには空のゼロデータファイル（ただし、適切な仮想サイズを有する）が読み込まれる。ＡＶスキャンが実行され、特定のファイルに対して実行することができるとき、ＨＳＭフィルタドライバ３０２は、アクセス時にこのデータを取り込み、スキャンされたファイルに入れる。最新のスライスでは、感染したデータおよびマルウェアを除去することができ、リストア／リカバリの可能性に備え、最新のスライスを、修正されたデータを使用して再作成することができる。

クラウドファイルアーカイブのスライスへのアクセスは、適切なＡＰＩ（例えば、ＡＰＩ１１４）を使用して達成されることに留意されたい。マウントされた仮想ボリュームは、所与のボリュームに空のスパースファイルを備えるが、仮想ボリュームが基づくバックアップスライスの構造を再現し、バックアップスライス内のファイルに関する情報を含む。アーカイブＡＰＩ１１４は、アンチウイルスソフトウェアからのファイルを読み出す要求を追跡し、読み出し要求の場合にバックアップアーカイブからこのファイルのコンテンツを取得してもよい。ここから、アーカイブスキャナ１１０は、仮想ボリューム内の受信したファイルをスキャンし、感染したファイルを削除し、アーカイブの最後のスライスを再作成してもよい。

前述したように、クラウドアーカイブ１３０およびローカルアーカイブ２００は、ファイルを有するデータバックアップ（「バックアップアーカイブ」と互換的に使用される）を含む。ユーザは、所有するコンピューティングデバイスのバックアップを定期的に実行してもよく、すべての変更されたファイルがアーカイブに送信される。バックアップを実行する観点から、最初のバックアップはすべてのファイルのバックアップであり、その後のすべてのバックアップは増分である（新しいファイルおよび変更されたファイルのみがコピーされる）ことを理解されたい。各バックアップセッションにより、特定の時点におけるデータ状態を反映する別個のバックアップスライスが得られる。

仮想ボリュームドライバ３０４は、バックアップスライスごとに空のボリュームを作成する。これらのボリュームは、後にマルウェアについてスキャンされる。そのようなボリュームは仮想であり、それぞれのバックアップスライス内のファイルのリスト、および関連するファイル情報（例えば、名前、番号、サイズ、位置、メタデータなど）以外のデータを含まない。実データは、実際には、バックアップアーカイブ内の実バックアップスライスに格納される。これにより、クラウド内のファイルバックアップアーカイブをスキャンすることができる。

仮想ボリュームドライバ３０４は、実際のデータを含まないことにかかわらず物理スライスの構造を完全に表示する仮想ボリュームをマウントする。その後、階層フィルタドライバ、すなわちＨＳＭアーカイブファイルシステムフィルタドライバ３０２は、バックアップスライス内の実際のファイルと一致する空のスパースファイルを作成する。ここで、ファイルシステム全体にアクセスする必要なく、特定のファイルにアクセスすることができる。

ドライバ３０２は、ファイルのコンテンツへのアクセスを提供し、２つの異なるスライス内のファイル間の変更を比較し、そのような変更がある場合、クラウド内のアーカイブからファイルのコンテンツをダウンロードする。次に、ドライバ３０２は、このファイルに対応するプレースホルダ（例えば、空のスパースファイル）に、仮想ボリューム内のコンテンツを配置する。

したがって、２つの連続するスライスの作成の間に変更されたファイルのセットのみが考慮される。最新のスライスでは、感染したデータおよびマルウェアを除去することができ、リストア／リカバリの可能性に備え、修正されたデータを使用して、新しいスライスを作成することができる（すなわち、修復されたスライス）。これらのシステムおよび方法は、仮想ボリューム内でファイルエンティティとして表すことができるデータベースまたは電子メールアーカイブなどの特定のオブジェクトを扱うのに役立つ。

前述したように、アーカイブＡＰＩ１１４は、バックアップアーカイブ（クラウドおよび／またはローカル）へのアクセスを得るために使用することができる。アーカイブＡＰＩ１１４は、任意の種類のアーカイブおよびストレージに特有のものとすることができ、特定のアーカイブのコンテンツおよび構造を理解するために使用される（アーカイブのコンテンツおよび構造は、バックアップおよびストレージの、ソフトウェアおよびハードウェアのベンダに応じて異なる可能性があるため）。

図４は、本開示の例示的な態様による、アーカイブスライスを検査することによってバックアップアーカイブをスキャンする方法４００を示すフローチャートである。

本方法は、４０２で開始し、４０４に進む。

４０４において、アーカイブスキャナ１１０の構成要素は、アーカイブスライスを検査することによってバックアップアーカイブをスキャンする。アーカイブスキャナの構成要素は、例えば、仮想ディスクをマウントすることによって、バックアップアーカイブからの最新のスライスをディスクにマウントする。いくつかの態様では、仮想ディスクは、アーカイブスキャナ１１０を実行するサーバにマウントされてもよいが、本開示はその構成に限定されない。

４０６において、アーカイブＡＰＩ１１４は、最新のスライスの作成以降の最新のスライス内のすべての変更されたブロックを検出するように要求される。例示的な態様では、ＡＰＩ１１４は、変更されたブロックを判定するために、スライスがマウントされている仮想ディスクの基礎をなすブロックを検査する。他の態様では、変更されたブロックは、最新のスライスのブロックと、コンピューティングデバイスの以前のバックアップのために以前に作成されたスライスのブロックとを比較することによって検出される。あるスライスと、その次のスライスとの間で異なるブロックは、変更されたブロックのセットを備える。

４０８において、アーカイブスキャナ１１０は、１つ以上のスライス内のファイルと、マウントされたディスクにあるデータブロックとの対応関係を判定する。いくつかの態様では、アーカイブスキャナ１１０は、マウントされている特定のバックアップスライスのブロックマップを確立し、または読み出し、ブロックマップは、どのブロックがどのファイルに対応するかを示す。

４１０において、アーカイブスキャナ１１０は、ディスクのファイルシステムにおいて、変更されたデータブロックを特定することによって、変更されたファイルを判定する。変更されたデータブロックが特定されているので、そのブロックを使用して、変更されたデータブロックに対応するのがどのファイルかを特定することができる。

４１２において、アーカイブスキャナ１１０は、ウイルスおよび悪意のあるソフトウェアについて、以前のバックアップスライスが完了してから変更された、ファイルシステムにあるファイルをスキャンする。

４１４において、アーカイブスキャナ１１０は、仮想ディスクから感染および／または損傷したファイルおよびマルウェアを除去してもよい。次に、仮想ディスクを最新のスライスとして保存し、クラウドアーカイブ１３０内、またはローカルディスクにあるバックアップアーカイブ１０８に再挿入することができる。

本方法は４２０で終了する。

図５は、本開示の例示的な態様による、アーカイブスライスを検査することによってバックアップアーカイブをスキャンする別の方法５００を示すフローチャートである。

本方法は、５０２で開始し、５０４に進む。

５０４において、アーカイブスキャナ１１０は、方法４００で仮想ディスクにマウントされたバックアップイメージをスキャンする。例示的な態様では、バックアップイメージまたはアーカイブイメージは、参照される可能性があるので、仮想ディスクとしてマウントされてもよく、または他の態様では、スライスを物理ディスクにリストアしてもよい。

５０６において、感染したファイルが特定され、マークされる。いくつかの態様では、ファイルは、ブロックマップまたは他の方法を使用して、方法４００で特定された変更されたブロックに基づいて特定される。ブロックマップは、マウントされたイメージにおけるブロックとファイルとの対応関係を示す。したがって、変更されたブロックが特定されると、アーカイブスキャナ１１０は、変更されたファイルを特定することができる。

５０８において、マウントされたバックアップイメージに存在するマルウェアは、仮想ディスクにあるファイルに対してウイルスおよびマルウェアのスキャンを実行することによって特定される。

５１０において、感染したファイルおよびマルウェアは、アーカイブスキャナ１１０によってディスク（例えば、仮想ディスク）のファイルシステムから除去される。いくつかの態様では、感染したファイルおよび／またはマルウェアは、仮想ディスクまたは他の場所のいずれかに隔離される。感染したファイルを仮想ディスクにおける隔離場所に移動するには、隔離場所を備える修復されたスライスを作成する必要があることに留意されたい。

５１２において、アーカイブスキャナ１１０によって、仮想ディスクを新しいスライスとしてエクスポートすることによって、感染したファイルおよびマルウェアを除外して新しいスライスが作成される。新しいスライスは、新しい仮想ディスク、もしくは仮想ディスク１２２などの別の位置、または図２に示すようにクラウドアーカイブ１３０（例えば、最新のスライス２０２）に格納される。

５１４において、アーカイブスキャナは、バックアップアーカイブ（例えば、アーカイブ１０８）内の最新のスライスのトップに、新たに作成された修復されたスライスを追加する。いくつかの代替の態様では、新たに作成されたスライスは、最新のスライスまたは感染したスライスを置き換えてもよい。

本方法は５２０で終了する。

図６は、空のスパースファイルを使用してマルウェアについてアーカイブスライスを検査する方法６００を示すフローチャートである。６０２において、第１の時点でのデータ状態を反映するバックアップスライスが生成され、バックアップスライスはバックアップアーカイブ（例えば、アーカイブ１３０および／またはアーカイブ２００）に格納される。６０４において、仮想ボリュームドライバ３０４は、バックアップスライス内のファイルのリストおよび関連付けられたファイル情報を備える仮想ボリュームを生成し、仮想ボリュームは、ファイルのリストにおいて参照されるファイルを格納しない。６０６において、アーカイブマウントサービス１１２は、仮想ボリュームをディスク１２０にマウントする。６０８において、ＨＳＭアーカイブファイルシステムフィルタドライバ３０２は、仮想ボリューム内に、ファイルのリストにおけるファイル参照のプレースホルダである空のスパースファイル３０６を作成する。

ファイルのリストにＮ個のファイルがあるとする。６１０において、アーカイブＡＰＩ１１４は、それぞれの空のスパースファイルを特定する。６１２において、アーカイブＡＰＩ１１４は、それぞれの空のスパースファイルと、別のバックアップスライス内の対応するファイルであって、第２の時点のデータ状態を反映するファイルとの間に変更がある場所を検出する。例えば、アーカイブＡＰＩ１１４は、それぞれの空のスパースファイルに関連付けられたファイル情報と、別のバックアップスライス内の対応するファイルに関連付けられたファイル情報とを比較してもよい（例えば、名前、サイズ、メタデータなどを比較する）。

それぞれの空のスパースファイルと対応するファイルとの間の変更を検出したことに応じて、方法６００は、６１４に進み、ドライバ３０２は、バックアップスライスから、それぞれの空のスパースファイルに関連付けられたコンテンツを取得する。６１６において、ドライバ３０２は、それぞれの空のスパースファイルの代わりにコンテンツを仮想ボリュームに格納する。

次に、方法６００は６１８に進み、アーカイブＡＰＩ１１４は、リストから、考慮すべき他の空のスパースファイルがあるか否かを判定する（すなわち、リスト内のすべてのファイルが変更についてチェックされる）。考慮すべきスパースファイルがまだ残っている場合、方法６００は６１０に戻り、次のスパースファイルが特定される。そうでない場合、方法６００は６２０に進み、アーカイブスキャナ１１０は、仮想ボリュームをウイルスおよび／または悪意のあるソフトウェアについてスキャンする。

６２２において、アーカイブスキャナ１１０は、ウイルスおよび／または悪意のあるソフトウェアに感染した仮想ボリューム内に少なくとも１つのファイルがあるか否かを判定する。感染したファイルがない場合、方法６００は６２６で終了する。しかしながら、仮想ボリューム内の少なくとも１つのファイルがウイルスおよび／または悪意のあるソフトウェアに感染していることを検出したことに応じて、６２４において、アーカイブスキャナ１１０は、バックアップアーカイブ内のバックアップスライスを置き換える、修復されたスライスを生成する。

図７は、アーカイブスライスを検査することによってバックアップアーカイブをスキャンするシステムおよび方法の態様を、例示的な態様に従って実装する場合があるコンピュータシステム２０を示すブロック図である。コンピュータシステム２０は、前述したシステム１００の任意の構成要素に対応することができることに留意されたい。コンピュータシステム２０は、複数のコンピューティングデバイスの形態、または単一のコンピューティングデバイス、例えば、デスクトップコンピュータ、ノートブックコンピュータ、ラップトップコンピュータ、モバイルコンピューティングデバイス、スマートフォン、タブレットコンピュータ、サーバ、メインフレーム、組み込みデバイス、および他の形態のコンピューティングデバイスの形態をとることができる。

図示したように、コンピュータシステム２０は、中央処理装置（ＣＰＵ）２１と、システムメモリ２２と、中央処理装置２１に関連付けられたメモリを含む様々なシステム構成要素を接続するシステムバス２３とを含む。システムバス２３は、バスメモリまたはバスメモリコントローラと、周辺バスと、任意の他のバスアーキテクチャと相互作用する場合があるローカルバスとを備えてもよい。バスの例は、ＰＣＩ、ＩＳＡ、ＰＣＩ－ＥＸｐｒｅｓｓ、ＨｙｐｅｒＴｒａｎｓｐｏｒｔ（商標）、ＩｎｆｉｎｉＢａｎｄ（商標）、ＳｅｒｉａｌＡＴＡ、Ｉ^２Ｃ、および他の適切な相互接続を含んでいてもよい。中央処理装置２１（プロセッサとも呼ばれる）は、単一または複数のコアを有する単一または複数のプロセッサセットを含むことができる。プロセッサ２１は、本開示の技術を実装する１つ以上のコンピュータ実行可能コードを実行してもよい。システムメモリ２２は、本明細書で使用されるデータおよび／またはプロセッサ２１によって実行可能なコンピュータプログラムを格納するための任意のメモリであってもよい。システムメモリ２２は、ランダムアクセスメモリ（ＲＡＭ）２５などの揮発性メモリ、および読み取り専用メモリ（ＲＯＭ）２４、フラッシュメモリなどの不揮発性メモリ、またはそれらの任意の組み合わせを含んでいてもよい。基本入出力システム（ＢＩＯＳ）２６は、ＲＯＭ２４を使用してオペレーティングシステムをロードするときの手順など、コンピュータシステム２０の要素間で情報を移すための基本手順を格納してもよい。

コンピュータシステム２０は、１つ以上の着脱式ストレージデバイス２７、１つ以上の非着脱式ストレージデバイス２８、またはこれらの組み合わせなどの１つ以上のストレージデバイスを含んでもよい。１つ以上の着脱式ストレージデバイス２７および非着脱式ストレージデバイス２８は、ストレージインターフェース３２を介してシステムバス２３に接続される。一態様において、ストレージデバイスおよび対応するコンピュータ可読ストレージ媒体は、コンピュータシステム２０のコンピュータ命令、データ構造、プログラムモジュール、および他のデータを保存するための、電力に依存しないモジュールである。システムメモリ２２、着脱式ストレージデバイス２７、および非着脱式ストレージデバイス２８は、様々なコンピュータ可読ストレージ媒体を使用してもよい。コンピュータ可読ストレージ媒体の例には、キャッシュ、ＳＲＡＭ、ＤＲＡＭ、ゼロコンデンサＲＡＭ、ツイントランジスタＲＡＭ、ｅＤＲＡＭ、ＥＤＯ ＲＡＭ、ＤＤＲ ＲＡＭ、ＥＥＰＲＯＭ、ＮＲＡＭ、ＲＲＡＭ、ＳＯＮＯＳ、ＰＲＡＭなどのマシンメモリと、フラッシュメモリまたはソリッドステートドライブ（ＳＳＤ）もしくはフラッシュドライブなどの他のメモリ技術と、磁気カセット、磁気テープ、およびハードディスクドライブまたはフロッピーディスクなどの磁気ディスクストレージと、コンパクトディスク（ＣＤ－ＲＯＭ）またはデジタル多用途ディスク（ＤＶＤ）などの光学ストレージと、所望のデータを格納するために使用してもよく、コンピュータシステム２０によってアクセスすることができる任意の他の媒体とが含まれる。

コンピュータシステム２０の、システムメモリ２２、着脱式ストレージデバイス２７、および非着脱式ストレージデバイス２８は、オペレーティングシステム３５、追加プログラムアプリケーション３７、他のプログラムモジュール３８、およびプログラムデータ３９を格納するために使用してもよい。コンピュータシステム２０は、キーボード、マウス、スタイラス、ゲームコントローラ、音声入力デバイス、タッチ入力デバイス、またはプリンタもしくはスキャナなどの他の周辺機器などの入力装置４０から、シリアルポート、パラレルポート、ユニバーサルシリアルバス（ＵＳＢ）、または他の周辺インターフェースなどの１つ以上のＩ／Ｏポートを介して、データを通信するための周辺機器インターフェース４６を含んでもよい。１つ以上のモニタ、プロジェクタ、または統合ディスプレイなどのディスプレイデバイス４７は、ビデオアダプタなどの出力インターフェース４８を介してシステムバス２３に接続してもよい。ディスプレイデバイス４７に加えて、コンピュータシステム２０は、スピーカおよび他の視聴覚デバイスなどの他の周辺出力デバイス（不図示）を備えてもよい。

コンピュータシステム２０は、１つ以上のリモートコンピュータ４９へのネットワーク接続を使用して、ネットワーク環境で動作する場合がある。リモートコンピュータ（または複数のリモートコンピュータ）４９は、コンピュータシステム２０の性質を説明する際に上述した要素のほとんどもしくはすべてを備えるローカルコンピュータワークステーションまたはサーバであってもよい。ルータ、ネットワークステーション、ピアデバイス、または他のネットワークノードなどであるが、これらに限定されない他のデバイスもコンピュータネットワーク内に存在してもよい。コンピュータシステム２０は、ローカルエリアコンピュータネットワーク（ＬＡＮ）５０、ワイドエリアコンピュータネットワーク（ＷＡＮ）、イントラネット、およびインターネットなどの１つ以上のネットワークを介してリモートコンピュータ４９と通信するための、１つ以上の、ネットワークインターフェース５１またはネットワークアダプタを含んでもよい。ネットワークインターフェース５１の例には、イーサネットインターフェース、フレームリレーインターフェース、ＳＯＮＥＴインターフェース、および無線インターフェースが含まれる場合がある。

本開示の態様は、システム、方法、および／またはコンピュータプログラム製品であってもよい。コンピュータプログラム製品は、プロセッサに本開示の態様を実行させるためのコンピュータ可読プログラム命令を有するコンピュータ可読ストレージ媒体（または複数のコンピュータ可読ストレージ媒体）を含んでもよい。

コンピュータ可読ストレージ媒体は、コンピュータシステム２０などのコンピューティングデバイスのプロセッサによってアクセスすることができる命令またはデータ構造の形態のプログラムコードを保持および格納することができるタンジブルデバイスとすることができる。コンピュータ可読ストレージ媒体は、電子ストレージデバイス、磁気ストレージデバイス、光学ストレージデバイス、電磁ストレージデバイス、半導体ストレージデバイス、またはそれらの任意の適切な組み合わせであってもよい。例として、そのようなコンピュータ可読ストレージ媒体は、ランダムアクセスメモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）、ＥＥＰＲＯＭ、ポータブルコンパクトディスク読み取り専用メモリ（ＣＤ－ＲＯＭ）、デジタル多用途ディスク（ＤＶＤ）、フラッシュメモリ、ハードディスク、ポータブルコンピュータディスケット、メモリスティック、またはフロッピーディスクを備えることができ、さらには命令が記録されたパンチカードもしくは溝内の隆起構造などの機械的にエンコードされたデバイスを備えることもできる。本明細書で使用される場合、コンピュータ可読ストレージ媒体は、電波もしくは他の自由に伝搬する電磁波、導波路もしくは伝送媒体を伝搬する電磁波、または導線を介して伝送される電気信号などの一時的な信号自体と解釈されるべきではない。

本明細書に記載のコンピュータ可読プログラム命令は、コンピュータ可読ストレージ媒体からそれぞれのコンピューティングデバイスにダウンロードすることができ、あるいはネットワーク、例えば、インターネット、ローカルエリアネットワーク、ワイドエリアネットワークおよび／または無線ネットワークを介して、外部コンピュータまたは外部ストレージデバイスにダウンロードすることができる。ネットワークは、銅伝送ケーブル、光伝送ファイバ、無線伝送、ルータ、ファイアウォール、スイッチ、ゲートウェイコンピュータおよび／またはエッジサーバを備えてもよい。各コンピューティングデバイス内のネットワークインターフェースは、ネットワークからコンピュータ可読プログラム命令を受信し、それぞれのコンピューティングデバイス内のコンピュータ可読ストレージ媒体に保存するためにコンピュータ可読プログラム命令を転送する。

本開示の動作を実行するためのコンピュータ可読プログラム命令は、アセンブリ命令、命令セットアーキテクチャ（ＩＳＡ）命令、マシン命令、マシン依存命令、マイクロコード、ファームウェア命令、状態設定データ、またはオブジェクト指向プログラミング言語および従来の手続き型プログラミング言語を含む１つ以上のプログラミング言語の任意の組み合わせで記述された、ソースコードもしくはオブジェクトコードのいずれかであってもよい。コンピュータ可読プログラム命令は、ユーザのコンピュータで完全に実行されてもよいし、スタンドアロンのソフトウェアパッケージとして、一部がユーザのコンピュータで実行されてもよいし、一部がユーザのコンピュータで、一部がリモートコンピュータで実行されてもよいし、またはリモートコンピュータもしくはサーバで完全に実行されてもよい。後者のシナリオでは、リモートコンピュータは、ＬＡＮもしくはＷＡＮを含む任意の種類のネットワークを介してユーザのコンピュータに接続されてもよく、または外部コンピュータに（例えば、インターネットを介して）接続されてもよい。いくつかの態様では、例えば、プログラマブル論理回路、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、またはプログラマブル論理アレイ（ＰＬＡ）を含む電子回路は、本開示の態様を実行するために、コンピュータ可読プログラム命令の状態情報を利用して電子回路をパーソナライズすることによって、コンピュータ可読プログラム命令を実行してもよい。

様々な態様において、本開示に記載されたシステムおよび方法は、モジュールの言葉で対応することができる。本明細書で使用される「モジュール」という用語は、例えばアプリケーション固有の集積回路（ＡＳＩＣ）もしくはＦＰＧＡなどによるハードウェアを使用して、またはマイクロプロセッサシステムおよび命令セットであって（実行中に）マイクロプロセッサシステムを専用デバイスに変えるモジュールの機能を実装する命令セットなどのハードウェアとソフトウェアとの組み合わせとして実装される、現実世界のデバイス、構成要素、または構成要素の配置を指す。モジュールはまた、２つの組み合わせとして実装されてもよく、特定の機能はハードウェアのみによって容易にされ、他の機能はハードウェアとソフトウェアの組み合わせによって容易にされる。特定の実装形態では、モジュールの少なくとも一部、場合によっては全部を、コンピュータシステム（例えば、図６でより詳細に説明されているもの）のプロセッサにおいて実行する場合がある。したがって、各モジュールは、様々な適切な構成で実現されてもよく、本明細書に例示された特定の実装形態に限定されるべきではない。

明確化のため、上記態様のすべてのルーチン機能が本明細書に開示されているわけではない。本開示の、いかなる実際の実装形態の開発においても、開発者の特定の目標を達成するために、実装形態に特有の多数の決定を行わなければならず、これらの特定の目標は、実装形態ごとおよび開発者ごとに異なることが理解されよう。そのような開発努力は複雑で時間がかかるかもしれないが、それでも、本開示の利益を有する当業者にとってはエンジニアリングのルーチン仕事であることが理解される。

さらに、本明細書で使用される表現または用語は、限定ではなく説明を目的とするものであり、本明細書の用語または表現は、当業者の知識と組み合わせて、本明細書に提示される教示および案内に照らして当業者によって解釈されるべきであることを理解されたい。さらに、本明細書または請求項のいかなる用語も、そのように明示的に記載されていない限り、一般的でない意味、すなわち特別な意味とみなされることを意図しない。

本明細書で開示される様々な態様は、例示として本明細書で参照される既知のモジュールに対する、現在知られている均等物および将来知られる均等物を包含する。さらに、態様および用途を図示し説明してきたが、本明細書に開示された発明の概念から逸脱することなく、上述したよりも多くの変更形態が可能であることは、本開示の利益を有する当業者には明らかであろう。

Claims (20)

1. マルウェアについてアーカイブスライスを検査するための方法であって、
   第１の時点におけるデータ状態を反映するバックアップスライスであって、バックアップアーカイブに格納されるバックアップスライスを生成することと、
   前記バックアップスライス内のファイルのリストおよび関連付けられたファイル情報を備えた仮想ボリュームであって、ファイルの前記リスト内で参照される前記ファイルを格納しない仮想ボリュームを生成することと、
   前記仮想ボリュームをディスクにマウントすることと、
   前記仮想ボリューム内に、前記ファイルの前記リスト内にある複数のファイル参照それぞれのプレースホルダである空のスパースファイルを作成することと、
   各それぞれの空のスパースファイルについて、
   前記それぞれの空のスパースファイルに関連付けられたファイル情報と、第２の時点における前記データ状態を反映する、別のバックアップスライス内の対応するファイルに関連付けられたファイル情報とを比較することと、
   前記それぞれの空のスパースファイルと対応する前記ファイルとの間の変更を検出したことに応じて、
   前記バックアップスライスから前記それぞれの空のスパースファイルに関連付けられたコンテンツを取得することと、
   前記それぞれの空のスパースファイルの代わりに、前記コンテンツを前記仮想ボリュームに格納することと、
   ウイルスおよび／または悪意のあるソフトウェアについて前記仮想ボリュームをスキャンすることと、
   前記仮想ボリューム内の少なくとも１つのファイルがウイルスおよび／または悪意のあるソフトウェアに感染していることを検出したことに応じて、前記バックアップアーカイブ内の前記バックアップスライスを置き換える修復されたスライスを生成することとを含む方法。
2. 前記第１の時点が、前記第２の時点の後である、請求項１に記載の方法。
3. 前記仮想ボリュームが、仮想ボリュームドライバによって生成される、請求項１に記載の方法。
4. 関連付けられた前記ファイル情報が、
   （１）前記リスト内の前記ファイルのうち、それぞれファイルのファイル番号、
   （２）前記バックアップスライス内の前記それぞれのファイルの位置、
   （３）前記それぞれのファイルのファイルサイズの少なくとも１つを含む、請求項１に記載の方法。
5. 前記修復されたスライスを生成することが、マウントされた前記仮想ボリュームから前記少なくとも１つのファイルを除去することを含む請求項１に記載の方法。
6. 前記修復されたスライスを生成することが、
   前記バックアップスライスのコピーを生成することと、
   前記ファイルの前記リスト内の、前記少なくとも１つのファイルを含まないすべての変更されていないファイルを、前記修復されたスライスである前記バックアップスライスの前記コピーに移すこととを含む請求項１に記載の方法。
7. 前記仮想ボリュームが、前記別のバックアップスライスに関連付けられた別の仮想ボリュームに続いて、または同時に、前記ディスクにマウントされる、請求項１に記載の方法。
8. 前記修復されたスライスを前記バックアップアーカイブに追加することをさらに含む請求項１に記載の方法。
9. マルウェアについてアーカイブスライスを検査するためのシステムであって、
   第１の時点におけるデータ状態を反映するバックアップスライスであって、バックアップアーカイブに格納されるバックアップスライスを生成し、
   前記バックアップスライス内のファイルのリストおよび関連付けられたファイル情報を備えた仮想ボリュームであって、ファイルの前記リスト内で参照される前記ファイルを格納しない仮想ボリュームを生成し、
   前記仮想ボリュームをディスクにマウントし、
   前記仮想ボリューム内に、前記ファイルの前記リスト内にある複数のファイル参照それぞれのプレースホルダである空のスパースファイルを作成し、
   各それぞれの空のスパースファイルについて、
   前記それぞれの空のスパースファイルに関連付けられたファイル情報と、第２の時点における前記データ状態を反映する、別のバックアップスライス内の対応するファイルに関連付けられたファイル情報とを比較し、
   前記それぞれの空のスパースファイルと対応する前記ファイルとの間の変更を検出したことに応じて、
   前記バックアップスライスから前記それぞれの空のスパースファイルに関連付けられたコンテンツを取得し、
   前記それぞれの空のスパースファイルの代わりに、前記仮想ボリュームに前記コンテンツを格納し、
   ウイルスおよび／または悪意のあるソフトウェアについて前記仮想ボリュームをスキャンし、
   前記仮想ボリューム内の少なくとも１つのファイルがウイルスおよび／または悪意のあるソフトウェアに感染していることを検出したことに応じて、前記バックアップアーカイブ内の前記バックアップスライスを置き換える修復されたスライスを生成するように構成されたハードウェアプロセッサ
   を備えるシステム。
10. 前記第１の時点が、前記第２の時点の後である、請求項９に記載のシステム。
11. 前記仮想ボリュームが、仮想ボリュームドライバによって生成される、請求項９に記載のシステム。
12. 関連付けられた前記ファイル情報が、
    （１）前記リスト内のそれぞれのファイルのファイル番号、
    （２）前記バックアップスライス内の前記それぞれのファイルの位置、
    （３）前記それぞれのファイルのファイルサイズの少なくとも１つを含む、請求項９に記載のシステム。
13. 前記ハードウェアプロセッサが、マウントされた前記仮想ボリュームから前記少なくとも１つのファイルを除去することによって前記修復されたスライスを生成するように構成されている、請求項９に記載のシステム。
14. 前記ハードウェアプロセッサが、
    前記バックアップスライスのコピーを生成することと、
    前記ファイルの前記リスト内の、前記少なくとも１つのファイルを含まないすべての変更されていないファイルを、前記修復されたスライスである前記バックアップスライスの前記コピーに移すこととによって前記修復されたスライスを生成するように構成されている、請求項９に記載のシステム。
15. 前記仮想ボリュームが、前記別のバックアップスライスに関連付けられた別の仮想ボリュームの後に、または前記別のバックアップスライスに関連付けられた別の仮想ボリュームと同時に前記ディスクにマウントされる、請求項９に記載のシステム。
16. 前記ハードウェアプロセッサが、前記修復されたスライスを前記バックアップアーカイブに追加するようにさらに構成される、請求項９に記載のシステム。
17. マルウェアについてアーカイブスライスを検査するためのコンピュータ実行可能命令を格納する非一時的コンピュータ可読媒体であって、
    第１の時点におけるデータ状態を反映するバックアップスライスであって、バックアップアーカイブに格納されるバックアップスライスを生成する命令と、
    前記バックアップスライス内のファイルのリストおよび関連付けられたファイル情報を備えた仮想ボリュームであって、ファイルの前記リスト内で参照される前記ファイルを格納しない仮想ボリュームを生成する命令と、
    前記仮想ボリュームをディスクにマウントする命令と、
    前記仮想ボリューム内に、前記ファイルの前記リスト内にある複数のファイル参照それぞれのプレースホルダである空のスパースファイルを作成する命令と、
    各それぞれの空のスパースファイルについて、
    前記それぞれの空のスパースファイルに関連付けられた前記ファイル情報と、第２の時点におけるデータ状態を反映する、別のバックアップスライス内の対応するファイルに関連付けられたファイル情報とを比較する命令と、
    前記それぞれの空のスパースファイルと前記対応するファイルとの間の変更を検出したことに応じて、
    前記バックアップスライスから前記それぞれの空のスパースファイルに関連付けられたコンテンツを取得する命令と、
    前記それぞれの空のスパースファイルの代わりに、前記コンテンツを前記仮想ボリュームに格納する命令と、
    ウイルスおよび／または悪意のあるソフトウェアについて前記仮想ボリュームをスキャンする命令と、
    前記仮想ボリューム内の少なくとも１つのファイルがウイルスおよび／または悪意のあるソフトウェアに感染していることを検出したことに応じて、前記バックアップアーカイブ内の前記バックアップスライスを置き換える修復されたスライスを生成する命令とを含むコンピュータ実行可能命令を格納する非一時的コンピュータ可読媒体。
18. 前記第１の時点が、前記第２の時点の後である、請求項１７に記載の非一時的コンピュータ可読媒体。
19. 前記仮想ボリュームが、仮想ボリュームドライバによって生成される、請求項１７に記載の非一時的コンピュータ可読媒体。
20. 関連付けられた前記ファイル情報が、
    （１）前記リスト内のそれぞれのファイルのファイル番号、
    （２）前記バックアップスライス内の前記それぞれのファイルの位置、
    （３）前記それぞれのファイルのファイルサイズの少なくとも１つを備える、請求項１７に記載の非一時的コンピュータ可読媒体。

Images