JP7498758B2 - 同期中にデータを保護するためのシステム及び方法 - Google Patents

Description

本開示は、データセキュリティの分野に関し、より具体的には、同期中にデータを保護するためのシステム及び方法に関する。

デバイスのネットワークにおいて、データを同期させる最も一般的な方法は、１つのデバイス（例えば、スマートフォン）からデータを受信し、次いでネットワーク内の他の全てのデバイス（例えば、ラップトップ、コンピュータ、タブレット等）にデータを送信する、中央サーバを使用することである。データは、リンクとして又はコピーとして宛先デバイスに送信することができる。コピーは、宛先デバイス上にローカルに格納することができるデータの複製バージョンを提供する。対照的に、リンクは、サーバ上のデータにアドレスを提供し、宛先デバイスがデータに直接アクセスすることを可能にする。この方式は、ローカルディスクスペースを節約するために現代のクラウドサービスで広く使用されている。

中央サーバを介さずに最も近くの利用可能なデバイスにデータを送信する直接同期方法もある。この方法は、同期されるデバイスが同じローカルエリアネットワーク内にあり、かつ中央サーバがクラウドにある場合（例えば、グローバルネットワーク）に利用される。

しかしながら、どちらの同期方法でも、同期データが感染する危険性がある。これは、ソースデバイスからのデータアップロードと宛先デバイスへのダウンロードとの間でかなりの時間が経過する可能性があるためである。この時間の間、データは、中央サーバ又はソースデバイス上で感染する可能性がある。

起こり得る感染からデータを保護するための標準アルゴリズムは、中央サーバにデータを送信するときにマルウェア対策スキャンを実行することを伴う。しかしながら、サーバ上のデータは、データがネットワーク内の他の全ての同期デバイスに送信される前に、ランサムウェア及びマルウェアによって攻撃される可能性がある。これは、例えば、ウイルス対策プログラムが一時的に停止されたときに起こり得る（サーバ上に新しいソフトウェアをインストールするときにしばしば必要とされる）。したがって、同期データが宛先デバイスに到達した途端に、ソースデバイスからのアップロード中にデータに問題がないにもかかわらず、感染する可能性がある。

１つの例示的な態様では、本明細書に記載の技術は、同期データネットワークにおけるマルウェアの拡散を防止するための方法に関し、方法は、複数のコンピューティングデバイスに接続されたサーバによって、複数のコンピューティングデバイスのうちの第１のコンピューティングデバイスからファイルを第１の時刻に受信することと、サーバ上に格納されたファイルに対する変更を監視することと、変更を検出したことに応答して、ファイルに対する変更を示すレコードを生成することと、複数のコンピューティングデバイスのうちの第２のコンピューティングデバイスから、サーバからファイルをダウンロードするためのダウンロード要求を受信することであって、ダウンロード要求が、第１の時刻に続く第２の時刻に受信される、受信することと、第１の時刻と第２の時刻との間のファイルに対する何らかの変更を示す少なくとも１つのレコードが存在するかどうかを判定することと、レコードが存在すると判定したことに応答して、マルウェアについてファイルをスキャンすることと、サーバ上に格納されたファイルがマルウェアに関連付けられていると判定したことに応答して、ダウンロード要求を拒否することと、を含む。

いくつかの態様では、本明細書に記載の技術は、ファイルを受信することが、第１のコンピューティングデバイスからのファイルをアップロードするためのアップロード要求を検出することと、第１のコンピューティングデバイスからのファイルがマルウェアに関連付けられているかどうかを示すスキャン判決を要求することと、ファイルがマルウェアに関連付けられていないというスキャン判決を受信したことに応答して、アップロード要求を承諾し、第１の時刻にファイルをサーバ上に格納することと、を含む、方法に関する。

いくつかの態様では、本明細書に記載の技術は、レコードが、サーバ上のファイルに対して行われた変更を複数のレコードに格納する分散型台帳の一部である、方法に関する。

いくつかの態様では、本明細書に記載の技術は、分散型台帳が、複数のコンピューティングデバイスにわたって同期されたファイルに限定された変更及びスキャン判決を格納し、複数のレコードの各レコードが、複数のコンピューティングデバイスによって検証される、方法に関する。

いくつかの態様では、本明細書に記載の技術は、サーバからファイルを削除すること、サーバ上でファイルを隔離すること、及び第１のコンピューティングデバイスからのマルウェアに関連付けられていないファイルのバージョンを要求すること、のうちの１つ以上を含む、矯正アクションを実行することをさらに含む、方法に関する。

いくつかの態様では、本明細書に記載の技術は、サーバ上に格納されたファイルがマルウェアに関連付けられていないと判定したことに応答して、ダウンロード要求を承諾し、ファイルを第２のコンピューティングデバイスに送信することをさらに含む、方法に関する。

いくつかの態様では、本明細書に記載の技術は、サーバ上に格納されたファイルに対して実行されたスキャンの結果を含む別のレコードを生成することをさらに含み、結果が、ファイルがマルウェアに関連付けられていないことを示す、方法に関する。

いくつかの態様では、本明細書に記載の技術は、第３のコンピューティングデバイスから、サーバからファイルをダウンロードするための別のダウンロード要求を受信することであって、別のダウンロード要求が、第２の時刻に続く第３の時刻に受信される、受信することと、別のレコードがファイルについての最新のレコードであると判定したことに応答して、ファイルの別のスキャンを実行することなく別のダウンロード要求を承諾することと、をさらに含む、方法に関する。

上述した方法は、ハードウェアプロセッサを備えるシステムに実装されてもことに留意されたい。あるいは、方法は、非一時的コンピュータ可読媒体のコンピュータ実行可能命令を用いて実装されてもよい。

いくつかの態様では、本明細書に記載の技術は、同期データネットワークにおけるマルウェアの拡散を防止するためのシステムに関し、システムは、メモリと、メモリと通信可能に結合されたハードウェアプロセッサと、を備え、ハードウェアプロセッサは、複数のコンピューティングデバイスに接続されたサーバによって、複数のコンピューティングデバイスのうちの第１のコンピューティングデバイスからファイルを第１の時刻に受信することと、サーバ上に格納されたファイルに対する変更を監視することと、変更を検出したことに応答して、ファイルに対する変更を示すレコードを生成することと、複数のコンピューティングデバイスのうちの第２のコンピューティングデバイスから、サーバからファイルをダウンロードするためのダウンロード要求を受信することであって、ダウンロード要求が、第１の時刻に続く第２の時刻に受信される、受信することと、第１の時刻と第２の時刻との間のファイルに対する何らかの変更を示す少なくとも１つのレコードが存在するかどうかを判定することと、レコードが存在すると判定したことに応答して、マルウェアについてファイルをスキャンすることと、サーバ上に格納されたファイルがマルウェアに関連付けられていると判定したことに応答して、ダウンロード要求を拒否することと、を行うように構成されている。

いくつかの態様では、本明細書に記載の技術は、同期データネットワークにおけるマルウェアの拡散を防止するためのコンピュータ実行可能命令を格納する非一時的コンピュータ可読媒体に関し、コンピュータ実行可能命令は、複数のコンピューティングデバイスに接続されたサーバによって、複数のコンピューティングデバイスのうちの第１のコンピューティングデバイスからファイルを第１の時刻に受信することと、サーバ上に格納されたファイルに対する変更を監視することと、変更を検出したことに応答して、ファイルに対する変更を示すレコードを生成することと、複数のコンピューティングデバイスのうちの第２のコンピューティングデバイスから、サーバからファイルをダウンロードするためのダウンロード要求を受信することであって、ダウンロード要求が、第１の時刻に続く第２の時刻に受信される、受信することと、第１の時刻と第２の時刻との間のファイルに対する何らかの変更を示す少なくとも１つのレコードが存在するかどうかを判定することと、レコードが存在すると判定したことに応答して、マルウェアについてファイルをスキャンすることと、サーバ上に格納されたファイルがマルウェアに関連付けられていると判定したことに応答して、ダウンロード要求を拒否することと、のための命令を含む。

例示的な態様の上記の簡略化された概要は、本開示の基本的な理解を提供するのに役立つ。この概要は、全ての企図される態様の広範な概略ではなく、全ての態様の重要又は重大な要素を特定することも、本開示のいずれか又は全ての態様の範囲を定めることも意図されていない。その唯一の目的は、以下の本開示のより詳細な説明の前置きとして、簡略化された形態で１つ以上の態様を提示することである。上記を達成するために、本開示の１つ以上の態様は、特許請求の範囲に記載され、例示的に指摘された特徴を含む。

本明細書内に組み込まれ、本明細書の一部を構成する添付の図面は、本開示の１つ以上の例示的な態様を示し、詳細な説明とともに、それらの原理及び実装形態を説明するのに役立つ。

同期データネットワークにおけるマルウェアの拡散を防止するためのシステムを示すブロック図である。 同期ファイルの選択的スキャンを示すブロック図である。 同期データネットワークにおけるマルウェアの拡散を防止するための方法のフロー図を示す。 分散型台帳上の同期ファイルのレコードを示すブロック図である。 本開示の態様を実装することができる汎用コンピュータシステムの一例を提示する。

例示的な態様は、同期データネットワークにおけるマルウェアの拡散を防止するためのシステム、方法、及びコンピュータプログラム製品の文脈で本明細書に記載されている。当業者は、以下の説明が例示にすぎず、決して限定することを意図するものではないことを理解するであろう。他の態様は、本開示の利益を有する当業者に容易に示唆されるであろう。次に、添付の図面に示す例示的な態様の実装形態を詳細に参照する。同じ又は同様の項目を参照するために、図面及び以下の説明を通して可能な限り同じ参照符号が使用される。

前述した欠点に対処するための基本的な手法は、複数回（すなわち、ソースデバイスからアップロードされているときに１回、ファイルをダウンロードすることとなる宛先デバイスごとに１回）同期される必要がある任意のファイルをスキャンすることを伴う。しかしながら、二重のスキャンは同期時間を大幅に遅らせ、パフォーマンスを低下させる。ファイルが変更されていないにもかかわらず、全てのファイルが複数回スキャンされている場合、他の目的のためにより有効に利用することができる処理リソースが著しく浪費する。

したがって、本開示は、データがアップロードとダウンロードとの合間で何らかの形で変更された場合にのみ、宛先デバイスへのダウンロード中に別のスキャンを実行する概念を提示する。しかしながら、データの不変性を制御するために、監視ドライバ及び分散型台帳（例えば、ブロックチェーン）が採用されている。分散型台帳は、単一のファイルの複数のコピーの必要性を防止する。例えば、ファイルが変更されたかどうかをチェックする１つの非効率的な手法は、アップロード中のファイルのバージョンとダウンロード中のファイルのバージョンとを比較することである。非効率性は、ファイルの少なくとも２つのバージョンを常に格納する必要があることとなるという事実に起因する。この手法は、アップロード及びダウンロードされている数千のファイルを比較するときに、２倍のスペースを必要とし、依然としてかなりの計算を必要とする。

分散型台帳を使用する利点は、ファイルへの変更が台帳に記録され、（例えば、同期ネットワーク内にデバイスを含み得る）ブロックチェーンネットワークによって検証され得るという事実にある。イベントの記録は、ネットワーク内のデバイス及びサーバの通常の使用と並行して行われ、したがって、全ての計算（すなわち、ファイルの比較）は、ダウンロードプロセスあたりに焦点を当てておらず、代わりに、変更が台帳に記録されたかどうかを確認することを単に伴う。さらに、複数のコンピューティングデバイスが変更されたファイルをダウンロードしており、スキャンが既に実行されて分散型台帳上に記録されている（変更を無害なものとしてラベル付けしている）場合、各新しいコンピューティングデバイスがそのローカルコンテンツを中央サーバと同期させるために追加のスキャンは必要なく、それらは全て分散型台帳内の記録を参照することができる。これは、各新しいコンピューティングデバイスが、ファイルの現在のバージョンがアップロードされたバージョンとは異なることに基づいて新しいスキャンを必要とすることとなる総当たりファイル比較手法とは異なる。さらに、悪意のあるエンティティは、各変更が分散型台帳ネットワークのメンバーによって検証されるため、中央サーバ上のファイルに対する変更をマスク／隠すことができない。

図１は、同期データネットワークにおけるマルウェアの拡散を防止するためのシステム１００を示すブロック図である。システム１００では、コンピューティングデバイス１０４はスマートフォンであり得、コンピューティングデバイス１０６はラップトップであり得、コンピューティングデバイス１０８はデスクトップコンピュータであり得る。各コンピューティングデバイスは、同期ネットワークにおいて互いに接続されている。例えば、ユーザは、コンピューティングデバイス１０４を使用して画像を取り込んでもよく、コンピューティングデバイス１０６及びコンピューティングデバイス１０８と同期させてもよい。したがって、画像のコピー又はリンクがコンピューティングデバイス１０６及びコンピューティングデバイス１０８に提供され得る。例えば、画像のコピーが最初にサーバ１０２上に格納され得、その後、サーバ１０２は、格納された画像のコピーをコンピューティングデバイス１０６及びコンピューティングデバイス１０８に送信する。

悪意のあるアクティビティがネットワーク全体に拡散しないことを保証するために、セキュリティモジュール１１０が導入されている。セキュリティモジュール１１０は、スキャンエージェント１１２、監視ドライバ１１４、及び分散型台帳１１６を含む。スキャンエージェント１１２は、１つ以上のファイル内の悪意のあるアクティビティをチェックするウイルス対策ソフトウェアであり得る。監視ドライバ１１４は、サーバ１０２上でファイルが追加、削除、又は改変されたかどうかを判定するために、サーバ１０２上の改変コマンドを傍受し得る。分散型台帳１１６は、コンピューティングデバイス１０４、１０６、１０８、及びサーバ１０２の各々上に格納されたブロックチェーンであり得る。

セキュリティモジュール１１０は、図１に示すデバイスの各々上に格納され得る。いくつかの態様では、サーバ１０２上に格納されたセキュリティモジュール１１０のバージョンは、サーバ１０２上に格納されたセキュリティモジュール１１０のバージョンとは異なり得る。例えば、監視ドライバ１１４は、コンピューティングデバイス及びサーバ上にそれぞれシン・モジュール（ｔｈｉｎ ｍｏｄｕｌｅ）及びシック・モジュール（ｔｈｉｃｋ ｍｏｄｕｌｅ）として格納されてもよい。監視ドライバ１１４のシック・モジュールは、サーバ１０２上で行われた変更を追跡し、分散型台帳１１６を更新し得る（すなわち、分散型台帳１１６に書き込み得る）。監視ドライバ１１４のシン・モジュールは、分散型台帳１１６上の更新を読み取り得る。

図２は、同期ファイルの選択的スキャンを示すブロック図２００である。ブロック図２００において、コンピューティングデバイス１０４は、同期用のローカルファイル（例えば、画像）を選択する。コンピューティングデバイス１０４又はサーバ１０２上のスキャンエージェント１１２は、選択されたファイルをスキャンして、ファイルが悪意のあるものではないことを保証し得る。次いで、スキャンエージェント１１２は、判決（すなわち、ファイルが悪意のあるものである、又はファイルが悪意のあるものではない、ということ）を出力し得る。例示的な一態様では、ファイルが選択され、コンピューティングデバイス１０４上でスキャンされ、その後、悪意のあるアクティビティが検出されないというスキャンエージェント１１２による判決に応答して、サーバ１０２に送信される。

監視ドライバ１１４は、サーバ１０２上の変更（例えば、サーバ１０２に書き込まれている選択されたファイル）を監視する。変更を検出したことに応答して、監視ドライバ１１４は、分散型台帳１１６上にレコードを生成し得る。レコードは、ファイルがサーバ１０２に書き込まれたことを示し得る。起こり得る他の変更には、ファイルのディレクトリの変更、ファイルのリネーム、ファイルの圧縮、ファイルの暗号化等が含まれる。サーバ１０２上の各変更は、監視ドライバ１１４によって検出され、分散型台帳１１６上に記録される。

いくつかの態様では、分散型台帳１１６は、サーバ１０２上で行われた全ての変更のチェーンである。例えば、単一のブロックチェーンは、サーバ１０２のストレージスペースに対して行われた全ての改変を含み得る。いくつかの態様では、分散型台帳１１６は、コンピューティングデバイス１０４、１０６、及び１０８を含むネットワークに関連するファイルに対して行われた全ての変更のチェーンである。例えば、サーバ１０２は、異なるネットワークの情報を格納し得、各ネットワークは、それに関連する独自のブロックチェーンを有し得る。いくつかの態様では、分散型台帳１１６は、特定のファイルに対して行われた全ての変更のチェーンであり得る。したがって、各ファイルは、サーバ１０２上に格納されている間にファイルに加えられた各変更を記録する独自のブロックチェーンを有する。この例では、分散型台帳１１６は第２のタイプのチェーン（すなわち、デバイスの特定のネットワークに関連付けられたもの）であると仮定する。分散型台帳１１６のコピーは、ネットワーク内の全てのデバイスと同期され、各レコードは各デバイスによっても検証される。

コンピューティングデバイス１０６又は１０８は、同期アクションを開始し得る。例えば、コンピューティングデバイス１０６及び／又は１０８は、そのコンテンツをサーバ１０２と同期させようとする写真閲覧アプリケーションを起動し得る。ファイルが画像である場合、同期の開始は画像の要求とみなされ得る。コンピューティングデバイス１０６及び１０８は各々、監視ドライバ１１４を有し得、監視ドライバ１１４はその後、ファイルに対する変更について分散型台帳１１６をチェックする。前述したように、監視ドライバ１１４は、分散型台帳１１６上のレコードを読み取るシン・クライアントであり得る。例えば、監視ドライバ１１４は、ファイルの識別子（例えば、名前、サイズ、拡張子等）を含むレコードを検索し得る。アップロードレコードに続くレコードを検出したことに応答して、コンピューティングデバイス１０６及び／又は１０８は、ファイルへの変更が行われたことを確認し、ダウンロードプロセスが始まる前にスキャンを要求し得る。

サーバ１０２のスキャンエージェント１１４は、ファイルをスキャンし、判決を出力し得る。悪意のあるアクティビティを検出したことに応答して、同期がキャンセルされ、ファイルが消去又は隔離される。これにより、悪意のあるアクティビティの拡散が防止される。悪意のあるアクティビティが検出されない場合、サーバ１０２は、ファイルをコンピューティングデバイス１０６及び／又は１０８に送信する。

いくつかの態様では、スキャンの判決は、分散型台帳１１６上に記録される。悪意のあるアクティビティが見つからない場合、スキャンが行われた時刻及び判決を示すレコードがスキャンエージェント１１２によって生成される。スキャンがコンピューティングデバイス１０６からの同期要求によって初期化されたと仮定する。しばらくすると、コンピューティングデバイス１０８はファイルの同期も要求する。コンピューティングデバイス１０８の監視エージェント１１４は、ファイルの最新のレコードが、そのファイルがマルウェアではないことを示していることを検出し得る。スキャン前にファイルに変更があったにもかかわらず、最新のスキャンはマルウェアが存在しないことを既に示しているため、コンピューティングデバイス１０８との同期中に別のスキャンは実行されない。これにより、不要なスキャンが回避されるため、処理リソースが節約される。

いくつかの態様では、スキャンが実行されるか、又は変更が発生するたびに、監視ドライバ１１４は、分散型台帳１１６のためのハッシュ値レコードを生成する。変更の場合には、タイムスタンプ及び変更されたファイルに適用されるハッシュ関数を用いてハッシュ値を生成し得る。スキャンの場合、ハッシュ値は、タイムスタンプ、スキャン判決、及びスキャンされたファイルに対してハッシュ関数アプリケーションを用いて生成され得る。

図３は、同期データネットワークにおけるマルウェアの拡散を防止するための方法３００のフロー図を示している。３０２において、セキュリティモジュール１１０は、複数のコンピューティングデバイスに接続されたサーバによって、複数のコンピューティングデバイスのうちの第１のコンピューティングデバイスからファイルを第１の時刻に受信する。例えば、いくつかの態様では、セキュリティモジュール１１０は、コンピューティングデバイス１０４からファイルをアップロードするアップロード要求を検出し、コンピューティングデバイス１０４から、ファイルがマルウェアに関連付けられているかどうかを示すスキャン判決を要求する。ファイルがマルウェアに関連付けられていないというスキャン判決を受信したことに応答して、セキュリティモジュール１１０はアップロード要求を承諾し、第１の時刻にファイルをサーバ１０２上に格納する。

３０４において、セキュリティモジュール１１０は、サーバ１０２上に格納されたファイルに対する変更を監視する。３０６において、３０４で変更を検出したことに応答して、セキュリティモジュール１１０は、ファイルに対する変更を示すレコードを生成する。いくつかの態様では、レコードは、サーバ上のファイルに対して行われた変更を複数のレコードに格納する分散型台帳の一部である。いくつかの態様では、分散型台帳は、複数のコンピューティングデバイス間で同期されたファイルに限定された変更及びスキャン判決を格納する。さらに、複数のレコードの各レコードは、複数のコンピューティングデバイスによって検証される。

３０８において、セキュリティモジュール１１０は、複数のコンピューティングデバイスのうちの第２のコンピューティングデバイスから、サーバからファイルをダウンロードするためのダウンロード要求を受信し、ダウンロード要求は第１の時刻に続く第２の時刻に受信される。

３１０において、セキュリティモジュール１１０は、第１の時刻と第２の時刻との間のファイルに対する何らかの変更を示す少なくとも１つのレコードが存在するか否かを判定する。レコードが存在すると判定したことに応答して、方法３００は３１２に進み、ここでセキュリティモジュール１１０は、マルウェアについてファイルをスキャンする。３１４において、セキュリティモジュール１１０は、サーバ上に格納されたファイルがマルウェアに関連付けられているかどうかを判定する。サーバ上に格納されたファイルがマルウェアに関連付けられていると判定したことに応答して、方法３００は３１６に進み、ここでセキュリティモジュール１１０は、ダウンロード要求を拒否する。

いくつかの態様では、セキュリティモジュール１１０は、ダウンロード要求を拒否することに加えて、サーバからファイルを削除すること、サーバ上でファイルを隔離すること、及び第１のコンピューティングデバイスからのマルウェアに関連付けられていないファイルのバージョンを要求することのうちの１つ以上を含む矯正アクションを実行する。

３１０において、セキュリティモジュール１１０が、変更を示すレコードが存在しないと判定した場合、方法３００は３１８に進み、ここでセキュリティモジュール１１０は、ダウンロード要求を承諾する。同様に、３１４において、セキュリティモジュール１１０が、ファイルが悪意のあるアクティビティに関連付けられていないと判定した場合、方法３００は３１８に進み、ここでセキュリティモジュール１１０は、ダウンロード要求を承諾する。ここで、ダウンロード要求を承諾することは、ファイルを第２のコンピューティングデバイスに送信することを伴う。

いくつかの態様では、スキャンに続いて、セキュリティモジュール１１０は、サーバ上に格納されたファイルに対して実行されたスキャンの結果を含む別のレコードを生成する。例えば、結果は、ファイルがマルウェアに関連付けられていないことを示し得る。続いて、セキュリティモジュール１１０は、サーバからファイルをダウンロードするための別のダウンロード要求を第３のコンピューティングデバイスから受信し得、別のダウンロード要求は、第２の時刻に続く第３の時刻に受信される。別のレコードがファイルについての最新のレコードであると判定したことに応答して、セキュリティモジュール１１０は、ファイルの別のスキャンを実行することなく別のダウンロード要求を承諾する。

図４は、分散型台帳上の同期ファイルのレコードを示すブロック図４００である。コンピューティングデバイス１０４が第１のファイルをサーバ１０２にアップロードすると仮定する。コンピューティングデバイス１０４及び／又はサーバ１０２は、スキャンエージェントを使用して、第１のファイルが悪意のないものであることを確認する。確認に応答して、ｔ１において、セキュリティモジュール１１０は、ＳＨＡ１、ＭＤ５等のハッシュアルゴリズムを使用して第１のファイルのハッシュ値を計算し、分散型台帳１１６にレコード４０２を生成し得る。レコードは、タイムスタンプ、アクションタイプ、ファイル識別子（例えば、ソースデバイスアドレス、ディレクトリ、名前、サイズ、拡張子等）、前のレコードに関連付けられたハッシュ値等の情報を含み得る。しかしながら、簡単にするために、図４のレコード４０２は、ファイルのハッシュ値、及びハッシュ値が何に関連付けられているかを示すペイロードのみを示している。例えば、レコード４０２は、コンピューティングデバイス１０４からサーバ１０２へのファイル１のアップロードを表す。

タイムラインによれば、ｔ２において、アップロードされた第１のファイルは、サーバ１０２上で改変される。いくつかの態様では、セキュリティモジュール１１０は、改変を表すレコードを生成するために、第１のファイルを改変するコマンドを傍受し得る。例えば、第１のファイルがソースコードを含み、かつ改変がコードの注入である場合、セキュリティモジュール１１０は注入を検出し、第１のファイルが改変されたこと及びその新しいハッシュ値を示すレコードを生成し得る。しかしながら、いくつかの態様では、セキュリティモジュール１１０は、ストレージスペースを節約するためにダウンロード要求が行われた場合にのみ改変を追跡し得る（いくつかの改変により、分散型台帳１１６のサイズが指数関数的に増加する可能性があるため）。例えば、図４では、時刻ｔ２においてレコードは作成されていない。代わりに、ｔ４において、サーバ１０２は、第１のファイルのダウンロード要求（例えば、コンピューティングデバイス１０６から）を受信する。次に、セキュリティモジュール１１０は、ｔ４において第１のファイルのハッシュ値を計算し、分散型台帳１１６内でハッシュ値を検索し得る。第１のファイルは時刻ｔ２で改変されているため、セキュリティモジュール１１０は一致するハッシュ値を見つけられない可能性がある。

一致が見つからない場合、セキュリティモジュール１１０は、第１のファイルはアップロードされてから改変されたに違いないと結論付ける。これにより、セキュリティモジュール１１０は、第１のファイルを再スキャンするよう促される。スキャンの結果は、改変された第１のファイルが悪意のあるものではないというものであると仮定する。セキュリティモジュール１１０は、ファイルがクリーンであることを示し、かつ改変された第１のファイルのハッシュ値を含む、レコード４０６を生成し得る。第１のファイルは改変されているにもかかわらずクリーンであるため、セキュリティモジュール１１０は、ダウンロード要求を実行する。

時刻ｔ６において、サーバ１０２が第１のファイルに対する別のダウンロード要求（例えば、コンピューティングデバイス１０８から）を受信すると仮定する。ｔ４～ｔ６の間、ファイルはサーバ１０２において別の変更を受けていない。したがって、セキュリティモジュール１１０が時刻ｔ６に第１のファイルについて計算したハッシュ値は、レコード４０６内のハッシュ値と一致することとなる。レコード４０６は第１のファイルがクリーンであることを示すため、セキュリティモジュール１１０は、ダウンロード要求を実行する。

いくつかのファイルが複数のコンピューティングデバイスからサーバ１０２にアップロードされ得ることに留意されたい。例えば、時刻ｔ３において、第２のファイルがコンピューティングデバイス１０８からアップロードされ得る。第２のファイルがクリーンであることを確認すると、セキュリティモジュール１１０は、ファイル２がアップロードされたという表示及び第２のファイルのハッシュ値を含むレコード４０４を生成し得る。時刻ｔ５において、第２のファイルは悪意をもって改変され得る（例えば、悪意のあるエンティティが第２のファイルのソースコード内にマルウェアを注入する場合がある）。ｔ６において、ダウンロード要求が第２のファイルに対するものであると仮定する。第２のファイルはｔ５で改変されているため、セキュリティモジュール１１０がｔ６で第２のファイルの新しいハッシュ値を計算すると、得られたハッシュ値は分散型台帳内のハッシュ値（例えば、レコード４０４内のハッシュ値を含む）のいずれとも一致しない。したがって、セキュリティモジュール１１０は、第２のファイルをスキャンし、第２のファイルが悪意のあるものであると判定し得る。次いで、セキュリティモジュール１１０は、ダウンロード要求を拒否し、改変された第２のファイルが悪意のあるものであるという表示及び改変された第２のファイルのハッシュ値を含む、レコード４０８を生成し得る。第２のファイルに対する後続のダウンロード要求が受信されるたびに、セキュリティモジュール１１０は、レコード４０８を考慮して要求を自動的に拒否し得る。

いくつかの態様では、分散型台帳１１６のサイズは非常に大きくてもよい。例えば、ファイル１がアップロードされたことを示すレコードは、ファイル１のダウンロード要求時から数百レコード離れていてもよい。各ハッシュ値を比較することは面倒で時間がかかる可能性があるため、セキュリティモジュール１１０は、まず、計算されたハッシュ値を最も一般的にアクセスされるファイルのハッシュ値と比較してもよく、ファイルのアップロードレコードまで時間をさかのぼってレコードを比較してもよく、指標付け方法を利用してもよく、またさらにキャッシングを利用してもよい。これにより、検索時間を改善することができる。

図５は、同期データネットワークにおけるマルウェアの拡散を防止するためのシステム及び方法の態様が例示的な一態様に従って実装され得るコンピュータシステム２０を示すブロック図である。コンピュータシステム２０は、複数のコンピューティングデバイスの形態、又は単一のコンピューティングデバイス、例えば、デスクトップコンピュータ、ノートブックコンピュータ、ラップトップコンピュータ、モバイルコンピューティングデバイス、スマートフォン、タブレットコンピュータ、サーバ、メインフレーム、組込みデバイス、及び他の形態のコンピューティングデバイスの形態とすることができる。

図示のように、コンピュータシステム２０は、中央処理装置（ＣＰＵ）２１と、システムメモリ２２と、中央処理装置２１に関連付けられたメモリを含む様々なシステム構成要素を接続するシステムバス２３と、を含む。システムバス２３は、バスメモリ又はバスメモリコントローラと、ペリフェラルバスと、任意の他のバスアーキテクチャと相互作用することができるローカルバスと、を備え得る。バスの例として、ＰＣＩ、ＩＳＡ、ＰＣＩ－Ｅｘｐｒｅｓｓ、ＨｙｐｅｒＴｒａｎｓｐｏｒｔ（商標）、ＩｎｆｉｎｉＢａｎｄ（商標）、Ｓｅｒｉａｌ ＡＴＡ、Ｉ^２Ｃ、及び他の適切な相互接続が含まれ得る。中央処理装置２１（プロセッサとも呼ばれる）は、単一又は複数のコアを有する単一又は複数のプロセッサのセットを含むことができる。プロセッサ２１は、本開示の技術を実装する１つ以上のコンピュータ実行可能コードを実行し得る。例えば、図１～図４で論述したコマンド／ステップのうちのいずれかが、プロセッサ２１によって実行され得る。システムメモリ２２は、本明細書で使用されるデータ及び／又はプロセッサ２１によって実行可能なコンピュータプログラムを格納するための任意のメモリであり得る。システムメモリ２２は、ランダム・アクセス・メモリ（ＲＡＭ）２５等の揮発性メモリ、及び読み出し専用メモリ（ＲＯＭ）２４、フラッシュメモリ等の不揮発性メモリ、又はそれらの任意の組合せを含み得る。基本入出力システム（ＢＩＯＳ）２６は、ＲＯＭ２４を使用してオペレーティングシステムをロードするときの手順等、コンピュータシステム２０の要素間で情報を転送するための基本手順を格納し得る。

コンピュータシステム２０は、１つ以上のリムーバブルストレージデバイス２７、１つ以上の非リムーバブルストレージデバイス２８、又はこれらの組合せ等の１つ以上のストレージデバイスを含み得る。１つ以上のリムーバブルストレージデバイス２７及び非リムーバブルストレージデバイス２８は、ストレージインターフェース３２を介してシステムバス２３に接続されている。一態様において、ストレージデバイス及び対応するコンピュータ可読ストレージ媒体は、コンピュータシステム２０のコンピュータ命令、データ構造、プログラムモジュール、及び他のデータを格納するための電力非依存型モジュールである。システムメモリ２２、リムーバブルストレージデバイス２７、及び非リムーバブルストレージデバイス２８は、様々なコンピュータ可読ストレージ媒体を使用してもよい。コンピュータ可読ストレージ媒体の例には、キャッシュ、ＳＲＡＭ、ＤＲＡＭ、ゼロコンデンサＲＡＭ、ツイントランジスタＲＡＭ、ｅＤＲＡＭ、ＥＤＯ ＲＡＭ、ＤＤＲ ＲＡＭ、ＥＥＰＲＯＭ、ＮＲＡＭ、ＲＲＡＭ、ＳＯＮＯＳ、ＰＲＡＭ等の機械メモリ、フラッシュメモリ、又はソリッド・ステート・ドライブ（ＳＳＤ）若しくはフラッシュドライブ等の他のメモリテクノロジ、磁気カセット、磁気テープ、及びハードディスクドライブ若しくはフロッピーディスク等の磁気ディスクストレージ、コンパクトディスク（ＣＤ－ＲＯＭ）若しくはデジタル多用途ディスク（ＤＶＤ）等の光学ストレージ、並びに所望のデータを格納するために使用され得、かつコンピュータシステム２０によってアクセスすることができる、任意の他の媒体が含まれる。

コンピュータシステム２０のシステムメモリ２２、リムーバブルストレージデバイス２７、及び非リムーバブルストレージデバイス２８は、オペレーティングシステム３５、追加プログラムアプリケーション３７、他のプログラムモジュール３８、及びプログラムデータ３９を格納するために使用され得る。コンピュータシステム２０は、シリアルポート、パラレルポート、ユニバーサル・シリアル・バス（ＵＳＢ）、又は他のペリフェラルインターフェース等の１つ以上のＩ／Ｏポートを介して、キーボード、マウス、スタイラス、ゲームコントローラ、音声入力デバイス、タッチ入力デバイス、又はプリンタ若しくはスキャナ等の他のペリフェラルデバイス等の入力デバイス４０からデータを通信するためのペリフェラルインターフェース４６を含み得る。１つ以上のモニタ、プロジェクタ、又は統合ディスプレイ等のディスプレイデバイス４７もまた、ビデオアダプタ等の出力インターフェース４８を介してシステムバス２３に接続され得る。ディスプレイデバイス４７に加えて、コンピュータシステム２０は、スピーカ及び他の視聴覚デバイス等の他のペリフェラル出力デバイス（図示せず）を備え得る。

コンピュータシステム２０は、１つ以上のリモートコンピュータ４９へのネットワーク接続を用いて、ネットワーク環境において動作し得る。リモートコンピュータ（又は複数のリモートコンピュータ）４９は、コンピュータシステム２０の性質を説明する際に上述した要素の大部分又は全てを含むローカルコンピュータワークステーション又はサーバであり得る。ルータ、ネットワークステーション、ピアデバイス、又は他のネットワークノード等であるがこれらに限定されない他のデバイスもまた、コンピュータネットワーク内に存在し得る。コンピュータシステム２０は、ローカルエリア・コンピュータ・ネットワーク（ＬＡＮ）５０、ワイドエリア・コンピュータ・ネットワーク（ＷＡＮ）、イントラネット、及びインターネット等の１つ以上のネットワークを介してリモートコンピュータ４９と通信するための１つ以上のネットワークインターフェース５１又はネットワークアダプタを含み得る。ネットワークインターフェース５１の例として、イーサネットインターフェース、フレームリレーインターフェース、ＳＯＮＥＴインターフェース、及び無線インターフェースが含まれ得る。

本開示の態様は、システム、方法、及び／又はコンピュータプログラム製品であり得る。コンピュータプログラム製品は、プロセッサに本開示の態様を実行させるためのコンピュータ可読プログラム命令を有するコンピュータ可読ストレージ媒体（又は複数のコンピュータ可読ストレージ媒体）を含み得る。

コンピュータ可読ストレージ媒体は、コンピューティングシステム２０等のコンピューティングデバイスのプロセッサによってアクセスすることができる命令又はデータ構造の形態のプログラムコードを保持及び格納することができる有形のデバイスとすることができる。コンピュータ可読ストレージ媒体は、電子ストレージデバイス、磁気ストレージデバイス、光学ストレージデバイス、電磁ストレージデバイス、半導体ストレージデバイス、又はそれらの任意の適切な組合せであり得る。例として、そのようなコンピュータ可読ストレージ媒体は、ランダム・アクセス・メモリ（ＲＡＭ）、読み出し専用メモリ（ＲＯＭ）、ＥＥＰＲＯＭ、ポータブル・コンパクト・ディスク読み出し専用メモリ（ＣＤ－ＲＯＭ）、デジタル多用途ディスク（ＤＶＤ）、フラッシュメモリ、ハードディスク、ポータブル・コンピュータ・ディスケット、メモリスティック、フロッピーディスク、又は命令が記録されたパンチカード若しくは溝内の隆起構造等の機械的に符号化されたデバイスさえも含むことができる。本明細書で使用される場合、コンピュータ可読ストレージ媒体は、電波又は他の自由に伝搬する電磁波、導波路若しくは伝送媒体を通って伝搬する電磁波、又はワイヤを介して伝送される電気信号等の一時的な信号自体と解釈されるべきではない。

本明細書に記載のコンピュータ可読プログラム命令は、ネットワーク、例えば、インターネット、ローカルエリアネットワーク、ワイドエリアネットワーク、及び／若しくは無線ネットワークを介して、コンピュータ可読ストレージ媒体からそれぞれのコンピューティングデバイスに、又は外部コンピュータ若しくは外部ストレージデバイスにダウンロードすることができる。ネットワークは、銅伝送ケーブル、光伝送ファイバ、無線伝送、ルータ、ファイアウォール、スイッチ、ゲートウェイコンピュータ、及び／又はエッジサーバを含み得る。各コンピューティングデバイス内のネットワークインターフェースは、ネットワークからコンピュータ可読プログラム命令を受信し、それぞれのコンピューティングデバイス内のコンピュータ可読ストレージ媒体に格納するためにコンピュータ可読プログラム命令を転送する。

本開示の動作を実行するためのコンピュータ可読プログラム命令は、アセンブリ命令、命令セットアーキテクチャ（ＩＳＡ）命令、機械語命令、機械依存命令、マイクロコード、ファームウェア命令、状態設定データ、又はオブジェクト指向プログラミング言語及び従来の手続き型プログラミング言語を含む１つ以上のプログラミング言語の任意の組合せで記述されたソースコード若しくはオブジェクトコードのいずれかであり得る。コンピュータ可読プログラム命令は、完全にユーザのコンピュータ上で、部分的にユーザのコンピュータ上で、スタンドアロンソフトウェアパッケージとして、部分的にユーザのコンピュータ上かつ部分的にリモートコンピュータ上で、又は完全にリモートコンピュータ若しくはサーバ上で実行され得る。後者のシナリオでは、リモートコンピュータは、ＬＡＮ又はＷＡＮを含む任意のタイプのネットワークを介してユーザのコンピュータに接続されてもよく、又は外部コンピュータへの接続が行われてもよい（例えば、インターネットを介して）。いくつかの実施形態では、例えば、プログラマブル論理回路、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）、又はプログラマブル・ロジック・アレイ（ＰＬＡ）を含む電子回路は、本開示の態様を実行するために、コンピュータ可読プログラム命令の状態情報を利用して電子回路をパーソナライズすることによってコンピュータ可読プログラム命令を実行し得る。

様々な態様において、本開示に記載されたシステム及び方法は、モジュールに関して対処することができる。本明細書で使用される「モジュール」という用語は、例えば、特定用途向け集積回路（ＡＳＩＣ）若しくはＦＰＧＡ等によるハードウェアを使用して、又はマイクロプロセッサシステム及び（実行中に）マイクロプロセッサシステムを専用デバイスに変換するモジュールの機能を実装するための命令のセット等によるハードウェアとソフトウェアとの組合せとして実装される、実在のデバイス、コンポーネント、又はコンポーネントの構成を指す。モジュールはまた、２つの組合せとして実装されてもよく、特定の機能はハードウェアのみによって促進され、他の機能はハードウェアとソフトウェアとの組合せによって促進される。特定の実装形態では、モジュールの少なくとも一部、場合によっては全部が、コンピュータシステムのプロセッサ上で実行され得る。したがって、各モジュールは、様々な適切な構成で実現され得、本明細書に例示された特定の実装形態に限定されるべきではない。

明確にするために、態様のルーチンの特徴の全てが本明細書に開示されているわけではない。本開示の任意の実際の実装形態の開発において、開発者の特定の目標を達成するために、多数の実装形態固有の決定を行わなければならず、これらの特定の目標は、異なる実装形態及び異なる開発者によって異なることが理解されよう。そのような開発努力は複雑で時間がかかるかもしれないが、それにもかかわらず、本開示の利益を有する当業者にとってはエンジニアリングの日常的な仕事であり得ることが理解される。

さらに、本明細書の術語又は表現は、当業者の知識と組み合わせて、本明細書に提示される教示及びガイダンスに照らして当業者によって解釈されるべきであるように、本明細書で使用される表現又は術語は、限定ではなく説明を目的とするものであることを理解されたい。さらに、本明細書又は特許請求の範囲のいかなる用語も、そのように明示的に記載されていない限り、一般的ではない又は特別な意味とみなされることを意図しない。

本明細書で開示される様々な態様は、例示として本明細書で参照される既知のモジュールに対する現在及び将来の既知の均等物を包含する。さらに、態様及び用途を示し説明してきたが、本明細書に開示された発明の概念から逸脱することなく、上述したよりも多くの変更が可能であることは、本開示の利益を有する当業者には明らかであろう。

Claims (20)

1. 同期データネットワークにおけるマルウェアの拡散を防止するための方法であって、前記方法は、
   複数のコンピューティングデバイスに接続されたサーバによって、前記複数のコンピューティングデバイスのうちの第１のコンピューティングデバイスからファイルを第１の時刻に受信することと、
   マルウェアについて前記ファイルをスキャンし、前記マルウェアが検出されないという判決に応答して、前記ファイルを前記サーバ上に格納することと、
   前記サーバ上に格納された前記ファイルに対する変更を監視することと、
   変更を検出したことに応答して、前記ファイルに対する前記変更を示すレコードを生成することと、
   前記複数のコンピューティングデバイスのうちの第２のコンピューティングデバイスから、前記サーバから前記ファイルをダウンロードするためのダウンロード要求を受信することであって、前記ダウンロード要求が、前記第１の時刻に続く第２の時刻に受信される、受信することと、
   前記第１の時刻と前記第２の時刻との間の前記ファイルに対する何らかの変更を示す少なくとも１つのレコードが存在するかどうかを判定することと、
   前記レコードが存在すると判定したことに応答して、マルウェアについて前記ファイルをスキャンすることと、
   前記サーバ上に格納された前記ファイルがマルウェアに関連付けられていると判定したことに応答して、前記ダウンロード要求を拒否することと、
   を含む、方法。
2. 前記ファイルを受信することが、
   前記第１のコンピューティングデバイスからの前記ファイルをアップロードするためのアップロード要求を検出することと、
   前記第１のコンピューティングデバイスからの前記ファイルがマルウェアに関連付けられているかどうかを示すスキャン判決を要求することと、
   前記ファイルがマルウェアに関連付けられていないというスキャン判決を受信したことに応答して、前記アップロード要求を承諾し、前記第１の時刻に前記ファイルを前記サーバ上に格納することと、
   を含む、請求項１に記載の方法。
3. 前記レコードが、前記サーバ上のファイルに対して行われた変更を複数のレコードに格納する分散型台帳の一部である、請求項１に記載の方法。
4. 前記分散型台帳が、前記複数のコンピューティングデバイスにわたって同期されたファイルに限定された変更及びスキャン判決を格納し、前記複数のレコードの各レコードが、前記複数のコンピューティングデバイスによって検証される、請求項３に記載の方法。
5. 前記サーバから前記ファイルを削除すること、
   前記サーバ上で前記ファイルを隔離すること、及び
   前記第１のコンピューティングデバイスからのマルウェアに関連付けられていない前記ファイルのバージョンを要求すること、
   のうちの１つ以上を含む、矯正アクションを実行すること
   をさらに含む、請求項１に記載の方法。
6. 前記サーバ上に格納された前記ファイルがマルウェアに関連付けられていないと判定したことに応答して、前記ダウンロード要求を承諾し、前記ファイルを前記第２のコンピューティングデバイスに送信すること
   をさらに含む、請求項１に記載の方法。
7. 前記サーバ上に格納された前記ファイルに対して実行された前記スキャンの結果を含む別のレコードを生成することをさらに含み、前記結果が、前記ファイルがマルウェアに関連付けられていないことを示す、
   請求項６に記載の方法。
8. 第３のコンピューティングデバイスから、前記サーバから前記ファイルをダウンロードするための別のダウンロード要求を受信することであって、前記別のダウンロード要求が、前記第２の時刻に続く第３の時刻に受信される、受信することと、
   前記別のレコードが前記ファイルについての最新のレコードであると判定したことに応答して、前記ファイルの別のスキャンを実行することなく前記別のダウンロード要求を承諾することと、
   をさらに含む、請求項７に記載の方法。
9. 同期データネットワークにおけるマルウェアの拡散を防止するためのシステムであって、前記システムが、
   メモリと、
   前記メモリと通信可能に結合されたハードウェアプロセッサと、を備え、前記ハードウェアプロセッサが、
   複数のコンピューティングデバイスに接続されたサーバによって、前記複数のコンピューティングデバイスのうちの第１のコンピューティングデバイスからファイルを第１の時刻に受信することと、
   マルウェアについて前記ファイルをスキャンし、前記マルウェアが検出されないという判決に応答して、前記ファイルを前記サーバ上に格納することと、
   前記サーバ上に格納された前記ファイルに対する変更を監視することと、
   変更を検出したことに応答して、前記ファイルに対する前記変更を示すレコードを生成することと、
   前記複数のコンピューティングデバイスのうちの第２のコンピューティングデバイスから、前記サーバから前記ファイルをダウンロードするためのダウンロード要求を受信することであって、前記ダウンロード要求が、前記第１の時刻に続く第２の時刻に受信される、受信することと、
   前記第１の時刻と前記第２の時刻との間の前記ファイルに対する何らかの変更を示す少なくとも１つのレコードが存在するかどうかを判定することと、
   前記レコードが存在すると判定したことに応答して、マルウェアについて前記ファイルをスキャンすることと、
   前記サーバ上に格納された前記ファイルがマルウェアに関連付けられていると判定したことに応答して、前記ダウンロード要求を拒否することと、
   を行うように構成されている、
   システム。
10. 前記ハードウェアプロセッサが、
    前記第１のコンピューティングデバイスからの前記ファイルをアップロードするためのアップロード要求を検出することと、
    前記第１のコンピューティングデバイスからの前記ファイルがマルウェアに関連付けられているかどうかを示すスキャン判決を要求することと、
    前記ファイルがマルウェアに関連付けられていないというスキャン判決を受信したことに応答して、前記アップロード要求を承諾し、前記第１の時刻に前記ファイルを前記サーバ上に格納することと、
    によって前記ファイルを受信するように構成されている、請求項９に記載のシステム。
11. 前記レコードが、前記サーバ上のファイルに対して行われた変更を複数のレコードに格納する分散型台帳の一部である、請求項９に記載のシステム。
12. 前記分散型台帳が、前記複数のコンピューティングデバイスにわたって同期されたファイルに限定された変更及びスキャン判決を格納し、前記複数のレコードの各レコードが、前記複数のコンピューティングデバイスによって検証される、請求項１１に記載のシステム。
13. 前記ハードウェアプロセッサが、
    前記サーバから前記ファイルを削除すること、
    前記サーバ上で前記ファイルを隔離すること、及び
    前記第１のコンピューティングデバイスからのマルウェアに関連付けられていない前記ファイルのバージョンを要求すること、
    のうちの１つ以上を含む、矯正アクションを実行すること
    を行うようにさらに構成されている、請求項９に記載のシステム。
14. 前記ハードウェアプロセッサが、
    前記サーバ上に格納された前記ファイルがマルウェアに関連付けられていないと判定したことに応答して、前記ダウンロード要求を承諾し、前記ファイルを前記第２のコンピューティングデバイスに送信するようにさらに構成されている、
    請求項９に記載のシステム。
15. 前記ハードウェアプロセッサが、
    前記サーバ上に格納された前記ファイルに対して実行された前記スキャンの結果を含む別のレコードを生成するようにさらに構成されており、前記結果が、前記ファイルがマルウェアに関連付けられていないことを示す、
    請求項１４に記載のシステム。
16. 前記ハードウェアプロセッサが、
    第３のコンピューティングデバイスから、前記サーバから前記ファイルをダウンロードするための別のダウンロード要求を受信することであって、前記別のダウンロード要求が、前記第２の時刻に続く第３の時刻に受信される、受信することと、
    前記別のレコードが前記ファイルについての最新のレコードであると判定したことに応答して、前記ファイルの別のスキャンを実行することなく前記別のダウンロード要求を承諾することと、
    を行うようにさらに構成されている、請求項１５に記載のシステム。
17. 同期データネットワークにおけるマルウェアの拡散を防止するためのコンピュータ実行可能命令を格納する非一時的コンピュータ可読媒体であって、前記コンピュータ実行可能命令が、
    複数のコンピューティングデバイスに接続されたサーバによって、前記複数のコンピューティングデバイスのうちの第１のコンピューティングデバイスからファイルを第１の時刻に受信することと、
    マルウェアについて前記ファイルをスキャンし、前記マルウェアが検出されないという判決に応答して、前記ファイルを前記サーバ上に格納することと、
    前記サーバ上に格納された前記ファイルに対する変更を監視することと、
    変更を検出したことに応答して、前記ファイルに対する前記変更を示すレコードを生成することと、
    前記複数のコンピューティングデバイスのうちの第２のコンピューティングデバイスから、前記サーバから前記ファイルをダウンロードするためのダウンロード要求を受信することであって、前記ダウンロード要求が、前記第１の時刻に続く第２の時刻に受信される、受信することと、
    前記第１の時刻と前記第２の時刻との間の前記ファイルに対する何らかの変更を示す少なくとも１つのレコードが存在するかどうかを判定することと、
    前記レコードが存在すると判定したことに応答して、マルウェアについて前記ファイルをスキャンすることと、
    前記サーバ上に格納された前記ファイルがマルウェアに関連付けられていると判定したことに応答して、前記ダウンロード要求を拒否することと、
    のための命令を含む、
    非一時的コンピュータ可読媒体。
18. 前記ファイルを受信するための命令が、
    前記第１のコンピューティングデバイスからの前記ファイルをアップロードするためのアップロード要求を検出することと、
    前記第１のコンピューティングデバイスからの前記ファイルがマルウェアに関連付けられているかどうかを示すスキャン判決を要求することと、
    前記ファイルがマルウェアに関連付けられていないというスキャン判決を受信したことに応答して、前記アップロード要求を承諾し、前記第１の時刻に前記ファイルを前記サーバ上に格納することと、
    のための命令をさらに含む、請求項１７に記載の非一時的コンピュータ可読媒体。
19. 前記レコードが、前記サーバ上のファイルに対して行われた変更を複数のレコードに格納する分散型台帳の一部である、請求項１７に記載の非一時的コンピュータ可読媒体。
20. 前記分散型台帳が、前記複数のコンピューティングデバイスにわたって同期されたファイルに限定された変更及びスキャン判決を格納し、前記複数のレコードの各レコードが、前記複数のコンピューティングデバイスによって検証される、請求項１９に記載の非一時的コンピュータ可読媒体。