JP2016525750A - 合法的オブジェクトの誤用の識別 - Google Patents

Abstract

オブジェクトに関してクライアントデバイスからクエリが受信される。クエリは、オブジェクトの識別子と、それに関連付けられた、クライアントデバイス上におけるオブジェクトの使用について説明する一連の使用属性とを含む。識別されたオブジェクトと関連付けられた一連の使用事実が識別される。一連の使用事実は、複数のクライアントデバイス上におけるオブジェクトの一般的な使用について説明する。オブジェクトと関連付けられた一連の使用事実、及びクエリに含まれる一連の使用属性に基づいて、クライアントデバイス上におけるオブジェクトの使用が疑わしいものであるか否かの判定が行われる。その判定に基づいて、クライアントデバイスに対して報告が提供される。

Description

以下の開示は、概して、コンピュータセキュリティに関し、特に、合法的オブジェクトの疑わしい使用の識別に関する。

（関連技術の説明）
様々な種類の悪意あるソフトウェア（マルウェア）が現代のコンピュータを攻撃する可能性がある。マルウェアの脅威には、コンピュータウイルス、ワーム、トロイの木馬プログラム、スパイウェア、アドウェア、クライムウェア、及びフィッシングウェブサイトが含まれる。現代のマルウェアは、攻撃者に対して金融上の利益を提供するように設計されている場合が多い。例えば、マルウェアは、ログイン、パスワード、銀行預金口座の識別子、及びクレジットカード番号などの重要な情報を密かに捕捉する場合がある。同様に、マルウェアは、障害が起きたコンピュータに攻撃者がアクセスしそれを制御することを可能にする、隠れたインターフェースを提供する場合がある。

以下の開示は、概して、コンピュータセキュリティに関し、特に、合法的オブジェクトの疑わしい使用の識別に関する。

ある種のマルウェアを検出するのに署名を使用することができる。マルウェア署名は、マルウェア内で見出されるデータ列又は既知の悪意ある挙動など、既知のマルウェアの特性を説明し、コンピュータ上のオブジェクトがマルウェアを含んでいるか否かを判定するのに使用される。一般的に、一連のマルウェア署名は、セキュリティソフトウェアの提供者によって生成され、ユーザのコンピュータ上のセキュリティソフトウェアへと配置される。次に、この一連のマルウェア署名は、セキュリティソフトウェアによって、ユーザのコンピュータ上のマルウェアを検出するのに使用される。

しかしながら、セキュリティソフトウェアは、特定のタイプのマルウェアを検出できない可能性がある。例えば、攻撃者はこの場合、セキュリティソフトウェアが合法的である（即ち、悪意がない）ものと信頼したオブジェクトを使用して攻撃を実施する。マルウェア署名は、信頼できるオブジェクトが悪意ある目的のために使用されていることは検出しない。したがって、セキュリティソフトウェアは攻撃を検出しない。

上記及び他の課題には、オブジェクトの疑わしい使用を識別する、コンピュータ実装方法、コンピュータプログラム製品、及びコンピュータシステムによって対処する。コンピュータ実装方法の一実施形態は、オブジェクトに関してクライアントデバイスからクエリを受信することを含む。クエリは、オブジェクトの識別子と、それに関連付けられた、クライアントデバイス上におけるオブジェクトの使用について説明する一連の使用属性とを含む。識別されたオブジェクトと関連付けられた一連の使用事実が識別される。一連の使用事実は、複数のクライアントデバイス上におけるオブジェクトの一般的な使用について説明する。オブジェクトと関連付けられた一連の使用事実、及びクエリに含まれる一連の使用属性に基づいて、クライアントデバイス上におけるオブジェクトの使用が疑わしいものであるか否かの判定が行われる。その判定に基づいて、クライアントデバイスに対して報告が提供される。

コンピュータプログラム製品の一実施形態は、実行可能なコードを含む非一時的コンピュータ可読記憶媒体を含む。コードが実行されるとステップが行われる。ステップは、オブジェクトに関してクライアントデバイスからクエリを受信することを含む。クエリは、オブジェクトの識別子と、それに関連付けられた、クライアントデバイス上におけるオブジェクトの使用について説明する一連の使用属性とを含む。ステップは、識別されたオブジェクトと関連付けられた一連の使用事実を識別することを更に含む。一連の使用事実は、複数のクライアントデバイス上におけるオブジェクトの一般的な使用について説明する。ステップはまた、オブジェクトと関連付けられた一連の使用事実、及びクエリに含まれる一連の使用属性に基づいて、クライアントデバイス上におけるオブジェクトの使用が疑わしいものであるか否かを判定することを含む。その判定に基づいて、クライアントデバイスに対して報告が提供される。

コンピュータシステムの一実施形態は、プロセッサと、実行可能なコードを含むコンピュータ可読記憶媒体とを含む。コードがプロセッサによって実行されると、オブジェクトに関してクライアントデバイスからクエリを受信することを含む、ステップが行われる。クエリは、オブジェクトの識別子と、それに関連付けられた、クライアントデバイス上におけるオブジェクトの使用について説明する一連の使用属性とを含む。ステップは、識別されたオブジェクトと関連付けられた一連の使用事実を識別することを更に含む。一連の使用事実は、複数のクライアントデバイス上におけるオブジェクトの一般的な使用について説明する。ステップはまた、オブジェクトと関連付けられた一連の使用事実、及びクエリに含まれる一連の使用属性に基づいて、クライアントデバイス上におけるオブジェクトの使用が疑わしいものであるか否かを判定することを含む。その判定に基づいて、クライアントデバイスに対して報告が提供される。

一実施形態によるコンピューティング環境を示す高レベルブロック図である。 一実施形態によるセキュリティサーバ又はクライアントとして使用される一般的なコンピュータを示す高レベルブロック図である。 一実施形態によるセキュリティサーバの詳細図を示す高レベルブロック図である。 一実施形態による、合法的オブジェクトの疑わしい使用を識別するのにセキュリティサーバによって行われるステップを示すフローチャートである。

図面は、単に例示目的のため、一実施形態を示している。当業者であれば、本明細書に記載される原理から逸脱することなく、本明細書に例示される構造及び方法の代替実施形態を採用し得ることを、以下の説明から容易に理解するであろう。

図１は、一実施形態によるコンピューティング環境１００の高レベルブロック図である。図１は、ネットワーク１１０によって接続されたセキュリティサーバ１０２及び３つのクライアント１０４を示している。説明を単純且つ明解にするため、図１には３つのクライアント１０４のみが示されている。コンピューティング環境１００の実施形態は、数千又は数百万のクライアント１０４を有することができる。いくつかの実施形態は、複数のセキュリティサーバ１０２を有することもできる。

一実施形態では、クライアント１０４は電子デバイスである。クライアント１０４は、例えば、ＭＩＣＲＯＳＯＦＴ ＷＩＮＤＯＷＳ（登録商標）互換オペレーティングシステム（ＯＳ）、ＡＰＰＬＥ ＯＳ Ｘ、及び／又はＬＩＮＵＸ（登録商標）ディストリビューションを実行する、従来のコンピュータシステムであってもよい。クライアント１０４はまた、タブレット型コンピュータ、携帯電話、テレビゲーム機など、コンピュータの機能性を有する別のデバイスであることができる。

クライアント１０４は、一般的に、様々なタイプの多数のオブジェクトを格納しそれらと相互作用する。これらのオブジェクトは、クライアントの記憶装置にインストールされるか、又はネットワーク１１０を介して遠隔サーバからダウンロードされたファイル、クライアント上で実行するブラウザ又は他のアプリケーションによってアクセスされる場所（例えば、ウェブサイト）のユニフォームリソースロケータ（ＵＲＬ）、クライアントのメモリに保持されているプロセスなどを含んでもよい。一部のオブジェクトは、クライアント１０４上で実行するセキュリティモジュール１０８によって、合法的である（即ち、悪意がない）ものと信頼される。例えば、オペレーティングシステムの周知のコンポーネントであるファイルは、合法的であるものと信頼される場合が多い。同様に、既知の信頼できる実体のウェブサイトは信頼することができる。信頼できるウェブサイトからダウンロードされたファイルも、そのウェブサイトを運営している実体が信頼されていることにより、合法的であるものと信頼することができる。それに加えて、既知の信用できる実体がデジタル署名したファイルは信頼することができる。

他のオブジェクトは合法的であるものと信頼されない。かかる信頼できないオブジェクトは悪意あるソフトウェアをホストしていることがある。「マルウェア」と呼ばれることもある悪意あるソフトウェアは、一般に、クライアント１０４上で不正に実行されるか、又は何らかの不正な機能性を有するソフトウェアとして定義される。悪意あるソフトウェアをホストするオブジェクトは、マルウェアオブジェクトとして知られている。

マルウェアオブジェクトは、信頼できる合法的オブジェクトを使用してクライアント１０４を攻撃する可能性がある。例えば、マルウェアオブジェクトは、マイクロソフト（ＭＩＣＲＯＳＯＦＴ ＣＯＲＰ．）から入手可能なｔｆｔｐ．ｅｘｅクライアントなどの信頼できるファイル転送プログラムを、クライアント１０４にダウンロードすることがある。マルウェアは次に、そのファイル転送プログラムを使用して、機密データをクライアント１０４から脱出させる（即ち、公開する）ことがある。つまり、攻撃者は、信頼できるオブジェクトを活用するマルウェアを使用して、クライアント１０４上のデータを公表し、それによってクライアント１０４及び／又はクライアントのユーザを危険に晒すことがある。

クライアント１０４は、クライアントに対してセキュリティを提供するセキュリティモジュール１０８を実行する。一実施形態では、セキュリティモジュール１０８は、信頼できるオブジェクトを活用してクライアントを攻撃するマルウェアを含むマルウェアが、クライアント１０４上に存在することを検出する。セキュリティモジュール１０８は、クライアント１０４のＯＳに組み込むことができ、又は別個の包括的セキュリティパッケージの一部であることができる。一実施形態では、セキュリティモジュール１０８は、セキュリティサーバ１０２を運営しているのと同じ実体によって提供される。

セキュリティモジュール１０８は、様々な異なる技術を使用するマルウェアを検出してもよい。一実施形態では、セキュリティモジュール１０８は、マルウェア署名を含む検出データを使用するマルウェアを検出する。マルウェア署名は、クライアント１０４におけるマルウェアオブジェクトのインスタンスを検出するのに使用することができる、マルウェアの特性を説明する。特性は、マルウェアの存在を示す、オブジェクト内で見出されるデータ列を識別する署名文字列、及びクライアント１０４で実行したときにマルウェアによって行われる一連の挙動を含んでもよい。

セキュリティモジュール１０８がマルウェアを検出するのに使用される別の技術は、ネットワーク１１０を介してセキュリティサーバ１０２と通信して、オブジェクトに関する情報を取得することを伴う。一実施形態では、セキュリティモジュール１０８は、クライアント１０４上のオブジェクトが使用されているとき（例えば、オブジェクトが関与するアクションが行われているとき）にそれを検出する。例えば、セキュリティモジュール１０８は、クライアント１０４上の特定のファイルが、作成、アクセス、修正、実行、又はネットワーク１１０を介して送信されているときに、それを観察してもよい。セキュリティモジュール１０８は、ハッシング又は別の計算技術を使用するオブジェクトを一意に識別する指紋（即ち、識別子）を作成する。次に、セキュリティモジュール１０８は、オブジェクトの指紋を、オブジェクトに関する情報を探索するクエリの一部としてセキュリティサーバ１０２に提供する。

一実施形態では、セキュリティモジュール１０８はまた、オブジェクトと関連付けられた使用属性を識別（即ち、収集）し、これらの属性をオブジェクトの指紋と共にセキュリティサーバ１０２に送る。セキュリティモジュール１０８は、使用属性を、オブジェクトに関する情報に対するクエリの一部として、又は別個のトランザクションとしてセキュリティサーバ１０２に送ってもよい。オブジェクトの使用属性は、オブジェクトの使用の特性を説明する。したがって、使用属性は、オブジェクトがクライアント１０４でどのように使用されているかを集合的に説明する。一実施形態では、オブジェクトの属性はオブジェクトのタイプに応じて決まり、異なるタイプのオブジェクトは異なる一連の属性を有する。例えば、オブジェクトのタイプはファイルオブジェクト及びＵＲＬオブジェクトを含んでもよい。ファイルオブジェクトの場合の一連の属性は、ファイルの名称、クライアント１０４におけるファイルの場所を説明するファイルパス、ファイルと関連付けられたＵＲＬ又はドメイン、ファイルの作成者、及びファイルにアクセスしているプロセスの識別子を含んでもよい。ＵＲＬオブジェクトの場合、一連の属性は、ＵＲＬの使用のタイプ（例えば、ウェブの閲覧又はファイルのダウンロード）、及びＵＲＬにアクセスするのに使用されるアプリケーションを含んでもよい。所与のオブジェクトは、それに対応する一連の属性それぞれに対する値を有さないことがある。例えば、ファイルオブジェクトは、ファイルがウェブサイトからダウンロードされたものではない場合、ＵＲＬ／ドメイン属性に対する値を有さないことがある。

セキュリティモジュール１０８は、識別された使用属性を、関連付けられたオブジェクトの指紋と共にセキュリティサーバに送信する。クエリに応答して、セキュリティモジュール１０８は、オブジェクトに関する情報をセキュリティサーバ１０２から受信する。一実施形態では、情報は、オブジェクトの使用が疑わしいものであるか疑わしくないかを示す。セキュリティサーバ１０２からの情報は、オブジェクトがマルウェアを包含する確率を示す評判情報など、他の情報も含んでもよく、非常に高い評判はオブジェクトがマルウェアを包含する確率が低いことを示し、非常に低い評判はオブジェクトがマルウェアを包含する確率が高いことを示す。

セキュリティサーバ１０２からの情報が、オブジェクトの使用が疑わしいものでないことを示している場合、セキュリティモジュール１０８によってクライアント１０４上での使用が可能になる。情報が、オブジェクトの使用が疑わしいものであることを示している場合、セキュリティモジュール１０８はセキュリティアクションを行ってもよい。セキュリティアクションのタイプは、様々な実施形態において異なってもよい。行うことができる１つのセキュリティアクションは、オブジェクトの疑わしい使用を阻止することである。例えば、セキュリティモジュール１０８は、プロセスがオブジェクトを使用してデータをクライアント１０４から送出しようとするのを阻止してもよい。別のセキュリティアクションは、オブジェクトの使用が疑わしいものであるという報告（例えば、警告）を、クライアント１０４のユーザに提供することである。その結果、ユーザは、警告に基づいて使用を許可するか又は拒否するかを決定することができる。セキュリティモジュール１０８が行ってもよい第３のセキュリティアクションは、クライアント１０４を害することなく行えるように使用を隔離することである。例えば、セキュリティモジュール１０８は、オブジェクトからの入力及び出力を仮想化し、それによって、オブジェクトの使用がクライアント１０４に対して引き起こし得る損害を限定してもよい。特に、セキュリティモジュール１０８は、クライアント１０４上の特定のシステム場所に対する読み書き能力を制限してもよく、ならびに／あるいはクライアントに関するオブジェクトの特権を限定してもよい。

一実施形態では、セキュリティモジュール１０８は、合法的であると信頼されたオブジェクトのみに対するものなど、クライアント１０４における特定のタイプのオブジェクトのみに関する使用属性を収集して送る。このように、セキュリティモジュール１０８は、合法的オブジェクトが疑わしい目的に使用されているときにそれを検出する。セキュリティモジュール１０８の実施形態はまた、合法的であると信頼されていないオブジェクトに対して、この技術を使用してもよい。それに加えて、セキュリティモジュール１０８は、本明細書に記載する技術に加えて他のマルウェア検出技術を使用してもよい。

セキュリティサーバ１０２は、クライアント１０４若しくは他の実体からオブジェクトに関するクエリを受信し、それに応答して情報を提供するように構成された、ハードウェアデバイス及び／又はソフトウェアモジュールである。セキュリティサーバ１０２の一例は、セキュリティソフトウェア及びサービスをクライアント１０４のセキュリティモジュール１０８に提供する、ウェブベースのシステムである。実施形態に応じて、セキュリティサーバ１０２の機能の１つ以上を、クラウドコンピューティング環境によって提供することができる。本明細書で使用するとき、「クラウドコンピューティング」は、ネットワーク１１０を通じたサービスとして、動的に拡張可能であって多くの場合仮想化されたリソースが提供される、コンピューティングの形式を指す。クライアント１０４及び生産セキュリティモジュール１０８に属する機能も、クラウドコンピューティング環境によって提供することができる。

セキュリティサーバ１０２は、オブジェクトの使用を疑わしいもの又は疑わしくないものに分類するクエリに対する応答を提供する。セキュリティサーバ１０２は、クエリに含まれる使用属性に少なくとも部分的に基づいて、使用を分類する。一実施形態では、セキュリティサーバ１０２は、セキュリティサーバ１０２と通信しているクライアント１０４によるオブジェクトの一般的な使用と一致する、使用属性を説明する一連の事実を識別することによって、オブジェクトの使用を分類する。セキュリティサーバ１０２は、オブジェクトと関連付けられた一連の事実をクエリに含まれる使用属性と比較して、オブジェクトの使用が一般的であるか否かを判定する。オブジェクトの使用が一般的である場合、セキュリティサーバ１０２は、その使用を疑わしくないものとして分類する。問い合わされた使用が一般的でない場合、セキュリティサーバ１０２は、その使用を疑わしいものとして分類する。

ネットワーク１１０は、セキュリティサーバ１０２、クライアント１０４、及びネットワーク上の他の任意の実体の間の通信経路を表す。一実施形態では、ネットワーク１１０はインターネットであり、標準的な通信技術及び／又はプロトコルを使用する。したがって、ネットワーク１１０は、イーサネット（登録商標）、８０２．１１、マイクロ波アクセス回線のための国際相互運用（ＷｉＭＡＸ）、３Ｇ、デジタル加入者回線（ＤＳＬ）、非同期転送モード（ＡＴＭ）、インフィニバンド、ＰＣＩエキスプレスアドバンストスイッチングなどの技術を使用するリンクを含むことができる。同様に、ネットワーク１１０上で使用されるネットワーキングプロトコルは、マルチプロトコルラベルスイッチング（ＭＰＬＳ）、伝送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）、ユーザデータグラムプロトコル（ＵＤＰ）、ハイパーテキスト転送プロトコル（ＨＴＴＰ）、簡易メール転送プロトコル（ＳＭＴＰ）、ファイル転送プロトコル（ＦＴＰ）などを含むことができる。ネットワーク１１０を通じて交換されるデータは、ハイパーテキストマークアップ言語（ＨＴＭＬ）、拡張マークアップ言語（ＸＭＬ）などを含む技術及び／又は形式を使用して表すことができる。それに加えて、リンクの全て又は一部は、セキュアソケットレイヤー（ＳＳＬ）、トランスポートレイヤーセキュリティ（ＴＬＳ）、仮想私設ネットワーク（ＶＰＮ）、インターネットプロトコルセキュリティ（ＩＰｓｅｃ）など、従来の暗号化技術を使用して暗号化することができる。他の実施形態では、実体は、上述したものの代わりに、又はそれに加えて、カスタム及び／又は専用データ通信技術を使用する。

図２は、セキュリティサーバ１０２又はクライアント１０４として使用される一般的なコンピュータ２００を示す高レベルブロック図である。チップセット２０４に結合されるプロセッサ２０２を示している。チップセット２０４には、メモリ２０６、記憶装置２０８、キーボード２１０、グラフィックアダプタ２１２、ポインティングデバイス２１４、及びネットワークアダプタ２１６も結合される。グラフィックアダプタ２１２には、ディスプレイ２１８が結合される。一実施形態では、チップセット２０４の機能性は、メモリコントローラハブ２２０及び入出力コントローラハブ２２２によって提供される。別の実施形態では、メモリ２０６は、チップセット２０４の代わりにプロセッサ２０２に直接結合される。

記憶装置２０８は、ハードドライブ、コンパクトディスク読出し専用メモリ（ＣＤ−ＲＯＭ）、ＤＶＤ、又は固体メモリデバイスなど、非一時的コンピュータ可読記憶媒体である。メモリ２０６は、プロセッサ２０２が使用する命令及びデータを保持する。ポインティングデバイス２１４は、マウス、トラックボール、又は他のタイプのポインティングデバイスであり、キーボード２１０と組み合わせて、コンピュータシステム２００にデータを入力するのに使用される。グラフィックアダプタ２１２は、ディスプレイ２１８上に画像及び他の情報を表示させる。ネットワークアダプタ２１６は、コンピュータシステム２００をネットワーク１１０に結合する。

当該技術分野で知られているように、コンピュータ２００は、図２に示すコンポーネントと異なるコンポーネント及び／又は他のコンポーネントを有することができる。それに加えて、コンピュータ２００は特定の例示したコンポーネントを有さないことが可能である。一実施形態では、セキュリティサーバとして作用するコンピュータ２００は、複数のブレードコンピュータで形成され、キーボード２１０、ポインティングデバイス２１４、グラフィックスアダプタ２１２、及び／又はディスプレイ２１８を欠く。更に、記憶装置２０８は、（ストレージエリアネットワーク（ＳＡＮ）内で具体化されるものなど）ローカルとし、かつ／又はコンピュータ２００から遠隔であることができる。

本明細書では、「モジュール」という用語を、指定の機能性を提供するためのコンピュータプログラムロジックを指すのに使用する。モジュールは、ハードウェア、ファームウェア、及び／又はソフトウェア内に実装することができる。モジュールは、一般的に、記憶装置２０８などの非一時的コンピュータ可読記憶媒体に格納され、メモリ２０６にロードされ、プロセッサ２０２によって実行される。

図３は、一実施形態によるセキュリティサーバ１０２の詳細図を示す高レベルブロック図である。図３に示されるように、セキュリティサーバ１０２は複数のモジュールを含む。いくつかの実施形態では、機能は、本明細書に記載するのとは異なる形で、これらのモジュール間で分配される。

相互作用モジュール３００は、クライアント１０４からクエリを受信し、クエリに対する応答をクライアントに提供する。上述したように、一実施形態では、クライアント１０４からのクエリは、クライアントによって使用されているオブジェクトを識別する指紋、及びそのオブジェクトがどのように使用されているかを説明する使用属性を含む。識別されたオブジェクトは、クライアント１０４によって合法的であると信頼されてもよい。クエリに対する応答は、次いで、識別されたオブジェクトの使用を疑わしいもの又は疑わしくないものとして分類する。一実施形態では、応答は使用の分類を明示的に示す。別の実施形態では、応答は、クライアント１０４が次にオブジェクトを分類するのに使用してもよい情報を含む。相互作用モジュール３００は、セキュリティサーバ１０２内の他のモジュールと通信して、受信したクエリを共有し、クエリに応答して提供する情報を取得する。

相互作用モジュール３００は、クライアント１０４から受信した使用属性を属性データベース３０８に格納する。属性データベース３０８は、次いで、属性のそれぞれのオブジェクトと関連付けて属性を格納する。したがって、所与のオブジェクトに対して、属性データベース３０８は、そのオブジェクトに関して複数の異なるクライアント１０４から受信した使用属性を格納する。多くのクライアント１０４を有する環境１００では、属性データベース３０８は、クライアントによって使用される多くの異なるオブジェクトの識別子、及びクライアントがオブジェクトをどのように使用したかを説明する更に多くの一連の使用属性を、時間に伴って格納する。それに加えて、所与のオブジェクトに対する使用属性を、オブジェクトの指紋をキーとして使用することによって、属性データベース３０８から検索してもよい。

事実判定モジュール３０２は、属性データベース３０８内の属性を分析して、クライアント１０４によるオブジェクトの一般的な使用を説明する事実を確立する。オブジェクトに関する一連の事実を確立するため、事実判定モジュール３０２は属性データベース３０８から、オブジェクトと関連付けられた一連の使用属性を識別する。例えば、事実判定モジュール３０２は、所与のオブジェクトの指紋と関連付けて格納された一連の使用属性に関して、属性データベース３０８に問い合わせてもよい。

事実判定モジュール３０２は、オブジェクトと関連付けられた識別された一連の使用属性を分析して、そのオブジェクトに対する最も一般的な属性値を識別する。使用属性は複数のクライアント１０４から受信されているので、最も一般的な属性値は、セキュリティサーバ１０２と通信しているクライアントによる、関連付けられたオブジェクトの一般的な使用を表す。これらの最も一般的な属性値は、オブジェクトの使用に関する「事実」と呼ばれる。したがって、事実判定モジュール３０２は、オブジェクトの使用に関する一連の事実を判定する。

一連の事実を識別するため、事実判定モジュール３０２はオブジェクトのタイプを判定する。次に、事実判定モジュール３０２は、そのオブジェクトタイプと関連付けられた様々な属性を列挙する。例えば、上述したように、ファイルオブジェクトは、ファイルの名称、クライアント１０４におけるファイルの場所を説明するファイルパス、ファイルと関連付けられたＵＲＬ又はドメイン、ファイルの作成者、及びファイルにアクセスしているプロセスの識別子を含む、一連の属性を有してもよい。事実判定モジュール３０２は、オブジェクトに関する各使用属性に対して最も一般的な値を、例えばクライアントにおけるファイルの最も一般的な場所を判定する。

事実判定モジュール３０２は、様々な技術の１つ以上を使用して、属性の最も一般的な値を判定してもよい。一実施形態では、事実判定モジュール３０２は、一連の属性それぞれに関して最も頻出する値（例えば、上位５つ）を識別する。事実判定モジュール３０２は、属性に対する値の発生頻度を説明するヒストグラムを作成することによって、この分析を行ってもよい。例えば、事実判定モジュール３０２は、オブジェクトに関する上位５つの最も高頻度の名称、ファイルと関連付けられた上位５つの最も高頻度のファイルパス、ファイルと関連付けられた上位５つの最も高頻度のＵＲＬ又はドメインなどを識別してもよい。

事実判定モジュール３０２は、新しい使用属性がクライアント１０４から受信されると、時間に伴ってオブジェクトに関する一連の事実を更新する。一実施形態では、オブジェクトに関する一連の事実は周期的に更新される。例えば、事実判定モジュール３０２は、毎日、毎週、毎月、又は２箇月毎に、一連の事実を更新してもよい。このように一連の事実を更新することによって、オブジェクトと関連付けられた一連の事実が最新のものであることが担保され、クライアント１０４によってオブジェクトが現在どのように使用されているかが反映される。

事実判定モジュール３０２は、判定された使用事実を事実データベース３１０に格納する。属性データベース３０８と同様に、事実データベース３１０の一実施形態は、オブジェクトの指紋と関連付けて事実を格納する。したがって、所与のオブジェクトに対する一連の使用事実は、オブジェクトの指紋をキーとして使用して、事実データベース３１０に問い合わせることによって判定されてもよい。

評価モジュール３０４は、オブジェクトの使用を評価して、使用が疑わしいものであるか否かを判定する。一実施形態では、評価モジュール３０４は、クライアントによって使用されているオブジェクトを識別する指紋、及びクライアントにおいてオブジェクトがどのように使用されているかを説明する使用属性を含む、クエリをクライアント１０４から受信する。例えば、オブジェクトに関する一連の属性は、ファイル名称値「１２５６．ｓｃｕ」、オブジェクトがクライアント１０４のごみ箱内に位置することを示すファイルパス値、関連付けられたＵＲＬ値「ｍｙｐａｙｌｏａｄｓｅｒｖｅｒ．ｃｎ」、ファイルがＩＮＴＥＲＮＥＴ ＥＸＰＬＯＲＥＲのダウンロードから作成されたことの指示、及びＡＣＲＯＢＡＴ ＲＥＡＤＥＲがファイルにアクセスするプロセスであることの指示を含んでもよい。

クエリの受信に応答して、評価モジュール３０４は、オブジェクトの一連の属性を分析して、クライアントによるオブジェクトの使用が疑わしいものであるか否かを判定する。この分析の一部として、評価モジュール３０４は事実データベース３１０にアクセスして、識別されたオブジェクトと関連付けられた一連の使用事実を識別する。上述の例を継続すると、評価モジュール３０４は、オブジェクトが一般に「ｔｆｔｐ．ｅｘｅ」であり、共通のファイルパス「Ｃ：＼Ｗｉｎｄｏｗｓ（登録商標）＼Ｓｙｓｔｅｍ３２」を有すると、一連の事実が示していることを判定してもよい。

評価モジュール３０４は、識別された一連の使用事実を一連の使用属性と比較して、クライアント１０４から受信した使用属性と事実データベース３１０から検索した一連の事実との間にばらつきがある場合に、その量を判定する。この比較は、各属性の値をそれに対応する事実の値と比較することによって行われてもよい。例えば、評価モジュール３０４は、ファイルの名称「１２５６．ｓｃｕ」が、対応する事実によって示される上位５つのファイル名称のリストに出てくるか否かを判定してもよい。名称が名称のリストに出てこない場合、名称の属性はそれに対応する名称の事実に合致するものと言われる。評価モジュール３０４は、オブジェクトの使用属性それぞれに対して同様の判定を行う。したがって、これらの比較は、一連の使用属性のうちどれだけのものが、事実データベース３１０によって維持されている、オブジェクトに関する対応する事実と合致するかを示す。

評価モジュール３０４は、比較に基づいて、オブジェクトの使用を疑わしいものと分類してもよい。一実施形態では、評価モジュール３０４は、閾値数の使用属性がオブジェクトに関する対応する使用事実と合致しない場合に、オブジェクトの使用を疑わしいものとして分類する。評価モジュール３０４が、閾値数の使用属性がオブジェクトに関する対応する使用事実と合致すると判定した場合、評価モジュール３０４は、オブジェクトの使用を疑わしくないものとして分類する。このように、オブジェクトの属性をそのオブジェクトと関連付けられた事実と比較することによって、評価モジュール３０４は、オブジェクトがクライアント１０４によって疑わしい形で使用されているか否かを判定する。

閾値は、属性の数に基づいて（例えば、少なくとも３つの属性が合致しない場合は疑わしい）、属性の合致率に基づいて（例えば、属性の少なくとも３０％が合致しない場合は疑わしい）、又は別の技術に基づいて確立されてもよい。一実施形態では、評価モジュール３０４は異なる使用属性に対して異なる重みを割り当てるので、いくつかの属性は、閾値が満たされるか否かに多かれ少なかれ影響する。評価モジュール３０４の他の実施形態は、オブジェクトの使用が疑わしいか否かを判定するのに異なる技術を使用する。

報告モジュール３０６は、評価モジュール３０４が行った評価の結果をクライアント１０４に報告する。報告モジュール３０６は、クライアント１０４からのクエリに対する応答を系統立て、その応答を、クライアントに送信するために相互作用モジュール３００に提供する。一実施形態では、応答は、評価モジュール３０４が識別されたオブジェクトの使用を疑わしいもの又は疑わしくないもののどちらとして分類したかを示す。次に、クライアント１０４のセキュリティモジュール１０８は、応答の分類に基づいてセキュリティアクションを行ってもよい。報告モジュール３０６が、セキュリティモジュール１０８が行うセキュリティアクションを指定してもよく、又はセキュリティモジュール１０８が適切なセキュリティアクションを決定してもよい。別の実施形態では、報告モジュール３０６は、事実データベース３１０からのオブジェクトに関する事実を応答に含め、評価モジュール３０４が行った評価の結果を省略してもよい。次に、クライアント１０４のセキュリティモジュール１０８は、クライアントにおけるオブジェクトの使用属性を考慮して事実を評価し、疑わしいもの又は疑わしくないものとして使用の局所的分類及び適切なセキュリティアクションを行ってもよい。

更に、報告モジュール３０６は、評価モジュール３０４が行った評価の結果に基づいて、他のアクションを行ってもよい。例えば、報告モジュール３０６は、評価に基づいてオブジェクトの評判を変更してもよい。合法的であると信頼されたオブジェクトが、複数のクライアント１０４に亘る疑わしい形で頻繁に使用される場合、報告モジュール３０６は、オブジェクトがもはや信頼されないものであることを示すようにその評判を下げてもよい。結果として、クライアント１０４のセキュリティモジュール１０８は、より精密な審査をオブジェクトに与え、したがってそのオブジェクトを使用するマルウェアの検出を改善してもよい。

図４は、オブジェクトの疑わしい使用を識別するのにセキュリティサーバ１０２の一実施形態によって行われるステップを示すフローチャートである。他の実施形態は、異なるかつ／又は追加のステップを行うことができる。更に、他の実施形態は異なる順序でステップを行うことができる。更に、ステップの一部又は全てをセキュリティサーバ１０２以外の実体によって行うことができる。

一実施形態では、セキュリティサーバ１０２は、オブジェクトに関するクライアント１０４からのクエリを受信する（４０２）。クエリは、ファイルの名称、クライアント１０４におけるファイルの場所を説明するファイルパス、ファイルと関連付けられたＵＲＬ又はドメイン、ファイルの作成者、及びファイルにアクセスしているプロセスの識別子など、オブジェクトの使用属性を含む。セキュリティサーバ１０２は、オブジェクトと関連付けられた一連の事実を識別する（４０４）。一連の事実は、オブジェクトの一般的な使用と一致する使用属性を説明する。セキュリティサーバ１０２は、オブジェクトと関連付けられた一連の事実及びそれに対応する使用属性に基づいて、オブジェクトの使用が疑わしいものであるか否かを判定する（４０６）。セキュリティサーバ１０２は、判定に基づいてクライアント１０４に報告を提供する（４０８）。

上述の説明は、特定の実施形態の操作を例示するために含まれるものであり、本発明の範囲を限定することを意味しない。本発明の範囲は以下の特許請求の範囲によってのみ限定されるべきである。上述の考察から、本発明の趣旨及び範囲に依然として包含されるであろう多くの変形例が、当業者には明白となるであろう。

Claims (20)

1. オブジェクトの疑わしい使用を識別するコンピュータ実装方法であって、
   オブジェクトに関するクライアントデバイスからのクエリを受信するステップであって、前記クエリが、前記オブジェクトの識別子と、それに関連付けられた、前記クライアントデバイス上における前記オブジェクトの使用について説明する一連の使用属性とを含む、ステップと、
   前記識別されたオブジェクトと関連付けられた一連の使用事実を識別するステップであって、前記一連の使用事実が、複数のクライアントデバイス上における前記オブジェクトの一般的な使用について説明する、ステップと、
   コンピュータによって、前記オブジェクトと関連付けられた前記一連の使用事実、及び前記クエリに含まれる前記一連の使用属性に基づいて、前記クライアントデバイス上における前記オブジェクトの使用が疑わしいものであるか否かを判定するステップと、
   前記判定に基づいて前記クライアントデバイスに対して報告を提供するステップと、を含む方法。
2. 前記オブジェクトが、前記クライアントデバイス上に格納されたファイルであり、前記クライアントデバイス上で実行するセキュリティモジュールによって悪意がないものとして信頼される、請求項１に記載のコンピュータ実装方法。
3. 複数の異なるタイプのオブジェクトが存在し、前記識別するステップが、異なるタイプのオブジェクトに対する異なる一連の使用属性を識別する、請求項１に記載のコンピュータ実装方法。
4. 前記オブジェクトのオブジェクトタイプがファイルオブジェクトであり、前記一連の使用事実を識別することが、前記ファイルの名称、前記クライアントデバイスにおける前記ファイルの場所を説明するファイルパス、前記ファイルと関連付けられたユニフォームリソースロケータ（ＵＲＬ）、前記ファイルの作成者、及び前記ファイルにアクセスしているプロセスの識別子のうち少なくとも１つを識別することを含む、請求項３に記載のコンピュータ実装方法。
5. 前記複数のクライアントデバイス上における前記オブジェクトの使用について説明する、前記オブジェクトと関連付けられた使用属性を含む報告を、前記複数のクライアントデバイスから受信するステップと、
   前記複数のクライアントデバイスに亘る共通の使用属性を識別するため、前記使用属性を分析するステップと、
   前記複数のクライアントデバイスに亘る前記共通の使用属性に基づいて、前記オブジェクトと関連付けられた前記一連の使用事実を確立するステップと、を更に含む、請求項１に記載のコンピュータ実装方法。
6. 前記オブジェクトの使用が疑わしいものであるか否かを判定するステップが、
   前記オブジェクトと関連付けられた前記一連の使用事実を、前記クエリに含まれる前記一連の使用属性と比較するステップと、
   前記オブジェクトと関連付けられた前記一連の使用事実と合致しない前記一連の使用属性からの閾値数の使用属性に応答して、前記オブジェクトの使用を疑わしいものとして分類するステップと、
   前記オブジェクトと関連付けられた前記一連の使用事実と合致する前記一連の使用属性からの前記閾値数の使用属性に応答して、前記オブジェクトの使用を疑わしくないものとして分類するステップと、を含む、請求項１に記載のコンピュータ実装方法。
7. 前記クライアントデバイスに対して前記報告を提供するステップが、
   前記オブジェクトの使用が疑わしいものであるという判定に応答して、前記クライアントデバイスが行うセキュリティアクションを指定するステップを含む、請求項１に記載のコンピュータ実装方法。
8. 前記セキュリティアクションが、前記オブジェクトの使用を阻止すること、前記オブジェクトの使用が疑わしいものであるという警告を前記クライアントデバイスのユーザに提供すること、及び前記オブジェクトの使用を隔離することのうち少なくとも１つを含む、請求項１に記載のコンピュータ実装方法。
9. 前記クライアントデバイスに対して前記報告を提供するステップが、
   前記判定に基づいて、疑わしいもの又は疑わしくないものとしての前記オブジェクトの使用の分類を提供するステップを含む、請求項１に記載のコンピュータ実装方法。
10. 前記クライアントデバイスに対して前記報告を提供するステップが、
    前記オブジェクトと関連付けられた前記一連の使用事実を前記クライアントデバイスに提供するステップを含み、
    前記一連の使用事実に基づいて、前記オブジェクトの使用が疑わしいものであるか否かを前記クライアントデバイスが判定する、請求項１に記載のコンピュータ実装方法。
11. 前記複数のクライアントデバイス上における前記オブジェクトの使用について説明する、前記オブジェクトと関連付けられた使用属性を含む報告を、前記複数のクライアントデバイスから受信するステップと、
    前記報告に含まれる前記使用属性に基づいて、時間に伴って前記オブジェクトと関連付けられた前記一連の使用事実を更新するステップと、を更に含む、請求項１に記載のコンピュータ実装方法。
12. オブジェクトの疑わしい使用を識別するための実行可能なコードを含む非一時的コンピュータ可読記憶媒体を含む、コンピュータプログラム製品であって、前記コードが実行されると、
    オブジェクトに関するクライアントデバイスからのクエリを受信するステップであって、前記クエリが、前記オブジェクトの識別子と、それに関連付けられた、前記クライアントデバイス上における前記オブジェクトの使用について説明する一連の使用属性とを含む、ステップと、
    前記識別されたオブジェクトと関連付けられた一連の使用事実を識別するステップであって、前記一連の使用事実が、複数のクライアントデバイス上における前記オブジェクトの一般的な使用について説明する、ステップと、
    前記オブジェクトと関連付けられた前記一連の使用事実、及び前記クエリに含まれる前記一連の使用属性に基づいて、前記クライアントデバイス上における前記オブジェクトの使用が疑わしいものであるか否かを判定するステップと、
    前記判定に基づいて前記クライアントデバイスに対して報告を提供するステップと、を含むステップを行う、コンピュータプログラム製品。
13. 前記オブジェクトが、前記クライアントデバイス上に格納されたファイルであり、前記クライアントデバイス上で実行するセキュリティモジュールによって悪意がないものとして信頼される、請求項１２に記載のコンピュータプログラム製品。
14. 前記オブジェクトの使用が疑わしいものであるか否かを判定するステップが、
    前記オブジェクトと関連付けられた前記一連の使用事実を、前記クエリに含まれる前記一連の使用属性と比較するステップと、
    前記オブジェクトと関連付けられた前記一連の使用事実と合致しない前記一連の使用属性からの閾値数の使用属性に応答して、前記オブジェクトの使用を疑わしいものとして分類するステップと、
    前記オブジェクトと関連付けられた前記一連の使用事実と合致する前記一連の使用属性からの前記閾値数の使用属性に応答して、前記オブジェクトの使用を疑わしくないものとして分類するステップと、を含む、請求項１２に記載のコンピュータプログラム製品。
15. 前記クライアントデバイスに対して前記報告を提供するステップが、
    前記判定に基づいて、疑わしいもの又は疑わしくないものとしての前記オブジェクトの使用の分類を提供するステップを含む、請求項１２に記載のコンピュータプログラム製品。
16. 前記クライアントデバイスに対して前記報告を提供するステップが、
    前記オブジェクトと関連付けられた前記一連の使用事実を前記クライアントデバイスに提供するステップを含み、
    前記一連の使用事実に基づいて、前記オブジェクトの使用が疑わしいものであるか否かを前記クライアントデバイスが判定する、請求項１３に記載のコンピュータプログラム製品。
17. オブジェクトの疑わしい使用を識別するためのコンピュータシステムであって、
    プロセッサと、
    実行可能なコードを含むコンピュータ可読記憶媒体であって、前記コードが前記プロセッサによって実行されると、
    オブジェクトに関するクライアントデバイスからのクエリを受信するステップであって、前記クエリが、前記オブジェクトの識別子と、それに関連付けられた、前記クライアントデバイス上における前記オブジェクトの使用について説明する一連の使用属性とを含む、ステップと、
    前記識別されたオブジェクトと関連付けられた一連の使用事実を識別するステップであって、前記一連の使用事実が、複数のクライアントデバイス上における前記オブジェクトの一般的な使用について説明する、ステップと、
    前記オブジェクトと関連付けられた前記一連の使用事実、及び前記クエリに含まれる前記一連の使用属性に基づいて、前記クライアントデバイス上における前記オブジェクトの使用が疑わしいものであるか否かを判定するステップと、
    前記判定に基づいて前記クライアントデバイスに対して報告を提供するステップと、を含むステップを行う、コンピュータ可読記憶媒体と、を備える、コンピュータシステム。
18. 前記オブジェクトの使用が疑わしいものであるか否かを判定するステップが、
    前記オブジェクトと関連付けられた前記一連の使用事実を、前記クエリに含まれる前記一連の使用属性と比較するステップと、
    前記オブジェクトと関連付けられた前記一連の使用事実と合致しない前記一連の使用属性からの閾値数の使用属性に応答して、前記オブジェクトの使用を疑わしいものとして分類するステップと、
    前記オブジェクトと関連付けられた前記一連の使用事実と合致する前記一連の使用属性からの前記閾値数の使用属性に応答して、前記オブジェクトの使用を疑わしくないものとして分類するステップと、を含む、請求項１７に記載のコンピュータシステム。
19. 前記クライアントデバイスに対して前記報告を提供するステップが、
    前記判定に基づいて、疑わしいもの又は疑わしくないものとしての前記オブジェクトの使用の分類を提供するステップを含む、請求項１７に記載のコンピュータシステム。
20. 前記クライアントデバイスに対して前記報告を提供するステップが、
    前記オブジェクトと関連付けられた前記一連の使用事実を前記クライアントデバイスに提供するステップを含み、
    前記一連の使用事実に基づいて、前記オブジェクトの使用が疑わしいものであるか否かを前記クライアントデバイスが判定する、請求項１７に記載のコンピュータシステム。