JP5543156B2 - 仮想化されたブロック入出力切り替えによるアプリケーション管理のエージェントレス・エンフォースメント - Google Patents

Description

本発明は、一般にコンピュータ・セキュリティに関する。より具体的には、オペレーティング・システムとの直接の対話を必要とせずに、コンピュータにアプリケーション管理を強制することに関する。

コンピュータ・セキュリティ・ソフトウェア（例えば、ポリシー・エンフォースメント、および、コンフィギュレーション・マネジメント・ソリューション）は、典型的には、保護されるコンピュータのオペレーティング・システム内に、エージェントの配備を必要とする。しかしながら、エージェントの配備それ自体の行為は、多くの場合存在しない保護されるコンピュータ上の管理水準およびマネジメントの存在を想定する。保護を最も必要とするのは、まさにこのようなコントロールが利用不可能なコンピュータである。

アクティブ・マネジメント・テクノロジ（AMT）（例えば、インテルのvPro AMT）は、メインの汎用オペレーティング・システムから別個かつ独立のランタイム環境を提供するハードウェア・ベースの技術である。AMTは、典型的には、メインのオペレーティング・システムとの「アウト・オブ・バンド」対話を有効にするために、コンピュータのマザーボード上の二次プロセッサを用いる。汎用オペレーティング・システムから独立して動作することに加えて、AMT環境は、独立して通信することができる。上述したコンピュータ・セキュリティの欠点に対処するためにAMT環境を導入することは、望ましいであろう。

アプリケーション認証マネジメントは、オペレーティング・システム・レベルでエージェントをインストールせずに提供される。AMT環境では、コンポーネントは、オペレーティング・システム外で動作する。AMTは、アプリケーションのオペレーティング・システムを検査するために利用される。確認されたアプリケーションは、ホワイトリストまたはブラックリストと照合される。確認されたアプリケーションが認証されていないと決定することに応答して、AMTは、そのアプリケーションを目標としている入出力要求を代替イメージに切り替えるために用いられ、これは、例えば、アプリケーションが認証されていないことをユーザに警告することを可能にする。

この概要および以下の詳細な説明に記載されている特徴および効果は、全てを網羅するものではない。特に、多くの付加的な特徴および効果が、本願の図面、明細書、および、特許請求の範囲に関連する技術分野の当業者にとっては明白であろう。さらに、この明細書において使用されている言い回しは、主として、読みやすさおよび判りやすさを目的として選択されているものであって、本発明の内容を正確に説明するため又は限定的とするために選択されているものでなく、かつ特許請求の範囲は、このような発明の内容を決定するために必要なものである点に留意されたい。

図1は、本発明のいくつかの実施例による、オペレーティング・システム・レベルでエージェントをインストールせずに、アプリケーションのブラックリスト、および、ホワイトリストを提供することを例示するブロック図である。 図2は、本発明のいくつかの実施例による、オペレーティング・システム・レベルでエージェントをインストールせずに、アプリケーションのホワイトリストのためのステップを例示するフローチャートである。

これらの図は、本発明の実施例を、例示の目的で表しているものに過ぎない。当業者であれば、以下の説明から、本願明細書に例示されている構成および方法の代替例が、本願明細書に記載されている発明の原則から逸脱することなく実施できることを直ちに認識できるであろう。

図1は、本発明のいくつかの実施例による、オペレーティング・システム・レベルでエージェントをインストールせずに、アプリケーションのブラックリスト、および、ホワイトリストを提供することを例示する。 各種構成要素は、個別の機能素子として示されているが、各々の例示された構成要素は、ソフトウェア、ハードウェア、ファームウェアまたはこれらの組み合せとして実装することができる一群の機能を表していることを理解すべきである。構成要素が、ソフトウェアとして実装されている場合、これは、独立型プログラムとして実装できるが、これは、他の手段（例えば、大きなプログラムの一部として、複数の別々のプログラムとして、カーネル・ロード可能なモジュールとして、一つ以上のデバイス・ドライバとして、または、一つ以上の静的、または、動的にリンクされたライブラリ）で実装することもできる。

図1に例示されるように、セキュリティ・コンポーネント101は、オペレーティング・システム107と直接対話せずに、コンピュータ105のAMT環境103で「アウト・オブ・バンド」で動作させる。セキュリティ・コンポーネント101は、オペレーティング・システム107上でエージェントを全く動作させることなく、アプリケーション109のオペレーティング・システム107のイメージの検査を実行するために、AMT103と通信する。その次に、セキュリティ・コンポーネントは、それがコンピュータ105で動作する認証が与えられているかどうか決定するために、見つけられたアプリケーション109上のセキュリティ・チェックを動作させる。このセキュリティ・チェックは、それぞれ見つけられたアプリケーション109がコンピュータ105で動作することが容認されるアプリケーション109についてのホワイトリスト111にあるかどうか決定すること、および／または、アプリケーション109が否認されたエンティティについてのブラックリスト113に存在するかどうか決定することを備えることができる。これ／これらのリスト111／113は、ローカルに存在することができ、または、チェックは、リスト111／113が保持されるリモート・エンティティ（例えば、サーバー（図示されていない））になされる問い合わせの形式とすることができる。その他の実施例において、セキュリティ・チェックは、ホワイトリスト111／ブラックリスト113のチェック以外のアクションを備えることができる。例えば、セキュリティ・チェックは、疑わしいアプリケーションを確認するためにヒューリスティック解析の形式とすることができ、および／または、既知の悪質なコードのサインに対してのアプリケーションを照合することができる。

アプリケーション109が正当でないと決定することに応答して、セキュリティ・コンポーネント101は、アプリケーション109を管理するために、AMT 103のブロック入出力（IO）機能の仮想化を用いる。より具体的には、セキュリティ・コンポーネント101が、疑わしいアプリケーション109を確認するとき、アプリケーション・ファイル109を含んでいるブロックを再配置することは、AMTブロック仮想化を用い（または、いくつかの実施例において、そのファイル・テーブル（例えば、MFT）エントリ）、セキュリティ・コンポーネント101は、AMT103を通してオペレーティング・システム107にファイル109の代替「イメージ」115を提供する。言い換えれば、ファイル・テーブル・エントリー・レコードまたはそれに関係するセクターの入出力要求は、代替セクターに切り替えられ、代替イメージ115は格納される。いくつかの実施例において、代替イメージ115は、（動いていない、および、未修正のままである）オリジナルファイル109と同じ物理ディスクに格納される。その他の実施例において、代替イメージ115は、リモートで格納される（図示されていない）。切り替えられた代替イメージ115は、例えば、ノーオペレーション（NOP）コード、または、アプリケーション109がコンピュータ105上で実行が承認されていないことをユーザに告示するコードを備えることができる。種々の動作環境において、ファイル・テーブル・エントリーが、ファイル・システムの具体化に基づく異なる内部フォーマット（例えば、Windows（登録商標）のFATおよびNTF（MFT）、Linuxのiノード（iNodes）等）であることを理解すべきである。全てのこのようなファイル・システム・フォーマットは、本発明の種々の実施例の範囲内にある。

代替イメージ115が、典型的には、オペレーティング・システム（例えば、Windows（登録商標）、Linux等）の所定のセットに特有のものであることを理解すべきである。例えば、アプリケーション109が承認されていないことをユーザに通知するLinuxコードは、おそらくWindows（登録商標）等の下で動作しないであろう。これに対処するために、一群の代替イメージ115は、サポートされたプラットホームごとに一つ（または、それ以上）保持することができる。おそらく、多くのオペレーティング・システムのセットがサポートされるだけなので、さまざまな実施例において用いられる代替イメージ115の数は非常に管理しやすいであろう。

メイン・オペレーティング・システム107は、いずれのタイプのエージェントを含むこともなく、基礎をなすトランスレーションが生ずることは気づかないことに注意すべきである。実際に、変更がファイル・システムに対して行われないことに更に注意すべきである。これに代えて、セキュリティ・エージェント101は、アプリケーション109の入出力要求を代替イメージ115に切り替えるのみでも良い。

図2は、本発明のいくつかの実施例による、オペレーティング・システム・レベルでエージェントをインストールせずに、アプリケーションのホワイトリスト化のためのステップを例示する。図2に示されるように、セキュリティ・コンポーネント101は、アプリケーション109のオペレーティング・システムをスキャン203するためにAMT 103と通信201する。セキュリティ・コンポーネント101は、見つけられたアプリケーション109を容認されるアプリケーション109についてのホワイトリスト111と比較205する。所定のアプリケーション109がホワイトリスト111にないと決定する207ことに応答して、セキュリティ・コンポーネント101は、ブロック入出力機能のAMT仮想化を利用して、アプリケーション109の入出力要求を、アプリケーション109がコンピュータ105上で動作することを容認されていないとユーザに警告する代替イメージ115に切り替える209。

この技術分野の当業者によって理解されるように、本発明は、その精神又は主要な特徴から逸脱することなく、他の特別な形で実施することができる。同様に、ポーション、モジュール、エージェント、マネージャ、コンポーネント、機能、手続、アクション、レイヤ、特性、属性、手順及び他の態様の特定の名付けおよび区分けは、義務的又は本質的でなく、かつ、本発明又はその特性を実装する手法は、異なる名前、区分けおよび／または形式とすることができる。さらに、関連技術分野の当業者にとって明らかであろうように、本発明における、ポーション、モジュール、エージェント、マネージャ、コンポーネント、機能、手続、アクション、レイヤ、特性、属性、手順、および、他の態様は、ソフトウェア、ハードウェア、ファームウェア又はこれらのいかなる組合せによって実装することができる。本発明のコンポーネントは、ソフトウェアによって実装することができ、このコンポーネントは、スクリプトによっても、スタンドアローン型のプログラムによっても、より大型のプログラムの一部によっても、複数の別々のスクリプトおよび／又はプログラムによっても、静的に又は動的に連結されたライブラリによっても、カーネル・ローダブル・モジュールによっても、デバイス・ドライバおよび／またはコンピュータプログラミングの当業者にとって現在又は将来知られる、ありとあらゆる他の既知又は新たな方法によっても実装することができる。加えて、本発明は、いかなる特別なプログラミング言語、又は、いかなる特別なオペレーティング・システム或いは環境による実装に、決して制限されるものではない。さらに、本発明は、ソフトウェアの全体又は一部で実装でき、そのソフトウェア・コンポーネントは、コンピュータ・プログラム製品としてコンピュータ読取可能媒体に格納することができることは関連技術分野の当業者に、すぐに理解されるであろう。磁気又は光学格納媒体のような、如何なる形式のコンピュータ読取可能媒体も、このコンテキストにおいて用いられる。加えて、本発明のソフトウェア・ポーションは、いかなるプログラマブル・コンピューティング・デバイスのメモリ内で、インスタンス（例えば、オブジェクトコードまたは実行イメージ）を作成することができる。したがって、本発明の開示は、特許請求の範囲に説明される、本発明の範囲に限定されるものではなく、例示的であることを意図している。

101 セキュリティ・コンポーネント
103 AMT
105 コンピュータ
107 オペレーティング・システム
109 アプリケーション
111 ホワイトリスト
113 ブラックリスト
115 代替イメージ

Claims (20)

1. オペレーティング・システム・レベルでエージェントをインストールせずにアプリケーション管理を提供するコンピュータ実装方法であって、
   AMT環境において前記オペレーティング・システム外でコンポーネントを動作させるステップと、
   アプリケーションがないか前記オペレーティング・システムを検査するためにAMTを利用するステップと、
   確認されたアプリケーションのセキュリティ・チェックを実行するステップと、
   確認されたアプリケーションが認証されていないと決定することに応答して、対応する入出力要求を代替イメージに切り換えるためにAMTを用いるステップと、
   を備える方法。
2. 確認されたアプリケーションのセキュリティ・チェックを実行することは、
   前記アプリケーションが、認証されたアプリケーションについてのローカル・ホワイトリストにあるかどうか決定するステップと、
   前記アプリケーションが、認証されたアプリケーションについてのリモート・ホワイトリストにあるかどうか決定するステップと、
   前記アプリケーションが、認証されていないアプリケーションについてのローカル・ブラックリストにあるかどうか決定するステップと、
   前記アプリケーションが、認証されていないアプリケーションについてのリモート・ブラックリストにあるかどうか決定するステップと、
   前記アプリケーションのヒューリスティック解析を実行するステップと、
   少なくとも一つの悪質なコードのサインに対しての前記アプリケーションを照合するステップと、
   からなる一群のステップから、少なくとも一つのステップを実行することを更に備える請求項1に記載の方法。
3. 対応する入出力要求を代替イメージに切り換えるためにAMTを用いることは、
   前記対応する要求を切り換えるためにブロック入出力機能のAMT仮想化を用いること、を更に備える請求項1に記載の方法。
4. 前記対応する要求を切り換えるためにブロック入出力機能のAMT仮想化を用いることは、
   前記アプリケーションを含んでいるブロックを再配置するために、ブロック入出力機能のAMT仮想化を用いること、を更に備える請求項3に記載の方法。
5. 前記対応する要求を切り換えるためにブロック入出力機能のAMT仮想化を用いることは、
   前記アプリケーションのファイル・テーブル・エントリーを含んでいるブロックを再配置するために、ブロック入出力機能のAMT仮想化を用いること、を更に備える請求項3に記載の方法。
6. 前記対応する要求を切り換えるためにブロック入出力機能のAMT仮想化を用いることは、
   前記アプリケーションを目標としている入出力要求を前記代替イメージが格納される代替セクターに切り換えるために、ブロック入出力機能のAMT仮想化を用いること、を更に備える請求項3に記載の方法。
7. 対応する入出力要求を代替イメージに切り換えることは、
   対応する入出力要求を前記アプリケーションが格納されるローカル物理媒体に格納された代替イメージに切り換えるステップと、かつ、
   対応する入出力要求をリモート物理媒体に格納された代替イメージに切り換えるステップと、
   からなる一群のステップから、一ステップを実行することを更に備える請求項1に記載の方法。
8. 対応する入出力要求を代替イメージに切り換えることは、
   対応する入出力要求をNOPコードを備えている代替イメージに切り換えるステップと、
   対応する入出力要求を前記認証されていないアプリケーションに関してユーザへの告示を提供するためのコードを備えている代替イメージに切り換えるステップと、
   からなる一群のステップの一ステップを実行することを更に備える請求項1に記載の方法。
9. 各々の代替イメージが、特定の環境における実施のためのコードを備えている複数の代替イメージを保持すること、を更に備える請求項1に記載の方法。
10. オペレーティング・システム・レベルでエージェントをインストールせずにアプリケーション管理を提供するコンピュータ・プログラムであって、コンピュータに、
    AMT環境において前記オペレーティング・システム外でコンポーネントを動作させるステップと、
    アプリケーションがないか前記オペレーティング・システムを検査するためにAMTを利用するステップと、
    確認されたアプリケーションのセキュリティ・チェックを実行するステップと、
    確認されたアプリケーションが認証されていないと決定することに応答して、対応する入出力要求を代替イメージに切り換えるためにAMTを用いるステップと、
    を実行させるためのコンピュータ・プログラム。
11. 確認されたアプリケーションのセキュリティ・チェックを実行するステップは、
    前記アプリケーションが、認証されたアプリケーションについてのローカル・ホワイトリストにあるかどうか決定するステップと、
    前記アプリケーションが、認証されたアプリケーションについてのリモート・ホワイトリストにあるかどうか決定するステップと、
    前記アプリケーションが、認証されていないアプリケーションについてのローカル・ブラックリストにあるかどうか決定するステップと、
    前記アプリケーションが、認証されていないアプリケーションについてのリモート・ブラックリストにあるかどうか決定するステップと、
    前記アプリケーションのヒューリスティック解析を実行するステップと、
    少なくとも一つの悪質なコードのサインに対しての前記アプリケーションを照合するステップと、
    からなる一群のステップから、少なくとも一つのステップを実行するステップを更に備える請求項10に記載のコンピュータ・プログラム。
12. 対応する入出力要求を代替イメージに切り換えるためにAMTを用いるステップは、
    前記対応する要求を切り換えるためにブロック入出力機能のAMT仮想化を用いるステップ、を更に備える請求項10に記載のコンピュータ・プログラム。
13. 前記対応する要求を切り換えるためにブロック入出力機能のAMT仮想化を用いるステップは、
    前記アプリケーションを含んでいるブロックを再配置するために、ブロック入出力機能のAMT仮想化を用いるステップ、を更に備える請求項12に記載のコンピュータ・プログラム。
14. 前記対応する要求を切り換えるためにブロック入出力機能のAMT仮想化を用いるステップは、
    前記アプリケーションのファイル・テーブル・エントリーを含んでいるブロックを再配置するために、ブロック入出力機能のAMT仮想化を用いるステップ、を更に備える請求項12に記載のコンピュータ・プログラム。
15. 前記対応する要求を切り換えるためにブロック入出力機能のAMT仮想化を用いるステップは、
    前記アプリケーションを目標としている入出力要求を前記代替イメージが格納される代替セクターに切り換えるために、ブロック入出力機能のAMT仮想化を用いるステップ、を更に備える請求項12に記載のコンピュータ・プログラム。
16. 対応する入出力要求を代替イメージに切り換えるステップは、
    対応する入出力要求を前記アプリケーションが格納されるローカル物理媒体に格納された代替イメージに切り換えるステップと、
    対応する入出力要求をリモート物理媒体に格納された代替イメージに切り換えるステップと、
    からなる一群のステップの一ステップを実行するステップを更に備える請求項10に記載のコンピュータ・プログラム。
17. 対応する入出力要求を代替イメージに切り換えるステップは、
    対応する入出力要求をNOPコードを備えている代替イメージに切り換えるステップと、
    対応する入出力要求を前記認証されていないアプリケーションに関してユーザへの告示を提供するためのコードを備えている代替イメージに切り換えるステップと、
    からなる一群のステップの一ステップを実行するステップを更に備える請求項10に記載のコンピュータ・プログラム。
18. コンピュータに、各々の代替イメージが特定の環境における実施するためのコードを備えている複数の代替イメージを保持するステップ、を更に実行させるための請求項10に記載のコンピュータ・プログラム。
19. オペレーティング・システム・レベルでエージェントをインストールせずにアプリケーション管理を提供するコンピューターシステムであって、
    AMT環境において前記オペレーティング・システム外でコンポーネントを動作させる手段と、
    アプリケーションがないか前記オペレーティング・システムを検査するためにAMTを利用する手段と、
    確認されたアプリケーション上のセキュリティ・チェックを実行する手段と、
    確認されたアプリケーションが認証されていないと決定することに応答して、対応する入出力要求を代替イメージに切り換えるためにAMTを用いる手段と、
    を備えるコンピューターシステム。
20. 対応する入出力要求を代替イメージに切り換えるためにAMTを用いる前記手段は、
    前記対応する要求を切り換えるためにブロック入出力機能のAMT仮想化を用いる手段、を更に備える請求項19に記載のコンピューターシステム。
    

Images