JP7451476B2 - 根本原因解析のために経時的にフォレンジックスナップショットを相互参照するためのシステムおよび方法 - Google Patents

Description

［関連出願の相互参照］
本出願は２０２１年８月９日出願の米国非仮出願番号第１７／３９６，９０５号の利益を主張し、さらには、２０２０年１２月２３日に出願の米国仮出願番号第６３／１３０，０６５号の利益を主張するものであり、その両方は、参照により本明細書に援用される。

本開示は、データセキュリティの分野に関し、より具体的には、経時的にフォレンジックスナップショットを相互参照するためのシステムおよび方法に関する。

デジタルコンピューティングに対する依存度が高まるにつれて、ハッキング、データ盗難、マルウェア攻撃などのサイバー犯罪の件数が増加している。その結果、バックアップコピーを作成する際に、これらのサイバー犯罪を調査するために使用することができる、システム上のデータに関する追加情報を保存することが必要となった。フォレンジックエンジニアは、この追加情報を利用して、攻撃の発生元を突き止め、システムに対する攻撃の残りのアーティファクトおよび痕跡を発見することがある。

しかし、フォレンジック調査では、典型的には、サイバー犯罪が発生するまで、適時に過去のある時点からのファイルおよびメモリコンテンツへアクセスすることはない。これにより、システム構成の履歴、アンチウイルスソフトウェアの排除、技術者によるプロビジョニングエラーなどを確認できないため、効率的な解析が制限される。さらに、セキュリティ情報イベント管理（Security Information and Event Management：ＳＩＥＭ）およびエンドポイント検出レスポンス（Endpoint Detection and Response：ＥＤＲ）ソリューションは、何が起こったかの高水準インジケーションおよびログのみを提供するが、構成ファイルのような重要なファイルのコンテンツを取り逃すことがある。言うまでもなく、従来のバックアップ復元ポイントを使用して、ファイルを復元および比較することは、時間のかかるプロセスであり、大きなディスク容量が必要となる。

したがって、効率的な方法で調査員にサイバー犯罪に関連する重要な情報を提示する必要がある。

これらの課題に対処するために、本開示の態様において、経時的にフォレンジックスナップショットを相互参照するための方法およびシステムについて記載する。一例示的態様では、方法は、第１の時間にコンピューティングデバイスの第１スナップショット、および第２の時間にコンピューティングデバイスの第２スナップショットを受信することを含んでよい。方法は、既定のフィルタを第１スナップショットおよび第２スナップショットに適用することを含んでもよく、ここで既定のフィルタは、各スナップショットから抽出されるべきファイルのリストを含む。方法は、既定のフィルタの適用後、第１スナップショットおよび第２スナップショットから抽出されたファイルのリストにおける差異を特定することを含んでよい。方法は、ある期間にわたるファイルのリストにおける差異を含む、コンピューティングデバイスの変更マップを作成することであって、その期間は、第１の時間および第２の時間を含む、作成することと、ユーザインターフェースで変更マップを出力することと、を含んでもよい。

一部の態様では、方法は、第３の時間にコンピューティングデバイスの第３スナップショットを受信することと、既定のフィルタを第３スナップショットに適用することと、第２スナップショットおよび第３スナップショットから抽出されたファイルのリストにおける差異を特定することと、第３の時間でのファイルのリストにおける差異をさらに含むようにコンピューティングデバイスの変更マップを修正することと、を含み、ここで、期間は、第３の時間をさらに含む。

一部の態様では、第３の時間でのファイルのリストにおける差異は、第２の時間と比較したものである。

一部の態様では、第３の時間でのファイルのリストにおける差異は、第１の時間と比較したものである。

一部の態様では、変更マップは、それぞれがコンピューティングデバイスのスナップショットを示す複数の選択可能な時間ポイントを有するタイムラインとして、ユーザインターフェースで視覚的に出力される。方法は、時間ポイントの選択項目を受信することと、その時間ポイントに関連するフィルタリングされたスナップショットと、以前にフィルタリングされたスナップショットとの間のそれぞれの差異を含むウィンドウを生成することと、を含んでよい。

一部の態様では、選択された時間ポイントは、第２スナップショットに関連する第２の時間であり、ウィンドウは、第１スナップショットおよび第２スナップショットから抽出されたファイルのリストにおける差異を提示する。

一部の態様では、ウィンドウは、対話形式のものであり、それぞれの差異における各ファイルに対するドリルダウン解析を提示する。

一部の態様では、方法は、コンピューティングデバイスのエラーの検出に応じて、ユーザインターフェースで変更マップを出力することを含んでよい。

一部の態様では、変更マップを出力することは、警告をフォレンジック調査エンティティに伝送することをさらに含み、ここで、この警告は、変更マップへのアクセスを含む。

一部の態様では、変更マップは、ユーザによって行われた変更と、不正なエンティティによって行われた変更を示し、かつ方法は、ユーザによって行われた変更を示さないように、変更マップをフィルタリングすることを含んでよい。

一部の態様では、ユーザによって行われた変更を示さないように変更マップをフィルタリングすることは、複数の変更を示すデータセットと、複数の変更のそれぞれを実行したエンティティの識別子と、に基づいて訓練された機械学習アルゴリズムを使用して、変更マップにおけるそれぞれの変更を分類することを含む。

一部の態様では、方法は、第１スナップショットおよび第２スナップショットに関して、第１の時間および第２の時間でのコンピューティングデバイスの状態を示すメタデータを取得することを含んでもよい。方法は、第１の時間でのコンピューティングデバイスの状態に基づいて第１性能スコア、および第２の時間でのコンピューティングデバイスの状態に基づいて第２性能スコアを判定することを含んでもよい。方法は、第１性能スコアと第２性能スコアとの間の変化の差異を判定することと、その変化の差異が変化の差異の閾値よりも大きい場合、変更マップ内の時間ポイントをマークすることと、を含んでもよい。

上記の方法は、ハードウェアプロセッサを含むシステムに実装される場合があるという点に留意すべきである。あるいは、方法は、非一時的コンピュータ可読媒体のコンピュータ実行可能命令を使用して実行されてもよい。

例示的態様の簡略化された上記概要は、本開示の基本的な理解をもたらすために提供される。本概要は、全ての企図された態様の広範な概要ではなく、また全ての態様の主要なまたは重要な要素を特定することも、本開示のいずれかまたは全ての態様の範囲を描写することも意図していない。その唯一の目的は、１つまたは複数の態様を、以下の本開示のより詳細な説明の序文として、簡略化した形で示すことである。上記の目的を達成するために、本開示の１つまたは複数の態様は、特許請求の範囲で説明され、かつ例示的に示される特徴を含む。

本明細書に援用され、かつ本明細書の一部を構成する添付図面は、発明を実施するための形態と共に本開示の１つまたは複数の例示的態様を示すものであり、それらの原理および実装形態を説明するために提供される。

経時的にフォレンジックスナップショットを相互参照するためのシステムを示すブロック図である。 フォレンジック解析向けに関心の時間ポイントを強調表示するユーザインターフェースを示すブロック図である。 ドリルダウン解析向けにファイルが選択される際のユーザインターフェースを示すブロック図である。 経時的にフォレンジックスナップショットを相互参照するための方法のフロー図である。 本開示の態様が実装され得る汎用コンピュータシステムの一例を示す図である。

例示的態様について、経時的にフォレンジックスナップショットを相互参照するためのシステム、方法およびコンピュータプログラム製品の文脈で本明細書に記載する。以下の説明は単なる例示であり、決して限定的なものではないことを当業者であれば理解されるであろう。本開示の効果を用いることで、その他の態様も当業者によって容易に連想されるであろう。添付図面に示される例示的な態様の実装形態に、参照番号が項目ごとに付与される。図面および以下の説明を通して可能な範囲で同じ参照番号が使用され、同じ参照番号は、同一または類似の項目であることを意味する。

背景技術に記述した課題を解決するために、本開示は、複数のバックアップスナップショットのバックアップとメモリダンプを比較し、疑わしいアーティファクトおよびシステムファイル変更（例えば、複数のスナップショットにわたって変更のあった構成ファイルおよびプロセス）を特定する。次いで、例示的システムは、新しいバックアップが作成される度に更新される変更マップを作成する。この変更マップは、フォレンジック調査員に提供されるフォレンジックタイムマシンユーザインターフェース（User Interface：ＵＩ）のバックボーンとして機能する。このＵＩは、調査員が様々な時間ポイントでフォレンジックスナップショットを相互参照し（例えば、ユーザまたは機械学習アルゴリズムによって明らかにされる重大な変更を閲覧し）、かつドリルダウン解析を行うことを可能にするものである。

図１は、経時的にフォレンジックスナップショットを相互参照するためのシステム１００を示すブロック図である。システム１００において、コンピューティングデバイス１０２は、コンピュータ、ラップトップ、スマートフォン、サーバ、またはバックアップされたデータを記憶することができる任意の他のデバイスであってよい。コンピューティングデバイス１０２は、スナップショット１０４などのスナップショット（すなわち、データバックアップおよび／またはメモリダンプ）を周期的に生成する。一部の態様では、スナップショット１０４は、コンピューティングデバイス１０２のイメージバックアップである。他の態様では、スナップショット１０４は、コンピューティングデバイス１０２に記憶されている、ファイル、プロセス、アプリケーションなどのコレクションである。スナップショット１０４は、コンピューティングデバイス１０２に記憶されることがあるか、またはコンピューティングデバイス１０２が接続しているリモートサーバに伝送される場合がある。

本開示において、フォレンジックコンポーネント１０６は、コンピューティングデバイス１０２によって作成されたスナップショットを解析し、かつ変更マップを生成するように構成されるが、この変更マップは任意のフォレンジック調査員、デバイス管理者、およびデバイスユーザが複数の時間ポイントにわたるスナップショットを相互参照することを可能にするものである。この相互参照により、フォレンジック解析を実施する際の効率的で、系統立てられ、的が絞られた方法が可能になる。フォレンジックコンポーネント１０６は、コンピューティングデバイス１０２に格納されてよく、またシンおよびシッククライアントスキームでコンピューティングデバイス１０２とリモートサーバにわたって分割されてもよい。例えば、コンピューティングデバイス１０２は、スナップショット１０４をフォレンジックコンポーネント１０６がインストールされているリモートサーバに伝送してよい。リモートサーバ上のフォレンジックコンポーネント１０６は、受信した複数のスナップショット全ての変更マップを作成し、かつその変更マップをコンピューティングデバイス１０２上のフォレンジックコンポーネント１０６のシンクライアントに伝送してよい。続いて、シンクライアントは、コンピューティングデバイス１０２で変更マップを提示してよい。

フォレンジックコンポーネント１０６は、比較に必要なスナップショット内の特定のファイルを特定するスナップショットフィルタ１０８と、フィルタリングされたスナップショットを比較するモジュールである微分器１１０と、閲覧することが可能な様々な時間ポイントのスナップショット情報を伴う変更マップを作成するモジュールである変更マップ生成器１１２とを含む。一部の態様では、フォレンジックコンポーネント１０６は、セキュリティソフトウェア（例えばアンチウイルスアプリケーション）またはバックアップソフトウェアのコンポーネントであってよい。他の態様では、フォレンジックコンポーネント１０６は、独立したアプリケーションであってもよい。

より詳細には、フォレンジックコンポーネント１０６は、第１の時間（例えばｔ１）にコンピューティングデバイス（例えばコンピューティングデバイス１０２）の第１スナップショット（例えばスナップショット１０４）を受信し、かつ第２の時間（例えばｔ２）にコンピューティングデバイスの第２スナップショット（例えばスナップショット１０５）を受信してもよい。次に、フォレンジックコンポーネント１０６は、既定のフィルタ（例えばスナップショットフィルタ１０８）を第１スナップショットおよび第２スナップショットに適用してよい。既定のフィルタは、各スナップショットから抽出されるべきファイルのリストを含む。例えば、既定のフィルタは、キャッシュファイルの抽出を除外してもよい。

既定のフィルタの適用後、フォレンジックコンポーネント１０６は、微分器１１０を使用して、第１スナップショットおよび第２スナップショットから抽出されたファイルのリストにおける差異を特定する。フォレンジックコンポーネント１０６は、変更マップ生成器１１２を使用して、コンピューティングデバイスの変更マップ（例えばマップ１１６）を作成するが、この変更マップは、ある期間（この際、ある期間とは第１の時間と第２の時間を含む）にわたるファイルのリストおよびプロセスにおける差異を含んでいる。次に、フォレンジックコンポーネント１０６は、ユーザインターフェース（例えばＵＩ１１４）で変更マップを出力してよい。

一部の態様では、新しいスナップショットが生成されるときに、フォレンジックコンポーネント１０６は、変更マップを動的に更新してもよい。例えば、フォレンジックコンポーネント１０６は、第３の時間（例えばｔ３）にコンピューティングデバイス（例えばコンピューティングデバイス１０２）の第３スナップショットを受信してよい。次に、フォレンジックコンポーネント１０６は、既定のフィルタ（例えばスナップショットフィルタ１０８）を第３スナップショットに適用して、第２スナップショットおよび第３スナップショットから抽出されたファイルのリストにおける差異を特定してもよい。特定した変更に基づいて、フォレンジックコンポーネント１０６は、第３の時間（例えばｔ３）でのファイルのリストにおける差異をさらに含むようにコンピューティングデバイスの変更マップ（例えば１１６）を修正してよい。

変更マップの外観に関しては、変更マップ（例えばマップ１１６）は、それぞれがコンピューティングデバイスのスナップショットを示す複数の選択可能な時間ポイント１１８を有するタイムラインとして、ユーザインターフェース（例えばＵＩ１１４）で視覚的に出力される。次に、フォレンジックコンポーネント１０６は、時間ポイントの選択項目（例えば選択された時間ポイント１２０）を受信し、その時間ポイントに関連するフィルタリングされたスナップショットと、以前にフィルタリングされたスナップショットとの間のそれぞれの差異を含むウィンドウを生成する。システム１００を参照すると、選択された時間ポイントは、第２スナップショットが取得されたときの時間ポイントｔ２である場合がある。結果として、ウィンドウ１２２は、第１スナップショットおよび第２スナップショットから抽出されたファイルのリストにおける差異（すなわち、コンピューティングデバイス１０２が時間ｔ１とｔ２の間でどう変化したか）を提示する。一部の態様では、ウィンドウ１２２は、対話形式のものであり、それぞれの差異における各ファイルに対するドリルダウン解析を提示する。例えば、ウィンドウ１２２がｔ１とｔ２の間に変更のあったファイル１を示す場合、ユーザはファイル１の識別子（例えばアプリケーションのアイコン）を選択して、変更の原因、時間、アクセス記録、属性などに関する情報を受信することができる。一部の態様では、ファイル１の状態は、ウィンドウ１２２を介して提示されてよい。一部の態様では、ファイルは、ウィンドウ１２２に予めロードされていてもよい。ファイルについて、本開示において先に論じたが、スナップショットを提示する際に、プロセスも考慮される点に留意する必要がある。

一部の態様では、フォレンジックコンポーネント１０６は、コンピューティングデバイス１０２のエラーの検出に応じて、コンピューティングデバイス１０２および／またはフォレンジック調査エンティティの解析デバイスでＵＩ１１４を出力してよい。例えば、フォレンジックコンポーネント１０６は、フォレンジックコンポーネント１０６のシンクライアントから情報を受信するシッククライアントとしてリモートサーバにインストールされてよい。シッククライアントは、シンクライアントからの周期的なハートビートメッセージを監視することができる。メッセージが受信されず閾値期間（例えば１時間）が過ぎたという判断に応じて、フォレンジックコンポーネント１０６は、コンピューティングデバイス１０２がクラッシュしたか、（例えばコンピューティングデバイス上のデータを暗号化するランサムウェアによって）危険にさらされたと判断してもよい。一部の態様では、フォレンジックコンポーネント１０６は、警告をフォレンジック調査エンティティに伝送してもよく、ここで、この警告は変更マップへのアクセスを含む。例えば、フォレンジックコンポーネント１０６は、変更マップへのリンク（例えばＵＲＬ）をインターネットを通してフォレンジック調査エンティティに送信してもよい。リンクをクリックすることで、ＵＩ１１４へのアクセスが提供される。

図２は、フォレンジック解析向けに関心の時間ポイントを強調表示するユーザインターフェース２００を示すブロック図である。本開示の目的は、フォレンジック調査員に提示されるデータを合理化することである。一部のケースでは、いくつかの時間ポイント、および所定の変更マップで見られる、ユーザでは手に負えない、関連バックアップが存在する。フォレンジックコンポーネント１０６は、関心の時間ポイントを強調表示するために、ユーザインターフェース２００を調整するように構成されてよい。このようにして、いかなる悪意あるソフトウェアも、直ちに特定、解析、および対処される。

例えば、一部の態様では、フォレンジックコンポーネント１０６は、ユーザによって行われた変更と、不正なエンティティによって行われた変更を示すように、変更マップを調整してもよい。一部の態様では、フォレンジックコンポーネント１０６は、ユーザによって行われた変更（すなわち手作業による変更）を示さないように、変更マップをフィルタリングしてよい。例えば、フォレンジックコンポーネント１０６は、複数の変更を示すデータセットと、複数の変更のそれぞれを実行したエンティティの識別子と、に基づいて訓練された機械学習アルゴリズムを使用して、変更マップにおけるそれぞれの変更を分類してもよい。データセットは、既知の悪意あるエンティティ（例えばウイルス）によって行われた変更を明確に捕らえ、悪意あるものとしてそれらを分類することができる。それに応じて、それらの変更が検出されない場合、残りの変更も、ユーザによって行われたものであると見なすことができる。例えば、機械学習アルゴリズムは、ある特定のディレクトリ内である特定のファイルが悪意あるソフトウェアによって暗号化されたインスタンスを含むデータセットによって訓練される１クラスサポートベクターマシンである場合がある。その変更が検出された場合（すなわち、入力された変更が一致する場合）、フォレンジックコンポーネント１０６は、入力された変更が、悪意あるソフトウェアによって起きたものと判断する。しかし、入力された変更が異なる場合、入力された変更はユーザに属するものである。

他の態様では、フォレンジックコンポーネント１０６は、コンピューティングデバイス１０２の性能の変化に基づいて、ユーザインターフェース２００を調整してもよい。例えば、フォレンジックコンポーネント１０６は、コンピューティングデバイス１０２の性能がいつ最も衰えたかを特定して、変更マップ２０２でその最も近い時間ポイントの視覚的外観を調整してもよい。図２では、複数の時間ポイントおよびそれらの関連する変化が示されている。フォレンジックコンポーネント１０６は、各時間ポイントにおけるコンピューティングデバイス１０２の性能スコアを判定する。時間ｔ１では、性能スコアは９９である。時間ｔ２では、性能スコアは９５である。性能の変化は－４である。ポイント２０４を含む最初の２つの時間ポイントにおける変化は、第１サイズのアイコンで表されている。時間ｔ３で、性能スコアは６５に下がっている。ｔ２とｔ３との間の変化は－３０である。そのため、ポイント２０６の視覚的インジケータは、ユーザ（例えばフォレンジック調査員）がポイント２０６を注視する必要があることを知らせるために大きなものである。一部の態様では、視覚的インジケータのサイズは、性能スコアの変化に比例する。例えば、ポイント２０８の視覚的インジケータのサイズは、ポイント２０６の視覚的インジケータより大きく、ポイント２０４の視覚的インジケータよりも小さい。他の態様では、視覚的インジケータのサイズは予め設定されていてもよく、またフォレンジックコンポーネント１０６は、視覚的インジケータのサイズどれだけ変更するかを決定するのに閾値に依拠してもよい。例えば、第１閾値は、２５である場合があり、第２閾値は５０である場合があり、またはフォレンジックコンポーネント１０６は、各閾値と、性能スコア変化を比較してもよい。性能スコア変化が第１閾値より大きい場合、サイズは第１サイズ（例えば、５０ピクセル×５０ピクセル）に設定される。性能スコア変化が第２閾値より大きい場合、サイズは第２サイズ（例えば、１００ピクセル×１００ピクセル）に設定される。

任意の２つのスナップショットの場合、フォレンジックコンポーネント１０６は、第１スナップショットおよび第２スナップショットに関して、第１の時間および第２の時間でのコンピューティングデバイスの状態を示すメタデータを取得してもよい。次に、フォレンジックコンポーネント１０６は、第１の時間でのコンピューティングデバイスの状態に基づいて第１性能スコア、および第２の時間でのコンピューティングデバイスの状態に基づいて第２性能スコアを判定してもよい。フォレンジックコンポーネント１０６は、第１性能スコアと第２性能スコアとの間の変化の差異を判定して、その変化の差異が変化の差異の閾値よりも大きい場合、変更マップ内の時間ポイントを（例えば、星などの特別なインジケータで、または視覚的インジケータのサイズの変更によって）マークしてよい。

上述したように、性能は、コンピューティングデバイスの状態に基づいて定量化されてよく、ここで、状態は、平均ＣＰＵ使用量、平均メモリ使用量、バッテリ寿命（例えばコンピューティングデバイスが持ち運び可能な場合）、ある期間（例えば２つ以上のスナップショット間）内のアプリケーションのいくつかのクラッシュ、ある期間内のコンピューティングデバイスのいくつかのクラッシュ、通常のアクセス時間と比較したコンピューティングデバイス上のアプリケーション／ファイルへのアクセスの遅延、コンピューティングデバイスハードウェア温度などの属性の組み合わせを含む。例えば、フォレンジックコンポーネント１０６が平均ＣＰＵ使用量（例えば８６％）およびある期間内のいくつかのアプリケーションクラッシュ（例えば２４時間以内に使用した１０個のアプリケーションのうち４個のクラッシュ）に基づいて性能を判定する場合、フォレンジックコンポーネント１０６は、値の線形結合を実行して性能スコアを判定してもよい。話を簡単にするために、線形結合は、各属性に等しい重み（１）を適用し、かつ２つの値の平均であると仮定する。このケースでは、ＣＰＵの１４％が空いており、１０個のうち６個のアプリケーションはクラッシュしていない。性能スコアは、（１４＋６０）／２＝３７となる。他の態様では、より大きな重みが、属性の１つに適用されてもよい。例えば、クラッシュの数が、１．１の重みで設定される場合がある。したがって、性能スコアは、（１４＋１．１＊６０）／２＝４０となる。

性能の変化の差異を計算するために、フォレンジックコンポーネント１０６は、ある期間にわたる複数の性能スコアを上述のように判定してもよい。次に、フォレンジックコンポーネント１０６は、その期間にわたる性能スコアの勾配を判定してもよい。例えば、ｔ２における性能スコアが９５、ｔ３での性能スコアが６５の場合、変化の差異は－３０である。変化の差異の閾値が２０であると仮定する。変化の差異の大きさは３０であり、これは閾値より大きいので、フォレンジックコンポーネント１０６は、ポイント２０６の視覚的インジケータを（例えば、他の視覚的インジケータよりも大きな視覚的インジケータのサイズにすることによって）マークしてよい。

図３は、ドリルダウン解析向けにファイルが選択される際のユーザインターフェース３００を示すブロック図である。ユーザが、ユーザインターフェース３００内の時間ポイントの視覚的インジケータのうち１つを選択すると仮定する。選択により、選択された時間ポイントとそれ以前の時間ポイント（例えば直前の時間ポイント、または第１時間ポイントなどの過去の時間ポイント）の間に変更のあったファイルの全てを一覧にしたユーザインターフェース内のウィンドウが起動されてよい。例えば、ユーザインターフェースは、ファイルを一覧にし、かつそのファイルで実行された修正（例えばサイズの変更、ロケーションの削除、追加、変更など）を記述したテーブルであってよい。

一部の態様では、ユーザは、特定のファイルを選択し、ドリルダウン解析を実施してもよい。ドリルダウン解析は、ファイル特定変更マップを生成することを含む。例えば、ユーザインターフェース上で、ユーザが特定のファイルを選択して、フォレンジックコンポーネント１０６がファイルに起きた変更の全てを一覧にした変更マップを生成してもよい。ユーザインターフェース３００では、時間ｔ１からｔ６が示されている。ユーザがファイルＸＹＺについて詳しく知ることを望んでいると仮定する。ユーザが複数のファイルアイコンからファイルを選択するときに、ファイル特定変更マップが、フォレンジックコンポーネント１０６によって生成される。変更マップは、時間ｔ１で、ファイルが作成されたことを示す。ファイルメタデータ（例えば名前、拡張子、アプリケーション、サイズなど）を含む視覚的インジケータも、同様に生成される。時間ｔ２、ｔ３、ｔ４では、変更はなかった。そのため、タグ「ＮＣ」または「変更なし」が記述される。時間ｔ５で、ファイルは修正され、ファイルのサイズが変更された。一部の態様では、ファイル特定変更マップは、さらに、ファイルサイズ変更による変更（例えば、文書への文字の追加）を示してもよい。例えば、ファイルのプレビューが、生成されて、追加の文字が赤線を伴って示されてもよい。時間ｔ６では、ファイルのディレクトリが、フォルダ「Ｋｅｙ」からフォルダ「ｌｏｃｋ」に変更された。

図４は、経時的にフォレンジックスナップショットを相互参照するための方法４００のフロー図を示す。４０２で、フォレンジックコンポーネント１０６は、第１の時間にコンピューティングデバイス１０２の第１スナップショット、および第２の時間にコンピューティングデバイス１０２の第２スナップショットを受信する。４０４で、フォレンジックコンポーネント１０６は、既定のフィルタ（例えばスナップショットフィルタ１０８）を第１スナップショットおよび第２スナップショットに適用するが、ここで、既定のフィルタは、各スナップショットから抽出されるべきファイルのリスト（例えば、比較を行うための）を含む。既定のフィルタの適用後、２０６で、微分器１１０は、第１スナップショットおよび第２スナップショットから抽出されたファイルのリストにおける差異を特定する。４０８で、変更マップ生成器１１２は、ある期間にわたるファイルのリストにおける差異を含む、コンピューティングデバイス１０２の変更マップを作成するが、ここで、その期間は、第１の時間および第２の時間を含む。４１０で、フォレンジックコンポーネント１０６は、ユーザインターフェース（例えばＵＩ１１４）で変更マップ（例えばマップ１１６）を出力してよい。

図５は、例示的態様に従って、経時的にフォレンジックスナップショットを相互参照するためのシステムおよび方法の態様が実装されることがあるコンピュータシステム２０を示すブロック図である。コンピュータシステム２０は、複数のコンピューティングデバイスの形態または単一のコンピューティングデバイスの形態、例えば、デスクトップコンピュータ、ノートブックコンピュータ、ラップトップコンピュータ、モバイルコンピューティングデバイス、スマートフォン、タブレットコンピュータ、サーバ、メインフレーム、埋め込み型デバイス、およびコンピューティングデバイスの他の形態、であってもよい。

示すように、コンピュータシステム２０は、中央演算処理装置（Central Processing Unit：ＣＰＵ）２１、システムメモリ２２、および、中央演算処理装置２１に関連するメモリを含む種々のシステムコンポーネントを接続しているシステムバス２３を含む。システムバス２３は、バスメモリまたはバスメモリコントローラ、周辺バス、および任意の他のバスアーキテクチャと相互作用することが可能なローカルバスを含んでもよい。バスの例としては、ＰＣＩ、ＩＳＡ、ＰＣＩ－Ｅｘｐｒｅｓｓ、ＨｙｐｅｒＴｒａｎｓｐｏｒｔ（商標）、ＩｎｆｉｎｉＢａｎｄ（商標）、シリアルＡＴＡ、Ｉ^２Ｃ、およびその他の好適なインターコネクトなどを挙げてよい。中央演算処理装置２１（プロセッサとも称される）は、単一または複数のコアを有する単一または複数のプロセッサのセットを含んでもよい。プロセッサ２１は、本開示の技術を実装している１つまたは複数のコンピュータ実行可能コードを実行してもよい。例えば、図１から４において論じた任意のコマンド／ステップは、プロセッサ２１によって実施されてよい。システムメモリ２２は、本明細書で用いられるデータおよび／またはプロセッサ２１によって実行可能なコンピュータプログラムを記憶する任意のメモリであってよい。システムメモリ２２としては、ランダムアクセスメモリ（Random Access Memory：ＲＡＭ）２５などの揮発性メモリ、および読み取り専用メモリ（Read Only Memory：ＲＯＭ）２４、フラッシュメモリなどの不揮発性メモリ、またはこれらの任意の組み合わせを挙げてもよい。基本入出力システム（Basic Input/Output System：ＢＩＯＳ）２６は、例えば、ＲＯＭ２４を使用してオペレーティングシステムをロードするときなど、コンピュータシステム２０の各要素間の情報の伝送のための基本手順を記憶していてもよい。

コンピュータシステム２０は、１つまたは複数の取り外し可能記憶デバイス２７、１つまたは複数の非取り外し可能記憶デバイス２８、またはこれらの組み合わせなどの１つまたは複数の記憶デバイスを含んでもよい。１つまたは複数の取り外し可能記憶デバイス２７、および非取り外し可能記憶デバイス２８は、記憶インターフェース３２を介してシステムバス２３に接続される。一態様では、記憶デバイスおよび対応するコンピュータ可読記憶媒体は、コンピュータシステム２０のコンピュータ命令、データ構造、プログラムモジュール、および他のデータの記憶装置向けの電力独立型モジュールである。システムメモリ２２、取り外し可能記憶デバイス２７、および非取り外し可能記憶デバイス２８は、種々のコンピュータ可読記憶媒体を使用してもよい。コンピュータ可読記憶媒体の例としては、例えば、キャッシュ、ＳＲＡＭ、ＤＲＡＭ、ゼロ・コンデンサＲＡＭ、ツイントランジスタＲＡＭ、ｅＤＲＡＭ、ＥＤＯ ＲＡＭ、ＤＤＲ ＲＡＭ、ＥＥＰＲＯＭ、ＮＲＡＭ、ＲＲＡＭ（登録商標）、ＳＯＮＯＳ、ＰＲＡＭなどのマシンメモリ、ソリッドステートドライブ（Solid State Drive：ＳＳＤ）またはフラッシュドライブのようなフラッシュメモリまたはその他のメモリ技術、ハードディスクドライブまたはフロッピー（登録商標）ディスクのような磁気カセット、磁気テープおよび磁気ディスク記憶装置、コンパクトディスク（Compact Disk Read Only Memory：ＣＤ－ＲＯＭ）またはデジタル多用途ディスク（Digital Versatile Disk：ＤＶＤ）のような光記憶装置、および所望のデータを記憶するために使用することができ、かつコンピュータシステム２０によってアクセス可能な任意の他の媒体などが挙げられる。

コンピュータシステム２０のシステムメモリ２２、取り外し可能記憶デバイス２７、および非取り外し可能記憶デバイス２８は、オペレーティングシステム３５、追加のプログラムアプリケーション３７、他のプログラムモジュール３８およびプログラムデータ３９を記憶するために使用されてよい。コンピュータシステム２０は、例えば、キーボード、マウス、スタイラス、ゲームコントローラ、音声入力デバイス、タッチ入力デバイスなどの、入力デバイス４０からのデータを通信するための周辺インターフェース４６、または、例えばシリアルポート、パラレルポート、ユニバーサルシリアルバス（Universal Serial Bus：ＵＳＢ）または他の周辺インターフェースなどの１つまたは複数のＩ／Ｏポートを介した、プリンタまたはスキャナなどの他の周辺デバイスを含んでもよい。例えば１つまたは複数のモニタ、プロジェクタまたは統合ディスプレイなどのディスプレイデバイス４７は、例えばビデオアダプタなどの出力インターフェース４８を通してシステムバス２３に接続されてもよい。ディスプレイデバイス４７に加えて、コンピュータシステム２０は、例えばスピーカおよび他の音響映像デバイスなどの他の周辺出力デバイス（図示せず）を搭載してもよい。

コンピュータシステム２０は、１つまたは複数のリモートコンピュータ４９へのネットワーク接続を使用して、ネットワーク環境で動作してよい。リモートコンピュータ（１つまたは複数）４９は、コンピュータシステム２０の性質について記載されている上述の各要素のほとんどまたは全てを含む、ローカルコンピュータ・ワークステーションまたはサーバであってもよい。例えば、ルータ、ネットワーク局、ピアデバイスまたは他のネットワークノードなどのその他のデバイスが、コンピュータネットワーク内に存在する場合があるが、これらに限定されない。コンピュータシステム２０は、ローカルエリアコンピュータネットワーク（Local-Area computer Network：ＬＡＮ）５０、広域コンピュータネットワーク（Wide-Area computer Network：ＷＡＮ）、イントラネットおよびインターネットなどの１つまたは複数のネットワークを介して、リモートコンピュータ４９と通信するための１つまたは複数のネットワークインターフェース５１またはネットワークアダプタを含んでもよい。ネットワークインターフェース５１の例としては、イーサネット（登録商標）インターフェース、フレームリレーインターフェース、ＳＯＮＥＴインターフェースおよび無線インターフェースを挙げてもよい。

本開示の態様は、システム、方法、および／またはコンピュータプログラム製品であってもよい。コンピュータプログラム製品は、プロセッサに本開示の態様を実行させるコンピュータ可読プログラム命令を有する、コンピュータ可読記憶媒体（またはメディア）を含んでもよい。

コンピュータ可読記憶媒体は、命令またはデータ構造の形態でプログラムコードを保持し、記憶することができる有形デバイスであってもよく、コンピュータシステム２０などのコンピューティングデバイスのプロセッサによってアクセス可能なものである。コンピュータ可読記憶媒体は、電子記憶デバイス、磁気記憶デバイス、光記憶デバイス、電磁記憶デバイス、半導体記憶デバイス、またはこれらの任意の好適な組み合わせであってもよい。例として、このようなコンピュータ可読記憶媒体は、ランダムアクセスメモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）、ＥＥＰＲＯＭ、ポータブルコンパクトディスク読み取り専用メモリ（ＣＤ－ＲＯＭ）、デジタル多用途ディスク（ＤＶＤ）、フラッシュメモリ、ハードディスク、ポータブルコンピュータ・ディスケット、メモリースティック、フロッピーディスク、あるいは、例えば命令がそこに溝状に記録されたパンチカードまたは隆起した構造などの機械的にコード化されたデバイスが挙げられる。本明細書で使用する場合、コンピュータ可読記憶媒体とは、それ自体が、例えば、電波またはその他の自ら伝搬する電磁波、導波管または伝送媒体を通して伝搬する電磁波、あるいは有線によって伝送される電気信号などの一時的な信号であると、解釈されるものではない。

本明細書に記載されるコンピュータ可読プログラム命令は、コンピュータ可読記憶媒体から対応するコンピューティングデバイスに、あるいは、例えば、インターネット、ローカルエリアネットワーク、広域ネットワークおよび／または無線ネットワークなどのネットワークを介して外部コンピュータまたは外部記憶デバイスにダウンロードされ得る。ネットワークは、銅製の伝送ケーブル、光伝送ファイバ、ワイヤレス伝送、ルータ、ファイアウォール、スイッチ、ゲートウェイコンピュータおよび／またはエッジサーバを含んでもよい。各コンピューティングデバイスのネットワークインターフェースは、ネットワークからコンピュータ可読プログラム命令を受信して、対応するコンピューティングデバイス内部のコンピュータ可読記憶媒体の記憶領域に、コンピュータ可読プログラム命令を転送する。

本開示の動作を実行するためのコンピュータ可読プログラム命令は、組み立て命令、命令セットアーキテクチャ（Instruction-Set-Architecture：ＩＳＡ）命令、機械命令、機械依存命令、マイクロコード、ファームウェア命令、ステート設定データ、あるいはソースコードまたはオブジェクトコードであってもよく、これらの命令は、オブジェクト指向プログラミング言語、および従来の手続き型プログラミング言語などの、１つまたは複数のプログラミング言語の任意の組み合わせで書き込まれる。コンピュータ可読プログラム命令は、全面的にユーザのコンピュータで、部分的にユーザのコンピュータで、スタンドアロンソフトウェアパッケージとして、部分的にユーザコンピュータと部分的にリモートコンピュータとで、あるいは全面的にリモートコンピュータまたはサーバで、実行されてよい。後半のシナリオでは、リモートコンピュータは、ＬＡＮまたはＷＡＮなどの任意のタイプのネットワークを通してユーザのコンピュータに接続されているか、または、接続は、外部コンピュータに対して（例えば、インターネットを通して）構築されてもよい。一部の実施形態では、例えば、プログラマブル論理回路、フィールドプログラマブルゲートアレイ（Field-Programmable Gate Array：ＦＰＧＡ）またはプログラマブル・ロジックアレイ（Programmable Logic Array：ＰＬＡ）などの電子回路は、本開示の態様を実施するために、コンピュータ可読プログラム命令の状態情報を利用して、コンピュータ可読プログラム命令を実行し、電子回路をパーソナライズしてもよい。

種々の態様では、本開示に記載されるシステムおよび方法は、モジュールとして扱われる場合がある。本発明で使用する場合、用語「モジュール」は、ハードウェアを使用して、例えば特定用途向け集積回路（Application Specific Integrated Circuit：ＡＳＩＣ）またはＦＰＧＡによって、あるいは、ハードウェアとソフトウェアとの組み合わせとして、例えば、（実行中に）マイクロプロセッサシステムを特殊目的デバイスに変換するマイクロプロセッサシステムおよびモジュールの機能性を実装するための命令のセットによって、実装される実世界デバイス、コンポーネント、またはコンポーネントの機構を意味する。モジュールはまた、単独でハードウェアによって促進される特定の機能と、ハードウェアとソフトウェアとの組み合わせによって促進される他の機能との、２つの組み合わせとして実装されてもよい。特定の実装形態では、少なくとも一部、および場合によっては、全てのモジュールは、コンピュータシステムのプロセッサで実行されてよい。したがって、各モジュールは、様々な好適な構成で実現される可能性があり、本明細書に例示されるいずれの特定の実装にも限定されるべきではない。

説明の明瞭さのために、態様の決まりきった特徴の全てを本明細書に開示してはいない。本開示のいずれかの実際の実装形態を開発する際に、開発者の特定の目的の達成のために、非常に多くの実装形態固有の決定が行われる必要があり、これらの特定の目的は、異なる実装形態および異なる開発者によって変化されることを理解されるであろう。このような開発作業は、複雑であり、かつ時間がかかる可能性があるが、それでも本開示の効果を用いる当業者にとって、そのような作業は、日常的技術的業務であるものと理解される。

さらに、本明細書で用いる表現や用語は説明上のものであって、限定されることを意図しておらず、本明細書の用語や表現は、当業者の知見と組み合わされて、本明細書で提示する教示および指導に照らして当業者によって解釈されるものと理解すべきである。加えて、明示的な記載がない限り、本明細書または特許請求の範囲におけるいかなる用語も、一般的でない、あるいは特別な意味を持つものと見なされることを意図していない。

本明細書に開示される様々な態様は、例として本明細書で言及される公知のモジュールの、現在および将来における均等物を包括する。さらに、態様および応用例を示し、かつ説明したが、本明細書に開示された発明の概念から逸脱することなく、上記よりも多くの変更が可能であることは、本開示の利益を用いる当業者には明らかであろう。

Claims (19)

1. 経時的にフォレンジックスナップショットを相互参照するための方法であって、
   コンピューティングデバイスのハードウェアプロセッサによって、第１の時間に前記コンピューティングデバイスの第１スナップショット、および第２の時間に前記コンピューティングデバイスの第２スナップショットを受信することと、
   前記ハードウェアプロセッサによって、既定のフィルタを前記第１スナップショットおよび前記第２スナップショットに適用することであって、前記既定のフィルタは、各スナップショットから抽出されるべきファイルのリストを含む、適用することと、
   前記既定のフィルタの適用後、前記ハードウェアプロセッサによって、前記第１スナップショットおよび前記第２スナップショットから抽出された前記ファイルのリストにおける差異を特定することと、
   前記ハードウェアプロセッサによって、ある期間にわたる前記ファイルのリストにおける前記差異を含む、前記コンピューティングデバイスの変更マップを作成することであって、前記期間は、前記第１の時間および前記第２の時間を含む、作成することと、
   前記ハードウェアプロセッサによって、ユーザインターフェースで前記変更マップを出力することであって、ユーザによって行われた変更と、不正なエンティティによって行われた変更を示す変更マップを出力することと、
   前記ユーザによって行われた変更を示さないように、前記変更マップをフィルタリングすることと、
   を含む、方法。
2. 前記ハードウェアプロセッサによって、第３の時間に前記コンピューティングデバイスの第３スナップショットを受信することと、
   前記ハードウェアプロセッサによって、前記既定のフィルタを前記第３スナップショットに適用することと、
   前記ハードウェアプロセッサによって、前記第２スナップショットおよび前記第３スナップショットから抽出された前記ファイルのリストにおける差異を特定することと、
   前記ハードウェアプロセッサによって、前記第３の時間での前記ファイルのリストにおける差異をさらに含むように前記コンピューティングデバイスの前記変更マップを修正することとであって、前記期間は、前記第３の時間をさらに含む、修正することと、
   をさらに含む、請求項１に記載の方法。
3. 前記第３の時間での前記ファイルのリストにおける前記差異は、前記第２の時間と比較したものである、請求項２に記載の方法。
4. 前記第３の時間での前記ファイルのリストにおける前記差異は、前記第１の時間と比較したものである、請求項２に記載の方法。
5. 前記変更マップは、それぞれが前記コンピューティングデバイスのスナップショットを示す複数の選択可能な時間ポイントを有するタイムラインとして、ユーザインターフェースで視覚的に出力され、さらに、
   前記ハードウェアプロセッサによって、時間ポイントの選択を受信することと、
   前記ハードウェアプロセッサによって、前記時間ポイントに関連するフィルタリングされたスナップショットと、以前にフィルタリングされたスナップショットとの間のそれぞれの差異を含むウィンドウを生成することと、
   を含む、請求項１に記載の方法。
6. 前記選択の結果として受信された時間ポイントは、前記第２スナップショットに関連する前記第２の時間であり、前記ウィンドウは、前記第１スナップショットおよび前記第２スナップショットから抽出された前記ファイルのリストにおける前記差異を提示する、請求項５に記載の方法。
7. 前記ウィンドウは、対話形式のものであり、前記それぞれの差異における各ファイルに対するドリルダウン解析を提示する、請求項５に記載の方法。
8. 前記ユーザインターフェースで前記変更マップを出力することは、前記ハードウェアプロセッサによる前記コンピューティングデバイスのエラーの検出に応じるものである、請求項１に記載の方法。
9. 前記変更マップを出力することは、前記ハードウェアプロセッサによって、警告をフォレンジック調査エンティティに伝送することをさらに含み、前記警告は、前記変更マップへのアクセスを含む、請求項８に記載の方法。
10. 前記ユーザによって行われた前記変更を示さないように、前記変更マップをフィルタリングすることは、
    前記ハードウェアプロセッサによって、複数の変更を示すデータセットと、前記複数の変更のそれぞれを実行したエンティティの識別子と、に基づいて訓練された機械学習アルゴリズムを使用して、前記変更マップにおけるそれぞれの変更を分類すること、
    を含む、請求項１に記載の方法。
11. 前記ハードウェアプロセッサによって、前記第１スナップショットおよび前記第２スナップショットに関して、前記第１の時間および前記第２の時間での前記コンピューティングデバイスの状態を示すメタデータを取得することと、
    前記ハードウェアプロセッサによって、前記第１の時間での前記コンピューティングデバイスの状態に基づいて第１性能スコア、および前記第２の時間での前記コンピューティングデバイスの状態に基づいて第２性能スコアを判定することと、
    前記ハードウェアプロセッサによって、前記第１性能スコアと前記第２性能スコアとの間の変化の差異を判定することと、
    前記ハードウェアプロセッサによって、前記変化の差異が変化の差異の閾値よりも大きい場合、前記変更マップ内の時間ポイントをマークすることと、
    をさらに含む、請求項１に記載の方法。
12. 経時的にフォレンジックスナップショットを相互参照するためのシステムであって、前記システムは、コンピューティングデバイスのハードウェアプロセッサを備え、前記ハードウェアプロセッサは、
    第１の時間に前記コンピューティングデバイスの第１スナップショット、および第２の時間に前記コンピューティングデバイスの第２スナップショットを受信し、
    既定のフィルタを前記第１スナップショットおよび前記第２スナップショットに適用し、前記既定のフィルタは、各スナップショットから抽出されるべきファイルのリストを含み、
    前記既定のフィルタの適用後、前記第１スナップショットおよび前記第２スナップショットから抽出された前記ファイルのリストにおける差異を特定し、
    ある期間にわたる前記ファイルのリストにおける前記差異を含む、前記コンピューティングデバイスの変更マップを作成し、前記期間は、前記第１の時間および前記第２の時間を含み、
    ユーザインターフェースで前記変更マップを出力することであって、ユーザによって行われた変更と、不正なエンティティによって行われた変更を示す変更マップを出力することと、
    前記ユーザによって行われた変更を示さないように、変更マップをフィルタリングする
    ように構成される、システム。
13. 前記ハードウェアプロセッサは、
    第３の時間に前記コンピューティングデバイスの第３スナップショットを受信し、
    前記既定のフィルタを前記第３スナップショットに適用し、
    前記第２スナップショットおよび前記第３スナップショットから抽出された前記ファイルのリストにおける差異を特定し、
    前記第３の時間での前記ファイルのリストにおける差異をさらに含むように前記コンピューティングデバイスの前記変更マップを修正し、前記期間は、前記第３の時間をさらに含む、
    ようにさらに構成される、請求項１２に記載のシステム。
14. 前記第３の時間での前記ファイルのリストにおける前記差異は、前記第２の時間と比較したものである、請求項１３に記載のシステム。
15. 前記第３の時間での前記ファイルのリストにおける前記差異は、前記第１の時間と比較したものである、請求項１３に記載のシステム。
16. 前記変更マップは、それぞれが前記コンピューティングデバイスのスナップショットを示す複数の選択可能な時間ポイントを有するタイムラインとして、ユーザインターフェースで視覚的に出力され、
    前記ハードウェアプロセッサは、
    時間ポイントの選択を受信し、
    前記時間ポイントに関連するフィルタリングされたスナップショットと、以前にフィルタリングされたスナップショットとの間のそれぞれの差異を含むウィンドウを生成する、
    ようにさらに構成される、請求項１２に記載のシステム。
17. 前記選択の結果として受信された時間ポイントは、前記第２スナップショットに関連する前記第２の時間であり、前記ウィンドウは、前記第１スナップショットおよび前記第２スナップショットから抽出された前記ファイルのリストにおける前記差異を提示する、請求項１６に記載のシステム。
18. 前記ウィンドウは、対話形式のものであり、前記それぞれの差異における各ファイルに対するドリルダウン解析を提示する、請求項１６に記載のシステム。
19. 経時的にフォレンジックスナップショットを相互参照するための、コンピューティングデバイスのコンピュータ実行可能命令を記憶している非一時的なコンピュータ可読記憶媒体であって、
    第１の時間に前記コンピューティングデバイスの第１スナップショット、および第２の時間に前記コンピューティングデバイスの第２スナップショットを受信することと、
    既定のフィルタを前記第１スナップショットおよび前記第２スナップショットに適用することであって、前記既定のフィルタは、各スナップショットから抽出されるべきファイルのリストを含む、適用することと、
    前記既定のフィルタの適用後、前記第１スナップショットおよび前記第２スナップショットから抽出された前記ファイルのリストにおける差異を特定することと、
    ある期間にわたる前記ファイルのリストにおける前記差異を含む、前記コンピューティングデバイスの変更マップを作成することであって、前記期間は、前記第１の時間および前記第２の時間を含む、作成することと、
    ユーザインターフェースで前記変更マップを出力することであって、ユーザによって行われた変更と、不正なエンティティによって行われた変更を示す変更マップを出力することと、
    前記ユーザによって行われた変更を示さないように、変更マップをフィルタリングすることと、
    の命令を含む、非一時的なコンピュータ可読記憶媒体。
    

Images