JP5164285B2 - アンチマルウェアを有するコンピュータシステム - Google Patents

Description

マルウェアまたは悪質なコードとは、コンピュータに問題を起こしたり損害を与えたりする様々な種類のソフトウェアを示す包括的な用語である。マルウェアには、ウイルス、ワーム、トロイの木馬、マクロウイルスおよびバックドアが含まれる。マルウェアは、より隠密で標的を絞ったものへと進化してきた。一方で、アンチマルウェア技術も進化し、マルウェアの隠密な挙動を理解して対応するようになってきた。現在アンチマルウェアは、システムメモリ内（オペレーティングシステムのオペレーティングプラットフォームの範囲内）のインバンドセキュリティエージェントを保護するべく、耐タンパーソフトウェア（ＴＲＳ）メカニズムを用いる。しかしながら、このような方法そのものがソフトウェア攻撃による影響を受けやすく、欠陥となり得る。このことから、プラットフォームをマルウェアから保護する新たな方法が望まれている。

限定ではなく例示を目的に、本発明の実施形態を類似の符号が類似の要素を示す添付の図面に図示する。

本発明の一部の実施形態による、アンチマルウェアソリューションを有するプラットフォームのブロック図である。 図１に示したソリューションのより具体的な実装を示す。 本発明の一部の実施形態による、アンチマルウェアシステムの実装ルーチンのフロー図である。 本発明の一部の実施形態による、プラットフォームをマルウェアから保護するルーチンのフロー図である。

従来のアンチマルウェアソリューションの実行環境は、概して安全ではないことが分かっている。また、アンチマルウェアが保護するオペレーティングシステム内の可視性が信頼できない場合もあった。例えば、メモリからファイルおよびファイルの一部を取得するべくシステムコールを実行するには、従来のアンチマルウェアアプリケーションがオペレーティングシステム（ＯＳ）自体に依存する場合があった。残念ながら、ＯＳ内部で動作可能なマルウェアは、これらのチャネルを妨害可能である。このことから、新たな方法が望まれている。

一部の実施形態では、方法がアウトオブバンド（ＯＯＢ）エージェントを提供してプラットフォームを保護してよい。ＯＯＢエージェントは、インバンドセキュリティエージェントの計測および保護に非ＴＲＳ方法を利用可能であってよい。一部の実施形態では、管理エンジンがインバンドセキュリティエージェントおよびアウトオブバンドセキュリティエージェントへのアウトオブバンドの接続性を提供し、ＯＳサービスに依存することなく、システムメモリリソースへのアクセスを提供可能である。当該方法は、信頼されたアンチマルウェアおよび修正サービスに用いられてよい。

本発明の別の実施形態は、以下の特徴の全てまたは一部の組み合わせを組み込んでよい。（１）ローカルセキュリティエージェントの保障された実行および保護された実行環境、（２）ローカルセキュリティエージェントが利用可能なイベンティング機能および信頼されたシステム可視性、（３）遠隔セキュリティエージェントと相互作用するアウトオブバンド（ＯＯＢ）チャネル、（４）ローカルセキュリティエージェントのためのＯＯＢ永続ストレージ。

図１は、一部の実施形態によるアンチマルウェア保護を有するプラットフォーム１００を示す。プラットフォームは、図のように結合され、ネットワーク１２０（例えばインターネット等のＴＣＰ／ＩＰネットワーク）と通信可能にリンクされたＣＰＵ１０５、システムメモリ１１２、ＢＩＯＳメモリ１３０、ＯＯＢ（アウトオブバンド）管理エンジン１４０、および安全な不揮発性メモリ１５０を含む。簡素化を目的にこれらのブロックを個別の存在として示すが、当然のことながら実際には、設計上の事項および半導体技術の状態に応じて個別のチップ、単一のチップ、または１つ以上デバイスのあらゆる好適な組み合わせで実装されてよい。

ＣＰＵ１０５は、これらに限定されないが、シングルコアデバイス、マルチコアデバイス、およびシステムオンチップ（ＳＯＣ）と呼ばれる実装を含むあらゆる好適なプロセッサチップまたは複数のプロセッサチップの組み合わせで実装されてよい。ＣＰＵは、例えばキャッシュメモリ、内部／外部ＲＡＭ、およびフラッシュハードドライブメモリを含むハードドライブ等のシステムメモリ１１２を用いてソフトウェアコードを実行する。ＣＰＵ１０５は動作中に、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）ＯＳ、Ｌｉｎｕｘ（登録商標） ＯＳ、Ａｐｐｌｅ（登録商標）ＯＳ等のオペレーティングシステム（ＯＳ）１０４、およびＯＳの下層で動作することからアウトオブバンドと呼ばれるＯＯＢセキュリティエージェント１１０を実行してよい。ＯＳは、インバンド（ＩＢ）セキュリティエージェント１０８を組み込み得るカーネル（ＯＳコア）を有する。ＩＢセキュリティエージェントはＯＯＢセキュリティエージェントと協働してマルウェアからプラットフォーム１００を保護する。

ＯＳカーネル内から動作するＩＢセキュリティエージェント（または単にＩＢエージェント）は、ＯＯＢセキュリティエージェント（または単にＯＯＢエージェント）と相互作用してプラットフォームを保護する。ＯＯＢエージェントがアクティブな場合、ＩＢエージェントはＯＯＢエージェントによって保護されており、オンラインセキュリティエージェントサービス１２２と相互作用する。オンラインセキュリティエージェントサービスは、ＩＢエージェントアプリケーションの状態が、セキュリティエージェントサービス１２２がプラットフォームの特定のサービスを提供するための正しい状態であることを確認してよい。ＩＢエージェントは、ＯＯＢエージェントおよび／またはセキュリティエージェントサービスによって定義されたポリシーに基づいて動作してよい。同様に、ＩＢエージェントが例えばパターンの認識、レジストリ変更要求等のコンテキストをＯＯＢエージェントに与えてよく、ＯＯＢエージェントはこれらをポリシーの定義または更新に用いてよい。

当該プラットフォームでは、ＯＳは信頼されていない。つまり、マルウェアによるＯＳへのアクセスが可能であると仮定されている。このため、ＩＢエージェントは信頼されていないＯＳ環境で動作する。一方で、ＯＯＢエージェントは管理エンジンと協働し、ＯＳの下層、例えばＯＳメモリ空間の一部ではない仮想化され、かつ信頼されたメモリ空間で動作する。この実装および制御はＯＯＢ管理エンジンを介して行なわれる。

ＯＯＢ管理エンジンはあらゆる好適なアウトオブバンドスキームで実装可能である。ＯＯＢ管理エンジンは例えば管理エンジン等の異なるチップセット機能の一部であるファームウェアで実装されてよく、またこれに代えて、例えばネットワークインタフェースコントローラ（ＮＩＣ）の一部等のサービスプロセッサ内またはサービスプロセッサとして実装されてよい。ＯＯＢ管理エンジンはアウトオブバンド（ＯＯＢ）であることからＯＳが動作していない場合でも動作可能である。

一部の実施形態では、ＯＳコンテキスト内で実行する保護されたＩＢエージェント１０８に属するメモリページについて、ＯＯＢ管理エンジン１４０はＯＯＢエージェントを介してページ単位の監視ポリシーおよびアクセス制御を強制する。当該モデルではＯＳが信頼されていないことから、ＩＢエージェントは、管理エンジンから取り出されたＯＯＢエージェントによって計測および保護されている。ページ単位の保護のメカニズムは、２００６年３月３０日出願の「Ｉｎｔｒａ−ｐａｒｔｉｔｉｏｎｉｎｇ ｏｆ Ｓｏｆｔｗａｒｅ Ｃｏｍｐｏｎｅｎｔｓ ｗｉｔｈｉｎ ａｎ Ｅｘｅｃｕｔｉｏｎ Ｅｎｖｉｒｏｎｍｅｎｔ（実行環境内のソフトウェアコンポーネントのイントラパーティショニング）」なる名称の米国出願第１１／３９５４８８号明細書に説明されており、その内容をここに参照として組み込む。

ＯＯＢセキュリティエージェント１１０はあらゆる好適な方法で管理エンジンに提供されてよい。例えば、ＣＤ−ＲＯＭの形であってよく、安全な不揮発性メモリ１５０に格納されてよい。または、管理エンジンの製造時または製造後に管理エンジンに組み込まれたファームウェアの一部であってよい。ＯＯＢセキュリティエージェントは自己起動してよく、またはセキュリティエージェントサービス１２２からの要求に応じて管理エンジン１４０を介して有効化および起動されてもよい。

多くの場合、ＯＯＢセキュリティエージェントはＣＰＵでの実行のために次のようにロードされる。初めにＢＩＯＳが起動され、ＢＩＯＳの初期ブートアップのタスクが終了すると、ブートアップが管理エンジンへと渡される。管理エンジンは、例えばＯＳ空間外の仮想化および／または他の安全な方法によって、ＯＯＢエージェントを確実にメモリへロードする。ＯＯＢエージェントがロードされた後、ＯＯＢエージェントは、ロードおよび起動のためにＯＳそのものを開始してよい。

一部の実施形態では、ＯＯＢコードの完全性を確認するメカニズムがあってよい。例えば、チェックサムまたは他の好適な測定基準がＣＰＵまたはＢＩＯＳに格納されてよく、後にＯＯＢエージェントが実行のためにロードされる際にＣＰＵによって確認されてよい。

またＯＯＢエージェントは、インバンドエージェントからのポリシーに基づいて監視されるメモリ領域について、例えばハッシュ監査等の安全な不揮発性メモリ１５０に格納されるメモリスナップショットおよびイベントを提供してよい。ＯＯＢエージェントはまた、対象のＯＳ環境によって設定された特定のＣＰＵレジスタからの情報を提供することで、監視されるべき領域をインバンドエージェントが確立することを支援してよい。

セキュリティエージェントサービスは、適切で利用可能なネットワークサーバからあらゆる好適な方法で実装されてよい。セキュリティエージェントサービスは、提供されたシステムメモリ等のメモリスナップショットについてオフラインでアンチマルウェア分析が実行されるリモート（クラウド）サービスとして実装されてよい。またサービスは、ＯＯＢエージェントによって保護されたクレデンシャルを提供するべく安全なＯＯＢネットワークチャネルを用いることによって、ＩＢエージェントがＯＯＢエージェントによって適切に計測されたことを確認してよい。

安全なＯＯＢチャネルは、プラットフォームをセキュリティエージェントサービスに接続するために用いられる。安全なＯＯＢチャネルは、管理エンジン１４０内のネットワークインタフェース１４４および仮想リダイレクトブロック１４２を含む。ネットワークインタフェース１４４は、ＯＳがアクティブでない場合でもサービス１２２がプラットフォームと通信し得るネットワークインタフェース（ＮＩＣと同様）を提供する。ネットワークインタフェースは、ＩＢチャネルの完全性がマルウェアによって損なわれた場合に、管理エンジン１４０がサービス１２２と通信することを可能にする。

仮想リダイレクト１４２は、管理エンジン１４０および／またはサービス１２２からＣＰＵ、さらにはブートおよびＢＩＯＳ機能へのチャネルを提供する。仮想リダイレクトは、ＯＯＢエージェントを上述のように差し挟み、例えば管理エンジン１４０および／またはサービス１２２がＣＤドライブまたはシリアルリンクをエミュレートしてブートを実装することを可能にする。ネットワークインタフェース１４４は、保護された状態で動作中のＩＢエージェントからの認証を可能にする。ネットワークインタフェースは、ローカルＩＢエージェントおよび／またはＯＯＢエージェントの分析によって修正の必要な問題が検知された場合／時に、サービス１２２がＩＢエージェントからの警告を受信できるようにする。またネットワークインタフェースは、サービス１２２がポリシーをＩＢエージェントに提供し、インバンド分析の完了後にプラットフォームの修正を促進できるようにする。

図２は、Ｉｎｔｅｌ（商標）のｖＰｒｏ（商標）の一部であり得るＩｎｔｅｌ（商標）ＡＭＴ（Ａｃｔｉｖｅ Ｍａｎａｇｅｍｅｎｔ Ｔｅｃｈｎｏｌｏｇｙ）を用いた、図１のプラットフォームの例示的な実装を示す。例えば、チップセットは、ＩＤＥ−Ｒ（ＩＤＥリダイレクト）機能およびＯＯＢネットスタック（ネットワークインタフェース）を有する管理エンジン（ＭＥ）２４０を備えてよい。またチップセットは、図１のＯＯＢエージェントの実装に用いられて得る信頼されたメモリサービス層（ＴＭＳＬ）を備えてよい。また一部のＣＰＵは、ＴＸＴ（Ｔｒｕｓｔｅｄ Ｅｘｅｃｕｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ）機能を備えてよい。これはＯＯＢエージェント（この場合はＴＭＳＬ）の起動前にＯＯＢエージェントの完全性の確認に用いられ得る、ハードウェアに根差したシグネチャチェッカである。

ＩＤＥ−Ｒはネットワークブート動作を実現する。ＩＤＥ−Ｒを用いて、仮想媒体イメージを介した起動のためのＴＭＳＬをローカルプラットフォームに提供してよい。（これは最初のダウンロードでのみ必要な場合がある。）概してＩＤＥ−Ｒは、管理下のクライアントのブート状態および電力状態に関わらず、管理下のクライアントのＩＤＥ通信およびリダイレクトシリアル通信を管理コンソールから提供する。クライントはＡＭＴ機能、電源への接続、およびネットワーク接続のみを有すればよい。

一部の実施形態では、安全な不揮発性メモリがＩｎｔｅｌ（商標）ＡＭＴ ３ＰＤＳ（第三者のデータストレージ）デバイスで実装されてよい。ＴＭＳＬによって作成された監査ログのハッシュおよびポリシーの格納に安全な不揮発性メモリが用いられてよい。典型的な３ＰＤＳはフラッシュメモリで実装される。サービス１２２に返送されるログの格納に安全な不揮発性メモリが用いられてよい。

図３は、オンラインサービスからＯＯＢエージェントをロードして起動するルーチンを示す。ステップ３０２では、サービスがプラットフォームの性能と状況を査定する。管理エンジンとの安全なダイアログを通して、サービスがプラットフォームの性能を査定してよい。

ステップ３０４で、ＩＢセキュリティおよびＯＯＢセキュリティについて、プラットフォームが上述のように適切である場合は、ステップ３０６に進む。適切でない場合にはステップ３０３に進み、後に再確認を行なってよい。

ステップ３０６では、必要に応じてソフトウェアをダウンロードした後に、プラットフォームを再起動して仮想リダイレクト（ＩＤＥ−Ｒブート）オプションをアクティブにすることでサービス１２２がサービスを開始してよい。サービスは、ＴＭＳＬ等のＯＯＢエージェントにキー／ポリシーを提供する。ステップ３０８では、プラットフォームが再起動され、ＯＯＢエージェントおよびＩＢエージェントを起動させる。ステップ３１０では、ＯＯＢエージェントがこのようなブートによってＯＳを起動してよく、ここではＩＢエージェントも起動される。最後にステップ３１２で、動作中のＩＢエージェントおよびＯＯＢエージェントが協働し、マルウェアの攻撃からプラットフォームを保護する。

図４は、ＩＢエージェントおよびＯＯＢエージェントを用いたマルウェアからの保護を動作させるルーチンを示す。ステップ４０２では、ＩＢエージェントがＴＭＳＬ等のＯＯＢエージェントに登録し、保護対象であるシステムメモリページの計測を開始し、これらをランタイムステートにバインドする。

ステップ４０４では、例えば提供されたマニフェストを用いてＯＯＢエージェントがＩＢエージェントを計測および保護する。例えばＯＯＢエージェントは、参照として組み込んだ「Ｉｎｔｒａ−ｐａｒｔｉｔｉｏｎｉｎｇ ｏｆ Ｓｏｆｔｗａｒｅ Ｃｏｍｐｏｎｅｎｔｓ ｗｉｔｈｉｎ ａｎ Ｅｘｅｃｕｔｉｏｎ Ｅｎｖｉｒｏｎｍｅｎｔ（実行環境内のソフトウェアコンポーネントのイントラパーティショニング）」なる名称の出願明細書に説明されたページ保護を行なってよい。ＯＯＢエージェントは、ＩＢセキュリティエージェントのデータおよびコード等を含むページを計測および保護してよい。ＩＢエージェントは、保護に関するローカルな知識を有さず、利用可能なサービスのみへのアクセスを試みる場合がある。ＯＯＢエージェントは、ＩＢセキュリティエージェントで保護されたチャネルを作成してよい。

ステップ４０６では、保護された動作を確認するためにＩＢエージェントがサービス１２２に連絡してよい。これは、例えばＯＯＢエージェントが作成したクオート（ＩＢエージェントの署名済みハッシュ）を介して行なわれてよい。その後、サービスはＩＢエージェントにアンチマルウェアルール／ポリシー（例えば、これらの作成または更新）を提供してよい。サービスは、ＩＢエージェントがＯＯＢエージェントによって保護されていることを確認した後、ＯＯＢエージェントによって保護されたメモリ空間を介して、保護されたＩＢエージェントに署名済みのルールを提供してよい。またＯＯＢエージェントは、例えば安全な不揮発性メモリ１５０等、この目的のために確保された特別な保護格納領域にこれらの認証トークンを格納してよい。

ステップ４０８では、ＩＢエージェントは、特定の物理または仮想メモリページについてのアクセス許可を有するメモリイベントハンドラの設定およびメモリの読み込みにＯＯＢエージェントサービスを用いてよい。監視されたメモリへの全てのアクセスは、例えば、保護されたメモリチャネルを介してセキュリティエージェントにイベントを報告させる。ＩＢエージェントは、保護対象であるシステムメモリページを分析し、外部のセキュリティエージェントサービスにマルウェア活動の可能性を通知する。不明なイベントまたは挙動は、ＯＯＢエージェントを介してＩＢエージェントにメモリスナップショットを取得させ、これをハッシュおよび監査と共に例えば保護された不揮発性メモリに格納し、オンラインサービス１２２によって利用可能とさせてよい。

以上の説明では、様々な具体的な詳細を示した。しかしながら、本発明の実施形態はこれらの具体的な詳細なく実施可能であることが理解されるべきである。説明を不明瞭にすることを避けるべく、周知の回路、構造および技術は詳細に示されていない場合がある。これを考慮した上で、「１つの実施形態」、「ある実施形態」、「例示的な実施形態」、「様々な実施形態」等の表現は、説明された本発明の実施形態が特定の機能、構造または特徴を備えてよいが、全ての実施形態が特定の機能、構造または特徴を備えるとは限らないことを示す。さらに一部の実施形態は、他の実施形態で説明した特徴の一部または全てを有しても有さなくてもよい。

以上の説明および以下の特許請求の範囲では、次の用語は以下のように解釈されるべきである。「結合した」、「接続した」およびこれらの派生語が用いられ得る。これらの用語は相互の類義語であることを意図していないことが理解されるべきである。正確には、特定の実施形態では、「接続した」は２つ以上の要素が互いに物理的または電気的に直接接触していることを示す。「結合した」は２つ以上の要素が相互に協働または相互作用するが、これらが互いに物理的または電気的に接触しているとは限らないことを示す。

発明は説明された実施形態に限定されず、添付の特許請求の範囲の本質および範疇にある変更例および変形例で実施可能である。例えば、当然のことながら、本発明は全ての種類の半導体集積回路（ＩＣ）チップでの用途に適用可能である。これらに限定されないが、当該ＩＣチップの例としては、プロセッサ、コントローラ、チップセットコンポーネント、プログラム可能なロジックアレイ（ＰＬＡ）、メモリチップ、ネットワークチップおよび類似を含む。

当然のことながら、一部の図面では信号導線が線で表現されている。これらの一部は、より太くより構成的なパスを示し、符号を伴って構成的な信号パスの数を示し、および／または１つ以上の端部に矢印を伴って情報の流れの主な方向を示す。しかしながら、これは限定的に解釈されるべきではない。正確には、このような追加の詳細は、より簡易に回路の理解を促進すべく１つ以上の例示的な実施形態に関して用いられてよい。追加情報の有無に関わらず、表現されたあらゆる信号線は、実際には複数の方向へ流れる１つ以上の信号を含んでよく、例えば差動ペア、光ファイバ線、および／またはシングルエンド線で実装されたデジタル線またはアナログ線等のあらゆる好適な種類の信号スキームで実装されてよい。

例示的なサイズ、モデル、値、範囲を示したが、当然のことながら本発明はこれらに限定されない。フォトリソグラフィ等の製造技術の今後の発展に伴い、より小さなデバイスが製造可能となることが予想される。さらに、発明を不明瞭にすることを避けるべく、図示と説明の簡易化を目的に、ＩＣチップおよび他の構成要素への周知の電力／接地接続が示されている場合と示されていない場合がある。またさらに、ブロック図の形式で配置を示した場合がある。これは、発明を不明瞭にすることを避けることを目的とし、またブロック図の配置の実施についての詳細が、本発明が実施されるプラットフォームに大きく依存する、つまりそのような詳細は十分に当業者の視野内にあるという事実を考慮した上で行われている。発明の例示的な実施形態を説明するために、例えば回路等の具体的な詳細を示したが、当業者にとっては、発明がこれらの詳細なし、またはこれらの詳細の変形例によって実施可能であることが明らかである。したがって、説明は限定的ではなく例示的なものと見なされる。

Claims (13)

1. オペレーティングシステムメモリ空間（ＯＳメモリ空間）を有するＯＳを実行するＣＰＵと、
   前記ＯＳが動作中ではない場合に動作可能な管理エンジンと、
   前記ＯＳ内で動作するインバンドエージェント（ＩＢエージェント）と、
   を備え、
   前記管理エンジンは、前記ＯＳメモリ空間内のコードを保護するアウトオブバンドセキュリティエージェント（ＯＯＢセキュリティエージェント）を提供し、
   前記ＩＢエージェントは、保護対象であるシステムメモリページを分析し、外部のセキュリティエージェントサービスにマルウェア活動の可能性を通知し、
   前記ＯＯＢセキュリティエージェントは、前記ＯＳの外で動作し、前記ＯＳの下層において、前記ＣＰＵで動作し、前記ＩＢエージェントのデータおよびコードを含むページを分析して、前記ＩＢエージェントをマルウェアから保護するコンピューティングプラットフォーム。
2. 前記管理エンジンは、前記外部のセキュリティエージェントサービスに安全なＯＯＢチャネルを提供するためのネットワークインタフェースを有し、
   前記ＩＢエージェントは、前記ＩＢエージェントが前記ＯＯＢセキュリティエージェントによって保護されていることが前記セキュリティエージェントサービスによって確認された後、前記ＯＯＢセキュリティエージェントによって保護されたメモリ空間を介して、前記外部のセキュリティエージェントサービスから提供されたアンチマルウェアルールに基づいて、前記コンピューティングプラットフォームをマルウェアからの攻撃から保護する請求項１に記載のコンピューティングプラットフォーム。
3. 前記管理エンジンは、前記ＯＯＢセキュリティエージェントのファームウェアと共にチップに実装される請求項１または請求項２に記載のコンピューティングプラットフォーム。
4. 前記管理エンジンは、ネットワークインタフェースコントローラに実装される請求項１から請求項３のいずれか１つに記載のコンピューティングプラットフォーム。
5. 前記管理エンジンは、前記ＣＰＵを遠隔再起動して前記ＯＯＢセキュリティエージェントをアクティベートする仮想リダイレクトを有する請求項１から請求項４のいずれか１つに記載のコンピューティングプラットフォーム。
6. 前記ＣＰＵは、ＯＯＢコードの完全性を確認するためのロジックを有する請求項１から請求項５のいずれか１つに記載のコンピューティングプラットフォーム。
7. ＯＳを含むＣＰＵと、
   前記ＯＳが動作中ではない場合に動作可能な管理エンジンと、
   前記ＯＳ内で動作するインバンドエージェント（ＩＢエージェント）と、
   プラットフォームをマルウェアから保護するためのアウトオブバンドセキュリティエージェント（ＯＯＢセキュリティエージェント）を格納する不揮発性メモリと
   を有する１以上のチップ
   を備え、
   前記ＩＢエージェントは、保護対象であるシステムメモリページを分析し、遠隔セキュリティサービスにマルウェア活動の可能性を通知し、
   前記ＯＯＢセキュリティエージェントは、前記ＯＳの外で動作し、前記ＯＳの下層において、前記ＣＰＵで動作し、前記ＩＢエージェントのデータおよびコードを含むページを分析して、前記ＩＢエージェントを前記マルウェアから保護する装置。
8. 前記管理エンジンは、前記ＯＯＢセキュリティエージェントをアクティベートするために前記プラットフォームを再起動する仮想リダイレクト機能を有する請求項７に記載の装置。
9. 前記管理エンジンは、前記プラットフォームへのＯＯＢネットワーク接続を提供するためのネットワークインタフェースを有する請求項７または請求項８に記載の装置。
10. 前記ＯＯＢセキュリティエージェントは、安全なＯＯＢチャネルを介して前記管理エンジンにリンクされる前記遠隔セキュリティサービスによって分析される前記プラットフォームからのハッシュ監査データを前記不揮発性メモリに提供する請求項７から請求項９のいずれか１つに記載の装置。
11. ＯＳメモリ空間を有するＯＳを含むＣＰＵ、および前記ＯＳメモリ空間内のコードを保護するアウトオブバンドセキュリティエージェント（ＯＯＢセキュリティエージェント）を提供する管理エンジン、および前記ＯＳ内で動作するインバンドエージェント（ＩＢエージェント）を有するプラットフォームと、
    前記管理エンジンを介して前記プラットフォームにリンクされる遠隔セキュリティエージェントサービスと
    を備え、
    前記ＩＢエージェントは、保護対象であるシステムメモリページを分析して、前記遠隔セキュリティエージェントサービスにマルウェア活動の可能性を通知し、
    前記ＯＯＢセキュリティエージェントは、前記プラットフォームをマルウェアから保護するために前記ＯＳの外で実行され、前記ＯＳの下層において、前記ＣＰＵで動作し、前記ＩＢエージェントのデータおよびコードを含むページを分析して、前記ＩＢエージェントを前記マルウェアから保護するシステム。
12. 前記遠隔セキュリティエージェントサービスが、前記ＯＯＢセキュリティエージェントを前記プラットフォームに提供する請求項１１に記載のシステム。
13. 前記遠隔セキュリティエージェントサービスは、前記ＩＢエージェントが前記ＯＯＢセキュリティエージェントによって保護されていることを確認した後、前記ＯＯＢセキュリティエージェントによって保護されたメモリ空間を介して、前記ＩＢエージェントにアンチマルウェアルールを提供する請求項１１または請求項１２に記載のシステム。

Images