JP2014509421A5 - - Google Patents

Claims (20)

1. ホストシステムを前記ホストシステムに接続された第１の装置から保護するための方法であって、
   前記ホストシステムのプロセッサにおいて、セキュリティ手段を有する拡張プロトコルスタックを実行するステップと、
   前記ホストシステムと通信する権限の無い装置の第１のリストをコンパイルするステップであって、前記装置の第１のリストは、前記拡張プロトコルスタックの前記セキュリティ手段によって管理される、前記ホストシステムと通信する権限の無い装置の第１のリストをコンパイルするステップと、
   前記拡張プロトコルスタックの前記セキュリティ手段によって管理される疑わしい記述子の第２のリストをコンパイルするステップであって、それらの記述子を有する装置は、前記ホストシステムと通信する権限の無い、疑わしい記述子の第２のリストをコンパイルするステップと、
   前記第１の装置及びその記述子を識別するステップと、
   前記第１のリストと前記第２のリストを、前記識別された装置及びその記述子と比較し、一致するものがある場合、
   前記第１の装置と前記ホストシステムとの間の通信を防止するステップと
   からなる方法。
2. 前記第１の装置は、第１のＵＳＢデバイスであり、
   前記方法は、
   前記ホストシステムに接続された前記第１のＵＳＢデバイスの疑わしい活動を検出するステップと、
   前記疑わしい活動の検出に応答し、前記第１のＵＳＢデバイスと前記ホストシステムとの間の通信を防止するステップと
   をさらに含む、請求項１に記載の方法。
3. 前記疑わしい活動を検出するステップは、
   前記第１のＵＳＢデバイスのランタイム活動を検査するステップと、
   前記活動が前記第１のＵＳＢデバイスと矛盾するという判断に応答し、前記第１のＵＳＢデバイスと前記ホストシステムとの間の通信を防止するステップと
   を含む、請求項２に記載の方法。
4. 前記ランタイム活動を検査するステップは、
   前記第１のＵＳＢデバイスから発生したパケット、及び前記第１のＵＳＢデバイスを宛先とするパケット内のデータを検査するステップと、
   前記データが前記第１のＵＳＢデバイスと矛盾するという判断に応答し、前記第１のＵＳＢデバイスと前記ホストシステムとの間の通信を防止するステップと
   を含む、請求項３に記載の方法。
5. 前記ホストシステムと通信する権限を有するＵＳＢデバイスのホワイトリストをコンパイルするステップと、
   前記第１のＵＳＢデバイスが前記ホワイトリスト上にある場合、前記第１のＵＳＢデバイスと前記ホストシステムとの間の通信を許可するステップと
   をさらに含む、請求項２に記載の方法。
6. 権限の無い、又は疑わしいＵＳＢデバイスが前記ホストシステムに接続されていることをユーザに通知することをさらに含む、請求項２に記載の方法。
7. システムであって、
   ホストコントローラと、
   前記ホストコントローラに接続され、デバイス識別データベースのインタフェースとなるセキュリティ・コントロール・モジュールを有する拡張ＵＳＢプロトコルスタックを実行するように構成されたプロセッサと、
   前記デバイス識別データベース及び前記セキュリティ・コントロール・モジュールを記憶するように構成されたメモリと
   を含み、前記セキュリティ・コントロール・モジュールが、
   前記ホストコントローラと通信する権限の無いＵＳＢデバイスの第１のリストを管理し、
   前記ホストコントローラと通信する権限の無い記述子の疑わしい組み合わせを有するＵＳＢデバイスの第２のリストを管理し、
   前記ホストコントローラと通信しているが、疑わしい活動を示している、前記ホストコントローラに接続されたＵＳＢデバイスの第３のリストを管理し、
   前記第１のＵＳＢデバイスと、前記第１のリスト、前記第２のリスト、又は前記第３のリストとの間に一致があった場合、前記ホストコントローラに接続された第１のＵＳＢデバイスと当該システムとの間の通信を遮断する、システム。
8. 前記メモリに記憶され、前記デバイス識別データベースによって管理される前記第１のリスト、前記第２のリスト、及び前記第３のリストを、前記第１のＵＳＢデバイス及び前記第１のＵＳＢデバイスの記述子と比較し、一致に応答して、前記セキュリティ・コントロール・モジュールと協働し、前記第１のＵＳＢデバイスと当該システムとの間の通信を防止するステップをさらに含む、請求項７に記載のシステム。
9. 前記記述子は、前記第１のＵＳＢデバイスのためのドライバを選択するための情報を提供し、前記記述子は、デバイス記述子、構成記述子、及び文字列記述子を含む、請求項８に記載のシステム。
10. 前記デバイス記述子は、デバイスクラス、及びＵＳＢ仕様バージョン番号を含む、請求項９に記載のシステム。
11. 前記構成記述子は、代替の設定及びクラスのインタフェース記述子、及び前記構成記述子における総バイト数を含む、請求項９に記載のシステム。
12. 前記文字列記述子は、製造業者識別情報（ＩＤ）、製品ＩＤ、及びシリアル番号を含む、請求項９に記載のシステム。
13. 第２のＵＳＢデバイスが、前記システムと問題なく通信することをさらに含み、
    前記システムは、
    前記メモリに記憶され、静的分析及びヒューリスティック分析により、前記第２のＵＳＢデバイスと前記システムとの間の疑わしい活動を検出するように構成されたデバイス識別モジュールをさらに含む、請求項７に記載のシステム。
14. 前記静的分析は、前記第２のＵＳＢデバイスから発生したパケット及び前記第２のＵＳＢデバイスを宛先とするパケットに含まれるデータを検査し、当該データが、前記第２のＵＳＢデバイスにとって適当であるか否かを判断する、ディープ・パケット・インスペクションを含む、請求項１３に記載のシステム。
15. 前記ホストコントローラに接続されたＵＳＢマスストレージデバイスをさらに含み、
    前記デバイス識別モジュールは、前記ＵＳＢマスストレージデバイス上の所定の記憶場所のハッシュを記憶するようにさらに構成される、請求項１３に記載のシステム。
16. 前記静的分析は、前記ハッシュにおける疑わしい変更について、前記ＵＳＢマスストレージデバイスを監視するステップを含む、請求項１５に記載のシステム。
17. 前記静的分析は、ＵＳＢヒューマン・インタフェース・デバイス（ＨＩＤ）の疑わしい活動を識別すること、及び前記疑わしい活動を拒絶することにより、前記システムに対する管理上のアクセスを獲得する試みを拒絶することを含む、請求項１３に記載のシステム。
18. 前記ＵＳＢ ＨＩＤは、キーボード及びマウスを含み、前記疑わしい活動は、前記キーボードのＷｉｎｄｏｗｓ（登録商標）キーを押下し、前記システムに対する管理上のアクセスを獲得するプログラムを実行すること、及びプログラムを実行するメニューにアクセスし、又はシステムへの無防備なアクセスを許可するための、前記マウスの左及び／又は右クリックを検出することを含む、請求項１７に記載のシステム。
19. 前記ヒューリスティック分析は、キーボードとして識別された第３のＵＳＢデバイスから発生した打鍵の速度を監視し、前記打鍵の速度が、最大タイプ速度を表す所定の限界を超える場合、前記第３のＵＳＢデバイスに疑わしいものとしてフラグを立てることを含む、請求項１３に記載のシステム。
20. 命令を含む持続性コンピュータ読取可能媒体であって、前記命令がプロセッサにより実行されたときに、
    ユニバーサル・シリアル・バス（ＵＳＢ）プロトコルスタックを提供し、
    ホストシステムに接続されたＵＳＢデバイスにより開始された権限の無い活動から前記ホストシステムを保護するように構成されたセキュリティモジュールを含むように、前記ＵＳＢプロトコルスタックを拡張するように構成され、
    前記セキュリティモジュールは、前記ＵＳＢデバイスが前記ホストシステムと通信する権限を有するものとして識別されたときに、前記ホストシステムと、前記ホストシステムに接続されたＵＳＢデバイスとの間の通信を有効化するように動作するセキュリティ・コントロール・モジュールを含み、前記セキュリティ・コントロール・モジュールはさらに、前記ＵＳＢデバイスが前記ホストシステムと通信する権限が無いものとして識別されたときに、前記ホストシステムと、前記ＵＳＢデバイスとの間の通信を無効化するように動作し、前記セキュリティ・コントロール・モジュールはさらに、前記ＵＳＢデバイスが前記ホストシステムに関して権限の無い活動を開始するものとして識別されたときに、前記ホストシステムと、前記ＵＳＢデバイスとの間の通信を無効化する動作をする、持続性コンピュータ読取可能媒体。