JP2016526730A5 - - Google Patents

Claims (25)

1. 仮想マシンを公開するように構成されたハイパーバイザと、
   前記仮想マシン内で実行されるプロセス評価器と、
   前記仮想マシンの外で実行されるメモリ内部監視エンジンと、
   プロセススコアリングモジュールと
   を実行するように構成された少なくとも１つのプロセッサを含むホストシステムであって、
   前記プロセス評価器は、
   前記仮想マシン内で実行される評価されるプロセスがアクションを行うかどうかを判断し、
   前記評価されるプロセスが前記アクションを行うときに、前記評価されるプロセスに対して求められた第１のプロセス評価インジケータを前記プロセススコアリングモジュールに送る
   ように構成され、
   前記メモリ内部監視エンジンは、
   オペレーティングシステム機能へのコールをインターセプトして、前記仮想マシン内で実行される保護されるプロセスの起動を検出し、前記オペレーティングシステム機能は、前記保護されるプロセスを前記仮想マシン内で実行されるプロセスのリストに追加するように構成され、
   前記起動を検出することに応じて、
   前記評価されるプロセスが前記保護されるプロセスのメモリページを変更しようと試みるかどうかを判断し、
   前記評価されるプロセスが前記メモリページを変更しようと試みるときに、
   前記評価されるプロセスに対して求められた第２のプロセス評価インジケータを前記プロセススコアリングモジュールに送る
   ように構成され、
   前記プロセススコアリングモジュールは、
   前記第１および第２のプロセス評価インジケータを受け取り、
   前記第１および第２のプロセス評価インジケータにより、前記評価されるプロセスが悪意のあるものであるかどうかを判断する
   ように構成された、ホストシステム。
2. 請求項１に記載のホストシステムであって、前記メモリ内部監視エンジンは、
   前記保護されるプロセスの前記起動を検出することに応じて、前記保護されるプロセスのインジケータを前記仮想マシン内で実行されるセキュリティアプリケーションに送信し、
   前記セキュリティアプリケーションから前記メモリページのインジケータを受け取る
   ようにさらに構成された、ホストシステム。
3. 請求項１に記載のホストシステムであって、前記プロセス評価器は、ユーザレベルのプロセッサ特権で実行されるユーザレベルのプロセス評価器を含み、前記ユーザレベルのプロセス評価器は、前記評価されるプロセスが前記アクションを行うかどうかを判断するように構成された、ホストシステム。
4. 請求項１に記載のホストシステムであって、前記プロセス評価器は、カーネルレベルのプロセッサ特権で実行されるカーネルレベルのプロセス評価器を含み、前記カーネルレベルのプロセス評価器は、前記評価されるプロセスが前記アクションを行うかどうかを判断するように構成された、ホストシステム。
5. 請求項１に記載のホストシステムであって、前記プロセス評価器は、前記評価されるプロセスによって行われるシステムコールをインターセプトするように構成されたシステムコール評価器を含む、ホストシステム。
6. 請求項１に記載のホストシステムであって、前記プロセススコアリングモジュールは、前記仮想マシン内で実行される、ホストシステム。
7. 請求項１に記載のホストシステムであって、前記プロセススコアリングモジュールは、前記仮想マシンの外で実行される、ホストシステム。
8. 請求項１に記載のホストシステムであって、前記評価されるプロセスが悪意のあるものであるかどうかを判断することは、第１のスコアおよび第２のスコアにより総スコアを求めることを含み、前記第１および第２のスコアは、それぞれ前記第１および第２のプロセス評価インジケータによりセキュリティサーバで求められ、前記セキュリティサーバは、前記ホストシステムを含む複数のコンピュータシステムとアンチマルウェアトランザクションを行うように構成された、ホストシステム。
9. 請求項１に記載のホストシステムであって、前記評価されるプロセスが悪意のあるものであるかどうかを判断することは、第１のスコアおよび第２のスコアの加重和により総スコアを求めることを含み、前記第１および第２のスコアは、それぞれ前記第１および第２のプロセス評価インジケータにより求められ、前記プロセススコアリングモジュールは、セキュリティサーバから第１の重みおよび第２の重みを受け取るようにさらに構成され、前記第１の重みは前記加重和において前記第１のスコアに乗算され、前記第２の重みは前記加重和において前記第２のスコアに乗算され、前記セキュリティサーバは、前記ホストシステムを含む複数のコンピュータシステムとアンチマルウェアトランザクションを行うように構成された、ホストシステム。
10. 請求項１に記載のホストシステムであって、前記保護されるプロセスは、前記プロセススコアリングモジュールを含む、ホストシステム。
11. 請求項１に記載のホストシステムであって、前記保護されるプロセスは、前記プロセス評価器を含んだセキュリティアプリケーションの一部を形成する、ホストシステム。
12. ホストシステムに、
    仮想マシンを公開するように構成されたハイパーバイザと、
    前記仮想マシン内で実行されるプロセス評価器と、
    前記仮想マシンの外で実行されるメモリ内部監視エンジンと、
    プロセススコアリングモジュールと
    を形成させるプログラムであって、
    前記プロセス評価器は、
    前記仮想マシン内で実行される評価されるプロセスがアクションを行うかどうかを判断し、
    前記評価されるプロセスが前記アクションを行うときに、前記評価されるプロセスに対して求められた第１のプロセス評価インジケータを前記プロセススコアリングモジュールに送る
    ように構成され、
    前記メモリ内部監視エンジンは、
    オペレーティングシステム機能へのコールをインターセプトして、前記仮想マシン内で実行される保護されるプロセスの起動を検出し、前記オペレーティングシステム機能は、前記仮想マシン内で実行され、前記仮想マシン内で実行されるプロセスのリストに前記保護されるプロセスを追加するように構成され、
    前記起動を検出することに応じて、
    前記評価されるプロセスが前記保護されるプロセスのメモリページを変更しようと試みるかどうかを判断し、
    前記評価されるプロセスが前記メモリページを変更しようと試みるときに、
    前記評価されるプロセスに対して求められた第２のプロセス評価インジケータを前記プロセススコアリングモジュールに送る
    ように構成され、
    前記プロセススコアリングモジュールは、
    前記第１および第２のプロセス評価インジケータを受け取り、
    前記第１および第２のプロセス評価インジケータにより、前記評価されるプロセスが悪意のあるものであるかどうかを判断する
    ように構成された、プログラム。
13. 請求項１２に記載のプログラムであって、前記メモリ内部監視エンジンは、
    前記保護されるプロセスの前記起動を検出することに応じて、前記保護されるプロセスのインジケータを前記仮想マシン内で実行されるセキュリティアプリケーションに送信し、
    前記セキュリティアプリケーションから前記メモリページのインジケータを受け取る
    ようにさらに構成された、プログラム。
14. 請求項１２に記載のプログラムであって、前記プロセス評価器は、ユーザレベルのプロセッサ特権で実行されるユーザレベルのプロセス評価器を含み、前記ユーザレベルのプロセス評価器は、前記評価されるプロセスが前記アクションを行うかどうかを判断するように構成された、プログラム。
15. 請求項１２に記載のプログラムであって、前記プロセス評価器は、カーネルレベルのプロセッサ特権で実行されるカーネルレベルのプロセス評価器を含み、前記カーネルレベルのプロセス評価器は、前記評価されるプロセスが前記アクションを行うかどうかを判断するように構成された、プログラム。
16. 請求項１２に記載のプログラムであって、前記プロセス評価器は、前記評価されるプロセスによって行われるシステムコールをインターセプトするように構成されたシステムコール評価器を含む、プログラム。
17. 請求項１２に記載のプログラムであって、前記プロセススコアリングモジュールは、前記仮想マシン内で実行される、プログラム。
18. 請求項１２に記載のプログラムであって、前記プロセススコアリングモジュールは、前記仮想マシンの外で実行される、プログラム。
19. 請求項１２に記載のプログラムであって、前記評価されるプロセスが悪意のあるものであるかどうかを判断することは、第１のスコアおよび第２のスコアにより総スコアを求めることを含み、前記第１および第２のスコアは、それぞれ前記第１および第２のプロセス評価インジケータによりセキュリティサーバで求められ、前記セキュリティサーバは、前記ホストシステムを含む複数のコンピュータシステムとアンチマルウェアトランザクションを行うように構成された、プログラム。
20. 請求項１２に記載のプログラムであって、前記評価されるプロセスが悪意のあるものであるかどうかを判断することは、第１のスコアおよび第２のスコアの加重和により、総スコアを求めることを含み、前記第１および第２のスコアは、それぞれ前記第１および第２のプロセス評価インジケータにより求められ、前記プロセススコアリングモジュールは、セキュリティサーバから第１の重みおよび第２の重みを受け取るようにさらに構成され、前記第１の重みは前記加重和において前記第１のスコアに乗算され、前記第２の重みは前記加重和において前記第２のスコアに乗算され、前記セキュリティサーバは、前記ホストシステムを含む複数のコンピュータシステムとアンチマルウェアトランザクションを行うように構成された、プログラム。
21. 請求項１２に記載のプログラムであって、前記保護されるプロセスは、前記プロセススコアリングモジュールを含む、プログラム。
22. 請求項１２に記載のプログラムであって、前記保護されるプロセスは、前記プロセス評価器を実行するように構成されたセキュリティアプリケーションの一部を形成する、プログラム。
23. 請求項１２から２２のうちの何れか一項に記載のプログラムを記憶したコンピュータ可読記憶媒体。
24. ホストシステムの少なくとも１つのプロセッサが、前記ホストシステムで実行されるハイパーバイザによって公開される仮想マシン内で実行される評価されるプロセスに対して求められた第１のプロセス評価インジケータを受け取るステップと、
    前記少なくとも１つのプロセッサが、前記評価されるプロセスに対して求められた第２のプロセス評価インジケータを受け取るステップと、
    前記第１および第２のプロセス評価インジケータを受け取ることに応じて、前記少なくとも１つのプロセッサが、前記第１および第２のプロセス評価インジケータにより、前記評価されるプロセスが悪意のあるものであるかどうかを判断するステップと
    を含み、
    前記第１のプロセス評価インジケータを求めるステップは、前記仮想マシン内で実行されるプロセス評価器を使用して、前記評価されるプロセスが第１のアクションを行うかどうかを判断するステップを含み、
    前記第２のプロセス評価インジケータを求めるステップは、前記仮想マシンの外で実行されるメモリ内部監視エンジンを使用して、前記評価されるプロセスが第２のアクションを行うかどうかを判断するステップを含む、方法。
25. ホストシステムの少なくとも１つのプロセッサが、メモリ内部監視エンジンを実行するステップであって、前記メモリ内部監視エンジンは、前記ホストシステムで実行されるハイパーバイザによって公開される仮想マシンの外で実行され、前記メモリ内部監視エンジンを実行するステップは、前記仮想マシン内で実行されるプロセスの起動を検出するステップを含む、ステップと、
    前記メモリ内部監視エンジンが前記プロセスの前記起動を検出することに応じて、前記少なくとも１つのプロセッサが、前記プロセスの第１および第２のプロセス評価インジケータを求めるステップと、
    前記第１および第２のプロセス評価インジケータを求めることに応じて、前記少なくとも１つのプロセッサが、前記第１および第２のプロセス評価インジケータにより、前記プロセスが悪意のあるものであるかどうかを判断するステップと
    を含む、方法。