JP2022553061A

JP2022553061A - ランサムウェア防止

Info

Publication number: JP2022553061A
Application number: JP2022523660A
Authority: JP
Inventors: マシュー・ホランド
Original assignee: フィールド・エフェクト・ソフトウェア・インコーポレイテッド
Priority date: 2019-10-21
Filing date: 2020-10-20
Publication date: 2022-12-21
Anticipated expiration: 2040-10-20
Also published as: CA3214199A1; EP4049159A1; US20240419798A1; KR20220085786A; JP7667149B2; AU2020369984A1; US20220292195A1; US12111929B2; WO2021077212A1; CA3155237A1; EP4049159A4

Abstract

ランサムウェア攻撃は、ファイルアクセス要求を監視することで防止され得る。プロセスがディレクトリリストを要求するとき、提供される結果は、プロセスが信頼されているかどうかに基づいて修正され得る。信頼されているプロセスの場合、提供される結果は実際のディレクトリリストであり、信頼されないプロセスに提供される結果は、シードされたファイルを含むように修正され得る。シードされたファイルへのアクセスは、プロセスがランサムウェア攻撃に関連付けられるかどうかを判定するために監視され得、試みられたランサムウェア攻撃を緩和するためのステップが講じられる。ランサムウェアはまた、信頼されている処理されたもののみが特定のファイルへのアクセスを許可されることを確実にすることによって防止され得る。改善されたユーザ体験を提供するために、プロセスは、システム構造およびそれらの信頼度を判定することから自動的に判定され得る。

Description

関連出願の相互参照
本出願は、２０１９年１０月２１日に出願された米国仮特許出願第６２／９２３，９４１号および２０２０年７月３０日に出願された米国仮特許出願第６３／０５９，１５１号に対する優先権を主張し、それぞれの全体がすべての目的のために参照により本明細書に組み込まれる。

本開示は、コンピュータシステムのセキュリティ、特に、コンピュータシステムに対するランサムウェア攻撃を防止することに関する。

ランサムウェア攻撃は、コンピュータシステムに対する一種のセキュリティ脅威であり、攻撃者がコンピュータシステムのデータまたはコンピュータシステム自体へのアクセスを、身代金が攻撃者に支払われるまで、ユーザファイルを暗号化することによって拒否しようと試みる。「ＷａｎｎａＣｒｙ」ランサムウェア攻撃と名付けられたサイバー攻撃は、ＳｅｒｖｅｒＭｅｓｓａｇｅＢｌｏｃｋ（ＳＭＢ）プロトコルのＭｉｃｒｏｓｏｆｔＷｉｎｄｏｗｓ（商標）オペレーティングシステム実装においてパッチ未適用の脆弱性利用型不正プログラムを利用して、何百万ものコンピュータシステムを潜在的に脆弱なままにした。

ランサムウェアは、ウイルスまたはその他のセキュリティ脅威として扱うことができ、ランサムウェアがコンピュータシステムにインストールされるか、またはコンピュータシステムにアクセスすることを防止するために努力が払われるが、最近のランサムウェア攻撃では、未知であるかまたはパッチ未適用のオペレーティングシステムのセキュリティ脆弱性が悪用されている。ランサムウェア攻撃の影響は、データの少なくとも一部分が復元されることを可能にすることができるコンピュータシステムの定期的なバックアップを使用することによってさらに緩和することができるが、最近のデータは回復可能であり得ず、かなりの時間および費用がかかることになる。

ランサムウェア攻撃を防止または緩和するための追加的な、代替的な、および／または改善されたシステムが望ましい。

本開示によれば、ランサムウェア攻撃を防止する方法が提供され、本方法は、ファイルシステムにおいて要求プロセスからの入力／出力（ＩＯ）要求を受信することと、要求プロセスが信頼されているプロセスであるかどうかに基づいて、要求プロセスの信頼性分類を判定することと、要求プロセスの信頼性分類に基づいて、ＩＯ要求の結果を修正することと、要求プロセスが信頼されていない信頼性分類を有すると判定されたときに、要求プロセスからの修正された結果のうちの１つ以上のＩＯ要求を監視することと、を含む。

さらなる実施形態では、本方法は、信頼されていないプロセスのさらなるファイルアクセスを、プロセスが修正された結果のうちの１つ以上のファイルにアクセスしようと試みたときに制限することと、要求プロセスを隔離することと、のうちの１つ以上をさらに含む。

本方法のさらなる実施形態では、さらなるファイルアクセスを制限することは、信頼されていないプロセスがファイルを読み取ることを防止することと、信頼されていないプロセスがファイルを書き込むことを防止することと、信頼されていないプロセスがファイルを削除することを防止することと、信頼されていないプロセスがファイルを移動することを防止することと、のうちの１つ以上を含む。

本方法のさらなる実施形態では、結果を修正することは、要求プロセスが信頼されていない場合、要求プロセスに提供される結果にシードされたファイルを含めることと、要求プロセスが信頼されている場合、要求プロセスに提供される結果からシードされたファイルを除くことと、を含む。

本方法のさらなる実施形態では、シードされたファイルは、記憶媒体に記憶され、要求プロセスが信頼されるときに、要求プロセスに提示される結果から除去される。

本方法のさらなる実施形態では、シードされたファイルは、定義された名前付け規則と、シードされたファイル名のリストのうちの１つ以上を使用して識別される。

本方法のさらなる実施形態では、シードされたファイルは、要求プロセスが信頼されていない場合、要求プロセスに提示される結果に追加される。

本方法のさらなる実施形態では、シードされたファイルのみが、要求プロセスが信頼されていない場合、要求プロセスに結果として提示される。

本方法のさらなる実施形態では、ファイルシステムは、カーネルモードで動作し、要求プロセスは、ユーザモードまたはカーネルモードで動作する。

本方法のさらなる実施形態では、修正された結果のうちの１つ以上のＩＯ要求を監視することは、修正された結果のうちの１つ以上に対する書き込みプロセスを検出することと、書き込みプロセスによって書き込まれているコンテンツが暗号化されている可能性が高いかどうかを判定することと、書き込まれているコンテンツが暗号化されている可能性が高いと判定されたときに書き込みプロセスをブロックすることと、を含む。

本開示によれば、ランサムウェア攻撃を防止するためのシステムがさらに提供され、本システムは、命令を実行するためのプロセッサと、命令を記憶するためのメモリとを備え、その命令が、プロセッサによって実行されると、ファイルシステムにおいて要求プロセスからの入力／出力（ＩＯ）要求を受信することと、要求プロセスが信頼されているプロセスであるかどうかに基づいて、要求プロセスの信頼性分類を判定することと、要求プロセスの信頼性分類に基づいて、ＩＯ要求の結果を修正することと、要求プロセスが信頼されていない信頼性分類を有すると判定されたときに、要求プロセスからの修正された結果のうちの１つ以上のＩＯ要求を監視することと、を含む方法を実行するようにシステムを構成する。

システムのさらなる実施形態では、命令によって構成される方法は、信頼されていないプロセスのさらなるファイルアクセスを、そのプロセスが修正された結果のうちの１つ以上のファイルにアクセスしようと試みたときに制限することと、要求プロセスを隔離することと、のうちの１つ以上をさらに含む。

システムのさらなる実施形態では、さらなるファイルアクセスを制限することは、信頼されていないプロセスがファイルを読み取ることを防止することと、信頼されていないプロセスがファイルを書き込むことを防止することと、信頼されていないプロセスがファイルを削除することを防止することと、信頼されていないプロセスがファイルを移動することを防止することと、のうちの１つ以上を含む。

システムのさらなる実施形態では、結果を修正することは、要求プロセスが信頼されていない場合、要求プロセスに提供される結果にシードされたファイルを含めることと、要求プロセスが信頼されている場合、要求プロセスに提供される結果からシードされたファイルを除くことと、を含む。

システムのさらなる実施形態では、シードされたファイルは、記憶媒体に記憶され、要求プロセスが信頼されている場合、要求プロセスに提示される結果から除去される。

システムのさらなる実施形態では、シードされたファイルは、定義された名前付け規則と、シードされたファイル名のリストと、のうちの１つ以上を使用して識別される。

システムのさらなる実施形態では、シードされたファイルは、要求プロセスが信頼されていない場合、要求プロセスに提示される結果に追加される。

システムのさらなる実施形態では、シードされたファイルのみが、要求プロセスが信頼されていない場合、要求プロセスに結果として提示される。

システムのさらなる実施形態では、ファイルシステムは、カーネルモードで動作し、要求プロセスは、ユーザモードまたはカーネルモードで動作する。

システムのさらなる実施形態では、修正された結果のうちの１つ以上のＩＯ要求を監視することは、修正された結果のうちの１つ以上に対する書き込みプロセスを検出することと、書き込みプロセスによって書き込まれているコンテンツが暗号化されている可能性が高いかどうかを判定することと、書き込まれているコンテンツが暗号化されている可能性が高いと判定されたときに書き込みプロセスをブロックすることと、を含む。

本開示によれば、命令を中に記憶した非一時的コンピュータ可読媒体がさらに提供され、その命令は、コンピュータシステムのプロセッサによって実行されると、ファイルシステムにおいて要求プロセスからの入力／出力（ＩＯ）要求を受信することと、要求プロセスが信頼されているプロセスであるかどうかに基づいて、要求プロセスの信頼性分類を判定することと、要求プロセスの信頼性分類に基づいて、ＩＯ要求の結果を修正することと、要求プロセスが信頼されていない信頼性分類を有すると判定されたときに、要求プロセスからの修正された結果のうちの１つ以上のＩＯ要求を監視することと、を含む方法を実行するようにコンピュータシステムを構成する。

非一時的コンピュータ可読媒体のさらなる実施形態では、命令によって構成される方法は、信頼されていないプロセスのさらなるファイルアクセスを、そのプロセスが修正された結果のうちの１つ以上のファイルにアクセスしようと試みたときに制限することと、要求プロセスを隔離することと、のうちの１つ以上をさらに含む。

非一時的コンピュータ可読媒体のさらなる実施形態では、さらなるファイルアクセスを制限することは、信頼されていないプロセスがファイルを読み取ることを防止することと、信頼されていないプロセスがファイルを書き込むことを防止することと、信頼されていないプロセスがファイルを削除することを防止することと、信頼されていないプロセスがファイルを移動することを防止することと、のうちの１つ以上を含む。

非一時的コンピュータ可読媒体のさらなる実施形態では、結果を修正することは、要求プロセスが信頼されていない場合、要求プロセスに提供される結果にシードされたファイルを含めることと、要求プロセスが信頼されている場合、要求プロセスに提供される結果からシードされたファイルを除くことと、を含む。

非一時的コンピュータ可読媒体のさらなる実施形態では、シードされたファイルは、記憶媒体に記憶され、要求プロセスが信頼されている場合、要求プロセスに提示される結果から除去される。

非一時的コンピュータ可読媒体のさらなる実施形態では、シードされたファイルは、定義された名前付け規則と、シードされたファイル名のリストと、のうちの１つ以上を使用して識別される。

非一時的コンピュータ可読媒体のさらなる実施形態では、シードされたファイルは、要求プロセスが信頼されていない場合、要求プロセスに提示される結果に追加される。

非一時的コンピュータ可読媒体のさらなる実施形態では、シードされたファイルのみが、要求プロセスが信頼されていない場合、要求プロセスに結果として提示される。

非一時的コンピュータ可読媒体のさらなる実施形態では、ファイルシステムは、カーネルモードで動作し、要求プロセスは、ユーザモードまたはカーネルモードで動作する。

非一時的コンピュータ可読媒体のさらなる実施形態では、修正された結果のうちの１つ以上のＩＯ要求を監視することは、修正された結果のうちの１つ以上に対する書き込みプロセスを検出することと、書き込みプロセスによって書き込まれているコンテンツが暗号化されている可能性が高いかどうかを判定することと、書き込まれているコンテンツが暗号化されている可能性が高いと判定されたときに書き込みプロセスをブロックすることと、を含む。

本開示によれば、ランサムウェア攻撃を防止する方法がさらに提供され、本方法は、システム構造を処理して、複数のファイルタイプと複数のファイルタイプのそれぞれにアクセスする際に使用されるプロセスとの間におけるファイルタイプのプロセスマッピングを自動的に判定することと、プロセスマッピングするためのファイルタイプにおけるプロセスの各々について、そのプロセスの信頼度を評価することと、ファイルシステムにおいて要求プロセスからの入力／出力（ＩＯ）要求を受信することと、要求プロセスが信頼されているプロセスであるかどうかを判定することと、要求プロセスが信頼されているかどうかの判定に基づいて、ＩＯ要求を許可またはブロックすることと、を含む。

さらなる実施形態では、本方法は、プロセスマッピングするためのファイルタイプにおけるプロセスの各々について、信頼性について評価されたプロセスのフィンガープリントを生成することと、要求プロセスが信頼されているかどうかを判定するとき、要求プロセスの要求プロセスフィンガープリントを判定することと、要求プロセスフィンガープリントを、信頼性について評価されたプロセスの前回判定されたフィンガープリントと比較することと、をさらに含み、ＩＯ要求を許可またはブロックすることは、要求プロセスフィンガープリントと前回判定されたフィンガープリントの比較にさらに基づいている。

本方法のさらなる実施形態では、要求プロセスフィンガープリントと前回判定されたフィンガープリントが一致しない場合、要求プロセスの信頼度を再評価する。

本方法のさらなる実施形態では、システム構造は、Ｗｉｎｄｏｗｓレジストリを含む。

本方法のさらなる実施形態では、Ｗｉｎｄｏｗｓレジストリを処理して、プロセスマッピングするためのファイルタイプを自動的に判定することは、登録されたアプリケーションをレジストリ内の第１の既知の場所から判定することであって、第１の既知の場所内の各登録されたアプリケーションがレジストリ内のそれぞれの第２の場所を示す、判定することと、判定された登録されたアプリケーションの各々について、それぞれの第２の場所から、それぞれの登録されたアプリケーションに関連付けられたファイルタイプを判定することであって、ファイルタイプの各々はレジストリ内の第３の場所を示す、判定することと、ファイルタイプの各々について、それぞれの第３の場所から、ファイルシステム上に実行可能に位置するそれぞれのプロセスに関連付けられた１つ以上のファイルアクセスコマンドを判定することと、を含む。

本方法のさらなる実施形態では、システム構造は、ｍａｃＯＳシステム構造を含む。

本方法のさらなる実施形態では、ｍａｃＯＳシステム構造を処理して、プロセスマッピングするためのファイルタイプを自動的に判定することは、ＡＰＩを使用して所与のホスト上の複数のＵＴＩを識別し、ＵＴＩマッピングを、それらをサポートする登録されたアプリケーションまたはバンドルに相関させること、を含む。

本開示によれば、ランサムウェア攻撃を防止するためのシステムがさらに提供され、本システムは、命令を実行するためのプロセッサと、命令を記憶するためのメモリと、を備え、その命令は、プロセッサによって実行されると、システム構造を処理して、複数のファイルタイプと、複数のファイルタイプのそれぞれにアクセスする際に使用されるプロセスとの間でプロセスマッピングするためのファイルタイプを自動的に判定することと、プロセスマッピングするためのファイルタイプにおける各プロセスについて、そのプロセスの信頼度を評価することと、ファイルシステムにおいて要求プロセスからの入力／出力（ＩＯ）要求を受信することと、要求プロセスが信頼されているプロセスであるかどうかを判定することと、要求プロセスが信頼されているかどうかの判定に基づいて、ＩＯ要求を許可またはブロックすることと、を含む方法を実行するようにシステムを構成する。

システムのさらなる実施形態では、命令を実行することによって構成される方法は、プロセスマッピングするためのファイルタイプにおける各プロセスについて、信頼性について評価されたプロセスのフィンガープリントを生成することと、要求プロセスが信頼されているかどうかを判定するとき、要求プロセスの要求プロセスフィンガープリントを判定することと、要求プロセスフィンガープリントを、信頼性について評価されたプロセスの前回判定されたフィンガープリントと比較することと、をさらに含み、ＩＯ要求を許可またはブロックすることは、要求プロセスフィンガープリントと前回判定されたフィンガープリントとの比較にさらに基づいている。

システムのさらなる実施形態では、要求プロセスフィンガープリントおよび前回判定されたフィンガープリントが一致しない場合、要求プロセスの信頼度を再評価する。

システムのさらなる実施形態では、システム構造は、Ｗｉｎｄｏｗｓレジストリを含む。

システムのさらなる実施形態では、Ｗｉｎｄｏｗｓレジストリを処理して、プロセスマッピングするためのファイルタイプを自動的に判定することは、登録されたアプリケーションをレジストリ内の第１の既知の場所から判定することであって、第１の既知の場所内の各登録されたアプリケーションがレジストリ内のそれぞれの第２の場所を示す、判定することと、判定された登録されたアプリケーションの各々について、それぞれの第２の場所から、それぞれの登録されたアプリケーションに関連付けられたファイルタイプを判定することであって、ファイルタイプの各々はレジストリ内の第３の場所を示す、判定することと、ファイルタイプの各々について、それぞれの第３の場所から、ファイルシステム上に実行可能に位置するそれぞれのプロセスに関連付けられた１つ以上のファイルアクセスコマンドを判定することと、を含む。

システムのさらなる実施形態では、システム構造は、ｍａｃＯＳシステム構造を含む。

システムのさらなる実施形態では、ｍａｃＯＳシステム構造を処理して、プロセスマッピングするためのファイルタイプを自動的に判定することは、ＡＰＩを使用して所与のホスト上の複数のＵＴＩを識別し、ＵＴＩマッピングを、それらをサポートする登録されたアプリケーションまたはバンドルに相関させること、を含む。

本開示によれば、命令を中に記憶した非一時的コンピュータ可読媒体がさらに提供され、その命令は、コンピュータシステムのプロセッサによって実行されると、システム構造を処理して、複数のファイルタイプと、複数のファイルタイプのそれぞれにアクセスする際に使用されるプロセスとの間でプロセスマッピングするためのファイルタイプを自動的に判定することと、プロセスマッピングするためのファイルタイプにおけるプロセスの各々について、プロセスの信頼度を評価することと、ファイルシステムにおいて要求プロセスからの入力／出力（ＩＯ）要求を受信することと、要求プロセスが信頼されているプロセスであるかどうかを判定することと、要求プロセスが信頼されているかどうかの判定に基づいて、ＩＯ要求を許可またはブロックすることと、を含む方法を実行するようにコンピュータシステムを構成する。

非一時的コンピュータ可読媒体のさらなる実施形態では、命令によって構成される方法は、プロセスマッピングするためのファイルタイプにおけるプロセスの各々について、信頼性について評価されたプロセスのフィンガープリントを生成することと、要求プロセスが信頼されているかどうかを判定するとき、要求プロセスの要求プロセスフィンガープリントを判定することと、要求プロセスフィンガープリントを、信頼性について評価されたプロセスの前回判定されたフィンガープリントと比較することと、をさらに含み、ＩＯ要求を許可またはブロックすることは、要求プロセスフィンガープリントと前回判定されたフィンガープリントとの比較にさらに基づいている。

非一時的コンピュータ可読媒体のさらなる実施形態では、要求プロセスフィンガープリントおよび前回判定されたフィンガープリントが一致しない場合、要求プロセスの信頼度を再評価する。

非一時的コンピュータ可読媒体のさらなる実施形態では、システム構造は、Ｗｉｎｄｏｗｓレジストリを含む。

非一時的コンピュータ可読媒体のさらなる実施形態では、Ｗｉｎｄｏｗｓレジストリを処理して、プロセスマッピングするためのファイルタイプを自動的に判定することは、登録されたアプリケーションをレジストリ内の第１の既知の場所から判定することであって、第１の既知の場所内の各登録されたアプリケーションがレジストリ内のそれぞれの第２の場所を示す、判定することと、判定された登録されたアプリケーションの各々について、それぞれの第２の場所から、それぞれの登録されたアプリケーションに関連付けられたファイルタイプを判定することであって、ファイルタイプの各々はレジストリ内の第３の場所を示す、判定することと、ファイルタイプの各々について、それぞれの第３の場所から、ファイルシステム上に実行可能に位置するそれぞれのプロセスに関連付けられた１つ以上のファイルアクセスコマンドを判定することと、を含む。

非一時的コンピュータ可読媒体のさらなる実施形態では、システム構造は、ｍａｃＯＳシステム構造を含む。

非一時的コンピュータ可読媒体のさらなる実施形態では、ｍａｃＯＳシステム構造を処理して、プロセスマッピングするためのファイルタイプを自動的に判定することは、ＡＰＩを使用して所与のホスト上の複数のＵＴＩを識別し、ＵＴＩマッピングを、それらをサポートする登録されたアプリケーションまたはバンドルに相関させること、を含む。

本開示のさらなる特徴および利点は、添付の図面と組み合わせて、以下の詳細な記載から明らかになるであろう。

ランサムウェア攻撃を防止または緩和するためのコンピュータシステムを示す。ランサムウェア攻撃を緩和する方法を示す。ランサムウェア攻撃を緩和する際に使用するためのそれぞれの方法を示す。ランサムウェア攻撃を緩和する際に使用するためのそれぞれの方法を示す。ランサムウェア攻撃を緩和する際に使用するためのそれぞれの方法を示す。ランサムウェア攻撃を緩和する際に使用するためのそれぞれの方法を示す。ランサムウェア攻撃を緩和する際に使用するためのそれぞれの方法を示す。ランサムウェア攻撃プロセスおよび攻撃の緩和を示す。ランサムウェア緩和機能を実装するコンピュータシステム上のファイルにアクセスする信頼されているプロセスを示す。ランサムウェア緩和機能を実装するコンピュータシステム上のファイルにアクセスする信頼されていないプロセスを示す。ランサムウェア攻撃プロセスおよび攻撃のさらなる緩和を示す。プロセスベースの攻撃緩和方法を示す。さらなるプロセスベースの攻撃緩和方法を示す。ファイルタイプに関連付けられたプロセスの信頼性を判定する方法を示す。ファイルタイプに関連付けられたプロセスを判定する際に使用されるシステム構造を示す。

ランサムウェア攻撃は、プロセスが暗号化されたコンテンツでファイルを上書きすることを防ぐか、またはリモートの場所にコピーされたファイルが直接またはファイルリネームセマンティクスを利用することによって削除されることを防止することによって、防止または緩和することができる。ほとんどのプロセスは、適切な権限でファイルの内容を上書きすることができる信頼されているプロセスであるが、いくつかのプロセスは信頼度が不明であり得、ランサムウェア攻撃ではない可能性が高い場合にのみデータを上書きすることを許可されるべきである。本明細書でさらに記載のように、可能性の高いランサムウェアプロセスは、例えば、ディレクトリリストが要求されたときに信頼されていないプロセスに提示されるファイルをシードすることを含む、様々な方法で識別することができる。次いで、シードされたファイルへのアクセスを監視し得、信頼されていないプロセスがシードされたファイルにアクセスしている場合、それ以上のアクセスをブロックすることができ、信頼されていないプロセスを中断または隔離するなどの他の緩和アクションを講じることができる。ランサムウェア防止機能は、システムのすべての入力／出力（ＩＯ）要求を処理することができるファイルシステムフィルタまたはミニフィルタとして実装され得る。ファイルをシードすることはランサムウェアプロセスを検出するのに役立つことができるが、どのプロセスが信頼されることにならないかを判定しようと試みるのではなく、どのプロセスが信頼されるかを判定することが可能である。異なるファイルタイプにアクセスするためにどのプロセスが信頼されるかを判定することは、様々なファイルタイプにアクセスおよび／または編集するために使用され得るアプリケーションを識別するために個人が構成することを必要とせずに行うことが困難であり得る。ファイルをシードすることによって可能性のあるランサムウェア攻撃を識別することの代替として、またはそれに追加して、以下でさらに記載のように、異なるファイルタイプにアクセスするために使用されるプロセスを自動的に判定し、プロセスが信頼されるかどうかを判定することが可能である。

図１は、ランサムウェア攻撃を防止または緩和するためのコンピュータシステムを示している。コンピュータシステムは、例えば、デスクトップコンピュータ、ラップトップ、サーバ、またはＷｉｎｄｏｗｓ（商標）、ｍａｃＯＳ（商標）、Ｌｉｎｕｘ（商標）、Ｃｈｒｏｍｅ（商標）、Ａｎｄｒｏｉｄ（商標）、ｉＯＳ（商標）、ｉＰａｄＯＳ（商標）などのオペレーティングシステムを実行する他のコンピューティングデバイスであり得る。記載のプロセスは、Ｗｉｎｄｏｗｓ（商標）オペレーティングシステムに適用可能であるが、ランサムウェア攻撃に対して脆弱なオペレーティングシステムにも適用可能であり得る。コンピュータシステム１００は、スタンドアロンコンピュータであり得るか、または企業ネットワークなどのネットワーク環境に位置し得るか、またはパーソナルコンピュータであり得る。コンピュータの製造または形状に関係なく、コンピュータシステム１００は、様々な機能を提供するようにコンピュータシステム１００を構成するために命令を実行するための中央処理装置（ＣＰＵ）１０２を備え得る。コンピュータシステム１００は、ＣＰＵ１０２に動作可能に結合され、ＣＰＵ１０２によって実行するための命令１０６を記憶するメモリ１０４を備える。コンピュータ１００は、ハードディスクドライブ１０８として示される不揮発性ストレージをさらに含み得るが、他のデバイスは、例えば、ソリッドステートドライブ、フラッシュメモリ、光ストレージ、ネットワーク接続ストレージ、ネットワーク共有などを含む不揮発性ストレージが可能であり得る。さらに、ハードディスクドライブ１０８は、コンピュータ１００の内部にあるように示されているが、ハードドライブまたは他の不揮発性ストレージがコンピュータ１００の外部にあり得ることが可能である。不揮発性ストレージデバイスは、様々なファイル１１０を１つ以上のディレクトリに記憶し得る。

ファイル１１０は、１つ以上のディレクトリに記憶され得、ディレクトリは、個人、法人、または他のエンティティのいずれかにとって価値があるかまたは機密であり得るファイルを含み得る。例えば、ファイルには、ユーザドキュメント、マルチメディアファイル、財務ディレクトリに記憶された企業の財務情報が含まれ得、そのため、ファイルへのアクセスが、例えば、外部の関係者がファイルを暗号化することによって拒否された場合、ユーザまたは企業は影響を受け得る。価値のあるファイルまたは機密ファイルを有するディレクトリは、ランサムウェア攻撃に対して脆弱であり得る。他のファイルは、機密ではないか、またはそれらへのアクセスがブロックされた場合に容易に復元され得る。例えば、システムファイルは、アプリケーションまたはオペレーティングシステムを再インストールすることによって復元され得る。

記憶された命令は、実行されると、コンピュータの基本機能をサポートするオペレーティングシステム（ＯＳ）を提供するようにコンピュータ１００を構成し得る。ＯＳ１１２は、ユーザモード１１４およびカーネルモード１１６を提供し得る。アプリケーションは、一般に、ユーザモード１１４で動作し、ＯＳのコア機能はカーネルモード１１６で動作する。アプリケーションは、ユーザモードにおいて１つ以上のプロセス１１８として、または１つ以上のプロセスに常駐する１つ以上のダイナミックライブラリとして実行される。プロセスは、アプリケーションプログラミングインターフェース（ＡＰＩ）またはユーザモードドライバなどの定義されたインターフェースを通じて、カーネルモード内の機能にアクセスすることができる。例えば、ファイルエディタアプリケーションは、ディレクトリ内のファイルをリストするためのＡＰＩを使用してディレクトリ情報を要求し得る。ＯＳは、入力／出力（ＩＯ）マネージャ１２０、またはファイルＩ／Ｏを管理する他のオペレーティングシステムコンポーネント、アプリケーション間の通信またはアプリケーションのプロセスを管理する他のオペレーティングシステムコンポーネント、および複数のデバイスドライバによって提供されるインターフェースを含み得る。オペレーティングシステムとデバイスドライバとの間の通信は、オペレーティングシステムコンポーネントとドライバとの間で送信されるＩ／Ｏ要求パケット（ＩＲＰ）を使用して行われ得る。ドライバは、層状モデルを使用し得る。例えば、ドライバのスタックは、ハードドライブ上に記憶されたファイルにアクセスするプロセスに関連付けられ得る。

ＯＳ１１２は、プロセスが１つ以上のストレージデバイス上でファイルを作成し、読み取り、リストし、更新し、および削除することを可能にするファイルシステム１２２を提供し得る。ＩＯマネージャ１２０において受信されたファイル要求は、ファイルシステムに転送され得る。ファイルシステム１２２は、フィルタがファイルシステム要求に適用されることを可能にし得る。例えば、要求プロセスが要求されたファイルへのアクセスを認証されているかどうかを判定するフィルタが適用され得る。フィルタは、１つ以上のファイルフィルタとして提供され得るか、またはフィルタマネージャ１２４に登録された１つ以上のミニフィルタとして提供され得る。フィルタマネージャ１２４は、要求を傍受し、ＩＲＰをフィルタおよび登録されたミニフィルタに指定された順序で渡す。図示のように、複数のミニフィルタ１２６、１２８は、同じフィルタマネージャ１２４に登録され得る。ランサムウェア防止機能は、フィルタマネージャ１２４に登録されたミニフィルタ１２８として、またはレガシーファイルフィルタ１３０として提供され得る。フィルタおよびミニフィルタは、要求および／または結果を修正し得る。ファイルシステムドライバ１３２は、修正された要求を受信し、それを適切なストレージドライバスタック１３４に転送する。ストレージドライバスタック１３４は、ハードウェアに対する要求を準備し、結果を返す。結果は、結果を修正するために、フィルタおよびミニフィルタに戻され得る。図１には示されていないが、ランサムウェア防止機能は、ＦｉｌｅＳｙｓｔｅｍＦｉｌｔｅｒドライバとして提供され得る。

ランサムウェア防止機能は、悪意のあるプロセスが実際のファイルを識別することを困難にするためにファイルリストを改変することによってランサムウェア攻撃を防止し得る。さらに、改変されたファイルリストは、悪意のあるプロセスを識別するために使用され得る。追加的に、または代替的に、ランサムウェア防止機能は、プロセスが信頼されるかどうかに基づいて、ファイルアクセスを防止し得る。プロセス判定機能１３６は、異なるファイルタイプにアクセスするためにコンピュータによってどのプロセスが使用されるかを判定するために使用され得る。次いで、信頼性判定機能１３８は、プロセスまたはプロセスの実行可能ファイルを、それが信頼されるかどうかを判定するために評価し得る。プロセスが信頼されることになるかどうかは、コンピューティングデバイス、ユーザ、エンティティなどに応じて異なり得る。例えば、ホームユーザは、既知の開発者または他の既知のソースからのアプリケーションまたはアプリケーションのプロセスを信頼し得るが、企業環境では、使用され得る、または信頼されるアプリケーションの制限されたリストが存在し得る。

以下でさらに詳細に記載するように、ランサムウェアミニフィルタ１２８、または可能性のあるランサムウェア（または悪意のあるソフトウェア）フィルタ機能は、プロセスからディレクトリ要求または要求の結果を受信し得る。プロセスに提供されることになる結果は、要求プロセスが信頼されているプロセスまたは既知のプロセスと見なされるかどうかに基づいて修正することができる。信頼されているプロセスには、ディレクトリに記憶された実際のファイルを識別する結果が提示されるが、信頼されないまたは信頼されていないプロセスに表示される結果は、実際のファイルの前にアクセスされる可能性がより高いディレクトリリスト内の追加のシードファイルとともにシードされる。プロセスが信頼されるかどうかは、様々な方法で判定され得る。例えば、信頼されているプロセスに対してホワイトリストが提供され、ホワイトリスト上にないプロセスは信頼されていないと見なされ得る。さらに、プロセスの信頼性分類は、プロセスの特性に基づいて定期的に判定され得る。例えば、信頼性分類エンジンは、アプリケーションがインストールされた場所、名前、プロセスが実行された時間、プロセスのネットワークアクティビティ、プロセスのファイルシステムアクティビティ、アドレス空間内にロードされた署名付き／署名なし動的モジュール、アドレス空間を有する非帰属可能実行可能コードなどを含む様々な要因に基づいて、プロセスが信頼されるか信頼されていないかを判定し得る。信頼されていないプロセスは、信頼されることがあり得ない正当なプロセスと、明示的に信頼されない不当なプロセスの両方を含み得る。ランサムウェアミニフィルタ１２８機能は、プロセスがシードされたファイルのいずれかにアクセスしようと試みているかどうかを判定するために、信頼されないプロセスからのファイルアクセス要求を監視し得る。プロセスがシードされたファイルにアクセスしようと試みる場合、ランサムウェアミニフィルタ機能は、プロセスのさらなるファイルアクセスを制限し得る。シードされたファイルは、プロセスに返される結果の先頭に配置するように名前付けされ得る。例えば、シードファイルは実際のファイルの前にアルファベット順に挿入され得る。シードファイルは、これらに限定されないが、．ＤＯＣ、．ＤＯＣＸ、．ＸＬＡ、．ＸＬＳＸ、．ＰＰＴ、．ＰＰＴＸ、．ＯＤＴ、．ＲＴＦ、．ＴＸＴ、．ＰＤＦ、．ＪＰＧ、．ＭＰＧ、．ＭＰ４などの一般的なファイル拡張子タイプに関連付けられる。プロセスがランサムウェアプロセスである場合、またはプロセスがインジェクトされたランサムウェアを組み込んでいる場合、プロセスはディレクトリリスト内の最初から始まるファイルを暗号化しようと試み得るが、ランサムウェア機能は、ディレクトリリストの先頭にシードされたファイルについて試みられた暗号化を検出することができる。ランサムウェアミニフィルタ１２８を使用することにより、信頼されているプロセスのためのファイルシステムのパフォーマンスに悪影響を与えることなく、ランサムウェア攻撃からコンピュータシステムが保護され得る。

図２は、ランサムウェア攻撃を緩和する方法を示している。方法２００は、オペレーティングシステムのファイルシステム内に実装され得、カーネルモードで動作する。例えば、ランサムウェア防止方法２００は、ファイルシステムのフィルタマネージャに登録するミニフィルタとして実装され得る。方法２００は、ディレクトリリストを取り出すためのＩＯ要求（２０２）を受信する。ＩＯ要求は、結果が取り出される前に受信され得るか、または結果とともに受信され得る。ＩＯ要求は、要求プロセスに関連付けられており、ファイルシステムのフィルタ、ミニフィルタ、ドライバを含むファイルシステムコンポーネント間で送信することができるＩＯ要求パケット（ＩＲＰ）で提供され得る。コンポーネントの各々は、リクエストおよび／または結果を処理するときにＩＲＰを修正することができる。ＩＯ要求を受信した後に、要求プロセスの信頼性分類が判定される（２０４）。信頼性分類は、プロセスが信頼されるか信頼されないかを識別し得る。信頼されないプロセスは、信頼度が不明であり得る。すなわち、信頼されていないプロセスは、それでも、ファイルシステムにアクセスすることができるはずの有効なプロセスであり得る。すなわち、信頼されていないすべてのプロセスが安全でないと見なされるわけではない。要求プロセスの信頼性分類が判定されると、それを使用して、判定された信頼性分類に基づいて、ＩＯ要求の結果を修正する（２０６）。信頼されると判定された要求プロセスには、ディレクトリリストのＩＯリクエストに対する結果がランサムウェア防止機能が存在しないかのように提示される。対照的に、信頼されていないプロセスには、１つ以上のシードされたファイルを含むＩＯ要求に対する結果が表示される。以下でさらに詳細に記載のように、シードされたファイルは、ハードドライブに記憶され、信頼されているプロセスに提示される結果から除去されるか、またはシードされたファイルが信頼されていないプロセスに提示される結果に追加され得る。信頼されないプロセスに提示されるシードされたファイルは、結果リストの一番上にシードされたファイルの位置を定めるように名前付けされ得、またはファイルは、結果リスト全体にシードされ得る。ランサムウェアプロセスは、一般に、結果リストの一番上でファイルの暗号化を開始し得、そのため、ディレクトリ内の実際のファイルを暗号化する前に、シードされたファイルのうちの１つを暗号化しようと試みることになる。信頼されていない要求プロセスのさらなるＩＯ要求は、修正された結果の要求について監視される（２０８）。ＩＯ要求を監視して、信頼されないプロセスによるシードファイルへのファイルアクセスを検出し得る。シードされたファイルはランサムウェア攻撃を検出するために作成されるため、正常なプロセスは、信頼されていない場合でも、典型的にはシードされたファイルにアクセスしない。以下でさらに詳細に記載するように、ファイルアクセスは、シードファイルを読み取ること、シードファイルに書き込むこと、ならびに場合によっては、講じられるべき適切なアクションを判定するのを助けるために、シードされたファイルに書き込まれているコンテンツを比較することについて監視され得る。例えば、信頼されないプロセスは、アクションを講ずることなくシードされたファイルを読み取ることが可能であり得る一方で、シードされたファイルに書き込むことまたはシードされたファイルを削除しようと試みることが、緩和アクションをトリガし得る。ＩＯ要求を監視した後、信頼されていないプロセスからのさらなるファイルアクセスは制限され得る（２１０）。例えば、プロセスがシードされたファイルに書き込もうと試みる場合、プロセスはさらなるファイルアクセスからブロックされ得る。さらに、プロセスは隔離され（２１２）、強制終了され、または中断され、または不当なプロセスとしてマーク付けされ得る。

図３Ａおよび図３Ｂはそれぞれ、ランサムウェア攻撃を緩和する際に使用するためのそれぞれの方法を示している。図３Ａは、シードされたファイルがハードドライブまたは他の不揮発性記憶媒体に保存される方法を示している。方法３００ａは、ファイルを記憶媒体にシードする（３０２）。ファイルは、すべてのディレクトリに、または選択したディレクトリにのみシードされ得る。ファイルをシードすることは、シードされたファイルのタイプが、一般に、ディレクトリ内の実際のファイルのタイプと一致するように実行され得る。例えば、ディレクトリが半分がワード文書であり半分が画像であるファイルを有する場合、シードされたファイルは、一般に、組成が一致し得るため、シードされたファイルの半分はワード文書であり、残りの半分は画像である。結果リスト内の様々な場所にシードされたファイルの位置を定めるために、シードされたファイルの名前が使用され得る。ディレクトリリストの結果は、典型的には、アルファベット順に提示され、そのため、「１１１１ｓｅｅｄｆｉｌｅ．ｄｏｃ」という名前のシードファイルが結果の最初に現れることになる。ランサムウェアは結果の一番上でファイルの暗号化を開始する可能性が高いため、結果リストの一番上にシードされたファイルの位置を定めることは特に有用であると考えられるが、結果全体にわたって異なる場所にシードされたファイルの位置を定めることも可能である。さらに、わずか単一のファイルを含む限られた数のファイルのみをシードすることが可能であるが、ディレクトリ内の実際のファイルごとにファイルをシードすることも可能である。ファイルをシードすることは、最初に１回行われるように示されているが、シードされたファイルを継続的に更新または修正することが可能である。ファイルがシードされた後、ディレクトリリストに対するＩＯ要求の結果が受信される（３０４）。その結果は、実ファイルおよびシードされたファイルの両方を含むことになる。要求プロセスの信頼性分類が判定され（３０６ａ）、要求プロセスが信頼される場合（３０６ａで「はい」）、シードされたファイルが結果から除去される（３０８ａ）。結果内のシードされたファイルは、様々な方法で識別され得る。例えば、シードされたファイルの名前のリストが維持され、結果内のファイルのいずれかが存在するかどうかを判定するために検査され得る。追加的または代替的に、結果のファイルの特性を使用して、シードされたファイルを識別し得る。例えば、ファイルの名前は、特定の名前付け規則と比較することなどによって、シードされたファイルを識別するために使用され得る。ファイルサイズおよび／または作成日などの追加の特性を使用して、シードされたファイルを識別し得る。シードされたファイルが結果から除去されると、結果を要求プロセスに返すことができる（３１０）。信頼されているプロセスに提示されたシードファイルを削除することによって、実際のファイルのみが提示されることになる。要求プロセスが信頼されると判定されない場合（３０６ａでは「いいえ」）、シードされたファイルを含む結果が要求プロセスに返される（３１０）。したがって、信頼されないプロセスは、実際のファイルとシードされたファイルの両方を受信する。

図３Ｂは、シードされたファイルがハードドライブまたは他の不揮発性記憶媒体に保存されず、逆に結果に挿入される方法を示している。図３Ａを参照して上に記載のように、シードされたファイルはハードドライブに記憶され、次いで、信頼されているプロセスに提示される結果から除去された。対照的に、方法３００ｂは、一切のシードされたファイルをハードドライブまたは他の不揮発性記憶媒体に記憶せず、逆に、信頼されないプロセスに提示される結果にファイルをシードする。方法３００ａと同様に、方法３００ｂは、ディレクトリリストに対するＩＯ要求の結果を受信する（３０４）。プロセスの信頼性分類が判定され（３０６ｂ）、プロセスが信頼されない場合（３０６ｂで「いいえ」）、結果にファイルがシードされる（３０８ｂ）。結果にファイルをシードすることは、上記のハードドライブにファイルをシードすることと類似の方法で実行され得る。例えば、ファイルの名前を使用して、シードされたファイルを結果内に位置決めし得る。シードされたファイルのタイプはまた、ディレクトリのファイルタイプ組成と一致するように選択され得る。結果がシードされたファイルで修正されると、結果が返される（３１０）。プロセスが信頼されているプロセスであると判定された場合（３０６ｂで「はい」）、結果がシードされたファイルを伴わずに返される（３１０）。

上記のように、シードファイルは信頼されないと判定されたプロセスに提示され得る。ファイルは様々な方法でシードされ得る。例えば、ディレクトリは、結果リストの一番上に位置するように名前付けされた単一のファイルでシードされ得、またはシードされたファイルは、実際のファイルの中の１つ以上の場所に位置するように名前付けされ得る。ディレクトリにシードされるファイルは、ファイルがシードされているディレクトリに基づいて変化し得る。例えば、ディレクトリは、ファイルの名前とともにどのタイプのファイルが存在するかを判定するためにプロファイルされ得る。ファイルは、シードされたファイルのプロファイルがディレクトリのプロファイルと一致するように、ディレクトリのプロファイルに基づいてシードされ得る。シードされたファイルの名前は、シードされたファイルを所望の場所に配置するように生成され得る。単一のファイルがディレクトリにシードされ得るか、または複数のファイルがシードされ得る。ディレクトリ内の実際のコンテンツファイルごとにファイルをシードすることが可能であり、シードされたファイルは、実際のファイル名と比較してアルファベット順が低くなるように名前付けされ、シードされたファイルが実際のファイルの前にリストされることを確実にする。追加的または代替的に、ディレクトリは、新しい実コンテンツファイルが作成され、および／または既存のコンテンツファイルが除去されたときにシードされたファイルを更新するために、監視され得る。シードされたファイルを動的に更新することは、ランサムウェア攻撃を防止する際により効果的であり得るが、必要とされる処理は、コンピュータシステムの処理能力に応じて、コンピュータシステムに許容できない処理負荷をかけ得る。信頼されないプロセスに提示されるディレクトリ結果にファイルをシードすることに加えて、ランサムウェア防止機能はまた、プロセスがシードされたファイルにアクセスしようと試みているときを検出して適切なアクションを講じるために、信頼されないプロセスからのＩＯ要求を監視する。

上記のように、プロセスに結果を提供するとき、要求プロセスの信頼特性が判定され得る。プロセスの信頼性特性の判定は、アプリケーションまたはプロセスがどこからインストールされたか、プロセスまたはアプリケーションがいつインストールされたか、正当にロードされたダイナミックライブラリ、インジェクトされたダイナミックライブラリ（存在する場合）、プロセスまたはアプリケーションが実行される頻度、アプリケーションまたはプロセスによって正常にアクセスされるファイルとディレクトリを含む、多数の要因に基づき得る。特定のプロセスは信頼され得るが、信頼されないすべてのプロセスが等しく信頼され得ないわけではない。信頼されないプロセスがシードされたファイルにアクセスするかまたはアクセスしようと試みるときに講じるべき適切なアクションは、例えば、アクセスされているファイルが存在する特定のディレクトリ、要求プロセスの信頼度などを含む、いくつかの要因に依存し得る。

図４Ａ、図４Ｂ、および図４Ｃは各々、ランサムウェア攻撃を防止する際に使用するためのそれぞれの方法を示している。図４Ａに示されるように、方法４００は、信頼されないプロセスからのシードされたファイルに対するファイル読み取りＩＯ要求を検出し得る（４０２）。シードされたファイルのファイル読み取りを検出すると、プロセスによる一切のさらなるファイルシステムアクセスがブロックされ得る（４０４）。したがって、プロセスがシードされたファイルを読み取ろうと試みる場合、一切の他のファイルシステムアクションを実行することを防止し得、そのため、プロセスがランサムウェアプロセスである場合、一切のファイルを暗号化することができなくなる。プロセスがさらなるファイルシステムアクセスができないようにブロックした後、プロセスがブロックされるべきであることを確認するようにローカルユーザまたは管理者に促すことが可能である（４０６）。その促しは、ローカルコンピュータ上であり得るか、ネットワーク管理者またはセキュリティ担当者に適切なアクションを講じるためのリモート通知であり得る。促しまたは通知がローカルまたはリモートで提供されるかどうかにかかわらず、促しは、ブロックを確認すること、サイレントブロックに関する通知を提供すること、および／または講じられたアクションについて管理者に通知することであり得る。ファイルシステムアクセスをブロックした後に発生するように示されているが、実際にプロセスをブロックする前に、プロセスをブロックすべきであることを確認するようにユーザまたは管理者に促すことが可能である。さらに、ユーザまたは管理者に促すことは、例えば、確認ボックスをユーザに表示すること、ブロックされたプロセスのリストをユーザに表示することなどを含む、様々な方法で行われ得る。

図４Ｂは、方法４１０を示しているが、方法４１０は、上記のようにシードファイルに対する読み取りを検出するのではなく、シードファイルに対する書き込みＩＯ要求を検出することを除いて、方法４００と類似している（４１２）。シードファイルに書き込もうと試みると、プロセスによるさらなるファイルシステムアクセスがブロックされ得る（４１４）。上記のように、プロセスによってファイルシステムアクセスをブロックした後、ユーザまたは管理者は、図４Ａに関して上記のように、プロセスがブロックされるべきであることを確認するように促され得る。

図４Ｃは、信頼されないプロセスに対してファイルアクセスを制限するさらなる方法４２０を示している。方法４２０は、信頼されないプロセスからの、シードされたファイルを読み取るＩＯ要求を検出する（４２２）。読み取りアクセスを検出すると、シードファイルの内容が記憶される（４２４）。シードファイルが標準のフォーマットおよびコンテンツを使用している場合、シードファイルはすでに記憶されている場合があることに留意されたい。シードファイルへの書き込みを検出すると（４２６）、ファイルに書き込まれているコンテンツが元のコンテンツと比較され（４２８）、書き込まれているファイルが暗号化されている可能性が高いかどうかを判定する（４３０）。ファイルの先頭にあるコンテンツ、または典型的にはあまり変化しないファイルの場所を比較することによって、ファイルが暗号化されているかどうかを判定することが可能であり得る。例えば、ファイルは、ファイルの内容が変更されても実質的に変化しない場合があるヘッダセクションを有し得る。プロセスがファイルを暗号化しようと試みるとき、ヘッダも暗号化され得、そのため、元のファイルのヘッダと比較して実質的に変化することになる。書き込みがファイルを暗号化していない可能性が高いと判定された場合（４３０で「いいえ」）、プロセスによるさらなるファイルシステムアクセスが許可され得る（４３２）。ただし、ファイル書き込みがコンテンツを暗号化している可能性が高いと判定された場合（４３０で「はい」）、プロセスによるさらなるファイルシステムアクセスがブロックされ得る（４３４）。ユーザまたは管理者は、図４Ａに関して上記のように、プロセスによるファイルシステムアクセスをブロックすることを確認するように促され得る（４３６）。

図４Ａ～図４Ｃを参照して上記したように、様々な方法でプロセスに対してファイルシステムアクセスを制限することが可能である。方法４００、４１０、または４２０のうちのいずれが使用されるかは、コンピュータシステム上のデータの機密性の高さ、信頼されないコンピュータ上で動作するプロセスの数、および／または他の可能な要因に基づき得ることが理解されよう。

図５は、ランサムウェア攻撃プロセスおよび攻撃の可能な防止を示している。最初にランサムウェアのプロセスについて記載し、次いで上記のランサムウェア防止機能がどのようにかかるランサムウェア攻撃を防止することができるかについて記載する。プロセス５００は、ランサムウェアプロセスがディレクトリリストを要求することから始まる（５０２）。ランサムウェアプロセスは、ディレクトリリスト結果を受信し、それが価値のあるディレクトリであるかどうかを判定し得る（５０４）。ランサムウェアがディレクトリを脆弱であると見なすかどうかは、例えば、ディレクトリに存在するファイルのタイプ、ディレクトリの名前、ファイルの数などに基づき得る。ディレクトリがユーザにとって価値のあるデータまたは機密データを含有するために脆弱であると見なされない場合（５０４で「いいえ」）、ランサムウェアプロセスは次のディレクトリに進み得る（５０８）。ディレクトリが脆弱であると見なされる場合（５０４で「はい」）、ファイルが暗号化され得る（５０６）。暗号化は、典型的には、結果リストの最初のファイルから始まり、ファイルの各々について（５１０）、プロセスは、ファイルのコンテンツを読み取り（５１２）、ファイルを暗号化し（５１４）、暗号化されたファイルを書き込み（５１６）、次いで、結果リスト内の次のファイルに進む（５１８）。上記のように、マルウェア防止機能がないと、マルウェアプロセスは価値のあるファイルを暗号化し、身代金を手中にしてファイルを復号化し得る。

上記のマルウェア防止機能を使用して、図５に記載されるようなマルウェアプロセスが一切のファイルを暗号化することを防止し得る。図５に示されるように、ランサムウェアプロセスがディレクトリリストを要求すると、マルウェア防止機能は、返されるディレクトリリストにシードされたファイルを挿入する（５２０）。上記のように、シードされたファイルは、ディレクトリリストの一番上に位置するように名前付けされ得る。ランサムウェアプロセスがファイルの暗号化を開始すると、最初にファイル読み取りはシードされたファイルであることになり、ランサムウェア防止機能がアクセスを監視し、ファイルシステムへのさらなるアクセスを防止することができる（５２２）。したがって、ランサムウェアプロセスは、ストレージから、またはストレージへ、さらに一切の読み取りまたは書き込みを行うことができなくなる。ランサムウェア防止が、プロセスがファイルを読み取ることを可能にする場合、ランサムウェアプロセスはファイルを暗号化し、次いで暗号化されたコンテンツをファイルに書き込もうと試み得る。ランサムウェア防止プロセスは、シードされたファイルへの試みられた書き込みを検出し、さらなるファイルシステムアクセスをブロックし（５２４）、したがって、一切の実際のファイルが暗号化されることを防止し得る。代替的に、ランサムウェア防止機能は、書き込まれているコンテンツをシードされたファイルの元のコンテンツと比較して、ファイルが暗号化されているかどうかを判定し得、暗号化される可能性が高い場合、プロセスはさらなるファイルシステムアクセスを行うことをブロックされ得る。

上記のように、ランサムウェア防止機能は、信頼度が不明なプロセスがファイルを暗号化することを防止する一方で、信頼されているプロセス、信頼度が不明な正当なプロセスさえもがファイルシステムにアクセスすることを依然として可能にする。

図６Ａは、信頼されているプロセスが、ランサムウェア緩和機能を実装するコンピュータシステム上のファイルにアクセスすることを示している。図示のように、信頼されているプロセスがファイルにアクセスしようと試みると、最初にディレクトリリストを要求し（６０２）、ディレクトリリストは実際のファイルのリストを返すことになる（６０４）。信頼されているプロセスは、ファイルのうちの１つを読み取り得（６０６）、例えば、画像６０８を表示するように描写されるコンテンツを表示するか、または別様に使用し得る。次いで、信頼されているプロセスは、ファイルコンテンツ６１２を編集し、記憶し得る（６１０）。信頼されているプロセスの場合、シードされたファイルは提示されず、プロセスは、ディレクトリの実際の実ファイルコンテンツのみが提示される。

図６Ｂは、信頼されていないプロセスが、ランサムウェア緩和機能を実装するコンピュータシステム上のファイルにアクセスすることを示している。図示のように、信頼されていないプロセスは、ディレクトリリストを要求し（６２０）、実ファイルおよびシードされたファイルの両方のリスト６２２を受信し得る。信頼されていないプロセスがランサムウェアプロセスである場合、プロセスはリストの一番上から始めてファイルの暗号化を開始する可能性が高く、そのため、シードされたファイルであることになるリストの最初のファイルを読み取ろうと試みることになる（６２４）。シードされたファイルは、チェッカーボードパターン６２６として示されるダミーコンテンツを有し得、または他の実際のファイルからコピーされたコンテンツを有し得る。ランサムウェアプロセスは、ファイル６３０を暗号化し、次いで暗号化されたファイルを書き込もうと試み得る（６２８）。ランサムウェア防止機能は、シードされたファイルに暗号化されたコンテンツを書き込む試み、またはそれに書き込む一切の試みを検出することができ、ランサムウェアプロセスがさらなるファイルシステムアクセスを行うことをブロックし得る（６３２）。したがって、上記のランサムウェア防止機能により、信頼されているプロセスが、正常であるものとして、すべてのファイルにアクセスすることを可能にする一方、悪意のある信頼されていないプロセスは、１つ以上のシードされたファイルが提示されることになり、次いで、このシードされたファイルを使用して、プロセスの悪意のあるアクティビティを識別し、プロセスがさらなるファイルシステムアクセスを行うことをブロックし得る。信頼されない正当なプロセスは、シードされたファイルとともに実際のファイルが提示され得る。ただし、正当なプロセスは、シードされたファイルに書き込もうと試みない可能性が高く、そのため、正当なものとして機能することになる。

ランサムウェア防止機能について、Ｗｉｎｄｏｗｓオペレーティングシステムで提供されるＭｉｎｉＦｉｌｔｅｒを使用する実装を特に参照して記載した。他のオペレーティングシステムはＭｉｎｉＦｉｌｔｅｒまたはファイルフィルタを使用しない場合があるが、ファイルシステムアクセスを監視および制御するための類似の機能を提供するコンポーネントを含むことが理解されよう。ランサムウェア防止機能は、異なるオペレーティングシステムにおいてファイルシステムアクセスを管理する他のファイルシステムコンポーネントで提供され得る。

上記のランサムウェア付着防止は、可能性のあるランサムウェアプロセスをシードされたファイルとともに提示することによって、またはそうでなければ実際のファイルを隠すことによって、ランサムウェア攻撃を防止しようと試みる。ただし、以下でさらに記載されるように、信頼されているプロセスのみがファイルにアクセスすることを許可されることを確実にすることによって、ランサムウェア攻撃を防止することも可能である。信頼されているプロセスのみがファイルにアクセスすることを許可することは、上記のファイルシードの代替として、またはそれに加えて使用され得る。ファイルアクセスを信頼されているプロセスに対して制限することは可能であるが、信頼されるべきすべてのプロセスを識別することは困難であり得る。以下でさらに記載されるように、信頼されているプロセスを自動的に識別することが可能である。

図７は、図５のランサムウェア攻撃プロセス、およびプロセスの信頼性に基づく攻撃の可能な防止を示している。上記のように、プロセス５００は、ランサムウェアプロセスがディレクトリリストを要求することから始まる（５０２）。ランサムウェアプロセスは、ディレクトリリスト結果を受信し、それが価値のあるディレクトリであるかどうかを判定し得る（５０４）。ランサムウェアがディレクトリを脆弱であると見なすかどうかは、例えば、ディレクトリに存在するファイルのタイプ、ディレクトリの名前、ファイルの数などに基づき得る。ディレクトリがユーザにとって価値のあるデータまたは機密データを含有するために脆弱であると見なされない場合（５０４で「いいえ」）、ランサムウェアプロセスは次のディレクトリに進み得る（５０８）。ディレクトリが脆弱であると見なされる場合（５０４で「はい」）、ファイルが暗号化され得る（５０６）。暗号化は、典型的には、結果リストの最初のファイルから始まり、ファイルの各々について（５１０）、プロセスは、ファイルのコンテンツを読み取り（５１２）、ファイルを暗号化し（５１４）、暗号化されたファイルを書き込み（５１６）、次いで、結果リスト内の次のファイルに進む（５１８）。上記のように、マルウェア防止機能がないと、マルウェアプロセスは価値のあるファイルを暗号化し、身代金を手中にしてファイルを復号化し得る。ランサムウェアプロセスがディレクトリリストを要求すると、マルウェア防止機能は、返されるディレクトリリストにシードされたファイルを挿入する（５２０）。上記のように、シードされたファイルは、ランサムウェアプロセスが正当なファイルにアクセスすることを防止するために使用され得る。ただし、ランサムウェアプロセスが正当なファイルを何らかの方法で識別することができる場合、ランサムウェア攻撃は、ファイルへのアクセスに使用されるプロセスに基づいてファイルアクセスを監視または緩和することによって防止することができる。ファイルアクセス監視／緩和（７２２）は、プロセスが実ファイルのコンテンツを読み取ろうと試みるときに実行され得る。追加的または代替的に、ファイルアクセス監視／緩和（７２４）は、プロセスが実ファイルのコンテンツを書き込もうと試みるときに実行され得る。

図８は、プロセスベースの攻撃緩和方法を示している。方法８００は、１つまたはコンピューティングデバイスによって実装され得る。信頼されているプロセスに基づいてファイルアクセスを許可するために、様々なファイルにアクセスするために使用され得るプロセスまたは実行可能ファイルを判定することが必要である。プロセスが判定されると、プロセスの信頼度が判定され得、ファイルにアクセスするプロセスが信頼される場合、アクセスは続行し得る。方法８００は、コンピューティングシステム上の異なるファイルタイプに対して、プロセスマッピングするためのファイルタイプを生成する（８０２）。マッピングは、異なるファイルタイプにアクセスするためにどの実行可能ファイルまたはアプリケーションが使用され得るかを維持するシステム構造から自動的に生成され得る。例えば、Ｗｉｎｄｏｗｓ（商標）オペレーティングシステムでは、システム構造はレジストリによって提供され得る。システム構造は、異なるファイルタイプにアクセスするために使用され得る実行可能ファイルの場所を示し得る。例えば、システム構造を使用して、Ｍｉｃｒｏｓｏｆｔ（商標）Ｗｏｒｄを使用してＷｏｒｄ文書を編集するための実行可能ファイルが「Ｃ：＼＼ＰｒｏｇｒａｍＦｉｌｅｓ（ｘ８６）＼＼ＭｉｃｒｏｓｏｆｔＯｆｆｉｃｅ＼＼Ｏｆｆｉｃｅ１６＼＼ＷＩＮＷＯＲＤ．ＥＸＥ」に位置することを判定し得る。特定のインストール場所は、例えば、異なるバージョンおよび／またはユーザ設定に基づいて変化し得ることが理解されよう。プロセスマッピングするためのファイルタイプが判定されると、プロセスの各々の信頼度が判定される（８０４）。ＷＩＮＷＯＲＤ．ＥＸＥなどのプロセスが信頼されるかどうかは、様々な方法で判定され得、その方法には、例えば、実行可能ファイルが信頼されているソースによって署名されているかどうか、実行可能ファイルがウイルススキャンに合格するかどうか、実行可能ファイルがファイルタイプにアクセスするための既知の実行可能ファイルであるかどうか、実行可能ファイルが悪意のあるものであることが既知であるかどうか、信頼されているユーザが実行可能ファイルが信頼されていることを示しているかどうかなどを判定することが含まれる。実行可能ファイルの信頼度が判定されると、信頼されている処理されたものがファイルにアクセスすることを許可され得る。

プロセスの信頼度を判定した後、既存のプロセスへの書き込みなどのファイルアクセスが検出され得る（８０６）。検出されたファイルの書き込みは、書き込みプロセスと称される特定のプロセスから行われ、書き込みプロセスまたは書き込みプロセスの実行可能ファイルが信頼されるかどうかが判定される（８０８）。書き込みプロセスが信頼される場合（８０８で「はい」）、ファイル書き込みまたはアクセスは続行することが許可される。書き込みプロセスが信頼されない場合（８０８で「いいえ」）、ファイル書き込みまたはアクセスはブロックされる。

システム構造を使用して、異なるファイルタイプにアクセスできる実行可能ファイルを判定することにより、可能な実行可能ファイルのリストが判定され、次いで、信頼度について評価されることを可能にする。プロセスの信頼度を自動的に判定した後、その情報は、ファイルアクセスを制御するために使用され得る。プロセスが、その信頼度が評価された後に改変された場合、以前に信頼されていたプロセスが悪意のあるプロセスに置き換えられ、ファイルにアクセスすることが許可される可能性がある。以下でさらに記載されるように、修正されたプロセスの信頼性が再評価され得る。

図９は、さらなるプロセスベースの攻撃緩和方法を示している。方法９００は、図８を参照して上記で説明したように、ファイルタイプのプロセスマッピングを生成し（８０２）、次いで、マッピングにおけるプロセスの信頼性を判定する（８０４）ことから始まる。プロセスの信頼性が判定されると、プロセスのフィンガープリントが判定され、記憶される（９０６）。フィンガープリントは、プロセスへの修正を検出することを可能にする暗号ハッシュまたは他の類似のプロセスとして判定され得る。プロセスのフィンガープリントが判定され、書き込みプロセスが検出されると（９０８）、書き込みプロセスのフィンガープリントが判定され、次いで、フィンガープリントが前回判定されたフィンガープリントと一致するかどうかが判定される（９１０）。フィンガープリントが一致せず（９１０で「いいえ」）、したがって、ファイルにアクセスしようと試みるプロセスが信頼性が評価されたプロセスと異なる場合、プロセスの信頼性が再評価され、プロセスフィンガープリントが判定される（９１２）。フィンガープリントは、信頼されていないプロセスについての計算フィンガープリントを保存するために、信頼されると判定されたプロセスに対してのみ判定され得る。フィンガープリントが一致する場合（９１０で「はい」）、またはプロセスを再評価した後、書き込みプロセスが信頼されるかどうかが判定され（９１４）、書き込みプロセスが信頼される場合（９１４で「はい」）、書き込みが続行し得る（９１６）。プロセスが信頼されない場合（９１４で「いいえ」）、書き込みがブロックされ得る（９１８）。プロセスが信頼されるかどうかを判定する前にフィンガープリントが一致するかどうかを判定するように描写されているが、プロセスが信頼されるかどうかを最初に判定し、次いで、フィンガープリントが一致するかどうかを判定することが可能である。

上記のように、プロセスの信頼性は、信頼された後にプロセスが修正されないことを確実にするために、プロセスのフィンガープリントにリンクされ得る。プロセスは、実行可能ファイル（．ｅｘｅ、．ｏｓｘ、．ｏｕｔ）、ダイナミックリンクライブラリ（．ｄｌｌ）、アプリケーション（．ａｐｋ）、バイナリファイル（．ｂｉｎ）、コマンドファイル（．ｃｏｍ）などであり得る。プロセスが評価されたものとは異なる場合、例えば、異なる．ｄｌｌを使用した結果として、プロセスが再評価され得る。プロセスにフィンガープリントを付けることによって、プロセスのコンポーネントのすべてが、信頼性が評価されたときと同じであることを確実にすることが可能である。

異なるファイルタイプにアクセスする際に使用され得るプロセスを判定することは、コンピューティングデバイスのオペレーティングシステムのシステム構造を使用して行われ得る。システム構造（複数可）は、オペレーティングシステムごとに異なり得る。例えば、Ｗｉｎｄｏｗｓでは、システム構造はレジストリであり得る。ｍａｃＯＳでは、システム構造は、ＵｎｉｆｏｒｍＴｙｐｅＩｄｅｎｔｉｆｉｅｒｓ（ＵＴＩ）およびＰｒｏｐｅｒｔｙＬｉｓｔ（ＰＬＩＳＴ）ファイルを含み得る。以下でさらに記載されるように、システム構造またはファイルは、登録されたアプリケーション、登録されたアプリケーションに関連付けられたファイルタイプ、および開くこと、編集すること、保存すること、印刷することなどのファイルアクションの実行可能ファイルの場所を識別するために処理され得る。

図１０は、ファイルタイプに関連付けられたプロセスの信頼性を判定する方法を示している。方法１０００は、Ｗｉｎｄｏｗｓオペレーティングシステム環境におけるプロセスの信頼性を判定することに特に参照して記載されている。Ｗｉｎｄｏｗｓでは、ファイルにアクセスする際に使用され得るプロセスを自動的に識別するために処理され得るシステム構造が、Ｗｉｎｄｏｗｓレジストリである。本方法は、オペレーティングシステムに登録されているアプリケーションについてシステム構造を検索することから始まる（１００２）。アプリケーションがインストールされると、オペレーティングシステムに登録され、アプリケーションに関する情報がレジストリに記憶され得、この情報には、アクセスに使用され得るファイルタイプ、ならびに異なるファイルアクションのための実行可能ファイルの場所などの、アプリケーションに関する情報が含まれる。登録されたアプリケーションがレジストリから判定されると、登録されたアプリケーションの各々を処理して（１００４）、登録されたアプリケーションの関連ファイルタイプを判定し得る（１００６）。ファイルタイプの各々について、実行可能ファイルを提供するシステム構造内の場所が、異なるファイルアクションに対して判定される（１００８）。システム構造内の場所において、コンピュータのファイルシステム内の実行可能ファイルの場所が、異なるファイルタイプアクションに対して判定される（１０１０）。実行可能ファイルの場所が判定されると、それはプロセスリストに追加される（１０１２）。アプリケーションの異なるファイルタイプに対する実行可能ファイルの場所が判定され、プロセスリストに追加されると、次に登録されたアプリケーション（１０１４）が処理され得る。次いで、プロセスリスト上の実行可能ファイルを評価して、プロセスが信頼されるかどうかを判定し（１０１６）、場合によってはプロセスのフィンガープリントを判定し得る。

図１１は、ファイルタイプに関連付けられたプロセスを判定する際に使用されるシステム構造を示している。システム構造１１００は、例えば、Ｗｉｎｄｏｗｓレジストリであり得る。図示のように、第１の場所１１０２は、登録されたアプリケーションに関する情報を提供し得る。図１には単一の登録されたアプリケーションのみが示されているが、複数のアプリケーションが登録され得ることが理解されよう。各登録されたアプリケーションは、システム構造１１０６内の第２の場所を指定するｋｅｙ：ｖａｌｕｅ１１０４の対を有し得る。第２の場所は、アプリケーションに関連付けられたファイルタイプに関する情報を提供し得る。各関連付けられたファイルタイプは、システム構造１１１０内の第３の場所を指定するｋｅｙ：ｖａｌｕｅ１１０８の対を含み得る。システム構造内の第３の場所は、ファイルタイプに対して１つ以上のアクションコマンドを指定し得、各アクションコマンドについて、ファイルアクションに対する実行可能ファイルのファイルシステムの場所を指定するｋｅｙ：ｖａｌｕｅの対１１１２が存在し得る。

例として、登録されたアプリケーションを指定するＷｉｎｄｏｗｓレジストリ内の第１の場所は、「＼ＨＫＥＹ＿ＬＯＣＡＬ＿ＭＡＣＨＩＮＥ＼ＳＯＦＴＷＡＲＥ＼ＲｅｇｉｓｔｅｒｅｄＡｐｐｌｉｃａｔｉｏｎｓ」であり得、これは、レジストリの場所を指定する各登録されたアプリケーションについて複数のｋｅｙ：ｖａｌｕｅの対を有し得る。例えば、１つのｋｅｙ：ｖａｌｕｅの対は、「Ｗｏｒｄ．Ａｐｐｌｉｃａｔｉｏｎ．１６：ＳＯＦＴＷＡＲＥ＼Ｃｌｉｅｎｔｓ＼ＷｏｒｄＰｒｏｃｅｓｓｉｎｇ＼ＭｉｃｒｏｓｏｆｔＷｏｒｄ＼Ｃａｐａｂｉｌｉｔｉｅｓ」であり得、これは、システム構造内のさらなる場所を提供する。システム構造の場所において、ｋｅｙ：ｖａｌｕｅの対が、アプリケーションおよびシステム構造内の第３の場所に関連付けられたファイルタイプの各々について指定され得る。例えば、「＼ＨＫＥＹ＿ＬＯＣＡＬ＿ＭＡＣＨＩＮＥ＼ＳＯＦＴＷＡＲＥ＼Ｃｌｉｅｎｔｓ＼ＷｏｒｄＰｒｏｃｅｓｓｉｎｇ＼ＭｉｃｒｏｓｏｆｔＷｏｒｄ＼Ｃａｐａｂｉｌｉｔｉｅｓ」において、キー対は「．ｄｏｃ：Ｗｏｒｄ．Ｄｏｃｕｍｅｎｔ．８」であり得る。例えば、場所「＼ＨＫＥＹ＿ＬＯＣＡＬ＿ＭＡＣＨＩＮＥ＼ＳＯＦＴＷＡＲＥ＼Ｃｌａｓｓｅｓ＼Ｗｏｒｄ．Ｄｏｃｕｍｅｎｔ．８」において、特定のファイルタイプのドキュメントを編集する、開く、新規作成するなどのためのシェルコマンドを指定し得、コマンドは、コマンドのファイルシステムの場所を提供するｋｅｙ：ｖａｌｕｅの対として指定される。例えば、「＼ＨＫＥＹ＿ＬＯＣＡＬ＿ＭＡＣＨＩＮＥ＼ＳＯＦＴＷＡＲＥ＼Ｃｌａｓｓｅｓ＼Ｗｏｒｄ．Ｄｏｃｕｍｅｎｔ．８＼ｓｈｅｌｌ＼Ｎｅｗ＼ｃｏｍｍａｎｄ」は、「（Ｄｅｆａｕｌｔ）：’Ｃ：＼ＰｒｏｇｒａｍＦｉｌｅｓ（ｘ８６）＼ＭｉｃｒｏｓｏｆｔＯｆｆｉｃｅ＼Ｏｆｆｉｃｅ１６＼ＷＩＮＷＯＲＤ．ＥＸＥ’／ｎ／ｆ’％１’」のｋｅｙ：ｖａｌｕｅの対を有し得、これは、新しい．ｄｏｃドキュメントの実行可能ファイルの場所がファイルシステム内の「Ｃ：＼ＰｒｏｇｒａｍＦｉｌｅｓ（ｘ８６）＼ＭｉｃｒｏｓｏｆｔＯｆｆｉｃｅ＼Ｏｆｆｉｃｅ１６＼ＷＩＮＷＯＲＤ．ＥＸＥ」に位置することを指定する。実行可能ファイルをプロセスリストに追加し、評価して、それが信頼できるかどうかを判定する。例えば、ＷＩＮＷＯＲＤ．ＥＸＥを評価して、それが信頼されている場所からのものであるか、信頼されているエンティティによって署名されているかなどを判定し得る。

システム構造内の単一の場所で登録されたアプリケーションを検索するものとして上記に記載したが、登録されたアプリケーションがシステム構造内の他の場所に位置し得ることが可能である。同じプロセスが、これらの異なるルートの場所に適用され得、これには、例えば、６４ビットバージョンのＷｉｎｄｏｗｓ上の３２ビットアプリケーションに関する情報を含有し得る「＼ＨＫＥＹ＿ＬＯＣＡＬ＿ＭＡＣＨＩＮＥ＼ＳＯＦＴＷＡＲＥ＼ＷＯＷ６４Ｎｏｄｅ＼ＲｅｇｉｓｔｅｒｅｄＡｐｐｌｉｃａｔｉｏｎｓ」、ならびにユーザ固有のソフトウェアを含有し得る「＼ＨＫＥＹ＿ＵＳＥＲＳ＼＜ＵＳＥＲ＿ＧＵＩＤ＞＼ＳＯＦＴＷＡＲＥ＼ＲｅｇｉｓｔｅｒｅｄＡｐｐｌｉｃａｔｉｏｎｓ」が含まれる。

上記では、システム構造をＷｉｎｄｏｗｓレジストリとして記載してきた。他のオペレーティングシステムが、異なるシステム構造において類似の情報を提供し得ることが理解されよう。例えば、Ａｐｐｌｅ（商標）ｍａｃＯＳおよびその他のＡｐｐｌｅオペレーティングシステムは、ＵｎｉｆｏｒｍＴｙｐｅＩｄｅｎｔｉｆｉｅｒｓ（ＵＴＩ）を利用して、プログラムとのエンティティの関連付けを構成する。ＵＴＩは本質的に、ファイル、ディレクトリ、フレームワーク、バンドルなどのメモリ内エンティティまたはディスク上エンティティに関する抽象タイプ情報を一意に識別するＣｏｒｅＦｏｕｎｄａｔｉｏｎ文字列として定義される単なるリバースＤＮＳ表記法仕様であり、ＵＴＩは様々なタスクを達成するために使用される。例えば、アプリケーションはＵＴＩを使用して、それらの関連付けを（ＬａｕｎｃｈＳｅｒｖｉｃｅＡＰＩを介して）ＬａｕｎｃｈＳｅｒｖｉｃｅに登録し、ＰａｓｔｅｂｏａｒｄＭａｎａｇｅｒはＵＴＩを使用して、保持されたアイテムの相関を定義し、異なるアプリケーションが所望のフォーマットでペーストボードアイテムを取り出すことを可能にし、ＮａｖｉｇａｔｉｏｎＳｅｒｖｉｃｅｓはファイルタイプのフィルタリングにＵＴＩを使用し、ＱｕｉｃｋＬｏｏｋはＵＴＩを使用して、ファイルのプレビューをＱｕｉｃｋＬｏｏｋジェネレータにオフロードする。ＵＴＩの実施例には、「ｃｏｍ．ａｐｐｌｅ．ｉｃａｌ．ｉｃｓ」、「ｃｏｍ．ｍｉｃｒｏｓｏｆｔ．ｗｏｒｄ．ｅｘｃｅｌ．ｘｌｔ」、および「ｐｕｂｌｉｃ．ｊｐｅｇ」が含まれる。これらの実施例は、３つのファイルタイプ、すなわち、ｉＣａｌｉｃｓファイル、ＭｉｃｒｏｓｏｆｔＥｘｃｅｌｘｌｔファイル、およびｊｐｅｇファイルの関連付けを可能にする。所与のベンダに固有のＵＴＩは、リバースＤＮＳ名前付けスキームを利用して、それらを組織、すなわち、ｃｏｍ．ａｐｐｌｅまたはｃｏｍ．ｍｉｃｒｏｓｏｆｔに関連付けるのに対し、組織と関連付けられていない公開標準は、パブリックドメイン識別子を利用する。

標準ＵＴＩは、／Ｓｙｓｔｅｍ／Ｌｉｂｒａｒｙ／ＣｏｒｅＳｅｒｖｉｃｅ／ＣｏｒｅＴｙｐｅｓ．ｂｕｎｄｌｅ／Ｃｏｎｔｅｎｔｓ／Ｉｎｆｏ．ｐｌｉｓｔにおけるＣｏｒｅＳｅｒｖｉｃｅによって定義される。ＣｏｒｅＳｅｒｖｉｃｅによって定義されるような例として、ＭｉｃｒｏｓｏｆｔＥｘｃｅｌｘｌｔＵＴＩを取り上げる。
＜ｄｉｃｔ＞
＜ｋｅｙ＞ＵＴＴｙｐｅＩｃｏｎＦｉｌｅｓ＜／ｋｅｙ＞
＜ａｒｒａｙ＞
＜ｓｔｒｉｎｇ＞ｅｘｃｅｌ＿２０ｘ２０．ｐｎｇ＜／ｓｔｒｉｎｇ＞
＜ｓｔｒｉｎｇ＞ｅｘｃｅｌ＿２０ｘ２０＠２ｘ．ｐｎｇ＜／ｓｔｒｉｎｇ＞
＜ｓｔｒｉｎｇ＞ｅｘｃｅｌ＿１４５ｘ１４５．ｐｎｇ＜／ｓｔｒｉｎｇ＞
＜ｓｔｒｉｎｇ＞ｅｘｃｅｌ＿１４５ｘ１４５＠２ｘ．ｐｎｇ＜／ｓｔｒｉｎｇ＞
＜／ａｒｒａｙ＞
＜ｋｅｙ＞ＵＴＴｙｐｅＩｄｅｎｔｉｆｉｅｒ＜／ｋｅｙ＞
＜ｓｔｒｉｎｇ＞ｃｏｍ．ｍｉｃｒｏｓｏｆｔ．ｅｘｃｅｌ．ｘｌｔ＜／ｓｔｒｉｎｇ＞
＜ｋｅｙ＞ＵＴＴｙｐｅＤｅｓｃｒｉｐｔｉｏｎ＜／ｋｅｙ＞
＜ｓｔｒｉｎｇ＞ＭｉｃｒｏｓｏｆｔＥｘｃｅｌ９７－２００４ｔｅｍｐｌａｔｅ＜／ｓｔｒｉｎｇ＞
＜ｋｅｙ＞ＵＴＴｙｐｅＣｏｎｆｏｒｍｓＴｏ＜／ｋｅｙ＞
＜ａｒｒａｙ＞
＜ｓｔｒｉｎｇ＞ｐｕｂｌｉｃ．ｄａｔａ＜／ｓｔｒｉｎｇ＞
＜ｓｔｒｉｎｇ＞ｐｕｂｌｉｃ．ｓｐｒｅａｄｓｈｅｅｔ＜／ｓｔｒｉｎｇ＞
＜／ａｒｒａｙ＞
＜ｋｅｙ＞ＵＴＴｙｐｅＴａｇＳｐｅｃｉｆｉｃａｔｉｏｎ＜／ｋｅｙ＞
＜ｄｉｃｔ＞
＜ｋｅｙ＞ｃｏｍ．ａｐｐｌｅ．ｏｓｔｙｐｅ＜／ｋｅｙ＞
＜ｓｔｒｉｎｇ＞ｓＬＳ８＜／ｓｔｒｉｎｇ＞
＜ｋｅｙ＞ｐｕｂｌｉｃ．ｍｉｍｅ－ｔｙｐｅ＜／ｋｅｙ＞
＜ａｒｒａｙ＞
＜ｓｔｒｉｎｇ＞ａｐｐｌｉｃａｔｉｏｎ／ｖｎｄ．ｍｓ－ｅｘｃｅｌ＜／ｓｔｒｉｎｇ＞
＜ｓｔｒｉｎｇ＞ａｐｐｌｉｃａｔｉｏｎ／ｍｓｅｘｃｅｌ＜／ｓｔｒｉｎｇ＞
＜／ａｒｒａｙ＞
＜ｋｅｙ＞ｐｕｂｌｉｃ．ｆｉｌｅｎａｍｅ－ｅｘｔｅｎｓｉｏｎ＜／ｋｅｙ＞
＜ｓｔｒｉｎｇ＞ｘｌｔ＜／ｓｔｒｉｎｇ＞
＜／ｄｉｃｔ＞
＜／ｄｉｃｔ＞

ｍａｃＯＳＸ１０．５に導入されたＱｕｉｃｋＬｏｏｋは、様々なファイルタイプのＦｉｎｄｅｒからのクイックプレビューを可能にする。これは、プレビュールックアップがシステム全体（／Ｓｙｓｔｅｍ／Ｌｉｂｒａｒｙ／ＱｕｉｃｋＬｏｏｋ）またはユーザごと（～／Ｌｉｂｒａｒｙ／ＱｕｉｃｋＬｏｏｋ）にインストールされているｑｌｇｅｎｅｒａｔｏｒプラグイン拡張機能（すなわち、バンドル）にオフロードされる。／Ｓｙｓｔｅｍ／Ｌｉｂｒａｒｙ／ＱｕｉｃｋＬｏｏｋ／ＰＤＦｑｌｇｅｎｅｒａｔｏｒにインストールされたバンドルにマッピングするｃｏｍ．ａｄｏｂｅ．ＰＤＦ．ｑｌｇｅｎｅｒａｔｏｒ拡張子を例に取る。バンドルのＩｎｆｏ．ｐｌｉｓｔから、ＣＦＢｕｎｄｌｅＤｏｃｕｍｅｎｔＴｙｐｅｓ配列は、指定されたＵＴＩを含有する。
＜ｋｅｙ＞ＣＦＢｕｎｄｌｅＤｏｃｕｍｅｎｔＴｙｐｅｓ＜／ｋｅｙ＞
＜ａｒｒａｙ＞
＜ｄｉｃｔ＞
＜ｋｅｙ＞ＣＦＢｕｎｄｌｅＴｙｐｅＲｏｌｅ＜／ｋｅｙ＞
＜ｓｔｒｉｎｇ＞ＱＬＧｅｎｅｒａｔｏｒ＜／ｓｔｒｉｎｇ＞
＜ｋｅｙ＞ＬＳＩｔｅｍＣｏｎｔｅｎｔＴｙｐｅｓ＜／ｋｅｙ＞
＜ａｒｒａｙ＞
＜ｓｔｒｉｎｇ＞ｃｏｍ．ａｄｏｂｅ．ｐｄｆ＜／ｓｔｒｉｎｇ＞
＜／ａｒｒａｙ＞
＜／ｄｉｃｔ＞
＜／ａｒｒａｙ＞

追加的に、バンドルはＱｕｉｃｋＬｏｏｋＧｅｎｅｒａｔｏｒＰｌｕｇｉｎＦａｃｔｏｒｙとして宣言され、これは、．ｑｌｇｅｎｅｒａｔｏｒ拡張子を定義するものである。
＜ｋｅｙ＞ＣＦＰｌｕｇＩｎＦａｃｔｏｒｉｅｓ＜／ｋｅｙ＞
＜ｄｉｃｔ＞
＜ｋｅｙ＞０Ｄ５Ｂ２５２Ｄ－０Ｂ３３－４Ｅ７Ａ－８８Ｅ２－Ｃ７７７２８Ｂ９Ｃ５６５＜／ｋｅｙ＞
＜ｓｔｒｉｎｇ＞ＱｕｉｃｋＬｏｏｋＧｅｎｅｒａｔｏｒＰｌｕｇｉｎＦａｃｔｏｒｙ＜／ｓｔｒｉｎｇ＞
＜／ｄｉｃｔ＞

Ｉｎｆｏ．ｐｌｉｓｔはまた、ＱＬＮｅｅｄｓＴｏＢｅＲｕｎＩｎＭａｉｎＴｈｒｅａｄ、ＱＬＳｕｐｐｏｒｔｓＣｏｎｃｕｒｒｅｎｔＲｅｑｕｅｓｔｓ、ＱＬＴｈｕｍｂｎａｉｌＭｉｎｉｍｕｍＳｉｚｅを含む他のＱｕｉｃｋＬｏｏｋ設定をプラグインごとに宣言する。．ｑｌｇｅｎｅｒａｔｏｒ拡張子は、ＱｕｉｃｋＬｏｏｋＧｅｎｅｒａｔｏｒＰｌｕｇｉｎＦａｃｔｏｒｙエントリポイントを実装する特別にコンパイルされたプログラムである。ＱｕｉｃｋＬｏｏｋプラグインのマッピングは、ｑｌｍａｎａｇｅユーティリティを介してダンプされ得る。

ＵＴＩは、ｍａｃＯＳＸ１０．３以降、ｉＯＳ３．０以降、ｔｖＯＳ９．０以降、およびｗａｔｃｈＯＳ２．０以降においてサポートされる。これらは、ｍａｃＯＳＸ用のＡｐｐｌｉｃａｔｉｏｎＳｅｒｖｉｃｅｓフレームワークおよびｉＯＳ、ｔｖＯＳ、ｗａｔｃｈＯＳ用のＭｏｂｉｌｅＣｏｒｅＳｅｒｖｉｃｅｓフレームワークの一部分であるＵＴＴｙｐｅを介してプログラム的に照会することができる。このＡＰＩを使用して、システム構造を処理して、所与のホスト上の指定されたすべてのＵＴＩを識別すること、所与のＵＴＩのデフォルトハンドラを識別すること、ＵＴＩマッピングを、それらをサポートする登録されたアプリケーションまたはバンドルに相関させること、指定されたアプリケーションまたはバンドルの登録されたＵＴＩを識別すること、ならびにＵＴＩハンドラを設定することが可能である。

コマンドを使用して、ｃｏｍ．ａｐｐｌｅ．ｉｃａｌ．ｉｃｓなどの指定されたＵＴＩに関するすべての情報をすばやく識別することが可能である。
％．／ｕｔｉ－ｅｃｏｍ．ａｐｐｌｅ．ｉｃａｌ．ｉｃｓ

これは、次を返す。
ｉｄｅｎｔｉｆｉｅｒ：ｃｏｍ．ａｐｐｌｅ．ｉｃａｌ．ｉｃｓ
ｄｅｓｃｒｉｐｔｉｏｎ：ＩＣＳＦｉｌｅ
ｄｅｃｌａｒａｔｉｏｎ：｛
ＵＴＴｙｐｅＴａｇＳｐｅｃｉｆｉｃａｔｉｏｎ＝｛
ｐｕｂｌｉｃ．ｍｉｍｅ－ｔｙｐｅ＝［
ｔｅｘｔ／ｃａｌｅｎｄａｒ
］
ｐｕｂｌｉｃ．ｆｉｌｅｎａｍｅ－ｅｘｔｅｎｓｉｏｎ＝［
ｉｃｓ
］
｝
ＵＴＴｙｐｅＣｏｎｆｏｒｍｓＴｏ＝［
ｐｕｂｌｉｃ．ｔｅｘｔ
ｐｕｂｌｉｃ．ｉｔｅｍ
ｐｕｂｌｉｃ．ｃａｌｅｎｄａｒ－ｅｖｅｎｔ
］
ＵＴＴｙｐｅＩｄｅｎｔｉｆｉｅｒ＝ｃｏｍ．ａｐｐｌｅ．ｉｃａｌ．ｉｃｓ
｝

上記の出力は、前述のＣｏｒｅＳｅｒｖｉｃｅｓＩｎｆｏ．ｐｌｉｓｔにおける仕様のミラーであることに留意されたい。

ｃｏｍ．ａｐｐｌｅ．ｉｃａｌ．ｉｃｓＵＴＩを処理するために登録されているバンドルのすべてを知りたい例を考える。
％．／ｕｔｉ－ｌｃｏｍ．ａｐｐｌｅ．ｉｃａｌ．ｉｃｓ

これは、次を返す。
ｃｏｍ．ａｐｐｌｅ．ＣａｌｅｎｄａｒＦｉｌｅＨａｎｄｌｅｒ
ｃｏｍ．ａｐｐｌｅ．ｉＣａｌ
ｃｏｍ．ａｐｐｌｅ．ＴｅｘｔＥｄｉｔ
ｃｏｍ．ａｐｐｌｅ．ｄｔ．Ｘｃｏｄｅ
ｃｏｍ．ａｐｐｌｅ．Ｎｏｔｅｓ

ｃｏｍ．ａｐｐｌｅ．ｉｃａｌ．ｉｃｓＵＴＩのデフォルトのハンドラを判定するために、次のようにする。
％．／ｕｔｉ－ｄｃｏｍ．ａｐｐｌｅ．ｉｃａｌ．ｉｃｓ

これは、次を返す。
ｃｏｍ．ａｐｐｌｅ．ＣａｌｅｎｄａｒＦｉｌｅＨａｎｄｌｅｒ

サポートされるバンドルハンドラへの指定されたファイル拡張子に対するデフォルトのＵＴＩマッピングを識別することも可能である。
％．／ｕｔｉ－ｘｉｃｓ

これは、次を返す。
ＣａｌｅｎｄａｒＦｉｌｅＨａｎｄｌｅｒ．ａｐｐ
／Ｓｙｓｔｅｍ／Ｌｉｂｒａｒｙ／ＣｏｒｅＳｅｒｖｉｃｅｓ／ＣａｌｅｎｄａｒＦｉｌｅＨａｎｄｌｅｒ．ａｐｐ
ｃｏｍ．ａｐｐｌｅ．ＣａｌｅｎｄａｒＦｉｌｅＨａｎｄｌｅｒ

代替的に、ｊｐｅｇファイルの場合は、次のようにする。
％．／ｕｔｉ－ｘｊｐｇ
Ｐｒｅｖｉｅｗ．ａｐｐ
／Ｓｙｓｔｅｍ／Ａｐｐｌｉｃａｔｉｏｎｓ／Ｐｒｅｖｉｅｗ．ａｐｐ
ｃｏｍ．ａｐｐｌｅ．Ｐｒｅｖｉｅｗ

上記から、異なるオペレーティングシステムは、それぞれのシステム構造を有し、システム構造は、コンピュータシステム上の異なるアプリケーションが、アプリケーションによって開かれまたは編集され得るファイルタイプとともに判定されることを可能にする１つ以上のファイル、データベースなどを含み得ることが理解されよう。次いで、判定されたアプリケーションの信頼性が判定され、ファイルアクセスを許可するかブロックするかを判定する際に使用され得る。上記のように、異なるファイルタイプにアクセスするために使用され得る異なるアプリケーション／プロセスを自動的に判別し、信頼されているプロセスに基づいて、ファイルアクセスを簡単にブロックすることが可能である。

図１～図１１に示されるシステムおよびコンポーネントは、図面に示されていないコンポーネントを含み得ることが、当業者には理解されよう。説明を簡潔かつ明確にするために、図中の要素は必ずしも縮尺通りではなく、概略的なものにすぎず、要素構造を制限するものではない。当業者には、特許請求の範囲に定義される本発明の範囲から逸脱することなく、いくつかの変形および修正を行うことができることが明らかであろう。

本開示の実施形態における各要素は、ハードウェア、ソフトウェア／プログラム、またはそれらの任意の組み合わせとして実装され得る。ソフトウェアコードは、その全体または一部分のいずれかで、コンピュータ可読媒体もしくはメモリ、または非一時的メモリ（例えば、ＲＯＭ、例えば、フラッシュメモリ、ＣＤＲＯＭ、ＤＶＤＲＯＭ、Ｂｌｕ－ｒａｙ（商標）、半導体ＲＯＭ、ＵＳＢなどの不揮発性メモリ、またはハードディスクなどの磁気記録媒体）に記憶され得る。プログラムは、ソースコード、オブジェクトコード、部分的にコンパイルされた形態などのコード中間ソースおよびオブジェクトコードの形態、またはその他の形態であり得る。

１００コンピュータシステム
１０２ＣＰＵ
１０４メモリ
１０６命令
１０８ハードディスクドライブ
１１０ファイル
１１２ＯＳ
１１４ユーザモード
１１６カーネルモード
１１８プロセス
１２０ＩＯマネージャ
１２２ファイルシステム
１２４フィルタマネージャ
１２６ミニフィルタ
１２８ランサムウェアミニフィルタ
１３０ファイルフィルタ
１３２ファイルシステムドライバ
１３４ストレージドライバスタック
１３６プロセス判定機能
１３８信頼性判定機能
２００ランサムウェア防止方法
３００ａランサムウェア攻撃を緩和する際に使用するためのそれぞれの方法
３００ｂランサムウェア攻撃を緩和する際に使用するためのそれぞれの方法
４００ランサムウェア攻撃を防止する際に使用するためのそれぞれの方法
４１０ランサムウェア攻撃を防止する際に使用するためのそれぞれの方法
４２０ランサムウェア攻撃を防止する際に使用するためのそれぞれの方法
５００ランサムウェア攻撃プロセスおよび攻撃の可能な防止の方法
６０４実際のファイルのリスト
６０８画像
６１２ファイルコンテンツ
６２２実ファイルおよびシードされたファイルの両方のリスト
６２６チェッカーボードパターン６３０ファイル
８００プロセスベースの攻撃緩和方法
９００さらなるプロセスベースの攻撃緩和方法
１０００ファイルタイプに関連付けられたプロセスの信頼性を判定する方法
１１００システム構造
１１０２第１の場所
１１０４ｋｅｙ：ｖａｌｕｅ
１１０６システム構造
１１０８ｋｅｙ：ｖａｌｕｅ
１１１０システム構造
１１１２ｋｅｙ：ｖａｌｕｅ

Claims

ランサムウェア攻撃を防止する方法であって、
ファイルシステムにおいて要求プロセスからの入力／出力（ＩＯ）要求を受信することと、
前記要求プロセスが信頼されているプロセスであるかどうかに基づいて、前記要求プロセスの信頼性分類を判定することと、
前記要求プロセスの前記信頼性分類に基づいて、前記ＩＯ要求の結果を修正することと、
前記要求プロセスが信頼されていない信頼性分類を有すると判定されたときに、前記要求プロセスからの前記修正された結果のうちの１つ以上のＩＯ要求を監視することと、を含む、方法。
信頼されていないプロセスのさらなるファイルアクセスを、前記プロセスが前記修正された結果のうちの１つ以上のファイルにアクセスしようと試みたときに制限することと、
前記要求プロセスを隔離することと、のうちの１つ以上をさらに含む、請求項１に記載の方法。
さらなるファイルアクセスを制限することが、
前記信頼されていないプロセスがファイルを読み取ることを防止することと、
前記信頼されていないプロセスがファイルを書き込むことを防止することと、
前記信頼されていないプロセスがファイルを削除することを防止することと、
前記信頼されていないプロセスがファイルを移動することを防止することと、のうちの１つ以上を含む、請求項２に記載の方法。
前記結果を修正することが、
前記要求プロセスが信頼されていない場合、前記要求プロセスに提供される前記結果にシードされたファイルを含めることと、
前記要求プロセスが信頼されている場合、前記要求プロセスに提供される前記結果から前記シードされたファイルを除くことと、を含む、請求項１に記載の方法。
前記シードされたファイルが、記憶媒体に記憶され、前記要求プロセスが信頼されている場合、前記要求プロセスに提示される結果から除去される、請求項４に記載の方法。
前記シードされたファイルが、
定義された名前付け規則と、
シードされたファイル名のリストと、のうちの１つ以上を使用して識別される、請求項４に記載の方法。
前記シードされたファイルが、前記要求プロセスが信頼されていない場合、前記要求プロセスに提示された前記結果に追加される、請求項４に記載の方法。
前記シードされたファイルのみが、前記要求プロセスが信頼されていない場合、前記要求プロセスに前記結果として提示される、請求項７に記載の方法。
前記ファイルシステムが、カーネルモードで動作し、前記要求プロセスが、ユーザモードまたはカーネルモードで動作する、請求項１に記載の方法。
前記修正された結果のうちの前記１つ以上のＩＯ要求を監視することが、
前記修正された結果のうちの１つ以上に対する書き込みプロセスを検出することと、
前記書き込みプロセスによって書き込まれているコンテンツが暗号化されている可能性が高いかどうかを判定することと、
前記書き込まれているコンテンツが暗号化されている可能性が高いと判定されたときに前記書き込みプロセスをブロックすることと、を含む、請求項１に記載の方法。
ランサムウェア攻撃を防止するためのシステムであって、
命令を実行するためのプロセッサと、
命令を記憶するためのメモリであって、前記命令が、前記プロセッサによって実行されると、
ファイルシステムにおいて要求プロセスからの入力／出力（ＩＯ）要求を受信することと、
前記要求プロセスが信頼されているプロセスであるかどうかに基づいて、前記要求プロセスの信頼性分類を判定することと、
前記要求プロセスの前記信頼性分類に基づいて、前記ＩＯ要求の結果を修正することと、
前記要求プロセスが信頼されていない信頼性分類を有すると判定されたときに、前記要求プロセスからの前記修正された結果のうちの１つ以上のＩＯ要求を監視することと、を含むシステム。
前記命令によって構成される方法が、
信頼されていないプロセスのさらなるファイルアクセスを、前記プロセスが前記修正された結果のうちの１つ以上のファイルにアクセスしようと試みたときに制限することと、
前記要求プロセスを隔離することと、のうちの１つ以上をさらに含む、請求項１１に記載のシステム。
さらなるファイルアクセスを制限することが、
前記信頼されていないプロセスがファイルを読み取ることを防止することと、
前記信頼されていないプロセスがファイルを書き込むことを防止することと、
前記信頼されていないプロセスがファイルを削除することを防止することと、
前記信頼されていないプロセスがファイルを移動することを防止することと、のうちの１つ以上を含む、請求項１２に記載のシステム。
前記結果を修正することが、
前記要求プロセスが信頼されていない場合、前記要求プロセスに提供される前記結果にシードされたファイルを含めることと、
前記要求プロセスが信頼されている場合、前記要求プロセスに提供される前記結果から前記シードされたファイルを除くことと、を含む、請求項１１に記載のシステム。
前記シードされたファイルが、記憶媒体に記憶され、前記要求プロセスが信頼されている場合、前記要求プロセスに提示される結果から除去される、請求項１４に記載のシステム。
前記シードされたファイルが、
定義された名前付け規則と、
シードされたファイル名のリストと、のうちの１つ以上を使用して識別される、請求項１４に記載のシステム。
前記シードされたファイルが、前記要求プロセスが信頼されていない場合、前記要求プロセスに提示される前記結果に追加される、請求項１４に記載のシステム。
前記シードされたファイルのみが、前記要求プロセスが信頼されていない場合、前記要求プロセスに前記結果として提示される、請求項１７に記載のシステム。
前記ファイルシステムが、カーネルモードで動作し、前記要求プロセスが、ユーザモードまたはカーネルモードで動作する、請求項１１に記載のシステム。
前記修正された結果のうちの前記１つ以上のＩＯ要求を監視することが、
前記修正された結果のうちの１つ以上に対する書き込みプロセスを検出することと、
前記書き込みプロセスによって書き込まれているコンテンツが暗号化されている可能性が高いかどうかを判定することと、
前記書き込まれているコンテンツが暗号化されている可能性が高いと判定されたときに前記書き込みプロセスをブロックすることと、を含む、請求項１１に記載のシステム。
命令を中に記憶した非一時的コンピュータ可読媒体であって、前記命令が、コンピュータシステムのプロセッサによって実行されると、
ファイルシステムにおいて要求プロセスからの入力／出力（ＩＯ）要求を受信することと、
前記要求プロセスが信頼されているプロセスであるかどうかに基づいて、前記要求プロセスの信頼性分類を判定することと、
前記要求プロセスの前記信頼性分類に基づいて、前記ＩＯ要求の結果を修正することと、
前記要求プロセスが信頼されていない信頼性分類を有すると判定されたときに、前記要求プロセスからの前記修正された結果のうちの１つ以上のＩＯ要求を監視することと、を含む、非一時的コンピュータ可読媒体。
前記命令によって構成される方法が、
信頼されていないプロセスのさらなるファイルアクセスを、前記プロセスが前記修正された結果のうちの１つ以上のファイルにアクセスしようと試みたときに制限することと、
前記要求プロセスを隔離することと、のうちの１つ以上をさらに含む、請求項２１に記載の非一時的コンピュータ可読媒体。
さらなるファイルアクセスを制限することが、
前記信頼されていないプロセスがファイルを読み取ることを防止することと、
前記信頼されていないプロセスがファイルを書き込むことを防止することと、
前記信頼されていないプロセスがファイルを削除することを防止することと、
前記信頼されていないプロセスがファイルを移動することを防止することと、のうちの１つ以上を含む、請求項２２に記載の非一時的コンピュータ可読媒体。
前記結果を修正することが、
前記要求プロセスが信頼されていない場合、前記要求プロセスに提供される前記結果にシードされたファイルを含めることと、
前記要求プロセスが信頼されている場合、前記要求プロセスに提供される前記結果から前記シードされたファイルを除くことと、を含む、請求項２１に記載の非一時的コンピュータ可読媒体。
前記シードされたファイルが、記憶媒体に記憶され、前記要求プロセスが信頼されている場合、前記要求プロセスに提示される結果から除去される、請求項２４に記載の非一時的コンピュータ可読媒体。
前記シードされたファイルが、
定義された名前付け規則と、
シードされたファイル名のリストと、のうちの１つ以上を使用して識別される、請求項２４に記載の非一時的コンピュータ可読媒体。
前記シードされたファイルが、前記要求プロセスが信頼されていない場合、前記要求プロセスに提示された前記結果に追加される、請求項２４に記載の非一時的コンピュータ可読媒体。
前記シードされたファイルのみが、前記要求プロセスが信頼されていない場合、前記要求プロセスに前記結果として提示される、請求項２７に記載の非一時的コンピュータ可読媒体。
前記ファイルシステムが、カーネルモードで動作し、前記要求プロセスが、ユーザモードまたはカーネルモードで動作する、請求項２１に記載の非一時的コンピュータ可読媒体。
前記修正された結果のうちの前記１つ以上のＩＯ要求を監視することが、
前記修正された結果のうちの１つ以上に対する書き込みプロセスを検出することと、
前記書き込みプロセスによって書き込まれているコンテンツが暗号化されている可能性が高いかどうかを判定することと、
前記書き込まれているコンテンツが暗号化されている可能性が高いと判定されたときに前記書き込みプロセスをブロックすることと、を含む、請求項２１に記載の非一時的コンピュータ可読媒体。
ランサムウェア攻撃を防止する方法であって、
システム構造を処理して、複数のファイルタイプと、前記複数のファイルタイプのそれぞれにアクセスする際に使用されるプロセスとの間でプロセスマッピングするためのファイルタイプを自動的に判定することと、
前記プロセスマッピングするためのファイルタイプにおける前記プロセスの各々について、前記プロセスの信頼度を評価することと、
ファイルシステムにおいて要求プロセスからの入力／出力（ＩＯ）要求を受信することと、
前記要求プロセスが信頼されているプロセスであるかどうかを判定することと、
前記要求プロセスが信頼されているかどうかの判定に基づいて、前記ＩＯ要求を許可またはブロックすることと、を含む方法。
前記プロセスマッピングするためのファイルタイプにおける前記プロセスの各々について、信頼性について評価されたプロセスのフィンガープリントを生成することと、
前記要求プロセスが信頼されているかどうかを判定するとき、
前記要求プロセスの要求プロセスフィンガープリントを判定することと、
前記要求プロセスフィンガープリントを、信頼性について評価された前記プロセスの前回判定されたフィンガープリントと比較することと、をさらに含み、
前記ＩＯ要求を許可またはブロックすることが、前記要求プロセスフィンガープリントと前記前回判定されたフィンガープリントとの比較にさらに基づいている、請求項３１に記載の方法。
前記要求プロセスフィンガープリントおよび前記前回判定されたフィンガープリントが一致しない場合、前記要求プロセスの前記信頼度を再評価する、請求項３２に記載の方法。
前記システム構造が、Ｗｉｎｄｏｗｓレジストリを含む、請求項３１に記載の方法。
前記Ｗｉｎｄｏｗｓレジストリを処理して、前記プロセスマッピングするためのファイルタイプを自動的に判定することが、
登録されたアプリケーションを前記レジストリ内の第１の既知の場所から判定することであって、前記第１の既知の場所内の各登録されたアプリケーションが前記レジストリ内のそれぞれの第２の場所を示す、判定することと、
前記判定された登録されたアプリケーションの各々について、
前記それぞれの第２の場所から、前記それぞれの登録されたアプリケーションに関連付けられたファイルタイプを判定することであって、前記ファイルタイプの各々が前記レジストリ内の第３の場所を示す、判定することと、
前記ファイルタイプの各々について、前記それぞれの第３の場所から、ファイルシステム上に実行可能に位置するそれぞれのプロセスに関連付けられた１つ以上のファイルアクセスコマンドを判定することと、を含む、請求項３４に記載の方法。
前記システム構造が、ｍａｃＯＳシステム構造を含む、請求項３１に記載の方法。
ｍａｃＯＳシステム構造を処理して、前記プロセスマッピングするためのファイルタイプを自動的に判定することが、
ＡＰＩを使用して所与のホスト上の複数のＵＴＩを識別し、
ＵＴＩマッピングを、それらをサポートする登録されたアプリケーションまたはバンドルに相関させること、を含む、請求項３６に記載の方法。
ランサムウェア攻撃を防止するためのシステムであって、
命令を実行するためのプロセッサと、
命令を記憶するためのメモリであって、前記命令が、前記プロセッサによって実行されると、
システム構造を処理して、複数のファイルタイプと、前記複数のファイルタイプのそれぞれにアクセスする際に使用されるプロセスとの間でプロセスマッピングするためのファイルタイプを自動的に判定することと、
前記プロセスマッピングするためのファイルタイプにおける前記プロセスの各々について、前記プロセスの信頼度を評価することと、
ファイルシステムにおいて要求プロセスからの入力／出力（ＩＯ）要求を受信することと、
前記要求プロセスが信頼されているプロセスであるかどうかを判定することと、
前記要求プロセスが信頼されているかどうかの判定に基づいて、前記ＩＯ要求を許可またはブロックすることと、を含むシステム。
前記命令を実行することによって構成される方法が、
前記プロセスマッピングするためのファイルタイプにおける前記プロセスの各々について、信頼性について評価されたプロセスのフィンガープリントを生成することと、
前記要求プロセスが信頼されているかどうかを判定するとき、
前記要求プロセスの要求プロセスフィンガープリントを判定することと、
前記要求プロセスフィンガープリントを、信頼性について評価された前記プロセスの前回判定されたフィンガープリントと比較することと、をさらに含み、
前記ＩＯ要求を許可またはブロックすることが、前記要求プロセスフィンガープリントと前記前回判定されたフィンガープリントとの比較にさらに基づいている、請求項３８に記載のシステム。
前記要求プロセスフィンガープリントおよび前記前回判定されたフィンガープリントが一致しない場合、前記要求プロセスの前記信頼度を再評価する、請求項３９に記載のシステム。
前記システム構造が、Ｗｉｎｄｏｗｓレジストリを含む、請求項３８に記載のシステム。
前記Ｗｉｎｄｏｗｓレジストリを処理して、前記プロセスマッピングするためのファイルタイプを自動的に判定することが、
登録されたアプリケーションを前記レジストリ内の第１の既知の場所から判定することであって、前記第１の既知の場所内の各登録されたアプリケーションが前記レジストリ内のそれぞれの第２の場所を示す、判定することと、
前記判定された登録されたアプリケーションの各々について、
前記それぞれの第２の場所から、前記それぞれの登録されたアプリケーションに関連付けられたファイルタイプを判定することであって、前記ファイルタイプの各々が前記レジストリ内の第３の場所を示す、判定することと、
前記ファイルタイプの各々について、前記それぞれの第３の場所から、ファイルシステム上に実行可能に位置するそれぞれのプロセスに関連付けられた１つ以上のファイルアクセスコマンドを判定することと、を含む、請求項４１に記載のシステム。
前記システム構造が、ｍａｃＯＳシステム構造を含む、請求項３８に記載のシステム。
ｍａｃＯＳシステム構造を処理して、前記プロセスマッピングするためのファイルタイプを自動的に判定することが、
ＡＰＩを使用して所与のホスト上の複数のＵＴＩを識別し、
ＵＴＩマッピングを、それらをサポートする登録されたアプリケーションまたはバンドルに相関させること、を含む、請求項４３に記載のシステム。
命令を中に記憶した非一時的コンピュータ可読媒体であって、前記命令が、コンピュータシステムのプロセッサによって実行されると、
システム構造を処理して、複数のファイルタイプと、前記複数のファイルタイプのそれぞれにアクセスする際に使用されるプロセスとの間でプロセスマッピングするためのファイルタイプを自動的に判定することと、
前記プロセスマッピングするためのファイルタイプにおける前記プロセスの各々について、前記プロセスの信頼度を評価することと、
ファイルシステムにおいて要求プロセスからの入力／出力（ＩＯ）要求を受信することと、
前記要求プロセスが信頼されているプロセスであるかどうかを判定することと、
前記要求プロセスが信頼されているかどうかの判定に基づいて、前記ＩＯ要求を許可またはブロックすることと、を含む、非一時的コンピュータ可読媒体。
前記命令によって構成される方法が、
前記プロセスマッピングするためのファイルタイプにおける前記プロセスの各々について、信頼性について評価されたプロセスのフィンガープリントを生成することと、
前記要求プロセスが信頼されているかどうかを判定するとき、
前記要求プロセスの要求プロセスフィンガープリントを判定することと、
前記要求プロセスフィンガープリントを、信頼性について評価された前記プロセスの前回判定されたフィンガープリントと比較することと、をさらに含み、
前記ＩＯ要求を許可またはブロックすることが、前記要求プロセスフィンガープリントと前記前回判定されたフィンガープリントとの比較にさらに基づいている、請求項４５に記載の非一時的コンピュータ可読媒体。
前記要求プロセスフィンガープリントおよび前記前回判定されたフィンガープリントが一致しない場合、前記要求プロセスの前記信頼度を再評価する、請求項４６に記載の非一時的コンピュータ可読媒体。
前記システム構造が、Ｗｉｎｄｏｗｓレジストリを含む、請求項４５に記載の非一時的コンピュータ可読媒体。
前記Ｗｉｎｄｏｗｓレジストリを処理して、前記プロセスマッピングするためのファイルタイプを自動的に判定することが、
前記レジストリ内の第１の既知の場所から登録されたアプリケーションを判定することであって、前記第１の既知の場所内の各登録されたアプリケーションが前記レジストリ内のそれぞれの第２の場所を示す、判定することと、
前記判定された登録されたアプリケーションの各々について、
前記それぞれの第２の場所から、前記それぞれの登録されたアプリケーションに関連付けられたファイルタイプを判定することであって、前記ファイルタイプの各々が前記レジストリ内の第３の場所を示す、判定することと、
前記ファイルタイプの各々について、前記それぞれの第３の場所から、ファイルシステム上に実行可能に位置するそれぞれのプロセスに関連付けられた１つ以上のファイルアクセスコマンドを判定することと、を含む、請求項４８に記載の非一時的コンピュータ可読媒体。
前記システム構造が、ｍａｃＯＳシステム構造を含む、請求項４５に記載の非一時的コンピュータ可読媒体。
ｍａｃＯＳシステム構造を処理して、前記プロセスマッピングするためのファイルタイプを自動的に判定することが、
ＡＰＩを使用して所与のホスト上の複数のＵＴＩを識別し、
ＵＴＩマッピングを、それらをサポートする登録されたアプリケーションまたはバンドルに相関させること、を含む、請求項５０に記載の非一時的コンピュータ可読媒体。