JP5599884B2 - 評価システムでのクライアント装置の信頼度メトリクスの使用 - Google Patents

Description

本発明は、一般的にはコンピュータセキュリティに関し、特に、悪意のあるオブジェクトを検出するための評価システムを操作しようとする試みを検出することに関する。

悪意のある多種多様なソフトウェア（マルウェア）が、現代のコンピュータを攻撃する可能性がある。マルウェアの脅威としては、コンピュータウィルス、ワーム、トロイの木馬プログラム、スパイウェア、アドウェア、クライムウェア、およびフィッシングウェブサイトが挙げられる。悪意のあるエンティティは、悪意のあるエンティティそれ自体に有利なように使用できるように、慎重な扱いを要するデータまたは機密データを記憶したサーバを攻撃することがある。同様に、家庭のコンピュータを含め、他のコンピュータは、ユーザが電子メールを介して他のコンピュータと通信する場合、ユーザが新しいプログラムまたはプログラム更新をダウンロードする場合、および他の多くの状況において、送信され得る悪意のあるソフトウェアから常に保護されていなければならない。コンピュータへの攻撃に関して、悪意のあるエンティティが利用できる異なる選択肢および方法は、非常に多い。

署名文字列走査等の、マルウェアを検出する従来の技法は、あまり効率的ではなくなりつつある。現代のマルウェアが標的とし、送信される先は、多くの場合、比較的少数のコンピュータのみである。例えば、トロイの木馬プログラムは、特定の企業の特定の部署のコンピュータを標的とするように設計し得る。セキュリティ解析者がそのようなマルウェアに直面することは決してあり得ないため、セキュリティソフトウェアに、そのようなマルウェアを検出する署名が構成されることは決してあり得ない。そして、大量に配布されるマルウェアは、マルウェアのいずれのインスタンスをも一意にするポリモフィズムを含み得る。その結果、マルウェアのすべてのインスタンスを確実に検出する署名文字列を確立することが難しい。

マルウェアを検出するより新しい技法は、評価システムの使用を含む。評価システムは、オブジェクトがマルウェアである確率を査定するために、コンピュータが直面したファイルまたは他のオブジェクトの評価を決定することができる。オブジェクトに対する評価を確立する一方法は、オブジェクトが見つかった、ネットワーク接続されたコンピュータからリポートを収集し、リポート内の情報に基づいて評価することである。

しかし、そのような評価システムは、本質的に未知の相手からのリポートに頼るため、悪意のある行動をする者による転覆を受けやすい。例えば、マルウェアを配信するエンティティは、マルウェアが正当なものであることを示す偽のリポートをサブミットすることにより、評価システムを「不正操作（ｇａｍｅ）」しようとし得る。したがって、動作を転覆させるそのような試みに耐えることができる評価システムが必要である。

上記および他の必要性は、評価システム内でオブジェクトの評価を決定する方法、コンピュータ可読媒体、およびコンピュータシステムにより満たされる。方法の実施形態は、クライアントから、クライアントにおいて検出されたオブジェクトを識別するリポートを受信することを含む。この方法は、リポートからクライアントについての情報を特定することをさらに含む。さらに、この方法は、クライアントについての特定された情報に応答して、クライアントの信頼度メトリクスを生成することを含み、信頼度メトリクスは、クライアントから受信するリポートの信憑性に対する信頼量を示す。この方法は、クライアントからのリポートおよびクライアントの信頼度メトリクスに少なくとも部分的に基づいて、オブジェクトの評価スコアを計算すること、およびオブジェクトの評価スコアを記憶することも含む。

コンピュータ可読媒体の実施形態は、評価システム内でオブジェクトの評価を決定するコンピュータプログラム命令を記憶し、命令は、評価システム内のクライアントから、クライアントにおいて検出されたオブジェクトを識別するリポートを受信する命令と、リポートから、クライアントについての情報を特定する命令とを含む。命令は、クライアントについての特定された情報に応答して、クライアントの信頼度メトリクスを生成する命令をさらに含み、信頼度メトリクスは、クライアントから受信するリポートの信憑性に対する信頼量を示す。命令は、クライアントからのリポートおよびクライアントの信頼度メトリクスに少なくとも部分的に基づいて、オブジェクトの評価スコアを計算する命令と、オブジェクトの評価スコアを記憶する命令とをさらに含む。

コンピュータシステムの実施形態は、評価システム内のクライアントから、クライアントにおいて検出されたオブジェクトを識別するリポートを受信する命令と、リポートから、クライアントについての情報を特定する命令とを含む実行可能なコンピュータプログラム命令を記憶したコンピュータ可読記憶媒体を備える。命令は、クライアントについての特定された情報に応答して、クライアントの信頼度メトリクスを生成する命令をさらに含み、信頼度メトリクスは、クライアントから受信するリポートの信憑性に対する信頼量を示す。命令は、クライアントからのリポートおよびクライアントの信頼度メトリクスに少なくとも部分的に基づいて、オブジェクトの評価スコアを計算する命令と、オブジェクトの評価スコアを記憶する命令とをさらに含む。コンピュータシステムは、コンピュータプログラム命令を実行するプロセッサをさらに備える。

本開示および以下の詳細な説明において説明される特徴および利点は、すべてを包含するものではなく、特に、多くのさらなる特徴および利点が、図面、明細書、および本明細書の特許請求の範囲に鑑みて当業者に明らかになろう。さらに、本明細書において使用される用語が、可読性および教授の目的で主に選択されており、本発明の趣旨を記述または範囲限定するように選択されておらず、そのような本発明の趣旨の決定には、特許請求の範囲を使用する必要があることに留意されたい。

本発明の一実施形態による計算環境の高位ブロック図である。 一実施形態によるセキュリティサーバおよび／またはクライアントとして動作するコンピュータの高位ブロック図である。 一実施形態による評価モジュール内のモジュールを示す高位ブロック図である。 一実施形態によりクライアントから受信するリポートからの情報を使用して、オブジェクトについての評価スコアを決定する評価モジュールの動作を示すフローチャートである。

図は、単なる例示として本発明の様々な実施形態を示す。以下の考察から、本明細書において例示される構造および方法の代替の実施形態を、本明細書において説明される本発明の原理から逸脱せずに利用し得ることを当業者なら容易に認識するであろう。

図１は、一実施形態による計算環境１００の高位ブロック図である。図１は、ネットワーク１１４に接続されたセキュリティサーバ１０２を示す。ネットワーク１１４は、複数のクライアント１１２にも接続される。図１および他の図は、同様の参照番号を使用して、同様の要素を識別する。「１１２Ａ」等の参照番号後の文字は、その特定の参照番号を有する要素を特に参照するテキストを示す。「１１２」のように後続文字がないテキスト内の参照番号は、その参照番号を有する図中の要素のうちの任意またはすべての要素を指す（例えば、テキスト内の「１１２」は、図中の参照番号「１１２Ａ」、「１１２Ｂ」、および／または「１１２Ｃ」を指す）。説明を簡単かつ明瞭にするために、図１には３つのクライアント１１２のみが示される。計算環境１００の実施形態は、数千または数百万のクライアント１１２ならびに複数のサーバ１０２を有し得る。いくつかの実施形態では、クライアント１１２は、特定の時間期間中のみ、ネットワーク１１４に接続されるか、またはまったく接続されない。

クライアント１１２は、悪意のあるソフトウェアをホストし得る電子装置である。一実施形態では、クライアント１１２は、例えば、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ対応のオペレーティングシステム（ＯＳ）、Ａｐｐｌｅ ＯＳ Ｘ、および／またはＬｉｎｕｘディストリビューションを実行する従来のコンピュータシステムである。別の実施形態では、クライアント１１２は、個人情報端末（ＰＤＡ）、携帯電話、ビデオゲームシステム等のコンピュータ機能を有する別の装置である。クライアント１１２は通常、悪意のあるソフトウェアをホストし得る多くのコンピュータファイルおよび／またはソフトウェアアプリケーション（まとめて「オブジェクト」と呼ぶ）を記憶する。

悪意のあるソフトウェアは、「マルウェア」と呼ばれることもあり、一般に、クライアント１１２で不正に実行されるか、またはいくつかの不正機能を有するソフトウェアとして定義される。マルウェアは、正当なファイルに添付された寄生ウィルス、コンピュータのセキュリティ内の脆弱性を利用して、コンピュータを感染させ、他のコンピュータに拡散するワーム、正当であるように見えるが、実際には隠された悪意のあるコードを含むトロイの木馬プログラム、ならびに打鍵および／またはコンピュータでの他の動作を監視して、慎重な扱いを要する情報を捕捉させるか、または広告を表示させるスパイウェア等の多くの形態を取り得る。

クライアント１１２は、マルウェアの存在を検出するセキュリティモジュール１１０を実行する。セキュリティモジュール１１０は、例えば、コンピュータのＯＳ内に組み込まれてもよく、または別個の包括的なセキュリティパッケージの一部であってもよい。一実施形態では、セキュリティモジュール１１０は、セキュリティサーバ１０２を運営するエンティティにより提供される。セキュリティモジュール１１０は、ネットワーク１１４を介してセキュリティサーバ１０２と通信して、悪意のあるソフトウェアの検出に利用される情報をダウンロードすることができる。セキュリティモジュール１１０は、ネットワーク１１４を介してセキュリティサーバ１０２と通信して、クライアント１１２で検出されたオブジェクトについての情報をサブミットすることもできる。

一実施形態では、セキュリティモジュール１１０は、クライアントで検出されたオブジェクトの識別子をセキュリティサーバ１０２にサブミットし、それと引き換えに、オブジェクトの評価スコアを受信する。評価スコアは、オブジェクトの信頼性の査定を表す。高い評価スコアを有するオブジェクトは、良好な評価を有し、マルウェアを含む可能性は低い。逆に、低い評価スコアを有するオブジェクトは、不良な評価を有し、マルウェアを含む可能性がある。セキュリティモジュール１１０は、ユーザ挙動等の他の要因と共に評価スコアを使用して、クライアント１１２でのオブジェクトがマルウェアであるか否かを評価する。セキュリティモジュール１１０は、評価の結果をセキュリティサーバ１０２に報告し得る。

セキュリティサーバ１０２は、セキュリティソフトウェアベンダーまたは他のエンティティにより提供される。セキュリティサーバ１０２は、ネットワーク１１４を介してクライアント１１２と通信するように構成された１つまたは複数の標準のコンピュータシステムを含み得る。セキュリティサーバ１０２は、ネットワーク１１４を介してクライアント１１２からオブジェクトの識別子および他の情報を含むリポートを受信する。セキュリティサーバ１０２は、それに応答して、ネットワーク１１４を介してクライアント１１２にオブジェクトの評価スコアを送信する。

一実施形態では、セキュリティサーバ１０２は、データ記憶装置１０４および評価モジュール１０６を備える。評価モジュール１０６は、クライアント１１２がオブジェクトに直面する頻度等の要因に基づいて、オブジェクトの評価スコアを決定する。これらの評価スコアは、評価モジュール１０６によりデータ記憶装置１０４に記憶される。評価モジュール１０６は、ネットワーク１１４を介するクライアント１１２からの問い合わせまたはサブミットに応答して、データ記憶装置１０４にアクセスする。

評価モジュール１０６の実施形態は、クライアント１１２の信頼度メトリクスも決定する。クライアント１１２の信頼度メトリクスは、そのクライアントから受信する情報の信憑性に対する信頼量を表し、高い信頼度メトリクスは、情報が真実である可能性が高いことを示す。例えば、特定のクライアント１１２からやって来る大量のリポートは、そのクライアントが、偽のリポートをサブミットすることでオブジェクトの評価に影響を及ぼそうとしている悪意のあるエンティティにより制御されていることを示し得る。評価モジュール１０６は、オブジェクトの評価に影響を及ぼそうとするそのような試みを検出し、対応するクライアント１１２の信頼度メトリクスを下げる。評価モジュール１０６は、オブジェクトの評価を決定する際、低い信頼度メトリクスを有するクライアント１１２からのリポートの重みを割り引き、高い信頼度メトリクスを有するクライアントからのリポートの重みを押し上げることができる。したがって、評価モジュール１０６は、悪意のあるエンティティからのセキュリティサーバ１０２を操作または他の様式で「不正操作」する試みに対する耐性を有する。

ネットワーク１１４は、セキュリティサーバ１０２とクライアント１１２との通信を可能にする。一実施形態では、ネットワーク１１４は、標準の通信技術および／またはプロトコルを使用し、インターネットを含む。したがって、ネットワーク１１４は、Ｅｔｈｅｒｎｅｔ、８０２．１１、ＷｉＭＡＸ（ｗｏｒｌｄｗｉｄｅ ｉｎｔｅｒｏｐｅｒａｂｉｌｉｔｙ ｆｏｒ ｍｉｃｒｏｗａｖｅ ａｃｃｅｓｓ）、３Ｇ、デジタル加入者回線（ＤＳＬ）、非対称転送モード（ＡＴＭ）、ＩｎｆｉｎｉＢａｎｄ、ＰＣＩ Ｅｘｐｒｅｓｓ Ａｄｖａｎｃｅｄ Ｓｗｉｔｃｈｉｎｇ等の技術を使用するリンクを含み得る。同様に、ネットワーク１１４で使用されるネットワーキングプロトコルは、マルチプロトコルラベルスイッチング（ＭＰＬＳ）、伝送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）、ユーザデータグラムプロトコル（ＵＤＰ）、ハイパーテキスト転送プロトコル（ＨＴＴＰ）、簡易メール転送プロトコル（ＳＭＴＰ）、ファイル転送プロトコル（ＦＴＰ）等を含み得る。ネットワーク１１４を介して交換されるデータは、ハイパーテキストマークアップ言語（ＨＴＭＬ）、拡張可能マークアップ言語（ＸＭＬ）等を含む技術および／または形式を使用して提示することができる。さらに、リンクのうちのすべてまたはいくつかは、セキュアソケットレイヤ（ＳＳＬ）、トランスポートレイヤセキュリティ（ＴＬＳ）、仮想私設ネットワーク（ＶＰＮ）、インターネットプロトコルセキュリティ（ＩＰｓｅｃ）等の従来の暗号化技術を使用して暗号化することができる。別の実施形態では、エンティティは、上述したものに対する代替または追加として、カスタムおよび／または専用のデータ通信技術を使用し得る。

図２は、一実施形態によるセキュリティサーバ１０２および／またはクライアント１１２として動作するコンピュータ２００の高位ブロック図である。示されるのは、チップセット２０４に結合された少なくとも１つのプロセッサ２０２である。チップセット２０４には、メモリ２０６、記憶装置２０８、キーボード２１０、グラフィックスアダプタ２１２、ポインティングデバイス２１４、およびネットワークアダプタ２１６も結合される。ディスプレイ２１８が、グラフィックスアダプタ２１２に結合される。一実施形態では、チップセット２０４の機能は、メモリコントローラハブ２２０およびＩ／Ｏコントローラハブ２２２により提供される。別の実施形態では、メモリ２０６は、チップセット２０４ではなくプロセッサ２０２に直接結合される。

記憶装置２０８は、ハードドライブ、コンパクトディスク読み取り専用メモリ（ＣＤ−ＲＯＭ）、ＤＶＤ、または固体状態メモリ装置等の任意のコンピュータ可読記憶媒体である。メモリ２０６は、プロセッサ２０２により使用される命令およびデータを保持する。ポインティングデバイス２１４は、マウス、トラックボール、または他の種類のポインティングデバイスであり得、キーボード２１０と組み合わせて使用されて、データをコンピュータシステム２００に入力する。グラフィックスアダプタ２１２は、画像および他の情報をディスプレイ２１８に表示する。ネットワークアダプタ２１６は、コンピュータシステム２００をローカルエリアネットワークまたは広域ネットワークに結合する。

当分野において既知のように、コンピュータ２００は、図２に示される構成要素と異なる構成要素および／または他の構成要素を有し得る。さらに、コンピュータ２００は、図示される特定の構成要素を有さなくてもよい。一実施形態では、セキュリティサーバ１０２として動作するコンピュータ２００は、キーボード２１０、ポインティングデバイス２１４、グラフィックスアダプタ２１２、および／またはディスプレイ２１８を有さない。さらに、記憶装置２０８は、コンピュータ２００にとってローカルであってもよく、かつ／またはリモートであってもよい（記憶領域ネットワーク（ＳＡＮ）内に具現されるように）。

当分野において既知のように、コンピュータ２００は、本明細書において説明される機能を提供するコンピュータプログラムモジュールを実行するように構成される。本明細書において使用される用語「モジュール」は、指定された機能を提供するために利用されるコンピュータプログラム論理を指す。したがって、モジュールは、ハードウェア、ファームウェア、および／またはソフトウェアで実施し得る。一実施形態では、プログラムモジュールは、記憶装置２０８に記憶され、メモリ２０６にロードされ、プロセッサ２０２により実行される。

本明細書において説明されるエンティティの実施形態は、本明細書において説明されるモジュールとは他のモジュールおよび／または異なるモジュールを含み得る。さらに、モジュールによる機能は、他の実施形態では、他または異なるモジュールにより実行し得る。さらに、この説明は、明確にするため、かつ便宜上、用語「モジュール」を省くことがある。

図３は、一実施形態による評価モジュール１０６の詳細図を示す高位ブロック図である。いくつかの実施形態では、評価モジュール１０６は、スタンドアロンアプリケーションとして、または別の製品の一部として、セキュリティサーバ１０２内に組み込まれる。図３に示されるように、評価モジュール１０６は複数のモジュールを含む。評価モジュール１０６の他の実施形態が、本明細書において説明されるモジュールとは他のモジュールおよび／または異なるモジュールを含み得ること、および機能を様々な方法で複数のモジュールに分散し得ることを当業者なら理解するであろう。

通信モジュール３０２は、ネットワーク１１４を介してクライアント１１２のセキュリティモジュール１１０と情報を交換する。通信モジュール３０２は、セキュリティモジュール１１０がクライアント１１２において検出した、ファイル等のオブジェクトに関する情報を受信する。例えば、通信モジュール３０２は、クライアント１１２において検出されたオブジェクトの識別子を含むリポートを、オブジェクトの評価スコアに対する要求と共に、セキュリティモジュール１１０から受信し得る。オブジェクトの識別子は、例えば、オブジェクトのハッシュであり得る。通信モジュール３０２は、評価モジュール１０６の他のモジュールと対話して、識別されたオブジェクトの評価スコアを決定し、スコアを要求側のセキュリティモジュール１１０に提供する。

一実施形態では、リポートは、通信モジュール３０２が、リポートをサブミットしたクライアント１１２を識別するために使用し得る情報も含む。一実施形態では、リポートはクライアント１１２の一意の識別子を含む。一意の識別子は、リポートに付随し、かつ／またはリポートの署名もしくは認証に使用される暗号鍵またはトークンであり得る。通信モジュール３０２は、リポートの送信元のＩＰアドレス等のクライアント１１２の識別に使用し得る他の情報を検出してもよい。実施形態に応じて、通信モジュール３０２は、地理的場所、システム内の年齢（例えば、クライアントの最初のリポートからの経過時間）、サブミットした他のリポート等のクライアント１１２についての追加情報に一意の識別子を相関付けるデータ記憶装置１０４内の情報にアクセスし得る。

信頼度モジュール３０４が、クライアント１１２の信頼度メトリクスを決定する。上述したように、信頼度メトリクスは、クライアント１１２から受信するリポートの信憑性に対する信頼量を表す。一実施形態では、信頼度メトリクスは、０〜１（０および１を含む）の連続した値であり、データ記憶装置１０４に記憶される。実施形態に応じて、信頼度メトリクスに、クライアント１１２以外のエンティティを関連付け得る。例えば、信頼度メトリクスに、クライアント１１２の特定のユーザまたはセキュリティモジュール１１０の特定のインスタンスを関連付け得る。明確にするために、この説明は、クライアント１１２が関連付けられるものとして信頼度メトリクスを参照するが、この意味で使用される「クライアント」が、信頼度メトリクスに関連付け得る他のエンティティも指すことが理解される。

信頼度モジュール３０４は、クライアント１１２から受信する情報および／または他のソースから受信するクライアントについての情報を使用して、クライアントの信頼度メトリクスを計算する。信頼度モジュール３０４は、クライアントの一意の識別子を使用して、クライアントからの情報を関連付け、相関付ける。実施形態に応じて、信頼度モジュール３０４は、様々な異なる要因を使用して、クライアントの信頼度メトリクスを決定し得る。

信頼度モジュール３０４の実施形態は、クライアントの信頼度メトリクスを計算する際の要因として、クライアントのシステム年齢を使用する。クライアントのシステム年齢は、クライアント１１２がアクティブ化されている状態での経過時間である。例えば、クライアント１１２のシステム年齢は、最初のリポートをクライアントから受信してから、セキュリティモジュール１１０がクライアントにインストールされてから、またはセキュリティモジュールがセキュリティサーバ１０２に登録されてから経過した時間であり得る。

一般に、「年齢の高い」クライアント１１２ほど、高い信頼度メトリクスを受け取る。ごく最近になってリポートのサブミットを開始したクライアント１１２は、信頼性が低いか、または信用できない可能性がある。例えば、悪意のあるエンティティが、大量の正当な（かつ新しい）クライアント識別子を偽造し、次に、大量にリポートをサブミットして、マルウェアの評価スコアを押し上げようとし得る。信頼度モジュール３０４は、これらのリポートを「年齢が低い」クライアント１１２からやって来たものとして認識し、この要因を使用して、これらのクライアントの信頼度メトリクスを下げ得る。「年齢が低い」クライアントと「年齢が高い」クライアントとの区別は、所定の値を使用して確立し得る。例えば、６ヶ月未満の年齢を有するクライアント１１２を「年齢が低い」と見なし、他のクライアントを「年齢が高い」と見なし得る。

信頼度モジュール３０４は、経過時間以外の特徴に基づいてクライアントの年齢を計算してもよい。一実施形態では、クライアントの年齢は、クライアントがサブミットした「普及している」オブジェクトリポートの数に基づいて測定される。例えば、特定のソフトウェアアプリケーションがクライアント１１２間で普及または偏在する。例えば、クライアントのうちの非常に大きな割合が、限られた数のウェブ閲覧アプリケーションのうちの少なくとも１つをインストールしている可能性が高い。セキュリティモジュール１１０は、そのような普及しているアプリケーションを、検出された他のオブジェクトと共にセキュリティサーバ１０２に報告する。信頼度モジュール３０４は、普及しているオブジェクトのリポートを多くサブミットしたクライアント１１２を、そのようなオブジェクトのリポートのサブミットが少ないクライアントよりも「年齢が高い」として取り扱うことができる。そのような取扱は、普及していないオブジェクトのみのリポートをサブミットし、それにより、マルウェアの評価スコアを押し上げようとしている可能性があるクライアント１１２の信頼度メトリクスを下げる傾向がある。

同様に、信頼度モジュール３０４は、「希な」オブジェクトに対してサブミットされたリポートに対する、普及しているオブジェクトに対してサブミットされたリポートの比率に基づいてクライアントの年齢を計算することができ、「希な」オブジェクトとは、非常に少ないクライアントにより報告されるオブジェクトである。クライアント１１２が、普及しているオブジェクトよりも希なオブジェクトに対するリポートを多くサブミットする傾向がある場合、クライアントは、マルウェアの評価スコアを押し上げようとしている可能性がある。したがって、そのようなクライアント１１２は、「年齢が低い」として取り扱われ、低減された信頼度メトリクスを有することになる。システムでのクライアントの年齢を要因に入れることにより、クライアントが高い信頼度メトリクスを有するには、「年齢が高く」なければならないため、評価システムの「不正操作」を高価なものにする。

信頼度モジュール３０４の実施形態は、クライアントの信頼度メトリクスを計算する際の要因として、クライアント１１２の地理的場所を使用する。大半のクライアントは、一度に世界の複数の地域に存在しないため、近い時間内で受信された異なる地理的場所からの同じクライアントによりサブミットされた同じオブジェクトについてのリポートは、疑いのある挙動を示すものである。そのようなリポートは、例えば、クライアントの識別子が複数の悪意のある者によりなりすまされたことを示し得る。したがって、信頼度モジュール３０４は、そのようなリポートの受信に基づいてクライアントの信頼度メトリクスを低減し得る。さらに、異なる地理的場所は、可変の信頼度メトリクスを有し得る。したがって、疑いのある特定の地理的場所からリポートをサブミットするクライアント１１２は、疑いの少ない地理的場所から同等のリポートをサブミットする別のクライアントよりも低い信頼度メトリクスを有し得る。

信頼度モジュール３０４は、クライアントの信頼度メトリクスを計算する際の要因として、クライアント１１２によるリポートのサブミット頻度を使用してもよい。クライアントのリポートサブミットパターンを追跡することにより、信頼度モジュール３０４は、特定のクライアントによる異常なサブミットの量を検出し得る。何が予期されるサブミットパターンからの「異常な」逸脱を構成するかの閾値は、クライアントの以前のサブミットパターンに基づいてクライアント毎に異なり得る。例えば、少数のみのリポートをサブミットした履歴を有し、突然、大量のリポートをサブミットするクライアント１１２は、感染している可能性がある。その結果、信頼度モジュール３０４は、そのクライアントの信頼度メトリクスを低減し得る。

信頼度モジュール３０４は、信頼度メトリクスの決定にクライアント識別子を使用することもできる。信頼度モジュール３０４は、特定のクライアントの識別子を無効、偽造、ハッキング、または他の様式で感染しているものとして識別することができる。この識別は、例えば、受信したリポート内の識別子に、データ記憶装置１０４内で保持される識別子リストを相関付けることにより実行することができる。信頼度モジュール３０４は、感染している識別子を認識し、その情報を、影響を受けるクライアントの信頼度メトリクスを計算する際の要因として利用し得る。したがって、無効または感染している識別子を有するクライアントに、より低い信頼度メトリクスを付与し得る。

さらに、信頼度モジュール３０４は、リポートの送信元であるクライアントのＩＰアドレスを使用して、信頼度メトリクスに影響を及ぼし得る。特定のＩＰアドレスは、悪意のあるエンティティに属するものとして識別でき、または他の様式で低信頼度を関連付け得る。したがって、信頼度モジュール３０４は、特定のＩＰアドレスからリポートを送信するクライアントの信頼度メトリクスを下げることができる。

信頼度モジュール３０４により受信される他の情報が、クライアントの信頼度メトリクスに影響を及ぼしてもよい。クライアントが異常なリポートまたは偽のリポートをサブミットした場合、信頼度モジュール３０４は、クライアントが感染していることを疑う理由を有し、そのクライアントの信頼度メトリクスを低減し得る。クライアント１１２に、信頼度モジュール３０４がアクセスできる（クライアントのユーザがクレジットカードを使用してセキュリティサーバ１０２からセキュリティモジュール１１０を購入した場合等）クレジットカード口座が関連付けられる実施形態では、信頼度モジュール３０４は、支払い拒否要求等の観察されたクレジット行動を使用して、信頼度メトリクスに影響を及ぼし得る。他の実施形態では、地理的場所等の上述した１つまたは複数の要因に基づいてリポートを集計することにより、標準から外れた報告パターンに基づいて疑いのあるリポートをサブミットするクライアントを識別し、そのクライアントの信頼度メトリクスに影響を及ぼすこともできる。

信頼度モジュール３０４が受信するさらなる要因およびヒューリスティックを使用して、クライアントの信頼度メトリクスに影響を及ぼし得る。例えば、１つのクライアント（同じクライアント識別子）により２つ以上のＩＰアドレスから複数のサブミットを同時に受信することは、そのクライアントが感染していることを示し得る。１人のクライアントから異常に高い率でサブミットを受信すること、複数のクライアントから少数のファイルについてのリポートを繰り返し受信すること、および不釣り合いに多数もしくは少数のファイル（または所与の特徴を有する不釣り合いな数のファイル−例えば、クライアントがそれまでに誰もサブミットしたことのないファイルをサブミットしているように見える）をサブミットするクライアントを識別することは、それらのクライアントの信頼度メトリクスにさらに影響を及ぼし得る。さらに、スパムを送信することが分かっているクライアントの識別は、一実施形態において、クライアントの信頼度メトリクスに影響を及ぼすために、信頼度モジュール３０４が使用し得る別の要因である。

信頼度モジュール３０４の実施形態は、上述した要因のうちの１つまたは複数を使用して、クライアント１１２の信頼度メトリクスを決定する。信頼度モジュール３０４が複数の要因を使用する実施形態では、信頼度モジュールは、要因毎に異なる重みを認め得る。例えば、クライアント１１２の年齢は、信頼度メトリクスに対して大きな影響を有し得るが、クライアントの地理的場所はごくわずかな影響を有し得る。さらに、いくつかの実施形態は、複数の信頼度メトリクスを使用し、各信頼度メトリクスが単一の要因（例えば、年齢）に対応する。

一実施形態では、信頼度モジュール３０４は、計算された信頼度メトリクスを使用して、クライアントをホワイトリストまたはブラックリストに割り当てる。一般に、ホワイトリストは、高い信頼度メトリクスを有し、したがって、信頼度できると推定されるクライアント１１２を掲載する。逆に、ブラックリストは、低い信頼度メトリクスを有し、したがって、信頼できないと推定されるクライアント１１２を掲載する。いくつかの実施形態では、信頼度モジュール３０４は、閾値を使用して、クライアント１１２をリストに割り当てる。クライアントの信頼度メトリクスが特定の閾値未満である場合、そのクライアントはブラックリストに掲載される。同様に、クライアントの信頼度メトリクスが特定の閾値よりも大きい場合、そのクライアントはホワイトリストに掲載される。いくつかの実施形態では、閾値は両リストで同じであり、他の実施形態では、各リストが別個の閾値を有する。

同様に、信頼度モジュール３０４のいくつかの実施形態は、所定の基準に基づいてクライアントの信頼度メトリクスを０または１に量子化する。例えば、６ヶ月未満の年齢を有する「年齢の低い」クライアント１１２または２つの異なる地域から複数のリポートを同時にサブミットするクライアントは、その他の要因に関係なく、０の信頼度メトリクスを受け取り得る。

オブジェクト評価モジュール３０６は、オブジェクトの評価スコアを計算し、評価スコアをデータ記憶装置１０４に記憶する。上述したように、オブジェクトの評価スコアは、オブジェクトの信頼性の査定を表す。一実施形態では、評価スコアは０〜１（０および１を含む）の数である。低い評価スコアは、オブジェクトがマルウェアである可能性が高いことを示し、高い評価スコアは、オブジェクトが正当なものである可能性が高いことを示す。

一実施形態では、オブジェクト評価モジュール３０６は、クライアントでのオブジェクトの報告された普及率に少なくとも部分的に基づいて、オブジェクトの評価スコアを計算する。人気のある言語処理アプリケーション等のクライアントに広く配布されているオブジェクトは、正当である可能性が高く、クライアントが希に直面するオブジェクトはマルウェアである可能性がある。したがって、高い普及率を有するオブジェクトは、一実施形態では、高い評価スコアを受ける。

いくつかの実施形態では、オブジェクトの評価スコアは、オブジェクトが主に見つかったクライアント１１２の衛生スコアにも基づく。衛生スコアは、クライアント１１２の信頼性の査定を表す。衛生の文脈の中での「信頼性」は、クライアントがマルウェアに感染する傾向を指し、マルウェアにより頻繁に感染するクライアント１１２は、信頼性が低い。例えば、高い衛生スコアを有するクライアント１１２で頻繁に見つかるオブジェクトは、良好な評価を示す高い評価スコアを受ける可能性が高い。逆に、低い衛生スコアを有するクライアント１１２で主に見つかるオブジェクトは、不良な評価を示す低い評価スコアを受ける可能性が高い。評価スコアは、オブジェクトが見つけられたウェブサイトの評価スコア、オブジェクトの開発者および／または配信元の評価スコア、ならびにオブジェクトがデジタル署名されているか否か等の他の特徴等の他の要因に基づいてもよい。

さらに、オブジェクト評価モジュール３０６は、オブジェクトに関連付けられたリポートをサブミットしたクライアントの信頼度メトリクスに基づいて、オブジェクトの評価スコアに影響を及ぼす。一実施形態では、オブジェクト評価モジュール３０６は、オブジェクトの評価スコアを計算する際、閾値未満の信頼度メトリクスを有するクライアント１１２からのリポートを除外する。例えば、上述したブラックリストに載っているクライアント１１２からのリポートを除外することができる。同様に、オブジェクト評価モジュール３０６の実施形態は、オブジェクトの評価スコアを計算する際、閾値を上回る信頼度メトリクスを有するクライアントのみからのリポートを使用する。例えば、上述したホワイトリストに載っているクライアント１１２からのリポートのみを使用することができる。

別の実施形態では、オブジェクト評価モジュール３０６は、所与の時間期間にわたる低および／または高信頼度メトリクスのクライアントの、オブジェクトを報告する他のクライアントに対する比率を使用して、オブジェクトの評価スコアに影響を及ぼし得る。この実施形態では、オブジェクト評価モジュール３０６は、低信頼度メトリクスを有するクライアント１１２から主に報告されるオブジェクトが、まず間違いなく低い評価スコアを有するべきであるという哲学に従って動作する。同時に、オブジェクト評価モジュール３０６は、評価の「不正操作」をリアルタイムで検出できるのに十分な柔軟性を有した状態を保つ。この実施形態では、オブジェクト評価モジュール３０６は、評価モジュール１０６の他のモジュールと協働して、クライアント１１２の信頼度メトリクスをオブジェクト単位で追跡する。

所与のオブジェクトに対して、オブジェクト評価モジュール３０６は、そのオブジェクトを報告した低信頼度メトリクスを有するクライアントの数およびそのオブジェクトを報告した高信頼度メトリクスを有するクライアントの数を特定することができ、「高」信頼度レベルおよび「低」信頼度レベルは、閾値を使用して決定される。高信頼度メトリクスクライアントの、他の信頼度メトリクスのクライアント（すなわち、非高信頼度メトリクスのクライアント）に対する十分な比率が、所与の時間期間にわたってそのオブジェクトを報告した場合、オブジェクト評価モジュール３０６は、そのオブジェクトの評価スコアを増大させる。逆に、低信頼度メトリクスのクライアントの、他の信頼度メトリクスのクライアントに対する十分な比率が、同じ時間期間または異なる時間期間にわたってそのオブジェクトを報告した場合、オブジェクト評価モジュール３０６は、そのオブジェクトの評価スコアを低減させる。したがって、評価の「不正操作」のリアルタイムでの検出が可能であり、オブジェクト評価モジュール３０６は、悪意のあるエンティティによる評価「不正操作」というマルウェアの攻撃に素早く対応することができる。

一実施形態では、オブジェクト評価モジュール３０６は、信頼度メトリクスを使用して、リポートに重みを付ける。したがって、オブジェクトの評価スコアを計算する際、１．０の信頼度レベルを有するリポートに対して、０．５の信頼度レベルを有するリポートの２倍の重みを付けることができる。別の言い方をすれば、０．５０の信頼度メトリクスを有するクライアントからの２００のレポートは、１．０の信頼度メトリクスを有するクライアントからの１００のリポートと同じ影響を評価スコアに対して有する。

オブジェクト評価モジュール３０６の一実施形態は、機械学習を使用して、オブジェクトの評価スコアを計算する。統計学的機械学習アルゴリズムが、信頼度メトリクス、リポートの普及率、およびクライアント１１２についての他の情報を、評価スコアを決定するための分類子を構築するための特徴として使用することができる。分類子は、実際の処置が分かっている（すなわち、オブジェクトが正当であるか、それともマルウェアであるかが分かっている）オブジェクトセットについての特徴を使用してトレーニングし得る。

調整モジュール３０８が、値が経時変化する際、クライアント１１２の信頼度メトリクスおよびオブジェクトの評価スコアを変更する。信頼度メトリクスは評価スコアに影響し得るため、いくつかの実施形態では、評価スコアが信頼度メトリクスに影響し得る。調整モジュール３０８は、時間の経過に伴い、セキュリティサーバ１０２が追加のリポートを受信した場合、信頼度メトリクスおよび評価スコアを変更する。調整モジュール３０８は、実施形態に応じて、メトリスクおよびスコアを常時、定期的に、かつ／または他の時間に変更し得る。

例えば、年齢の低いクライアントからのリポートが無視される（例えば、６ヶ月未満の年齢のクライアントは、信頼度メトリクス０を受ける）実施形態では、年齢の低いクライアントで主に見つかったオブジェクトは、普及しているように見えないため、低い評価スコアを受け得る。クライアントがもはや「年齢が低く」なくなると、クライアントからのリポートはもはや無視されず、より普及するようになる。その結果として、調整モジュール３０８は、オブジェクトの評価スコアを増大させる。同様に、高い信頼度メトリクスを有するクライアント１１２が、感染し、続けてマルウェアであることが分かるオブジェクトについて多数のリポートをサブミットする場合がある。そのような場合、調整モジュール３０８は、クライアント１１２の信頼度メトリクスを下方調整し得る。

トレーニングモジュール３１０は、機械学習に基づく評価スコアの計算を支援するために使用される１つまたは複数の評価分類子を生成し得る。一実施形態では、トレーニングモジュールは、クライアント１１２およびオブジェクトに関連付けられた特徴のデータセットに基づいて、評価分類子を生成する。これらの特徴は、クライアント１１２の信頼度メトリクス、クライアントの衛生スコア、オブジェクトの評価、オブジェクトの普及率等を含み得る。評価分類子は、評価スコアの決定に使用される特徴に関連付けられる重みまたは係数等の値を指定する統計学的モデルである。評価分類子としての使用に適した種類の統計学的モデルとしては、ニューラルネットワーク、ベイズモデル、回帰に基づくモデル、およびサポートベクタマシン（ＳＶＭ）が挙げられるが、これらに限定されない。評価分類子は、マルウェアの既知の事例および正当なソフトウェアのオブジェクトを識別し、それらのオブジェクトの履歴的なクライアントリポートをグラウンドトルースとして使用することにより、トレーニングすることができる。実施形態によれば、トレーニングモジュール３１０は、定期的に、または他の時間に評価分類子を生成し得る。トレーニングモジュール３１０は、オブジェクト評価モジュール３０６による使用のために、生成された評価分類子を記憶する。

図４は、一実施形態によりクライアント１１２から受信されるリポートからの情報を使用して、オブジェクトについての評価スコアを決定する際の評価モジュール１０６の動作を示すフローチャートである。これらのステップが単なる例示であることを理解されたい。評価モジュール１０６の異なる実施形態は、ステップを異なる順序で実行してもよく、特定のステップを省いてもよく、かつ／または図４に示されない追加のステップを実行してもよい。

図４に示されるように、評価モジュール１０６は、オブジェクトについてクライアント１１２によりサブミットされるリポートを受信する：４０２。リポートは、クライアントにおいて検出されたオブジェクトを識別し、オブジェクトの評価スコアに対する要求が付随し得る。評価モジュール１０６は、リポートをサブミットしたクライアント１１２についての情報を特定する：４０４。上述したように、情報は、クライアントの識別子、オブジェクトのハッシュまたは他の識別子、およびクライアントについての他の情報を含み得る。評価モジュール１０６は、リポート内の情報を使用して、クライアントの年齢、地理的場所、ＩＰアドレス等のクライアントについての他の情報を特定する。評価モジュール１０６は、特定された情報を使用して、クライアント１１２の信頼度メトリクスを生成する：４０６。評価モジュール１０６は、例えば、クライアントにおけるオブジェクトの普及率に基づいて、オブジェクトの評価スコアを生成する：４０８。生成された評価スコアは、クライアントの信頼度メトリクスの影響を受ける。評価モジュール１０６は、オブジェクト評価スコアをクライアント１１２に提供する：４１０。クライアント１１２は、評価スコアを使用して、クライアントにおいてマルウェアを検出することができる。

上述した技法は、メッセージングアプリケーションのスパムフィルタおよびオブジェクトの評価スコアおよびクライアントの信頼度メトリクスを利用する、マルウェアを検出するように設計された他のメカニズム等の他の様々な種類の検出システムに適用可能であり得る。

本発明の実施形態の上記説明は、例示のために提示されており、網羅的であること、すなわち、本発明を開示される厳密な形態に限定することを意図しない。多くの変更および変形が上記開示に鑑みて可能なことを当業者は理解できる。

最後に、本明細書において使用される用語は、可読性および教授の目的で主に選択されており、本発明の趣旨を記述または範囲限定するように選択されていない。したがって、本発明の範囲はこの詳細な説明により限定されず、むしろ、本明細書に基づいて本願において発行される任意の請求項により限定される。したがって、本発明の実施形態の開示は、本発明の範囲の限定ではなく例示を意図され、本発明の範囲は以下の特許請求の範囲に記載される。

Claims (15)

1. プロセッサを備えるコンピュータを使用して、評価システム内でオブジェクトの評価を決定する方法であって、
   前記プロセッサが、前記評価システム内のクライアントから、前記クライアントにおいて検出されたオブジェクトを識別するリポートを受信するステップと、
   前記プロセッサが、前記クライアントから受信された前記リポートに基づいて、前記評価システム内の前記クライアントでの前記オブジェクトの普及率を特定するステップと、
   前記プロセッサが、前記クライアントから受信された前記リポートから前記クライアントについての情報を特定するステップと、
   前記プロセッサが、前記クライアントについての前記特定された情報に応答して、前記クライアントの信頼度メトリクスを生成するステップであって、前記信頼度メトリクスは、前記クライアントから受信された前記リポートの信憑性に対する信頼量を示し、前記クライアントのより高い信頼度メトリクスは、前記クライアントから受信されたリポート内の情報が真実である可能性がより高いことを示す、ステップと、
   前記プロセッサが、前記クライアントから受信された前記リポート、前記オブジェクトの前記普及率、および前記クライアントの前記信頼度メトリクスに少なくとも部分的に応答して、前記オブジェクトの評価スコアを計算するステップであって、前記普及率がより高いほど、前記オブジェクトは、前記オブジェクトが悪意のあるソフトウェアを含む可能性が低いことを示す、より高い評価スコアを受ける、ステップと、
   前記プロセッサが、前記オブジェクトの前記評価スコアを記憶するステップと
   を含む、方法。
2. クライアントからのリポートは、前記オブジェクトの前記評価スコアに対する要求を含み、前記方法は、
   前記プロセッサが、前記オブジェクトの前記評価スコアを前記クライアントに提供するステップ
   をさらに含む、請求項１に記載の方法。
3. 前記クライアントについての前記特定された情報は、前記評価システムでのクライアントの年齢を含み、前記クライアントの信頼度メトリクスは、前記クライアントの前記年齢に少なくとも部分的に基づき、年齢の高いクライアントほど、高い信頼度メトリクスを受ける、請求項１に記載の方法。
4. 前記クライアントについての前記特定された情報は、前記評価システムでのクライアントの地理的場所を含み、前記クライアントの信頼度メトリクスは、前記クライアントの前記地理的場所に少なくとも部分的に基づく、請求項１に記載の方法。
5. 前記クライアントについての前記特定された情報は、クライアントによるリポートサブミット頻度を含み、前記クライアントの信頼度メトリクスは、前記クライアントによる前記リポートサブミット頻度に少なくとも部分的に基づく、請求項１に記載の方法。
6. 前記クライアントについての前記特定された情報は、前記クライアントが、高い普及率を有するオブジェクトについてサブミットしたリポートの数の特定を含み、高い普及率を有するオブジェクトのサブミット回数が多いクライアントは、高い普及率を有するオブジェクトのサブミット回数が少ないクライアントよりも年齢が高いものとして取り扱われる、請求項３に記載の方法。
7. 前記オブジェクトの前記評価スコアを計算するステップは、
   前記プロセッサが、信頼度メトリクス閾値を使用して、低信頼度メトリクスを有するクライアントを識別するステップと、
   前記プロセッサが、前記オブジェクトを識別するリポートをサブミットしたすべてのクライアントに対する、前記オブジェクトを識別するリポートをサブミットした低信頼度メトリクスを有するクライアントの比率を特定するステップと、
   前記プロセッサが、前記特定された比率に少なくとも部分的に応答して、前記オブジェクトの前記評価スコアを計算するステップと
   を含む、請求項１に記載の方法。
8. 前記オブジェクトの前記評価スコアを計算するステップは、
   前記プロセッサが、信頼度メトリクス閾値を使用して、高信頼度メトリクスを有するクライアントを識別するステップと、
   前記プロセッサが、前記オブジェクトを識別するリポートをサブミットしたすべてのクライアントに対する、前記オブジェクトを識別するリポートをサブミットした高信頼度メトリクスを有するクライアントの比率を特定するステップと、
   前記プロセッサが、前記特定された比率に少なくとも部分的に応答して、前記オブジェクトの前記評価スコアを計算するステップと
   を含む、請求項１に記載の方法。
9. 前記オブジェクトの前記評価スコアを計算するステップは、
   前記プロセッサが、統計学的機械学習アルゴリズムを使用して、前記オブジェクトの前記評価スコアを計算するステップを含む、請求項１に記載の方法。
10. 評価システム内でオブジェクトの評価を決定するコンピュータシステムであって、
    前記評価システム内のクライアントから、前記クライアントにおいて検出されたオブジェクトを識別するリポートを受信する手段と、
    前記クライアントから受信された前記リポートに基づいて、前記評価システム内の前記クライアントでの前記オブジェクトの普及率を特定する手段と、
    前記クライアントから受信された前記リポートから前記クライアントについての情報を特定する手段と、
    前記クライアントについての前記特定された情報に応答して、前記クライアントの信頼度メトリクスを生成する手段であって、前記信頼度メトリクスは、前記クライアントから受信された前記リポートの信憑性に対する信頼量を示し、前記クライアントのより高い信頼度メトリクスは、前記クライアントから受信されたリポート内の情報が真実である可能性がより高いことを示す、手段と、
    前記クライアントから受信された前記リポート、前記オブジェクトの前記普及率、および前記クライアントの前記信頼度メトリクスに少なくとも部分的に応答して、前記オブジェクトの評価スコアを計算する手段であって、前記普及率がより高いほど、前記オブジェクトは、前記オブジェクトが悪意のあるソフトウェアを含む可能性が低いことを示す、より高い評価スコアを受ける、手段と
    を備える、コンピュータシステム。
11. クライアントからのリポートは、前記オブジェクトの前記評価スコアに対する要求を含み、前記コンピュータシステムは、
    前記オブジェクトの前記評価スコアを前記クライアントに提供する手段
    をさらに備える、請求項１０に記載のコンピュータシステム。
12. 前記クライアントについての前記特定された情報は、前記クライアントが、高い普及率を有するオブジェクトについてサブミットしたリポートの数の特定を含み、高い普及率を有するオブジェクトのサブミット回数が多いクライアントは、高い信頼度メトリクスを受ける、請求項１０に記載のコンピュータシステム。
13. 前記オブジェクトの前記評価スコアを計算する手段は、
    信頼度メトリクス閾値を使用して、低信頼度メトリクスを有するクライアントを識別する手段と、
    前記オブジェクトを識別するリポートをサブミットしたすべてのクライアントに対する、前記オブジェクトを識別するリポートをサブミットした低信頼度メトリクスを有するクライアントの比率を特定する手段と、
    前記特定された比率に少なくとも部分的に応答して、前記オブジェクトの前記評価スコアを計算する手段と
    を備える、請求項１０に記載のコンピュータシステム。
14. 前記オブジェクトの前記評価スコアを計算する手段は、
    信頼度メトリクス閾値を使用して、高信頼度メトリクスを有するクライアントを識別する手段と、
    前記オブジェクトを識別するリポートをサブミットしたすべてのクライアントに対する、前記オブジェクトを識別するリポートをサブミットした高信頼度メトリクスを有するクライアントの比率を特定する手段と、
    前記特定された比率に少なくとも部分的に応答して、前記オブジェクトの前記評価スコアを計算する手段と
    を備える、請求項１０に記載のコンピュータシステム。
15. 評価システム内でオブジェクトの評価を決定するためのコンピュータプログラムであって、前記コンピュータプログラムは、
    前記評価システム内のクライアントから、前記クライアントにおいて検出されたオブジェクトを識別するリポートを受信するステップと、
    前記クライアントから受信された前記リポートに基づいて、前記評価システム内の前記クライアントでの前記オブジェクトの普及率を特定するステップと、
    前記クライアントから受信された前記リポートから前記クライアントについての情報を特定するステップと、
    前記クライアントについての前記特定された情報に応答して、前記クライアントの信頼度メトリクスを生成するステップであって、前記信頼度メトリクスは、前記クライアントから受信された前記リポートの信憑性に対する信頼量を示し、前記クライアントのより高い信頼度メトリクスは、前記クライアントから受信されたリポート内の情報が真実である可能性がより高いことを示す、ステップと、
    前記クライアントから受信された前記リポート、前記オブジェクトの前記普及率、および前記クライアントの前記信頼度メトリクスに少なくとも部分的に応答して、前記オブジェクトの評価スコアを計算するステップであって、前記普及率がより高いほど、前記オブジェクトは、前記オブジェクトが悪意のあるソフトウェアを含む可能性が低いことを示す、より高い評価スコアを受ける、ステップと、
    前記オブジェクトの前記評価スコアを記憶するステップと
    をコンピュータに実施させるように構成されている、コンピュータプログラム。

Images