JP7353251B2 - 悪意あるソフトウェアによるデジタルフォレンジック情報の破棄を阻止するシステムおよび方法 - Google Patents

Description

本開示は、データセキュリティの分野に関し、より具体的には、デジタルフォレンジック調査を妨害する疑わしいオブジェクトによる行為を阻止するシステムおよび方法に関する。

デジタルコンピューティングに対する依存度が高まるにつれて、ハッキング、データ盗難、マルウェア攻撃などのサイバー犯罪の件数が増加している。それに応じて、サイバーセキュリティ方法の焦点は、攻撃が発生した後の分析向けに、悪意あるソフトウェアを追跡することに移行してきた。しかし、ある種の最新の悪意あるソフトウェアは、データ、暗号化ファイルなどを破損させる、盗むだけではなく、コンピュータシステムからそれらの存在の全痕跡を破棄する。悪意ある行為が行われる場合に、悪意あるソフトウェアは、自滅し、かつそれらの活動の追跡を妨害する場合があるので、その後にデジタル調査を行うことが非常に難しいか、不可能であることさえある。

アンチルートキットプログラムを用いる従来の阻止方法は、このような悪意あるソフトウェアの高度な性質を完全に考慮に入れるのに充分なほどには専門化されていない。また、アンチルートキットプログラム、特定の悪意あるソフトウェアを検出することができるが、ルートキットおよびそれらのアーティファクトの活動に関する情報を保存することを目的としていない。この点に関して、悪意のあるソフトウェアの活動の痕跡の滅失、消去および隠蔽を阻止する専門的な解決策が必要とされる。

これらの欠点に対処するために、本開示は、デジタルフォレンジック調査を妨害する疑わしいオブジェクトによる行為を阻止する方法およびシステムについて記載する。

一例示的態様では、方法は、コンピューティングデバイス上の複数のオブジェクトから疑わしいオブジェクトを識別し、前記疑わしいオブジェクトによって行われる行為を監視する場合があり、前記行為は、前記疑わしいオブジェクトから発信されるコマンドおよび要求を含む。前記方法は、前記コンピューティングデバイス上にデジタルアーティファクトを作成および／または改変する疑わしいオブジェクトによる第１コマンドをインターセプトし、前記第１コマンドをインターセプトした後に、前記疑わしいオブジェクトおよび前記デジタルアーティファクトのうち少なくとも１つを削除する前記疑わしいオブジェクトによる第２コマンドをインターセプトする場合がある。前記デジタルアーティファクトを作成および／または改変する前記第１コマンドと、前記疑わしいオブジェクトおよび前記デジタルアーティファクトのうち少なくとも１つを削除する前記第２コマンドとの両方をインターセプトすることに応じて、前記方法は、前記第２コマンドをブロックする場合があり、かつ前記疑わしいオブジェクトおよび前記デジタルアーティファクトをデジタルリポジトリに格納する場合がある。

一部の態様では、前記方法は、前記コンピューティングデバイス上のシステムおよびユーザデータのバックアップと共に前記デジタルリポジトリのコンテンツを格納する場合がある。

一部の態様では、前記方法は、前記疑わしいオブジェクトおよび前記デジタルアーティファクトのそれぞれの場所をデジタルリポジトリに格納する場合がある。

一部の態様では、前記方法は、前記疑わしいオブジェクトのすべての監視された行為の記録を前記デジタルリポジトリに格納する場合がある。

一部の態様では、前記方法は、複数のオブジェクトのそれぞれのオブジェクトごとに、前記それぞれのオブジェクトのデジタル署名を抽出することと、前記それぞれのオブジェクトのデジタル署名が、デジタル署名のホワイトリスト内のいずれかの信頼のできるデジタル署名と一致するかどうかを判断することと、一致しないという判断に応じて、前記それぞれのオブジェクトを前記疑わしいオブジェクトとして識別することと、によって、前記コンピューティングデバイス上の複数のオブジェクトから疑わしいオブジェクトを識別する場合がある。

一部の態様では、複数の疑わしいオブジェクトが識別され、前記方法は、閾値期間に複数の疑わしいオブジェクトを監視する場合があり、前記複数の疑わしいオブジェクトは、前記疑わしいオブジェクトを含む。前記方法は、前記コンピューティングデバイスの性能を低下させるか、または前記コンピューティングデバイス上のユーザ機密を損なう行為を前記閾値期間にわたって行わなかった前記疑わしいオブジェクトのサブセットをさらに識別する場合がある。前記方法は、疑わしいオブジェクトのサブセットが疑わしくないと判断して、前記サブセットの監視を中止する場合がある。

一部の態様では、前記方法は、前記デジタルアーティファクトが前記コンピューティングデバイス上に別のデジタルアーティファクトを作成および／または改変したことを検出する場合がある。前記デジタルアーティファクト、および前記疑わしいオブジェクトを削除する前記別のデジタルアーティファクトのうち１つによる第３コマンドをインターセプトすることに応じて、前記方法は、前記第３コマンドをブロックして、前記疑わしいオブジェクト、前記デジタルアーティファクト、および前記別のデジタルアーティファクトを前記デジタルリポジトリに格納する場合がある。

上記の方法は、ハードウェアプロセッサを含むシステムに実装される場合があるという点に留意すべきである。あるいは、前記方法は、非一時的コンピュータ可読媒体のコンピュータ実行可能命令を使用して実行される場合がある。

例示的態様の簡略化された上記概要は、本開示の基本的な理解をもたらすために提供される。本概要は、すべての考えられた態様の広範な概要ではなく、またすべての態様の主要なまたは重要な要素を特定することも、本開示のいずれかまたはすべての態様の範囲を描写することも意図していない。その唯一の目的は、１つまたは複数の態様を、以下の本開示のより詳細な説明の序文として、簡略化した形で示すことである。上記の目的を達成するために、本発明の１つまたは複数の態様は、特許請求の範囲で説明され、かつ例示的に示される特徴を含むものである。

本明細書に組み込まれ、かつ本明細書の一部を構成する添付図面は、発明を実施するための形態と共に本開示の１つまたは複数の例示的態様を示すものであり、それらの原理および実装形態を説明するために提供される。

本開示の態様に従って、悪意あるソフトウェアによるデジタルフォレンジック情報の破棄を阻止するシステムを示すブロック図である。 本開示の態様に従って、疑わしいオブジェクトによる活動を監視する方法を示すブロック図である。 本開示の態様に従って、疑わしいオブジェクトおよび／またはそのアーティファクトを削除する試みをブロックする方法を示すフロー図である。 本開示の態様が実装され得る汎用コンピュータシステムの一例を示す図である。

例示的態様が、フォレンジック特定メタデータを生成および格納するシステム、方法、およびコンピュータプログラム製品のコンテキストで、本明細書に記載される。以下の説明は例示のためのみのものであり、いかなる点においても限定することを意図するものではないことを当業者であれば理解するであろう。本開示の効果を用いることで、その他の態様は当業者によって容易に連想されるであろう。添付図面に示される例示的な態様の実装形態に、参照番号が項目ごとに付与される。同一または類似の項目であることを言及するために、図面および以下の説明を通して可能な範囲で同じ参照番号が使用される。

図１は、疑わしいオブジェクトによるアンチフォレンジック行為を阻止するシステム１００を示すブロック図である。システム１００は、パーソナルコンピュータ、サーバなどを含む場合があるコンピューティングデバイス１０２を含み、前記コンピューティングデバイス１０２は、コンピュータ処理装置（「Computer Processing Unit：ＣＰＵ」）、および種々のタスクを行うソフトウェア（例えば、オペレーティングシステム（Operating System：ＯＳ）ソフトウェア、アプリケーションソフトウェアなど）を備えるメモリを備える。コンピューティングデバイス１０２用のデータは、デバイス自体のメモリ、およびバックアップサーバ１０４、コンパクトディスク、フラッシュドライブ、光ディスクなどの他の外部デバイス上に格納される場合がある。

本開示では、コンピューティングデバイス１０２のメモリから発信されるバックアップデータ１０６は、ネットワーク１０８を介してバックアップサーバ１０４に伝送される。ネットワーク１０８は、インターネット、モバイルフォンネットワーク、データネットワーク（例えば、４ＧまたはＬＴＥネットワーク）、ブルートゥース（登録商標）、またはこれらの任意の組み合わせであってもよい。例えば、バックアップサーバ１０４は、インターネットを介してアクセスされるクラウドコンピューティング環境の一部であるか、またはコンピューティングデバイス１０２とのローカルネットワーク（Local Area Network：ＬＡＮ）の一部であってもよい。バックアップサーバ１０４およびコンピューティングデバイス１０２をネットワーク１０８へ接続するラインは、通信経路を意味し、この通信経路は、自由空間接続（例えば、ワイヤレス信号用の）と物理的接続（例えば、光ファイバーケーブル）との任意の組み合わせを含む場合がある。

複数のバックアップサーバ１０４がある場合があるが、図面を過度に複雑にすることを回避するために、図１には１つのみを示していることに留意する必要がある。例えば、バックアップサーバ１０４は、分散しているクラウドクラスタにおける複数のサーバを意味する場合がある。バックアップサーバ１０４は、（例えば、図４に示すような）任意の数の物理的コンポーネントを含む場合がある。例えば、バックアップサーバ１０４は、プロセッサ、物理ブロック記憶デバイス（例えば、ハードディスクドライブ（Hard Disk Drives：ＨＤＤ）、ソリッドステートドライブ（Solid State Drives：ＳＳＤ）、フラッシュドライブ、ＳＭＲディスクなど）、またはメモリ（例えば、ランダムアクセスメモリ（Random Access Memory：ＲＡＭ））、Ｉ／Ｏインターフェースコンポーネントなどを含む場合がある。

バックアップデータ１０６は、ユーザデータ、アプリケーション、システムファイル、基本設定、文書、メディアなどを含む任意のタイプのデータであってもよい。コンピューティングデバイス１０２は、バックアップデータ１０６に含まれる特定のデータおよびデータがバックアップされる必要がある頻度を示す、バックアップスケジュールに従ってバックアップデータ１０６をバックアップサーバ１０４内の記憶装置に送信する。例えば、コンピューティングデバイス１０２は、コンピューティングデバイス１０２のメモリ内に存在するデータファイルのコピーを生成して、そのコピーをバックアップデータ１０６としてバックアップサーバ１０４に１時間おきに伝送する場合がある。バックアップデータ１０６は、コンピューティングデバイス１０２のユーザによって選択されてもよく、バックアップスケジュールの頻度もまた、ユーザによって選択されてもよい。

アンチフォレンジック阻止モジュール１１０は、不正侵入検知システム（Intrusion Detection System：ＩＤＳ）ソフトウェアの一部であってもよい。アンチフォレンジック阻止モジュール１１０は、図１に示すように、クライアントエンドソフトウェアであるが、バックアップサーバ１０４とコンピューティングデバイス１０２との間で、シッククライアントとシンクライアントにそれぞれ分割される場合がある。一部の態様では、アンチフォレンジック阻止モジュール１１０は、少なくとも３つのコンポーネント、すなわち、オブジェクト識別部１１２、活動分析部１１４、およびデジタルリポジトリ１１６に分割される場合がある。オブジェクト識別部１１２は、コンピューティングデバイス１０２内の複数のオブジェクトから疑わしいオブジェクトを識別するように構成される場合がある。オブジェクトは、コンピューティングデバイス１０２上の任意のアプリケーション、プロセス、スレッド、ファイル、データ構造またはポータブル実行可能（Portable Executable：ＰＥ）ファイルであってもよい。オブジェクト識別部１１２は、全オブジェクトのリストを取得して、リスト内の疑わしいオブジェクトを識別する場合がある。例えば、オブジェクト識別部１１２は、初期スキャン時に、コンピューティングデバイス１０２上の全オブジェクトのリストを、（例えば、プロセスおよびスレッドを列挙すること、ファイルおよびアプリケーションをスキャンすることなどによって）取得する場合がある。一部の態様では、初期スキャンの後に、新しいオブジェクトがコンピューティングデバイス１０２上に作成されるか、または既存のオブジェクトが改変される場合はいつでも、オブジェクト識別部１１２は、新しい／改変されたオブジェクトの疑わしさを評価／再評価する場合がある。一部の態様では、疑わしさを評価するために、オブジェクト識別部１１２は、オブジェクトの取得されたリストと、信頼のできるオブジェクトを含むホワイトリストとを比較する場合がある。ホワイトリスト内にないオブジェクトは、オブジェクト識別部１１２によって疑わしいと見なされる。

それらの疑わしさに起因して監査対象となり得るオブジェクトの中には、サードパーティの悪意あるコード、プログラム、スクリプトなどを使用して、信頼のできるプロセス（すなわち、ホワイトリスト内で見いだされるもの）に送り込まれる可能性がある、実行可能ファイルおよび様々な種類のダイナミックライブラリがある。オブジェクト識別部１１２はまた、信頼のできるデジタル署名をオブジェクトが有しているかどうかを判断して、疑わしさを判断する場合がある。信頼のできるデジタル署名が欠如している場合、疑惑のオブジェクトが疑わしいオブジェクトであることがオブジェクト識別部１１２に示される場合がある。オブジェクト識別部１１２は、オブジェクトの疑わしい動作（例えば、信頼ができると見なされている他のプロセスにダイナミックライブラリを送り込む動作）、およびネットワーク活動（例えば、異常な、ダウンロード／アップロードアイテム、ソースおよび宛先）を分析する場合がある。

活動分析部１１４は、疑わしいオブジェクトによって行われる行為を監視するように構成される場合がある。疑わしいオブジェクトが、別のファイルを生成する実行可能ファイルである場合の例を考察する。このシナリオでは、この行為は、別のファイルの生成である。別のファイルとは、疑わしいオブジェクトのデジタルアーティファクトである。（アーティファクトとも称される）デジタルアーティファクトとは、疑わしいオブジェクトによって直接的または間接的に作成／改変されるいずれかのアプリケーション、プロセス、スレッド、またはデータ構造であってもよい。この例では、別のファイルは、疑わしいオブジェクトによって行われる行為によって作成されるので、別のファイルは、活動分析部１１４によってデジタルアーティファクトとして識別される。別の例では、実行可能ファイルが、コンピューティングデバイス１０２上の既存のファイルを改変する場合、活動分析部１１４は、デジタルアーティファクトとして改変されたファイルを識別する場合がある。両方の例で、疑わしいオブジェクトは直接的にデジタルアーティファクトを作成／改変している。間接的な生成／改変のケースでは、疑わしいオブジェクトは、信頼のできるオブジェクトにコードを送り込み（デジタルアーティファクトにし）、かつ送り込まれたコードを伴うオブジェクトは、追加のオブジェクトを改変／作成する場合があり、それは、デジタルアーティファクトと見なされるものである。疑わしいオブジェクトが直接的に追加のオブジェクトを作成／改変しなかったとしても、その疑わしいオブジェクトが直接影響を及ぼしたオブジェクトによって作成／改変されたのであれば、追加のオブジェクトは、デジタルアーティファクトと考えられる。したがって、間接的に影響を受けるデジタルアーティファクトは、疑わしいオブジェクトが、デジタルアーティファクトを特に目的としていなかったとしても疑わしいオブジェクトの間接的な行為によって影響を受けるなんらかのデジタルアーティファクトである可能性がある。したがって、一部の態様では、活動分析部１１４はまた、疑わしいオブジェクトが関与する（しかし、疑わしいオブジェクトによって直接的には行われない）行為も監視する場合がある。

活動分析部１１４は、疑わしいオブジェクトによるコマンドをインターセプトすることによって、特に、作成または改変される行為を検出する場合がある。一旦、活動分析部１１４が疑わしいオブジェクトおよびデジタルアーティファクトを識別すると、活動分析部１１４は、疑わしいオブジェクトによるいずれの次のコマンドまたはデジタルアーティファクトも、疑わしいオブジェクトそれ自体か、または作成／改変されたデジタルアーティファクトのいずれかの削除に関与するものかどうかを判断する。疑わしいオブジェクトが疑わしいと識別され、かつコマンドが疑わしいオブジェクト、または疑わしいオブジェクトの少なくとも１つのデジタルアーティファクトの削除（自滅）に関与するという理由で、活動分析部１１４は、それ自体の痕跡を破棄しようとするマルウェアとして疑わしいオブジェクトをマークする場合がある。したがって、アンチフォレンジック阻止モジュール１１０は、削除コマンドをブロックする場合がある。

マルウェアがコンピューティングデバイス１０２を攻撃する場合の例を考察する。マルウェアは、２０１２年に発見されたモジュール式コンピュータマルウェア、「Ｆｌａｍｅ」と類似の特徴を有する場合がある。その特徴は、音声を録音し、スクリーンショットを撮り、キーボード活動をモニタし、ネットワーク活動を追跡するなどの能力を含む場合がある。マルウェアは、種々の暗号化方法を使用する場合があり、また入手した構造化情報をＳＱＬｉｔｅデータベースに格納する場合がある。ちょうど「Ｆｌａｍｅ」が、ターゲットデバイスにインストールされているアンチウイルスソフトウェアを識別して、アンチウイルスソフトウェアのセキュリティを回避するようにそれ自体の動作を（例えば、ファイル名拡張子を変更することによって）適応させるように、マルウェアは、コンピューティングデバイス１０２上のセキュリティシステムを欺こうとする場合がある。さらに、マルウェアは、システムからそれ自体のファイルおよび動作の全痕跡を取り除く、「Ｆｌａｍｅ」と類似の「ｋｉｌｌ」機能を有する場合がある。

アンチウイルスソフトウェアは、このようなマルウェアの定義を（マルウェアが新しいことがあり）有していない場合があるため、検出時に無効となる。「Ｆｌａｍｅ」は、およそ２０ＭＢの大きさのプログラムである。オブジェクトのスキャンがオブジェクト識別部１１２によって実行される場合に、マルウェアプログラムは、オブジェクトとして検出される。一部の態様では、オブジェクトがホワイトリスト内で見つからないという理由で、アンチフォレンジック阻止モジュール１１０によって疑わしいオブジェクトとして扱われる。マルウェアによってコピーされたスクリーンショット、音声および他の追跡された情報は、デジタルアーティファクトとして分析部１１４によって識別される。さらに、コンピューティングデバイス１０２上のマルウェアの後を追うことができないように、入手したコピーを「ｋｉｌｌ」するマルウェアの試みは、削除コマンドと見なされる。ｋｉｌｌコマンドのインターセプトに応じて、そのマルウェアが疑わしいオブジェクトと考えられるという理由で、アンチフォレンジック阻止モジュール１１０は、コマンドの実行をブロックする場合がある。

いくつかのオブジェクトが、それらが最終的に無害なオブジェクトである場合であっても疑わしいオブジェクトとして特徴づけられる場合があるという点に留意すべきである。一部の態様では、無害である複数の疑わしいオブジェクトを監視するために充てられるリソースの量を減らすために、オブジェクト識別部１１２は、以前に識別した疑わしいオブジェクトがコンピューティングデバイス１０２上の他のオブジェクトと相互作用せず、コンピューティングデバイス１０２の性能を低下させる有害な行為（例えば、所定の期間を超えて、ＣＰＵパワー、ＲＡＭ、記憶装置などの閾値を超えて利用することによる行為）を行わず、またはコンピューティングデバイス１０２のユーザ機密を（例えば、データをモニタ、保存、他の場所に送信することによって）損なわずに閾値期間が満了した後に、そのオブジェクトをもはや疑わしいオブジェクトではないと見なす場合がある。

アンチフォレンジック阻止モジュール１１０は、疑わしいオブジェクトおよびデジタルアーティファクトを（まとめてアンチフォレンジックデータ１１８を作り上げて）デジタルリポジトリ１１６にさらに格納する。デジタルリポジトリ１１６は、独立した（例えば、隔離）記憶装置として構成される場合があり、それにより、疑わしいオブジェクトが追加コマンドを起こすことを阻止する。一部の態様では、アンチフォレンジック阻止モジュール１１０は、アンチフォレンジックデータ１１８を生成する場合がある。アンチフォレンジックデータ１１８は、デジタルリポジトリ１１６のコンテンツ（すなわち、疑わしいオブジェクトおよびデジタルアーティファクト）、ならびに（１）コンピューティングデバイス１０２のメモリ内の疑わしいオブジェクトおよびデジタルアーティファクトのそれぞれの位置、および（２）活動分析部１１４によって追跡される疑わしいオブジェクトの監視される全行為のような情報を含むバックアップデータである。一部の態様では、先に列挙した情報は、疑わしいオブジェクトおよびデジタルアーティファクトと共にデジタルリポジトリ１１６に格納される。

一部の態様では、アンチフォレンジック阻止モジュール１１０は、さらに（例えば、高度暗号化標準（Advanced Encryption Standard：ＡＥＳ）、リベスト・シャミア・エーデルマン（Rivest-Shamir-Adleman：ＲＳＡ）などを使用して）デジタルリポジトリ１１６にそれらを入れる前に疑わしいオブジェクトおよびデジタルアーティファクトを暗号化する場合がある。これにより、サードパーティアプリケーションが疑わしいオブジェクトまたはデジタルアーティファクトにアクセスして痕跡を破棄することを阻止する。オブジェクトおよびアーティファクトが公開鍵によって署名される例では、セキュリティ向上のためにコンピューティングデバイス１０２ではないデバイス上に秘密鍵が格納される場合がある。

一部の態様では、アンチフォレンジックデータ１１８はバックアップデータ１０６と共にバックアップサーバ１０４に格納される。例えば、バックアップデータ１０６が定期的にアップロードされる場合に、アンチフォレンジックデータ１１８も同様にバックアップされる。これにより、フォレンジック調査を行っているフォレンジックエンジニアが、コンピューティングデバイス１０２の状態を再作成して、（デジタルリポジトリ１１６で隔離される前に）それらのそれぞれの位置がコンピューティングデバイス１０２のメモリに入れられる疑わしいオブジェクトおよびデジタルアーティファクトの影響を分析することを可能にする。コンピューティングデバイス１０２の状態は、コンピューティングデバイス１０２のボリュームの完全にリストアされた画像、および、イベントの時間、悪意ある行為のソース、破損または感染したデータの再現を含む、コンピュータ犯罪またはウイルス攻撃についてのメタデータを表す場合がある。

図２は、本開示の態様に従って、疑わしいオブジェクトによる活動を監視する方法２００を示すブロック図である。マルウェアソース２０２は、疑わしい．ｅｘｅファイル２０４の出所であってもよい。オブジェクト識別部１１２が、疑わしい．ｅｘｅファイル２０４を疑わしいオブジェクトとして既に識別したと仮定する。疑わしい．ｅｘｅファイル２０４は、複数のアーティファクト（例えば、アーティファクト１、２．．Ｎ）を作成および／または改変する場合がある。活動分析部１１４は、アーティファクトまたは疑わしい．ｅｘｅファイル２０４のいずれかを作成／改変し、その後にそれらを削除する試みをインターセプトする場合がある。

活動分析部１１４は、２つのファイル、すなわち、ファイルシステムフィルタ２０６およびレジストリフィルタ２０８を内蔵している場合がある。一部の態様では、ファイルシステムフィルタ２０６は、コンピューティングデバイス１０２のメモリ内の新しいアーティファクトをスキャンして、メモリからのアーティファクトの破棄を検出する。例えば、新テクノロジーファイルシステム（New Technology File System：ＮＴＦＳ）を使用してファイルが作成される場合に、そのファイルについての記録が、マスタファイルテーブル（Master File Table：ＭＦＴ）に追加される。ＭＦＴは、ＮＴＦＳボリュームのすべてのファイルおよびディレクトリについての情報が格納されるデータベースである。ファイルシステムフィルタ２０６は、デジタルアーティファクトの追加および破棄を検出するために、ＭＦＴ内の変化を監視する場合がある。

レジストリフィルタ２０８は、コンピューティングデバイス１０２のレジストリの変化を監視するように構成される場合がある。アプリケーションがデータをシステムのレジストリに追加できるためには、そのアプリケーションは、鍵を作成または開く必要がある。Ｗｉｎｄｏｗｓオペレーティングシステムでは、アプリケーションは、ＲｅｇＯｐｅｎＫｅｙＥｘまたはＲｅｇＣｒｅａｔｅＫｅｙＥｘなどの関数を使用して、このタスクを行う場合がある。レジストリフィルタ２０８は、疑わしいオブジェクトによって実行されるこれらの関数に関するコマンドラインを監視する場合がある。疑わしいオブジェクトは、関数ＲｅｇＳｅｔＶａｌｕｅＥｘを使用して、開いた／作成した鍵に値とそのデータを関連付ける可能性がある。コマンドをインターセプトする場合に、活動分析部１１４は、関数のこの組み合わせを（レジストリフィルタ２０８を介して）監視する場合がある。図２に示すように、各アーティファクトは、活動分析部１１４が追跡する場合があるファイルおよびレジストリ値を有する。ファイルの作成／改変をデジタルアーティファクトとして識別した後に、活動分析部１１４は、そのファイルまたは疑わしい．ｅｘｅファイル２０４を削除する試みを監視する。例えば、レジストリフィルタ２０８は、関数ＲｅｇＤｅｌｅｔｅＫｅｙまたはＲｅｇＤｅｌｅｔｅＶａｌｕｅの実行の試みを監視する場合がある。これらの関数の第１のものは、鍵をレジストリから削除するために使用され、またこれらの関数の第２のものは、鍵から値を削除するように使用される。その行為の痕跡を隠す試みを阻止するために、活動分析部１１４は、関数の実行を阻止する場合がある。

活動分析部１１４は、さらに、疑わしい．ｅｘｅファイル２０４およびアーティファクト１、２．．．Ｎをデジタルリポジトリ１１６内で隔離する場合がある。デジタルリポジトリ１１６は、ボリューム状態（すなわち、ボリュームマップ）を含む収集したオブジェクトおよびアーティファクトを効率的に格納して、オブジェクトおよびアーティファクトが初めに位置していた場所（例えば、コンピューティングデバイス１０２のボリュームの物理アドレス）を理解することを目的としているストレージフィルタ２１０を備える場合がある。

図３は、本開示の態様に従って、疑わしいオブジェクトおよび／またはそのアーティファクトを削除する試みをブロックする方法３００のフロー図を示す。３０２で、オブジェクト識別部１１２は、コンピューティングデバイス１０２内の複数のオブジェクトから疑わしいオブジェクトを識別する。例えば、複数のオブジェクトのそれぞれのオブジェクトごとに、オブジェクト識別部１１２は、それぞれのオブジェクトのデジタル署名を抽出する場合があり、かつそれぞれのオブジェクトのデジタル署名が、デジタル署名のホワイトリスト内のいずれかの信頼のできるデジタル署名と一致するかどうかを判断する場合がある。一致しないという判断に応じて、オブジェクト識別部１１２は、それぞれのオブジェクトを疑わしいオブジェクトとして識別する場合がある。

３０４で、活動分析部１１４は、（例えば、ファイルシステムフィルタ２０６およびレジストリフィルタ２０８を使用して）疑わしいオブジェクトによって行われる行為を監視する。３０６で、活動分析部１１４は、コンピューティングデバイス１０２上にデジタルアーティファクトを作成および／または改変する疑わしいオブジェクトによる第１コマンドをインターセプトする。

３０８で、活動分析部１１４は、疑わしいオブジェクトによる第２コマンドをインターセプトする。３１０で、活動分析部１１４は、第２コマンドが、作成／改変されたデジタルアーティファクトを削除するものであるかどうかを判断する。第２コマンドが、作成／改変されたデジタルアーティファクトを削除するものではないという判断に応じて、方法３００は、３１２に進み、ここで、活動分析部１１４は、第２コマンドが、疑わしいオブジェクトそれ自体を削除するものであるかどうかを判断する。

第２コマンドが、疑わしいオブジェクトを削除するものではないという判断に応じて、方法３００は３０４に戻り、ここで、活動分析部１１４は、疑わしいオブジェクトによって行われる行為の監視を続ける。しかし、活動分析部１１４が、３１０で、第２コマンドが作成／改変されたデジタルアーティファクトを削除するものであると判断するか、または３１２で、第２コマンドが疑わしいオブジェクトを削除するものであると判断する場合、方法３００は３１４に進む。ここで、アンチフォレンジック阻止モジュール１１０は、第２コマンドをブロックする。３１６で、アンチフォレンジック阻止モジュール１１０は、疑わしいオブジェクトおよびデジタルアーティファクトをデジタルリポジトリ１１６に格納する。

図４は、例示的態様に従って、アンチフォレンジックを阻止するシステムおよび方法の態様が実装される場合があるコンピュータシステム２０を示すブロック図である。コンピュータシステム２０は、コンピューティングデバイス１０２および／またはバックアップサーバ１０４を指す場合があり、かつ例えば、デスクトップコンピュータ、ノートブックコンピュータ、ラップトップコンピュータ、モバイルコンピューティングデバイス、スマートフォン、タブレットコンピュータ、サーバ、メインフレーム、埋め込み型デバイスなど複数のコンピューティングデバイスの形態、または、単一のコンピューティングデバイスの形態、およびコンピューティングデバイスの他の形態であってもよい。

示されるように、コンピュータシステム２０は、中央演算処理装置（ＣＰＵ）２１、システムメモリ２２、および、中央演算処理装置２１に関連するメモリを含む種々のシステムコンポーネントを接続しているシステムバス２３を含む。システムバス２３は、バスメモリまたはバスメモリコントローラ、周辺バス、および任意の他のバスアーキテクチャと相互作用することが可能なローカルバスを含んでもよい。バスの例としては、ＰＣＩ、ＩＳＡ、ＰＣＩ－Ｅｘｐｒｅｓｓ、ＨｙｐｅｒＴｒａｎｓｐｏｒｔ（商標）、ＩｎｆｉｎｉＢａｎｄ（商標）、シリアルＡＴＡ、Ｉ^２Ｃ、およびその他の好適なインターコネクトなどを挙げてよい。中央演算処理装置２１（プロセッサとも称される）は、単一のまたは複数のコアを有する単一のまたは複数のプロセッサのセットを含む場合がある。プロセッサ２１は、本開示の技術を実装する１つまたは複数のコンピュータ実行可能コードを実行してもよい。例えば、アンチフォレンジック阻止モジュール１１０によって（例えば、オブジェクト識別器１１２などのそのコンポーネントを介して）実施される方法２００から３００のいずれかは、プロセッサ２１によって実行されてもよい。システムメモリ２２は、本明細書で使用するデータおよび／またはプロセッサ２１によって実行可能なコンピュータプログラムを記憶する任意のメモリであってよい。システムメモリ２２は、ランダムアクセスメモリ（ＲＡＭ）２５などの揮発性メモリ、および読み取り専用メモリ（Read-Only Memory：ＲＯＭ）２４、フラッシュメモリなどの不揮発性メモリ、またはこれらの任意の組み合わせを含んでもよい。基本入出力システム（Basic Input/Output System：ＢＩＯＳ）２６は、コンピュータシステム２０の各要素間の情報の伝送（例えば、ＲＯＭ２４を使用してオペレーティングシステムをロードする時など）の、基本手順を記憶していてもよい。

コンピュータシステム２０は、１つまたは複数の取り外し可能記憶デバイス２７、１つまたは複数の非取り外し可能記憶デバイス２８、またはこれらの組み合わせなどの１つまたは複数の記憶デバイスを含んでもよい。１つまたは複数の取り外し可能記憶デバイス２７、および非取り外し可能記憶デバイス２８は、記憶インターフェース３２を介してシステムバス２３に接続される。一態様では、記憶デバイスおよび対応するコンピュータ可読記憶媒体は、コンピュータシステム２０のコンピュータ命令、データ構造、プログラムモジュール、および他のデータの記憶装置向けの電力独立型モジュールである。システムメモリ２２、取り外し可能記憶デバイス２７、および非取り外し可能記憶デバイス２８は、種々のコンピュータ可読記憶媒体を使用してもよい。コンピュータ可読記憶媒体の例としては、例えば、キャッシュ、ＳＲＡＭ、ＤＲＡＭ、ゼロ・コンデンサＲＡＭ、ツイントランジスタＲＡＭ、ｅＤＲＡＭ、ＥＤＯ ＲＡＭ、ＤＤＲ ＲＡＭ、ＥＥＰＲＯＭ、ＮＲＡＭ、ＲＲＡＭ（登録商標）、ＳＯＮＯＳ、ＰＲＡＭなどのマシンメモリ、ソリッドステートドライブ（ＳＳＤ）またはフラッシュドライブのようなフラッシュメモリまたはその他のメモリ技術、ハードディスクドライブまたはフロッピーディスクのような磁気カセット、磁気テープ、および磁気ディスク記憶装置、コンパクトディスク（Compact Disks Read Only Memory：ＣＤ－ＲＯＭ）またはデジタル多用途ディスク（Digital Versatile Disks：ＤＶＤ）のような光記憶装置、および所望のデータを記憶するために使用することができ、かつコンピュータシステム２０によってアクセス可能な任意の他の媒体が挙げられる。

コンピュータシステム２０のシステムメモリ２２、取り外し可能記憶デバイス２７、および非取り外し可能記憶デバイス２８は、オペレーティングシステム３５、追加のプログラムアプリケーション３７、他のプログラムモジュール３８およびプログラムデータ３９を記憶するために使用されてもよい。コンピュータシステム２０は、例えば、キーボード、マウス、スタイラス、ゲームコントローラ、音声入力デバイス、タッチ入力デバイスなどの、入力デバイス４０からのデータを通信するための周辺インターフェース４６、または、例えばシリアルポート、パラレルポート、ユニバーサルシリアルバス（Universal Serial Bus：ＵＳＢ）または他の周辺インターフェースなどの１つまたは複数のＩ／Ｏポートを介した、プリンタまたはスキャナなどの他の周辺デバイスを含んでもよい。例えば１つまたは複数のモニタ、プロジェクタまたは統合ディスプレイなどのディスプレイデバイス４７は、例えばビデオアダプタなどの出力インターフェース４８を通してシステムバス２３に接続されてもよい。ディスプレイデバイス４７に加えて、コンピュータシステム２０は、例えばスピーカおよび他の音響映像デバイスなどの他の周辺出力デバイス（図示せず）を搭載してもよい。

コンピュータシステム２０は、１つまたは複数のリモートコンピュータ４９へのネットワーク接続を使用して、ネットワーク環境で動作してもよい。リモートコンピュータ（１つまたは複数）４９は、コンピュータシステム２０の性質について記載されている上述の各要素のほとんどまたはすべてを含む、ローカルコンピュータ・ワークステーションまたはサーバであってもよい。例えば、ルータ、ネットワーク局、ピアデバイスまたは他のネットワークノードなどのその他のデバイスが、コンピュータネットワーク内に存在する場合があるが、これらに限定されない。コンピュータシステム２０は、ローカルエリアコンピュータネットワーク（ＬＡＮ）５０、広域コンピュータネットワーク（Wide-Area computer Network：ＷＡＮ）、イントラネットおよびインターネットなどの１つまたは複数のネットワークを介して、リモートコンピュータ４９と通信するための１つまたは複数のネットワークインターフェース５１またはネットワークアダプタを含んでもよい。ネットワークインターフェース５１の例としては、イーサネットインターフェース、フレームリレーインターフェース、ＳＯＮＥＴインターフェースおよび無線インターフェースを挙げてもよい。

本開示の態様は、システム、方法、および／またはコンピュータプログラム製品であってもよい。コンピュータプログラム製品は、プロセッサに本開示の態様を実行させるコンピュータ可読プログラム命令を有する、コンピュータ可読記憶媒体（またはメディア）を含んでもよい。

コンピュータ可読記憶媒体は、命令またはデータ構造の形態でプログラムコードを保持し、記憶することができる有形デバイスであってもよく、コンピューティングシステム２０などのコンピューティングデバイスのプロセッサによってアクセス可能なものである。コンピュータ可読記憶媒体は、電子記憶デバイス、磁気記憶デバイス、光記憶デバイス、電磁記憶デバイス、半導体記憶デバイス、またはこれらの任意の好適な組み合わせであってもよい。例として、このようなコンピュータ可読記憶媒体は、ランダムアクセスメモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）、ＥＥＰＲＯＭ、ポータブルコンパクトディスク読み取り専用メモリ（ＣＤ－ＲＯＭ）、デジタル多用途ディスク（ＤＶＤ）、フラッシュメモリ、ハードディスク、ポータブルコンピュータ・ディスケット、メモリースティック、フロッピーディスク、あるいは、命令が記録された、パンチカードまたは溝内の隆起構造などの、機械的に符号化されたデバイスが挙げられる。本明細書で使用する場合、コンピュータ可読記憶媒体は、それ自体が、電波その他の自由伝搬電磁波、導波管または伝送媒体を伝搬する電磁波、あるいは電線によって伝送される電気信号などの、一時的信号であると、解釈されるものではない。

本明細書に記載されるコンピュータ可読プログラム命令は、コンピュータ可読記憶媒体から、対応するコンピューティングデバイスに、もしくは、例えば、インターネット、ローカルエリアネットワーク、広域ネットワークおよび／または無線ネットワークなどのネットワークを介して、外部コンピュータまたは外部記憶デバイスにダウンロードされ得る。ネットワークは、銅製の伝送ケーブル、光伝送ファイバ、ワイヤレス伝送、ルータ、ファイアウォール、スイッチ、ゲートウェイコンピュータおよび／またはエッジサーバを含んでもよい。各コンピューティングデバイスのネットワークインターフェースは、ネットワークからコンピュータ可読プログラム命令を受信して、対応するコンピューティングデバイス内部のコンピュータ可読記憶媒体の記憶領域に、コンピュータ可読プログラム命令を転送する。

本開示の動作を実行するためのコンピュータ可読プログラム命令は、オブジェクト指向プログラミング言語、および従来の手続き型プログラミング言語を含む、１つまたは複数のプログラミング言語の任意の組み合わせで書き込まれる組み立て命令、命令セットアーキテクチャ（Instruction-Set-Architecture：ＩＳＡ）命令、機械命令、機械依存命令、マイクロコード、ファームウェア命令、ステート設定データ、あるいはソースコードまたはオブジェクトコードであってもよい。コンピュータ可読プログラム命令は、全面的にユーザのコンピュータで、部分的にユーザのコンピュータで、スタンドアロンソフトウェアパッケージとして、部分的にユーザコンピュータと部分的にリモートコンピュータとで、もしくは全面的にリモートコンピュータまたはサーバで、実行されてもよい。後半のシナリオでは、リモートコンピュータは、ＬＡＮまたはＷＡＮを含む任意のタイプのネットワークを通してユーザのコンピュータに接続されているか、または、接続は、外部コンピュータに向けて（例えば、インターネットを通して）構築されてもよい。いくつかの実施形態では、例えば、プログラマブル論理回路、フィールドプログラマブルゲートアレイ（Field-Programmable Gate Arrays：ＦＰＧＡ）またはプログラマブル・ロジックアレイ（Programmable Logic Arrays：ＰＬＡ）を含む電子回路は、本開示の態様を実施するために、コンピュータ可読プログラム命令の状態情報を利用して、コンピュータ可読プログラム命令を実行し、電子回路をパーソナライズしてもよい。

種々の態様では、本開示に記載されるシステムおよび方法は、モジュールの意味で扱われる場合がある。本発明で使用する場合、用語「モジュール」は、例えば、特定用途向け集積回路（Application Specific Integrated Circuit：ＡＳＩＣ）またはＦＰＧＡなどのハードウェアを使用して、または、例えば、マイクロプロセッサシステム、および（実行中に）マイクロプロセッサシステムを、特殊目的デバイスに変換するモジュールの機能性を実装するための命令のセットなどのハードウェアとソフトウェアとの組み合わせとして、実装される実世界デバイス、コンポーネント、またはコンポーネントの機構を意味する。モジュールはまた、単独でハードウェアによって促進される特定の機能と、ハードウェアとソフトウェアとの組み合わせによって促進される他の機能との、２つの組み合わせとして実装されてもよい。特定の実装形態では、少なくとも一部、および場合によっては、すべてのモジュールは、コンピュータシステムのプロセッサで実行されてもよい。したがって、各モジュールは、様々な好適な構成で実現される可能性があり、本明細書に例示されるいずれの特定の実装にも限定されるべきではない。

明確性のために、態様のすべての決まりきった特徴を、本明細書に開示しているわけではない。本開示の実際の実装形態の開発時に、開発者の特定の目的を達成するために、非常に多くの実装形態固有の決定が行われる必要があり、これらの特定の目的は、異なる実装形態および異なる開発者によって相違することが理解されるであろう。このような開発作業は、複雑であり、かつ時間がかかる可能性があるが、それでも本開示の効果を用いる当業者にとって、日常的技術的業務であるものと理解される。

さらに、本明細書で用いる表現や用語は説明上のものであって、限定のためではなく、本明細書の用語や表現は、当業者の知見と組み合わされて、本明細書で提示する教示および指導に照らして当業者によって解釈されるものと理解すべきである。加えて、明示的記載がない限り、本明細書または特許請求の範囲におけるいかなる用語も、一般的でない、あるいは特別な意味を持つものと見なされることを意図されない。

本明細書に開示された様々な態様は、本明細書で例示により言及された公知のモジュールと均等な現在および将来の公知の均等物を含む。さらに、態様および応用例を示し、かつ説明したが、本明細書に開示された発明の概念から逸脱することなく、上記よりも多くの変更が可能であることは、本開示の利益を用いる当業者には明らかであろう。

Claims (20)

1. アンチフォレンジック行為を阻止する方法であって、
   コンピューティングデバイス上の複数のオブジェクトから疑わしいオブジェクトを識別することと、
   前記疑わしいオブジェクトによって行われる行為を監視し、前記行為は、前記疑わしいオブジェクトから発信されるコマンドおよび要求を含むことと、
   前記コンピューティングデバイス上にデジタルアーティファクトを作成および／または改変する前記疑わしいオブジェクトによる第１コマンドをインターセプトすることと、
   前記第１コマンドをインターセプトした後に、前記疑わしいオブジェクトおよび前記デジタルアーティファクトのうち少なくとも１つを削除する前記疑わしいオブジェクトによる第２コマンドをインターセプトすることと、
   前記デジタルアーティファクトを作成および／または改変する前記第１コマンドと、前記疑わしいオブジェクトおよび前記デジタルアーティファクトのうち少なくとも１つを削除する前記第２コマンドとの両方をインターセプトすることに応じて、
   前記第２コマンドをブロックすることと、
   前記疑わしいオブジェクトおよび前記デジタルアーティファクトをデジタルリポジトリに格納することと、
   を含む方法。
2. 前記コンピューティングデバイス上のシステムおよびユーザデータのバックアップと共に前記デジタルリポジトリのコンテンツを格納することをさらに含む、請求項１に記載の方法。
3. 前記疑わしいオブジェクトおよび前記デジタルアーティファクトのそれぞれの位置を前記デジタルリポジトリに格納することをさらに含む、請求項１に記載の方法。
4. 前記疑わしいオブジェクトのすべての監視された行為の記録を前記デジタルリポジトリに格納することをさらに含む、請求項１に記載の方法。
5. 前記コンピューティングデバイス上の前記複数のオブジェクトから前記疑わしいオブジェクトを識別することは、
   前記複数のオブジェクトのそれぞれのオブジェクトごとに、
   前記それぞれのオブジェクトのデジタル署名を抽出することと、
   前記それぞれのオブジェクトの前記デジタル署名が、デジタル署名のホワイトリスト内のいずれかの信頼のできるデジタル署名と一致するかどうかを判断することと、
   一致しないという判断に応じて、前記それぞれのオブジェクトを前記疑わしいオブジェクトとして識別することと、
   を含む、請求項１に記載の方法。
6. 複数の疑わしいオブジェクトが識別され、
   閾値期間に前記複数の疑わしいオブジェクトを監視し、前記複数の疑わしいオブジェクトは、前記疑わしいオブジェクトを含むことと、
   前記コンピューティングデバイスの性能を低下させるか、または前記コンピューティングデバイス上のユーザ機密を損なう行為を前記閾値期間にわたって行わなかった前記疑わしいオブジェクトのサブセットを識別することと、
   前記疑わしいオブジェクトの前記サブセットが疑わしくないと判断することと、
   前記サブセットの監視を中止することと、をさらに含む、請求項１に記載の方法。
7. 前記デジタルアーティファクトが前記コンピューティングデバイス上に別のデジタルアーティファクトを作成および／または改変したことを検出することと、
   前記デジタルアーティファクトおよび前記疑わしいオブジェクトを削除する前記別のデジタルアーティファクトのうち１つによる第３コマンドをインターセプトすることに応じて、
   前記第３コマンドをブロックすることと、
   前記疑わしいオブジェクト、前記デジタルアーティファクト、および前記別のデジタルアーティファクトを前記デジタルリポジトリに格納することと、をさらに含む、請求項１に記載の方法。
8. アンチフォレンジック行為を阻止するシステムであって、
   コンピューティングデバイス上の複数のオブジェクトから疑わしいオブジェクトを識別し、
   前記疑わしいオブジェクトによって行われる行為を監視し、前記行為は、前記疑わしいオブジェクトから発信されるコマンドおよび要求を含み、
   前記コンピューティングデバイス上にデジタルアーティファクトを作成および／または改変する前記疑わしいオブジェクトによる第１コマンドをインターセプトし、
   前記第１コマンドをインターセプトした後に、前記疑わしいオブジェクトおよび前記デジタルアーティファクトのうち少なくとも１つを削除する前記疑わしいオブジェクトによる第２コマンドをインターセプトし、
   前記デジタルアーティファクトを作成および／または改変する前記第１コマンドと、前記疑わしいオブジェクトおよび前記デジタルアーティファクトのうち少なくとも１つを削除する前記第２コマンドとの両方をインターセプトすることに応じて、
   前記第２コマンドをブロックし、
   前記疑わしいオブジェクトおよび前記デジタルアーティファクトをデジタルリポジトリに格納する、
   ように構成されたハードウェアプロセッサ、を備えるシステム。
9. 前記ハードウェアプロセッサは、前記コンピューティングデバイス上のシステムおよびユーザデータのバックアップと共に前記デジタルリポジトリのコンテンツを格納するようにさらに構成される、請求項８に記載のシステム。
10. 前記ハードウェアプロセッサは、前記疑わしいオブジェクトおよび前記デジタルアーティファクトのそれぞれの位置を前記デジタルリポジトリに格納するようにさらに構成される、請求項８に記載のシステム。
11. 前記ハードウェアプロセッサは、前記疑わしいオブジェクトのすべての監視された行為の記録を前記デジタルリポジトリに格納するようにさらに構成される、請求項８に記載のシステム。
12. 前記ハードウェアプロセッサは、
    前記複数のオブジェクトのそれぞれのオブジェクトごとに、
    前記それぞれのオブジェクトのデジタル署名を抽出することと、
    前記それぞれのオブジェクトの前記デジタル署名が、デジタル署名のホワイトリスト内のいずれかの信頼のできるデジタル署名と一致するかどうかを判断することと、
    一致しないという判断に応じて、前記それぞれのオブジェクトを前記疑わしいオブジェクトとして識別することと、
    によって、前記コンピューティングデバイス上の前記複数のオブジェクトから前記疑わしいオブジェクトを識別するようにさらに構成される、請求項８に記載のシステム。
13. 複数の疑わしいオブジェクトが識別され、前記ハードウェアプロセッサは、
    閾値期間に前記複数の疑わしいオブジェクトを監視し、前記複数の疑わしいオブジェクトは、前記疑わしいオブジェクトを含み、
    前記コンピューティングデバイスの性能を低下させるか、または前記コンピューティングデバイス上のユーザ機密を損なう行為を前記閾値期間にわたって行わなかった前記疑わしいオブジェクトのサブセットを識別し、
    前記疑わしいオブジェクトの前記サブセットが疑わしいものではないと判断し、
    前記サブセットの監視を中止する、
    ようにさらに構成される、請求項８に記載のシステム。
14. 前記ハードウェアプロセッサは、
    前記デジタルアーティファクトが前記コンピューティングデバイス上に別のデジタルアーティファクトを作成および／または改変したことを検出し、
    前記デジタルアーティファクトおよび前記疑わしいオブジェクトを削除する前記別のデジタルアーティファクトのうち１つによる第３コマンドをインターセプトすることに応じて、
    前記第３コマンドをブロックし、
    前記疑わしいオブジェクト、前記デジタルアーティファクト、および前記別のデジタルアーティファクトを前記デジタルリポジトリに格納する、
    ようにさらに構成される、請求項８に記載のシステム。
15. アンチフォレンジック行為を阻止する実行可能命令を記憶している非一時的なコンピュータ可読媒体であって、
    コンピューティングデバイス上の複数のオブジェクトから疑わしいオブジェクトを識別することと、
    前記疑わしいオブジェクトによって行われる行為を監視し、前記行為は、前記疑わしいオブジェクトから発信されるコマンドおよび要求を含むことと、
    前記コンピューティングデバイス上にデジタルアーティファクトを作成および／または改変する前記疑わしいオブジェクトによる第１コマンドをインターセプトすることと、
    前記第１コマンドをインターセプトした後に、前記疑わしいオブジェクトおよび前記デジタルアーティファクトのうち少なくとも１つを削除する前記疑わしいオブジェクトによる第２コマンドをインターセプトすることと、
    前記デジタルアーティファクトを作成および／または改変する前記第１コマンドと、前記疑わしいオブジェクトおよび前記デジタルアーティファクトのうち少なくとも１つを削除する前記第２コマンドとの両方をインターセプトすることに応じて、
    前記第２コマンドをブロックすることと、
    前記疑わしいオブジェクトおよび前記デジタルアーティファクトをデジタルリポジトリに格納することと、
    を行う命令を含む、非一時的なコンピュータ可読媒体。
16. 前記コンピューティングデバイス上のシステムおよびユーザデータのバックアップと共に前記デジタルリポジトリのコンテンツを格納することを行う命令をさらに含む、請求項１５に記載の非一時的なコンピュータ可読媒体。
17. 前記疑わしいオブジェクトおよび前記デジタルアーティファクトのそれぞれの位置を前記デジタルリポジトリに格納することを行う命令をさらに含む、請求項１５に記載の非一時的なコンピュータ可読媒体。
18. 前記疑わしいオブジェクトのすべての監視された行為の記録を前記デジタルリポジトリに格納することを行う命令をさらに含む、請求項１５に記載の非一時的なコンピュータ可読媒体。
19. 前記コンピューティングデバイス上の前記複数のオブジェクトから前記疑わしいオブジェクトを識別する前記命令は、
    前記複数のオブジェクトのそれぞれのオブジェクトごとに、
    前記それぞれのオブジェクトのデジタル署名を抽出することと、
    前記それぞれのオブジェクトの前記デジタル署名が、デジタル署名のホワイトリスト内のいずれかの信頼のできるデジタル署名と一致するかどうかを判断することと、
    一致しないという判断に応じて、前記それぞれのオブジェクトを前記疑わしいオブジェクトとして識別することと、
    を行う命令をさらに含む、請求項１５に記載の非一時的なコンピュータ可読媒体。
20. 複数の疑わしいオブジェクトが識別され、
    閾値期間に前記複数の疑わしいオブジェクトを監視し、前記複数の疑わしいオブジェクトは、前記疑わしいオブジェクトを含むことと、
    前記コンピューティングデバイスの性能を低下させるか、または前記コンピューティングデバイス上のユーザ機密を損なう行為を前記閾値期間にわたって行わなかった前記疑わしいオブジェクトのサブセットを識別することと、
    前記疑わしいオブジェクトの前記サブセットが疑わしいものではないと判断することと、
    前記サブセットの監視を中止することと、
    を行う命令をさらに含む、請求項１５に記載の非一時的なコンピュータ可読媒体。

Images