JP7390932B2 - マルウェアについて複数のアーカイブスライスを検査するシステムおよび方法 - Google Patents

Description

本開示は、一般に、保存されたアーカイブ内のウイルスおよびマルウェアの検出の分野に関しており、より具体的には、マルウェアについてアーカイブスライスを検査することによりバックアップアーカイブをスキャンするシステムおよび方法に関する。

一般的に、リカバリーのためのアーカイブのバックアップおよびストレージは、スケジュールに応じて定期的に行われる。バックアップが悪意のあるソフトウェアで汚染されているかもしれない、ということがよくある。そのため、複数の会社が、バックアップの前や、バックアップ中や、レストアの前などに、マルウェアのスキャンを行うソフトウェアを、しばしば自動化してきた。新しいタイプのマルウェアの出現によりアンチウイルスデータベースがしばしばアップデートされるため、ウイルスおよびマルウェアのスキャンは、周期的にかつ定期的に行われるべきである。しかしながら、大きなアーカイブの完全なスキャンは相当の時間および計算リソースを要するが、それらはしばしば利用できないか、時間とリソースを効率的に使用することができない。（ネットワークまたは用いられる通信チャネルのスピードおよび／またはチャネルに負荷の重さ次第で）クラウド内のアーカイブへのアクセスのスピードがローカルストレージデバイスにアクセスするよりも著しく遅いため、アーカイブがローカルではなくクラウドストレージに保存される場合、アーカイブのスキャンは、特に危険となる。さらに、あらゆる問題、たとえばウイルスおよび／または悪意のあるファイルがアーカイブ内で見つかるようなことが起こる場合、アーカイブは損傷または感染しているものとみなされ、システムリカバリーに使用したりファイルおよびデータを抽出したりすることには、全く適さないであろう。

従来、感染したデータをレストアされることを回避するために、保存中に、複数の新しいスライスがアーカイブに加えられるときに、および／またはデータをレストアする前に、アンチウイルススキャナーでアーカイブが周期的にスキャンされる。しかしながら、現在、アーカイブ内の任意の時点をスキャンするためのソリューションがない。代わりに、全アーカイブをスキャンするソリューションが強いられる。その上、アーカイブ内で現在損傷しているまたは感染しているデータを修復することができない。

開示の態様は、保存されたアーカイブ内のウイルスおよびマルウェアの検出の分野に関する。特に、開示の態様は、複数のアーカイブスライスを検査することにより複数のバックアップアーカイブをスキャンする方法およびシステムを説明する。

例示的な一態様において、方法は、バックアップアーカイブ内の複数のスライスのうちの、第１スライスをディスクにマウントすることを含み、ここで当該第１スライスは第１時刻でのユーザーデータのイメージである。当該方法は、複数のスライスのうちの、第２スライスの複数のブロックと、マウントされた第１スライスの複数のブロックとを比較することによって、マウントされた第１スライスの修正ブロックを検出することをさらに含み、ここで、当該第２スライスは第１時刻よりも前に取り込まれたユーザーデータのイメージである。当該方法は、検出された修正ブロックに対応する、マウントされた第１スライス内の少なくとも１つのファイルをディスクのファイルシステム上で識別することと、ウイルスおよび悪意のあるソフトウェアについて少なくとも１つのファイルをスキャンすることとを含む。少なくとも１つのファイルが感染していることを検出したことに応じて、当該方法は、当該少なくとも１つのファイルを除く、マウントされた第１スライスのユーザーデータを備える治癒スライスを生成することを含む。

いくつかの態様において、治癒スライスを生成することは、マウントされた第１スライスから少なくとも１つのファイルを取り除くことを含む。

いくつかの態様において、第２スライスに対する複数の修正ブロックは、マウントされた第１スライスのために存在し、治癒スライスを生成することは、第２スライスのコピーを生成することと、複数の修正ブロックに対応するとともに当該少なくとも１つのファイルを含まない全ファイルを、第２スライスのコピーに転送することと、を含み、ここで、第２スライスのコピーは治癒スライスである。

いくつかの態様において、第２スライスは、マウントされた第１スライスよりも前または同時にディスクにマウントされる。

いくつかの態様において、当該方法は、新しい治癒スライスをバックアップアーカイブに加えることを含む。

いくつかの態様において、当該方法は、第３スライスをウイルスおよび悪意のあるソフトウェアについてスキャンすることを含み、ここで、第３スライスは、バックアップアーカイブ内の複数のスライスのうちの、第２スライスの生成時刻よりも前に取り込まれたユーザーデータのイメージである。第３スライス内で感染したファイルを検出したことに応じて、当該方法は、データリカバリーに不適切なものとして、第３スライスの生成時刻の後に取り込まれた複数のスライスのサブセットをマークすることを含み、ここで、サブセットは、第２スライスおよび第１スライスを備える。

いくつかの態様において、当該方法は、感染したファイルに対応する第３スライスのブロックを識別することと、第２スライスおよび第１スライスをディスクにマウントすることと、ブロックを追跡することと、第２スライスおよび第１スライスのいずれかに感染したファイルが存在するかを特定することとを含む。特定（すなわち、感染したファイルが少なくとも１つのスライス上に存在すること）に基づいて、当該方法は、それぞれの治癒スライスを生成することによって、第２スライスおよび第１スライスのいずれかから感染したファイルを取り除くことを含む。

いくつかの態様において、１または複数の仮想ディスクとして複数のスライスをマウントすることができる。

いくつかの態様において、少なくとも１つのファイルおよび修正ブロックの対応は、バックアップアーカイブのブロックマップを用いて特定される。

ハードウェアプロセッサーを備えるシステムで上述の方法を実施してもよいことに注意すべきである。代わりに、非一時的コンピューター読取可能媒体の、コンピューターが実行可能なインストラクションを用いて、方法を実施してもよい。

例示の態様の上記の簡単な概要は、本開示の基本的な理解を提供するのに役立つ。本概要は、想定されるすべての態様の広い概観ではなく、すべての態様の重要なまたは重大なエレメントを識別するものでも、本開示のいくつかのまたはすべての態様の範囲を描写するものでもない。その唯一の目的は、以下の開示のより詳細な説明の前置きとして簡単な形式で、１または複数の態様を提示することにある。前述のことを達成するために、本開示の１または複数の態様は、特許請求の範囲において記載されて例示的に指示される特徴を含む。

本明細書の一部に組み込まれ、本明細書の一部を構成する添付図面は、本開示の１または複数の例示の態様を示し、詳細な説明とともに、それらの原理および実施態様を説明するのに役立つ。

図１は、本開示の例示的な態様に従って、複数のアーカイブスライスを検査することにより複数のバックアップアーカイブをスキャンするシステムのブロック図である。 図２は、本開示の例示的な態様に応じて、複数のアーカイブスライスを検査することにより複数のバックアップアーカイブをスキャンするシーケンスのブロック図である。 図３は、本開示の例示的な態様に応じて、複数のアーカイブスライスを検査することにより複数のバックアップアーカイブをスキャンする方法のフロー図である。 図４は、本開示の例示的な態様に従って、複数のアーカイブスライスを検査することにより複数のバックアップアーカイブをスキャンする方法を示すフローチャートである。 図５は、例示的な態様に応じて、開示されたシステムおよび方法を実施することができるコンピューターシステムのブロック図である。

マルウェアについて複数のアーカイブスライスを検査するシステム、方法、およびコンピュータープログラム製品の文脈において、例示的な態様がここで記載される。以下の説明が例示的であるに過ぎず、いかなる方法においても限定を意図していないことを、当業者は認識するであろう。本開示の利益を有する当業者は、他の態様を容易に思い付くであろう。以下、添付図面に示されるような例示の態様の実施態様に詳細に言及する。同じまたは同様の項目を表すために、図面および以下の説明の全体を通じて、可能な範囲で同じ参照指標が用いられる。

図１は、本開示の例示的な態様に従って、複数のアーカイブスライスを検査することにより複数のバックアップアーカイブをスキャンするシステム１００のブロック図である。

システム１００は、コンピューティングデバイス１０２と、アーカイブスキャナー１１０と、ディスク１２０と、クラウドアーカイブ１３０とを備える。クライアントコンピューティングデバイス１０２は、ラップトップコンピューター、タブレットコンピューター、モバイルデバイス、または同様のものなどの任意のタイプのモバイルコンピューティングデバイスであってもよい。また、コンピューティングデバイス１０２は、コンピューティングデバイス１０２に保存されるユーザーデータのバックアップを行うバックアップモジュール１０４を含み、ユーザーデータは、コンピューティングデバイス１０２のディスクの全体のバックアップイメージ、デバイス１０２にインストールされるソフトウェア、パーソナルドキュメントなどのユーザーアプリケーションデータ、または同様のものを含んでもよい。

また、バックアップモジュール１０４は、コンピューティングデバイス１０２にローカルに保存されないデータを検索してもよい。例示的な態様において、バックアップモジュール１０４は、クラウドアーカイブ１３０へ、あるいは代わりにコンピューティングデバイス１０２に関連する物理ディスク上のローカルアーカイブへ、複数のバックアップスライス１０６のセットとしてユーザーデータを保存し、および／またはクラウドアーカイブ１３０から、あるいは代わりにコンピューティングデバイス１０２に関連する物理ディスク上のローカルアーカイブから、バックアップスライス１０６のセットとしてユーザーデータを検索する。複数のバックアップスライス１０６は、クラウドアーカイブ１３０内のバックアップアーカイブ１０８にまとめて保存される。それぞれのバックアップスライスは、特定の時点でのコンピューティングデバイス１０２のユーザーデータまたは物理ディスクのイメージである。時が経つにつれて、クラウドアーカイブ１３０は、それぞれが複数のバックアップスライスを備える、異なるコンピューティングデバイスについての多くのバックアップアーカイブ１０８を含む。

バックアップモジュール１０４は、ネットワーク１０１（例えば、インターネット）上で、クラウドアーカイブ１３０と通信する。場合により、バックアップモジュール１０４がバックアップアーカイブ１０８からデータをレストアしたい場合、スキャンが行われる。バックアップアーカイブ１０８のサイズが大幅に（例えば、５００ＧＢなどの所定の閾値を超えて）増加したとき、行われるスキャンのリクエストは、大量の時間およびリソースを取ってもよい。アーカイブ１０８がローカルに保存される場合、バックアップモジュール１０４は、他の場所で必要とされてもよいコンピューティングデバイス１０２の大量のリソースを取ってもよい。そのようなリソースは、ストレージスペース、メモリー（例えば、ＲＡＭ）、および処理能力を有していてもよい。

リソースの過剰な消費を回避するために、ローカルおよび／またはクラウドプラットフォームで、クラウドアーカイブ１３０は、いくつかの例示的な態様に応じて、アーカイブスキャナー１１０によって周期的なスキャンを受ける。アーカイブスキャナー１１０は、アーカイブマウンターサービス１１２と、アーカイブＡＰＩ１１４と、アーカイブマウントドライバー１１６とを備える。ある態様においては、アーカイブスキャナー１１０は、ネットワーク１０１上のサービスとして実行しているが、ある態様においては、アーカイブスキャナー１１０は、コンピューティングデバイス１０２上で実行していてもよい。その上、他の構成が想定され、当該構成において、アーカイブスキャナーは、異なるサーバーまたは同じサーバーでクラウドアーカイブ１３０として作動してもよい。

クラウドアーカイブからデータを検索するときに、コンピューティングデバイス１０２などのコンピューティングデバイスが偶発的に感染しないことを保証するために、アーカイブスキャナー１１０は、バックアップアーカイブ１０８でアンチウイルスおよびマルウェアのスキャンを行う。アーカイブスキャナー１１０を実行しているデバイス（例えば、サーバー）は、物理ディスク１２０を有していてもよい。例示的な態様において、デバイスは、ホストマシンおよび仮想マシンを備えていてもよい。例示的な態様において、アーカイブスキャナー１１０は、バックアップアーカイブ１０８をスキャンするリクエストを受信する。アーカイブＡＰＩ１１４は、バックアップアーカイブ１０８に保存される複数のスライスから、複数の新しい修正ブロックを検索するために用いられる。アーカイブマウントドライバー１１６は、バックアップアーカイブ１０８から、アーカイブスライスをマウントするリクエストを受信し、アーカイブスキャナー１１０がディスクとしてアーカイブを処理することが可能となる。アーカイブマウントドライバー１１６は、アーカイブスライスを仮想ディスク１２２としてマウントしてもよい。いくつかの態様に応じて、アーカイブマウントドライバー１１６は、変更が行われた場合、マウントされたスライスにおけるデータへの変更をセーブできるようにする。

例示的な態様において、アーカイブスキャナー１１０は、最新スライスが生成されてからの、複数の最新スライスにおけるすべての修正ブロックを検出する。次に、アーカイブスキャナー１１０は、１または複数のスライス内の複数のファイルと、マウントされたディスク上の複数のデータブロックとの対応を特定するために、アーカイブＡＰＩ１１４を用いる。そのような特定は、ブロックマップを用いて行われてもよい。また、一度対応が生成されると、複数の修正ブロックと連携する、マウントされた仮想ディスク１２２上の複数のファイルは、新しいまたは修正されたものとみなされる。このため、仮想ディスク１２２上のこれらの新しいファイルを、感染、ウイルス、および悪意のあるソフトウェアについてスキャンすることができる。感染および／または損傷した複数のファイルならびにマルウェアを仮想ディスク１２２から取り除くために、アーカイブスキャナー１１０によって、アーカイブＡＰＩ１１４をさらに起動することができる。最後に、アーカイブスキャナー１１０は、クラウドアーカイブ１３０に保存された（またはコンピューティングデバイス１０２のローカルのストレージデバイスに保存された）バックアップアーカイブ１０８内の新しい治癒スライスとして、仮想ディスク１２２をセーブすることができる。いくつかの他の態様において、既存のスライスが取り除かれて新しい治癒スライスに置き換えられてもよい。

ブロックマップを形成する態様は、特定のＯＳおよびファイルシステムに依存する。例えば、ＷｉｎｄｏｗｓのＮＴＦＳにおいて、複数のファイルは、マスターファイルテーブル（Master File Table：ＭＦＴ）に常駐する（ＭＦＴレコード内に保存される）ことができるか、またはボリュームストレージスペースに保存されて非常駐にすることができる。一態様において、非常駐ファイルの、割り当てられた複数のブロックは、システムファンクションコール、例えば、「FSCTL_GET_RETRIEVAL_POINTERS API」を用いて検索されてもよい。ＭＦＴ常駐ファイルブロックマップは、ＭＦＴアロケーションおよび一般にＭＦＴレコードナンバーである既知のファイル識別子の分析で特定されてもよい。ＭＦＴレコードナンバーは、ＭＦＴ常駐ファイルの複数のブロックの検査および認識を可能にする。また、ファイルでもある全ＭＦＴがなければ、システムファンクション、例えば、「FSCTL_GET_RETRIEVAL_POINTERS」の助力によって、ＭＦＴアロケーションの分析を特定することができる。他のファイルシステムは、ファイルブロックマップを構築する独自の特別なアルゴリズムを要求することができる。

感染したスライスを発見するために、バックアップアーカイブ１０８内の１または複数の古いスライスをスキャンするように、アーカイブスキャナー１１０を構成してもよい。そのような感染さもなければ破損したスライスが一度識別されると、アーカイブスキャナー１１０は、感染したスライスと、後に（一時的に）取り込まれた複数のスライスとを、感染しており、いかなるコンピューティングデバイスのデータリカバリーにも不適切なものとしてマークする。したがって、バックアップモジュール１０４は、感染したとしてマークされる複数のスライスをレストアしようとするいかなる試みもブロックするように構成される。その上、これにより、感染のタイプと、破損において関与してきたかもしれない要因とに関するさらなる分析のために用いることができる破損の時刻をアーカイブスキャナー１１０が確立することが可能になる。いくつかの態様において、コンピューティングデバイス１０２の過去の属性を、クラウドアーカイブ１３０または他の場所で保存することができ、破損／感染の原因のセットを確立するために、破損の時刻とともに分析することができる。将来の感染またはマルウェアの攻撃を防ぐためにこの分析を用いることができる。

図２は、開示の例示的な態様に応じて、複数のアーカイブスライスを検査することにより複数のバックアップアーカイブをスキャンするシステムおよび方法のシーケンスを示すブロック図である。

例示的な態様において、アーカイブマウンターサービス１１２、アーカイブＡＰＩ１１４、ならびにクラウドアーカイブ１３０およびローカルアーカイブ２００は、ユーザーメモリー（User Memory：ＵＭ）スペース内に配置されてもよいが、アーカイブマウントドライバー１１６は、カーネルメモリー（Kernel Memory：ＫＭ）スペース内に配置されてもよい。クラウドアーカイブ１３０またはローカルアーカイブ２００にアクセスするために、アーカイブスキャナー１１０は、アーカイブマウンターサービス１１２とコンタクトをとる。アーカイブマウンターサービス１１２は、アーカイブをディスク（例えば、仮想ディスク）にマウントするために、マウントドライバー１１６を用いる。

図２を参照して、マウントドライバー１１６は、クラウドアーカイブ１３０内の複数のスライス（例えば、スライス２０２～２０６）のうちの、第１時刻での（例えば、コンピューティングデバイス１０２上の）ユーザーデータのイメージである第１スライス２０２をディスク１２０にマウントする。そして、アーカイブＡＰＩ１１４は、複数のスライスのうちの、第２スライス２０４の複数のブロックと、マウントされた第１スライスの複数のブロックとを比較することによって、マウントされた第１スライスの修正ブロックを検出する。ここで、第２スライス２０４は第１時刻よりも前に取り込まれたユーザーデータのイメージである。例えば、第１スライス２０２は、時刻ｔに生成されていてもよい。第２スライス２０４は、時刻ｔ－１に生成されていてもよい。

そして、アーカイブＡＰＩ１１４は、複数の変更されたブロックを見つけるために、それぞれのスライスのそれぞれのマウントされたディスクの複数のブロックを比較してもよい。修正ブロックが見つかると、アーカイブマウンターサービス１１２は、検出された修正ブロックに対応するマウントされた第１スライス内の少なくとも１つのファイルをディスクのファイルシステム上で識別する。そして、アーカイブスキャナー１１０は、ウイルスおよび悪意のあるソフトウェアについて少なくとも１つのファイルをスキャンする。少なくとも１つのファイルが感染していることを検出したことに応じて、アーカイブスキャナー１１０は、当該少なくとも１つのファイルを除く、マウントされた第１スライスのユーザーデータを備える治癒スライスを生成する。この生成プロセスは、マウントされた第１スライス２０２から当該少なくとも１つのファイルを取り除くことを含んでもよい。複数の修正ブロックがスライス２０４に対してスライス２０２内で見つけられるいくつかの場合において、生成プロセスは、第２スライス２０４のコピーを生成することと、複数の修正ブロックに対応するとともにいかなる感染したファイルも含まない全ファイルを第２スライスのコピーに転送することとを伴う（ここで、第２スライスのコピーは治癒スライスである）。

いくつかの態様において、アーカイブスキャナー１１０は、ウイルスおよび悪意のあるソフトウェアについて、バックアップアーカイブ内の複数のスライスのうちの第３スライス２０６を任意にスキャンしてもよい。第３スライス２０６は、第２スライスの生成時刻よりも前（すなわち、ｔ－Ｎ）に取り込まれたユーザーデータのイメージであってもよい。第３スライス２０６で、感染したファイルを検出したことに応じて、アーカイブスキャナー１１０は、第３スライスの生成時刻の後に取り込まれた複数のスライスのサブセットを、データリカバリーに不適切なものとしてマークしてもよい。この特定の例において、第１スライス２０２および第２スライス２０４の両方がサブセットに含まれる。

いくつかの態様において、アーカイブスキャナー１１０は、感染したファイルに対応する第３スライス２０６のブロックを識別してもよい。アーカイブスキャナー１１０は、第２スライス２０４および第１スライス２０２をディスク１２０にマウントしてもよい。アーカイブスキャナー１１０は、ブロックを追跡し、第２スライスおよび第１スライスのいずれかに、感染したファイルが存在するかを特定してもよい。例えば、感染したファイルは、第２スライス２０４に存在するかもしれないが、ユーザーは、第１スライス２０２から、感染したファイルを既にマニュアルで取り除いていてもよい。感染したファイルは第１スライス２０２には存在しないため、第３スライス２０６および第２スライス２０４のみ治癒する必要がある。これにより、複数のスライスのクリーンなセットをバックアップアーカイブが有することが保証され、当該セットからユーザーはバックアップを行うことができる。

いくつかの態様において、複数の感染したスライスをアーカイブが含む場合、アーカイブスキャナー１１０は、複数のスライスをスキャンすることによって、（スライス生成時刻に基づいて）感染がいつ発生したか、および感染源またはマルウェアの出所を特定するためにこれらのスライスを発見してもよい。

図３は、本開示の例示的な態様に従って、アーカイブスライスを検査することによるバックアップアーカイブのスキャン方法３００を示すフローチャートである。

方法は、３０２で開始し、３０４へ進む。

３０４で、アーカイブスキャナー１１０のコンポーネントは、複数のアーカイブスライスを検査することによって、バックアップアーカイブをスキャンする。アーカイブスキャナーのコンポーネントは、例えば、仮想ディスクをマウントすることによって、バックアップアーカイブからディスクへ最新スライスをマウントする。いくつかの態様において、仮想ディスクは、アーカイブスキャナー１１０を実行するサーバー上でマウントされてもよいが、本開示はその構成に限定されない。

３０６で、アーカイブＡＰＩ１１４は、最新スライスが生成されてからの、複数の最新スライスにおけるすべての修正ブロックを検出することをリクエストされる。例示的な態様において、ＡＰＩ１１４は、複数の修正ブロックを特定するために、スライスがマウントされる仮想ディスクの複数の下位ブロックを検査する。他の態様において、最新スライスの複数のブロックを、コンピューティングデバイスの以前の複数のバックアップのために以前に生成された複数のスライスの複数のブロックと比較することによって、修正ブロックが検出される。スライスによって異なる複数のブロックは、複数のブロックの修正されたセットを備える。

３０８で、アーカイブスキャナー１１０は、１または複数のスライス内の複数のファイルと、マウントされたディスク上の複数のデータブロックとの対応を特定する。いくつかの態様において、アーカイブスキャナー１１０は、マウントされている特定のバックアップスライスのブロックマップを確立するかまたは読み取り、ブロックマップは、どのブロックがどのファイルに対応するかを示す。

３１０で、アーカイブスキャナー１１０は、ディスクのファイルシステム上で、複数の修正データブロックを識別することによって複数の修正されたファイルを特定する。複数の修正データブロックが識別されているので、どのファイルが修正データブロックに対応するのかを識別するためにブロックを用いることができる。

３１２で、ウイルスおよび悪意のあるソフトウェアについて前のバックアップスライスが完了したので、アーカイブスキャナー１１０は、ファイルシステム上の複数の修正されたファイルをスキャンする。

３１４で、アーカイブスキャナー１１０は、感染および／または損傷した複数のファイルならびにマルウェアを仮想ディスクから取り除いてもよい。そして、仮想ディスクを、最新スライスとしてセーブすることができ、クラウドアーカイブ１３０またはローカルディスクでバックアップアーカイブ１０８へ再挿入することができる。

方法は３２０で終了する。

図４は、本開示の例示的な態様に従って、複数のアーカイブスライスを検査することにより複数のバックアップアーカイブをスキャンする別の方法４００を示すフローチャートである。

方法は、４０２で開始し、４０４へ進む。

４０４で、アーカイブスキャナー１１０は、方法３００で仮想ディスクにマウントされたバックアップイメージをスキャンする。例示的な態様において、示されるように、バックアップイメージまたはアーカイブイメージは、仮想ディスクとしてマウントされてもよく、または他の態様において、スライスを物理ディスクへレストアする。

４０６で、複数の感染したファイルは、識別されてマークされる。いくつかの態様において、ブロックマップまたは他の方法を用いて方法３００で識別される、複数の修正ブロックに基づいて複数のファイルが識別される。ブロックマップは、マウントされたイメージ上の複数のブロックと複数のファイルとの対応を示す。このため、複数の修正ブロックが識別されるとき、アーカイブスキャナー３１０は、複数の修正ファイルを識別することができる。

４０８で、マウントされたバックアップイメージ上にある、いかなるマルウェアも、仮想ディスク上の複数のファイルに対してウイルスおよびマルウェアのスキャンを行うことによって識別される。

４１０で、複数の感染したファイルおよびマルウェアは、アーカイブスキャナー１１０によってディスク（例えば、仮想ディスク）のファイルシステムから取り除かれる。いくつかの態様において、複数の感染したファイルおよび／またはマルウェアは、仮想ディスクまたは他の場所に隔離される。複数の感染したファイルを仮想ディスクの隔離状態に移動することは、隔離状態を有する、治癒スライスを生成することを要求することに注意すべきである。

４１２で、仮想ディスクを新しいスライスとして転送することによって、複数の感染したファイルおよびマルウェアを除外して、新しいスライスがアーカイブスキャナー１１０によって生成される。新しいスライスは、新しい仮想ディスクもしくは仮想ディスク１２２などの他の場所に、または図２に示すようなクラウドアーカイブ１３０（例えば、最新スライス２０２）に保存される。

４１４で、アーカイブスキャナーは、バックアップアーカイブ（例えば、アーカイブ１０８）内の最新スライスのトップに、新しく生成された治癒スライスを加える。いくつかの代替の態様において、新しく生成されたスライスは、最新スライスまたは感染したスライスに置き換えてもよい。

方法は４２０で終了する。

図５は、複数のアーカイブスライスを検査することにより複数のバックアップアーカイブをスキャンするシステムおよび方法の態様が例示的な態様に従って実施されるコンピューターシステム２０を示すブロック図である。コンピューターシステム２０は、前述のシステム１００の任意のコンポーネントに対応し得ることに注意すべきである。コンピューターシステム２０は、複数のコンピューティングデバイスの形式で、または、例えば、デスクトップコンピューター、ノートブックコンピューター、ラップトップコンピューター、モバイルコンピューティングデバイス、スマートフォン、タブレットコンピューター、サーバー、メインフレーム、組み込みデバイス、および他の形式のコンピューティングデバイスの単一のコンピューティングデバイスの形式にすることができる。

示すように、コンピューターシステム２０は、中央処理装置（Central Processing Unit：ＣＰＵ）２１と、システムメモリー２２と、ＣＰＵ２１に関連するメモリーを含む様々なシステムコンポーネントを接続するシステムバス２３とを含む。システムバス２３は、バスメモリーまたはバスメモリーコントローラーと、ペリフェラルバスと、他のバスアーキテクチャーと相互に作用することができるローカルバスとを備えてもよい。バスの例は、ＰＣＩ、ＩＳＡ、ＰＣＩ－Ｅｘｐｒｅｓｓ、ＨｙｐｅｒＴｒａｎｓｐｏｒｔ（商標）、ＩｎｆｉｎｉＢａｎｄ（商標）、Ｓｅｒｉａｌ ＡＴＡ、Ｉ^２Ｃ、および他の適切なインターコネクトを含んでもよい。（プロセッサーとも呼ばれる）ＣＰＵ２１は、単一のまたは複数のコアを有するプロセッサーの単一のまたは複数のセットを含むことができる。プロセッサー２１は、本開示の技術を実施する、１または複数の、コンピューターが実行可能なコードを実行してもよい。システムメモリー２２は、ここで用いられるデータおよび／またはプロセッサー２１によって実行可能なコンピュータープログラムを保存するための任意のメモリーであってもよい。システムメモリー２２は、ランダムアクセスメモリー（Random Access Memory：ＲＡＭ）２５などの揮発性メモリー、およびリードオンリーメモリー（Read Only Memory：ＲＯＭ）２４やフラッシュメモリーなどの不揮発性メモリー、またはその任意の組み合わせを含んでもよい。ベーシックインプット／アウトプットシステム（Basic Input/Output System：ＢＩＯＳ）２６は、ＲＯＭ２４を使用するオペレーティングシステムをロードする際のものなどのコンピューターシステム２０のエレメント間の情報の転送のためのベーシックプロシージャーを保存してもよい。

コンピューターシステム２０は、１または複数のリムーバブルストレージデバイス２７、１または複数のノンリムーバブルストレージデバイス２８、またはその組み合わせなどの１または複数のストレージデバイスを含んでもよい。１または複数のリムーバブルストレージデバイス２７およびノンリムーバブルストレージデバイス２８は、ストレージインターフェイス３２を通じてシステムバス２３に接続される。一態様において、ストレージデバイスおよび対応するコンピューター読取可能記憶媒体は、コンピューターインストラクション、データ構造、プログラムモジュール、およびコンピューターシステム２０の他のデータのストレージのための電力独立モジュールである。システムメモリー２２、リムーバブルストレージデバイス２７、およびノンリムーバブルストレージデバイス２８は、様々なコンピューター読取可能記憶媒体を用いてもよい。コンピューター読取可能記憶媒体の例は、キャッシュ、ＳＲＡＭ、ＤＲＡＭ、ゼロキャパシターＲＡＭ、ツイントランジスターＲＡＭ、ｅＤＲＡＭ、ＥＤＯ ＲＡＭ、ＤＤＲ ＲＡＭ、ＥＥＰＲＯＭ、ＮＲＡＭ、ＲＲＡＭ、ＳＯＮＯＳ、ＰＲＡＭなどのマシンメモリーと、フラッシュメモリー、またはソリッドステートドライブ（Solid State Drives：ＳＳＤｓ）もしくはフラッシュドライブなどの他のメモリー技術と、磁気カセット、磁気テープ、およびハードディスクドライブまたはフロッピーディスクなどの磁気ディスクストレージと、コンパクトディスク（ＣＤ－ＲＯＭ）またはデジタルバーサタイルディスク（Digital Versatile Disks：ＤＶＤｓ）などの光ストレージと、所望のデータを保存するために用いられ、コンピューターシステム２０によってアクセスされ得る他の媒体とを含む。

コンピューターシステム２０のシステムメモリー２２、リムーバブルストレージデバイス２７、およびノンリムーバブルストレージデバイス２８は、オペレーティングシステム３５、追加のプログラムアプリケーション３７、他のプログラムモジュール３８、およびプログラムデータ３９を保存するために用いられてもよい。コンピューターシステム２０は、インプットデバイス４０からデータを通信するためのペリフェラルデバイス４６を含んでもよい。インプットデバイス４０は、キーボード、マウス、スタイラス、ゲームコントローラー、ボイスインプットデバイス、タッチインプットデバイス、または他のペリフェラルデバイスなどである。他のペリフェラルデバイスは、１または複数のＩ／Ｏポートによるプリンターまたはスキャナーなどである。Ｉ／Ｏポートは、シリアルポート、パラレルポート、ユニバーサル・シリアル・バス（Universal Serial Bus：ＵＳＢ）、または他のペリフェラルインターフェイスなどである。また、１または複数のモニター、プロジェクター、または一体型ディスプレーなどのディスプレーデバイス４７は、ビデオアダプターなどのアウトプットインターフェイス４８を超えてシステムバス２３に接続されてもよい。コンピューターシステム２０は、ディスプレーデバイス４７の他に、スピーカーおよび他の音響映像デバイスなどの他のペリフェラルアウトプットデバイス（図示せず）を備えていてもよい。

コンピューターシステム２０は、１または複数のリモートコンピューター４９へのネットワーク接続を用いて、ネットワーク環境内で作動してもよい。リモートコンピューター（またはコンピューター）４９は、コンピューターシステム２０の性質を表す、ほとんどのまたはすべての前述のエレメントを備える、ローカルコンピューターワークステーションまたはサーバーであってもよい。また、他のデバイスは、限定されないが、ルーター、ネットワークステーション、ピアデバイス、または他のネットワークノードなどのコンピューターネットワーク内にあってもよい。コンピューターシステム２０は、１または複数のネットワークを通じてリモートコンピューター４９と通信するための、１または複数のネットワークインターフェイス５１またはネットワークアダプターを含んでもよい。ネットワークは、ローカルエリアコンピューターネットワーク（Local-Area computer Network：ＬＡＮ）、ワイドエリアコンピューターネットワーク（Wide-Area computer Network：ＷＡＮ）、イントラネット、およびインターネットなどである。ネットワークインターフェイス５１の例は、イーサネットインターフェイス、フレームリレーインターフェイス、ソネットインターフェイス、およびワイヤレスインターフェイスを含んでもよい。

本開示の態様は、システム、方法、および／またはコンピュータープログラム製品であってもよい。コンピュータープログラム製品は、コンピューター読取可能記憶媒体（または媒体）を含んでもよい。コンピューター読取可能記憶媒体（または媒体）は、本開示の態様をプロセッサーに実行させるコンピューター読取可能プログラム命令をそこに有する。

コンピューター読取可能記憶媒体は、コンピューターシステム２０などの、コンピューティングデバイスのプロセッサーによってアクセスされ得るインストラクションまたはデータ構造の形式のプログラムコードを保持および保存することができるタンジブルデバイスにすることができる。コンピューター読取可能記憶媒体は、電子ストレージデバイス、磁気ストレージデバイス、光ストレージデバイス、電磁気ストレージデバイス、半導体ストレージデバイス、またはその任意の適切な組み合わせであってもよい。一例として、そのようなコンピューター読取可能記憶媒体は、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、ポータブルコンパクトディスクリードオンリーメモリー（Compact Disc Read-Only Memory：ＣＤ－ＲＯＭ）、デジタルバーサタイルディスク（Digital Versatile Disk：ＤＶＤ）、フラッシュメモリー、ハードディスク、ポータブルコンピューターディスケット、メモリーステイック、フロッピーディスク、または機械的にコード化されたデバイスさえも備えることができる。機械的にコード化されたデバイスは、パンチカードまたは、インストラクションを記録させる溝における向上した構造などである。ここで用いられるように、コンピューター読取可能記憶媒体は、一時的なシグナルそれ自体として解釈されるべきでない。一時的なシグナル自体は、電波もしくは他の自由に伝播する電磁波、導波路もしくは送信媒体を通じて伝播する電磁波、またはワイヤを通じて送信される電気信号などである。

コンピューター読取可能記憶媒体からそれぞれのコンピューティングデバイスへ、またはネットワークを通じて外部のコンピューターまたは外部のストレージデバイスへ、ここで記載されるコンピューター読取可能プログラム命令をダウンロードすることができる。ネットワークは、例えば、インターネット、ローカルエリアネットワーク、ワイドエリアネットワーク、および／またはワイヤレスネットワークである。ネットワークは、送信銅ケーブル、光送信ファイバー、ワイヤレス送信、ルーター、ファイアウォール、スイッチ、ゲートウェイコンピューター、および／またはエッジサーバーを備えてもよい。それぞれのコンピューティングデバイスにおけるネットワークインターフェイスは、ネットワークからコンピューター読取可能プログラム命令を受信し、それぞれのコンピューティングデバイス内のコンピューター読取可能記憶媒体内のストレージのコンピューター読取可能プログラム命令を転送する。

本開示のオペレーションを実行するコンピューター読取可能プログラム命令は、アセンブリーインストラクション、インストラクションセットアーキテクチャー（Instruction-Set-Architecture：ＩＳＡ）インストラクション、マシンインストラクション、マシン依存のインストラクション、マイクロコード、ファームウェアインストラクション、状態設定データ、またはソースコードか１または複数のプログラミング言語の任意の組み合わせで書かれたオブジェクトコードであってもよい。プログラミング言語は、オブジェクト指向プログラミング言語および従来の手続き型プログラミング言語を含む。コンピューター読取可能プログラム命令は、ユーザーのコンピューター全体で、スタンドアローンのソフトウェアパッケージとしてユーザーのコンピューターの一部で、ユーザーコンピューターの一部およびリモートコンピューターの一部で、またはリモートコンピューターもしくはサーバー全体で実行してもよい。後者のシナリオにおいて、リモートコンピューターは、ＬＡＮまたはＷＡＮを含む任意のタイプのネットワークを通じてユーザーのコンピューターに接続されてもよく、または接続は、（例えば、インターネットを通じて、）外部のコンピューターに対して行われてもよい。いくつかの態様において、例えば、プログラマブルロジック回路、フィールドプログラマブルゲートアレイ（Field-Programmable Gate Arrays：ＦＰＧＡ）、またはプログラマブルロジックアレイ（Programmable Logic Arrays：ＰＬＡ）を含む電子回路は、本開示の態様を行うために、電子回路をパーソナライズするコンピューター読取可能プログラム命令の状態情報を利用することによって、コンピューター読取可能プログラム命令を実行してもよい。

様々な態様において、本開示に記載されるシステムおよび方法を、モジュールの観点で扱うことができる。ここで用いられる「モジュール」という用語は、実世界のデバイス、コンポーネント、またはコンポーネントの配置を表す。当該コンポーネントは、アプリケーションスペシフィックインテグレイテッドサーキット（Application Specific Integrated Circuit：ＡＳＩＣ）もしくはＦＰＧＡなどによってハードウェアを用いて実施されるか、または、例えば、マイクロプロセッサーシステムと、（実行されている間に）マイクロプロセッサーシステムを特別な目的のデバイスに変換するモジュールの機能を実施するインストラクションのセットなどによってハードウェアおよびソフトウェアの組み合わせとして実施される。また、モジュールは、上記２つの組み合わせとして、ハードウェア単体によって容易になるある機能、ならびにハードウェアおよびソフトウェアの組み合わせによって容易になる他の機能を用いて実施されてもよい。ある実施態様において、モジュールの少なくとも一部、場合により、すべてが、（上記の図５でより詳細に記載されるものなどの）コンピューターシステムのプロセッサー上で実行されてもよい。したがって、それぞれのモジュールは、様々な適切な構成で実現されてもよく、ここで例示されるいかなる特定の実施態様にも限定されるべきではない。

明瞭にするために、すべての定型の特徴がここで記載されているわけではない。本開示の任意の実際の実施態様の開発において、開発者の特定の目的を達成するために、数多くの実施態様特有の決定をしなければならず、当該特定の目的は、様々な実施態様および様々な開発者によって変わることが理解されるであろう。そのような開発努力は、複雑で時間を要するものかもしれないが、本開示の利益を有する当業者にとって日常的な技術業務であることが理解される。

その上、本明細書の語法または術語が、ここで提示される教示および案内の観点で関連技術の当業者の知識と組み合わせて、当業者によって解釈されるように、ここで用いられる語法または術語は、説明の目的であって制限の目的でないことが理解される。さらに、明細書または特許請求の範囲のいかなる用語も、特に明示されていない限り、一般的でないまたは特別な意味があるとみなされることを意図していない。

ここで開示される様々な態様は、例示によってここで示された既知のモジュールと同等の現在および将来において既知のものを包含する。さらに、態様および応用が示されて説明されているが、本開示の利益を有する当業者にとって、ここで開示された発明のコンセプトから外れることなく、上述のものよりも多くの変更が可能であることが明らかであろう。

Claims (20)

1. コンピューターがマルウェアについて複数のアーカイブスライスを検査する方法であって、
   前記コンピューターが、
   バックアップアーカイブ内の複数のスライスのうちの、第１スライスをディスクにマウントし、ここで、前記第１スライスは第１時刻でのユーザーデータのイメージであり、
   前記複数のスライスのうちの、第２スライスの複数のブロックと、マウントされた前記第１スライスの複数のブロックとを比較することによって、マウントされた前記第１スライスの修正ブロックを検出し、ここで、前記第２スライスは前記第１時刻よりも前に取り込まれた前記ユーザーデータのイメージであり、
   検出された前記修正ブロックに対応する、マウントされた前記第１スライス内の少なくとも１つのファイルを前記ディスクのファイルシステム上で識別し、
   ウイルスおよび／または悪意のあるソフトウェアについて前記少なくとも１つのファイルをスキャンし、
   前記少なくとも１つのファイルがウイルスおよび／または悪意のあるソフトウェアに感染したことを検出したことに応じて、前記少なくとも１つのファイルを除く、マウントされた前記第１スライスの前記ユーザーデータを備える治癒スライスを生成する、
   処理を実行する方法。
2. 前記治癒スライスを生成する処理は、マウントされた前記第１スライスから前記少なくとも１つのファイルを取り除く処理を含む、請求項１に記載の方法。
3. 前記第２スライスに対する複数の修正ブロックは、マウントされた前記第１スライスのために存在し、
   前記治癒スライスを生成する処理は、
   前記第２スライスのコピーを生成し、
   前記複数の修正ブロックに対応するとともに前記少なくとも１つのファイルを含まない全ファイルを、前記第２スライスの前記コピーに転送する処理を含み、ここで、前記第２スライスの前記コピーは前記治癒スライスである、請求項１に記載の方法。
4. 前記第２スライスは、マウントされた前記第１スライスよりも前または同時に前記ディスクにマウントされる、請求項１に記載の方法。
5. 新しい前記治癒スライスを前記バックアップアーカイブに加える処理を前記コンピューターがさらに実行する、請求項１に記載の方法。
6. 前記バックアップアーカイブ内の前記複数のスライスのうちの、第３スライスをウイルスおよび悪意のあるソフトウェアについてスキャンする処理を前記コンピューターがさらに実行し、ここで、前記第３スライスは前記第２スライスの生成時刻よりも前に取り込まれた前記ユーザーデータのイメージであり、
   前記第３スライス内で感染したファイルを検出したことに応じて、データリカバリーに不適切なものとして、前記第３スライスの生成時刻の後に取り込まれた、前記複数のスライスのサブセットをマークする処理を前記コンピューターがさらに実行し、ここで、前記サブセットは前記第２スライスおよび前記第１スライスを備える、請求項１に記載の方法。
7. 前記コンピューターが、
   前記感染したファイルに対応する前記第３スライスのブロックを識別し、
   前記第２スライスおよび前記第１スライスを前記ディスクにマウントし、
   前記ブロックを追跡すること、および前記第２スライスおよび前記第１スライスのいずれかに前記感染したファイルが存在するかを特定し、
   それぞれの治癒スライスを生成することによって、前記第２スライスおよび前記第１スライスのいずれかから前記感染したファイルを取り除く、
   処理をさらに実行する、請求項６に記載の方法。
8. 前記第１スライスは、仮想ディスクとしてマウントされる、請求項１に記載の方法。
9. 前記少なくとも１つのファイルおよび前記修正ブロックの対応は、前記バックアップアーカイブのブロックマップを用いて特定される、請求項１に記載の方法。
10. マルウェアについて複数のアーカイブスライスを検査するシステムであって、
    バックアップアーカイブ内の複数のスライスのうちの、第１スライスをディスクにマウントし、ここで、前記第１スライスは第１時刻でのユーザーデータのイメージであり、
    前記複数のスライスのうちの、第２スライスの複数のブロックと、マウントされた前記第１スライスの複数のブロックとを比較することによって、マウントされた前記第１スライスの修正ブロックを検出し、ここで、前記第２スライスは前記第１時刻よりも前に取り込まれた前記ユーザーデータのイメージであり、
    検出された前記修正ブロックに対応する、マウントされた前記第１スライス内の少なくとも１つのファイルを前記ディスクのファイルシステム上で識別し、
    ウイルスおよび／または悪意のあるソフトウェアについて前記少なくとも１つのファイルをスキャンし、
    前記少なくとも１つのファイルがウイルスおよび／または悪意のあるソフトウェアに感染したことを検出したことに応じて、前記少なくとも１つのファイルを除く、マウントされた前記第１スライスの前記ユーザーデータを備える治癒スライスを生成するように構成されるハードウェアプロセッサーを備えるシステム。
11. 前記ハードウェアプロセッサーは、マウントされた前記第１スライスから前記少なくとも１つのファイルを取り除くことによって、前記治癒スライスを生成するように構成される、請求項１０に記載のシステム。
12. 前記第２スライスに対する複数の修正ブロックは、マウントされた前記第１スライスのために存在し、
    前記ハードウェアプロセッサーは、
    前記第２スライスのコピーを生成することと、
    前記複数の修正ブロックに対応するとともに前記少なくとも１つのファイルを含まない全ファイルを、前記第２スライスの前記コピーに転送し、ここで、前記第２スライスの前記コピーは前記治癒スライスである、ということと、
    によって、前記治癒スライスを生成するように構成される、請求項１０に記載のシステム。
13. 前記第２スライスは、マウントされた前記第１スライスよりも前または同時に前記ディスクにマウントされる、請求項１０に記載のシステム。
14. 前記ハードウェアプロセッサーは、新しい前記治癒スライスを前記バックアップアーカイブに加えるようにさらに構成される、請求項１０に記載のシステム。
15. 前記ハードウェアプロセッサーは、
    前記バックアップアーカイブ内の前記複数のスライスのうちの、第３スライスをウイルスおよび悪意のあるソフトウェアについてスキャンし、ここで、前記第３スライスは前記第２スライスの生成時刻よりも前に取り込まれた前記ユーザーデータのイメージであり、
    前記第３スライス内で感染したファイルを検出したことに応じて、データリカバリーに不適切なものとして、前記第３スライスの生成時刻の後に取り込まれた、前記複数のスライスのサブセットをマークし、ここで、前記第２スライスおよび前記第１スライスを備える、ようにさらに構成される、請求項１０に記載のシステム。
16. 前記ハードウェアプロセッサーは、
    前記感染したファイルに対応する前記第３スライスのブロックを識別し、
    前記第２スライスおよび前記第１スライスを前記ディスクにマウントし、
    前記ブロックを追跡し、前記第２スライスおよび前記第１スライスのいずれかに前記感染したファイルが存在するかを特定し、
    それぞれの治癒スライスを生成することによって、前記第２スライスおよび前記第１スライスのいずれかから前記感染したファイルを取り除くようにさらに構成される、請求項１５に記載のシステム。
17. 前記第１スライスは、仮想ディスクとしてマウントされる、請求項１０に記載のシステム。
18. 前記少なくとも１つのファイルおよび前記修正ブロックの対応は、前記バックアップアーカイブのブロックマップを用いて、前記ハードウェアプロセッサーによって特定される、請求項１０に記載のシステム。
19. マルウェアについてアーカイブスライスを検査する、コンピューターが実行可能なインストラクションを保存する非一時的コンピューター読取可能媒体であって、
    バックアップアーカイブ内の複数のスライスのうちの、第１スライスをディスクにマウントし、ここで、前記第１スライスは第１時刻でのユーザーデータのイメージであり、
    前記複数のスライスのうちの、第２スライスの複数のブロックと、マウントされた前記第１スライスの複数のブロックとを比較することによって、マウントされた前記第１スライスの修正ブロックを検出し、ここで、前記第２スライスは前記第１時刻よりも前に取り込まれた前記ユーザーデータのイメージであり、
    検出された前記修正ブロックに対応する、マウントされた前記第１スライス内の少なくとも１つのファイルを前記ディスクのファイルシステム上で識別し、
    ウイルスおよび／または悪意のあるソフトウェアについて前記少なくとも１つのファイルをスキャンし、
    前記少なくとも１つのファイルがウイルスおよび／または悪意のあるソフトウェアに感染したことを検出したことに応じて、前記少なくとも１つのファイルを除く、マウントされた前記第１スライスの前記ユーザーデータを備える治癒スライスを生成するインストラクションを含む、非一時的コンピューター読取可能媒体。
20. 前記バックアップアーカイブ内の前記複数のスライスのうちの、第３スライスをウイルスおよび悪意のあるソフトウェアについてスキャンし、ここで、前記第３スライスは前記第２スライスの生成時刻よりも前に取り込まれた前記ユーザーデータのイメージであり
    前記第３スライス内で感染したファイルを検出したことに応じて、データリカバリーに不適切なものとして、前記第３スライスの生成時刻の後に取り込まれた、前記複数のスライスのサブセットをマークし、ここで、前記サブセットは前記第２スライスおよび前記第１スライスを備える、
    ようにするためのインストラクションをさらに備える、請求項１９に記載の非一時的コンピューター読取可能媒体。

Images