JP2021077373A - 脅威検出方法及びコンピュータ装置 - Google Patents

Abstract

【課題】ハッキング及び生活圏外の攻撃者などの複雑な脅威、搾取、インサイダー脅威、及びＡＰＴ（Advanced Persistent Threats）がどのように制御されるか、を改善する。【解決手段】コンピュータネットワークのネットワークノードでの新しいプロセスの開始を検出し、プロセスが外部コードモジュールを要求することを判定し、プロセス開始時間に対して、新しいプロセスが要求する少なくとも１つの外部コードモジュールがロードされる時間と、前記プロセスの開始との間に経過した時間が所定の期待境界外にあるときに、新しいプロセスによって要求される外部コードモジュールの使用が異常であると判定することに基づいて、ネットワークノード及び／またはコンピュータネットワークを保護するためのさらなるアクションをとる。【選択図】図２

Description

本発明は、コンピュータネットワークセキュリティシステムにおける脅威検出方法及びコンピュータネットワークセキュリティシステムに関する。

管理検出応答（ＭＤＲ）及びエンドポイント検出応答（ＥＤＲ）製品及びサービスなどのコンピュータネットワークセキュリティシステムが普及している。これらのシステムは、侵害が発生したとき及び発生した後の侵害の検出及び監視に焦点を当てており、どのように最良に応答するかを判定するのに役立つ。ＭＤＲ／ＥＤＲの成長は、機械学習、ビッグデータ及びクラウドコンピューティングの出現によって部分的に可能になった。

ＥＤＲまたはその他の対応するシステムは、選択したネットワークエンドポイント（ＩＴインフラストラクチャの任意の要素とすることができる）にデータコレクタを展開する。データコレクタは、エンドポイントで発生しているアクティビティを監視し、収集したデータを中央のバックエンドシステム（「ＥＤＲバックエンド」）に送信する。これは多くの場合、クラウドに配置される。ＥＤＲバックエンドがデータを受信すると、データは分析され、ＥＤＲプロバイダによってセキュリティ侵害や異常の兆候がないかスキャンされる前に処理される（集計や拡張など）。

これらのシステムの１つの問題は、攻撃者が、その戦術、技法、及び手順を常に変更する傾向があり、したがって、誤用検出の効率が不足していることである。攻撃の既知の傾向は、正当なソフトウェアアプリケーション及びその発信者における信頼を悪用することである。

したがって、異常が検出される方法、ならびに、ハッキング及び生活圏外の攻撃者などの複雑な脅威、搾取、インサイダー脅威、及びＡＰＴ（Advanced Persistent Threats）がどのように制御されるか、を改善する必要がある。また、特に、高度な脅威が評判のよい信頼できるプロセス／実行可能イメージ内で起こる状況において、当該脅威の検出を改善する必要がある。

本発明の第１の態様によれば、コンピュータネットワークのネットワークノードでの新しいプロセスの開始を検出し、前記プロセスが外部コードモジュールを要求することを判定し、プロセス開始時間に対して、前記新しいプロセスが要求する少なくとも１つの外部コードモジュールがロードされる時間を監視し、前記プロセスの開始と前記外部コードモジュールのロードとの間に経過した時間が所定の期待境界外にあるときに、前記新しいプロセスによって要求される外部コードモジュールの使用が異常であると判定し、検出された前記新しいプロセスによって要求される外部コードモジュールの使用が異常であると判定することに基づいて、ネットワークノード及び／またはコンピュータネットワークを保護するためのさらなるアクションをとる、脅威検出方法が提供される。

本発明の第２の態様によれば、コンピュータネットワークのネットワークノードでの新しいプロセスの開始を検出し、前記プロセスが外部コードモジュールを要求することを判定し、プロセス開始時間に対して、前記新しいプロセスが要求する少なくとも１つの外部コードモジュールがロードされる時間を監視し、前記プロセスの開始と前記外部コードモジュールのロードとの間に経過した時間が所定の期待境界外にあるときに、前記新しいプロセスによって要求される外部コードモジュールの使用が異常であると判定し、検出された前記新しいプロセスによって要求される外部コードモジュールの使用が異常であると判定することに基づいて、ネットワークノード及び／またはコンピュータネットワークを保護するためのさらなるアクションをとる、ように構成されている少なくとも１つのプロセッサを含む、コンピュータ装置が提供される。

本発明の第３の態様によれば、コンピュータコードが記憶されたコンピュータ記憶媒体を含むコンピュータプログラム製品が提供される。コンピュータコードは、コンピュータシステム上で実行されると、当該システムを本発明の上記第２の態様によるコンピュータ装置として動作させる。

異常が検出される方法、ならびに、ハッキング及び生活圏外の攻撃者などの複雑な脅威、搾取、インサイダー脅威、及びＡＰＴ（Advanced Persistent Threats）がどのように制御されるか、を改善する。

ネットワークアーキテクチャを概略的に示す。 一実施形態による方法を示すフロー図である。

図１は、コンピュータシステム、例えば、ＥＤＲシステムがインストールされた第１コンピュータネットワーク１の一部を概略的に示す。また、本発明の実施形態を実施することができる任意の他のコンピュータシステムを、この例で使用されるＥＤＲシステムの代わりに、または、加えて使用することができる。第１コンピュータネットワークは、クラウド３を介してＥＤＲバックエンド２に接続される。ＥＤＲバックエンド２は、第１コンピュータネットワークに対して第２コンピュータネットワーク上にノードを形成する。第２コンピュータネットワークは、ＥＤＲシステムプロバイダによって管理され、ゲートウェイまたは他のインターフェイス（図示せず）またはＥＤＲバックエンド２に適切な他のネットワーク要素によってクラウド３から分離されてもよい。第１コンピュータネットワーク１は、ゲートウェイ４または他のインターフェイスによってクラウド３から分離されてもよい。他のネットワーク構造も考えられる。図１の例では、要素は分離されたエンティティまたは結合されたエンティティとして図示されているが、各要素は、分離されているか、及び／または結合されているか否かに拘わらず、他の任意の組み合わせで実装することが可能である。

第１コンピュータネットワーク１は、複数の相互接続されたネットワークノード５ａ〜５ｈから形成され、ネットワークノード５ａ〜５ｈのそれぞれは、コンピュータ、スマートフォン、タブレット、ラップトップ、または他のネットワーク接続可能なハードウェアなどのコンピュータネットワーク１内の要素を表す。コンピュータネットワークに示された各ネットワークノード５ａ〜５ｈは、データコレクタ（または「センサ」）６ａ〜６ｈがインストールされたＥＤＲエンドポイントも表す。データコレクタは、ゲートウェイや他のインターフェイスなど、コンピュータネットワークの他の要素にインストールすることもできる。データコレクタ４ａは、図１のゲートウェイ４にインストールされている。データコレクタ６ａ〜６ｈ、４ａは、例えば、プログラムまたはファイルハッシュ、ノード５ａ〜５ｈに記憶されたファイル、ネットワークトラフィックのログ、プロセスログ、メモリから切り取られたバイナリまたはファイル（例えば、ＤＬＬ、ＥＸＥ、またはメモリフォレンジックアーチファクト）、及び／またはノード５ａ〜５ｈまたはゲートウェイ４上で実行されるプログラムまたはスクリプトによって実行される監視アクションからのログ（例えば、ｔｃｐダンプ）を含む、様々なタイプのデータをネットワークノード５ａ〜５ｈまたはゲートウェイ４で収集する。

セキュリティ侵害の検出及び監視を支援することができる任意のタイプのデータが、それらのライフサイクル中にデータコレクタ６ａ〜６ｈ、４ａによって収集されてもよく、監視及び収集されるデータのタイプは、ＥＤＲシステムのインストール時にＥＤＲシステムプロバイダによって定義された規則に従って、またはＥＤＲバックエンド２からの命令に応答して設定されてもよいことが想定される。例えば、データコレクタ６ａ〜６ｈ、４ａは、ＥＤＲエンドポイント上で実行されるプログラムの挙動に関するデータを収集することができ、いつ新しいプログラムが開始されるかを観察することができる。適切なリソースが利用可能である場合、収集されたデータは、データコレクタ６ａ〜６ｈ、４ａによって、それぞれのノードに、または第１コンピュータネットワーク１上の適切な記憶場所（図示せず）に、永続的にまたは一時的に記憶され得る。

データコレクタ６ａ〜６ｈ、４ａはまた、収集されたデータに対していくつかの単純な予備処理ステップを実行することができるが、これは、各ネットワークノード５ａ〜５ｈまたはゲートウェイ４で利用可能なコンピューティング及びネットワークリソースによって制限される。

データコレクタ６ａ〜６ｈ、４ａは、収集したデータなどの情報を送信したり、クラウド３を介してＥＤＲバックエンド２との間で命令を送受信したりするようにセットアップされている。これにより、ＥＤＲシステムプロバイダは、第１コンピュータネットワーク１を管理する機構において人間の定常的な存在を維持する必要なしに、ＥＤＲシステムを遠隔的に管理することができる。

モジュール６ａ〜６ｈ、４ａは、ネットワークノード５ａ〜５ｈのそれぞれに関連するモデルを生成し、適応させるために、ネットワークから受信された収集されたデータ及び情報を使用するようにさらに構成され得る。例えば、既知のセキュリティ脅威が検出された場合、モジュール６ａ〜６ｈ、４ａは、ローカルコンピュータネットワーク内のネットワークノードにセキュリティ警告を生成して送信し、検出されたセキュリティ脅威に対応するためのセキュリティ対策をアクティベートするように構成してもよい。さらに、新たな脅威である可能性が非常に高いと推定される異常が識別された場合、モジュール６ａ〜６ｈ、４ａは、脅威を検証し、収容し、収集されたデータ及び受信された情報に基づいて新たな脅威モデルを生成し、生成された新たな脅威モデルをコンピュータネットワーク内で共有するように構成され得る。

図２は、一実施形態による方法を示すフロー図である。この例で説明されている方法のステップは、セキュリティサーババックエンド、コンピュータネットワークの１つ以上のネットワークノード（エンドポイント）、またはそれらの組み合わせによって処理することができる。

本方法は、コンピュータネットワークのエンドポイントノードのようなネットワークノードのコンピュータプロセスが監視されているＳ２０１において開始する。

Ｓ２０２において、ネットワークノードにおいて新たなプロセス開始が検出された場合、Ｓ２０３に進む。検出されない場合には、Ｓ２０１に戻り、コンピュータプロセスの監視が継続される。

Ｓ２０３では、検出された新たなプロセスが外部コードモジュールを要求するか否かを判定する。一実施形態では、外部コードモジュールの使用は、差分分析を使用することによって判定することができる。例えば、プロセスに関連する実行可能イメージのファイルコンテンツを処理することによって、このプロセスによって使用可能な外部コードモジュールのリストを検索することができる。これは、インポートテーブル（Import Table、Delayed Import Table、.dynsym/.dynstrセクションなど）の処理、コードの処理、及び様々なアーチファクト（文字列、リソーステーブルなど）の抽出を意味するが、これらに限定されない。

一実施形態では、ロード及びアンロードされている新しいコードモジュールに関する情報は、F-SecureのｘＤＲセンサ、Sandviper、デバッガ、エミュレータ、または動的計測などの動的分析方法によって収集することができる。

一実施形態では、新しいコードモジュールのロードまたはアンロードごとに、コードモジュールが予想コードモジュールロードリストのリストにない場合、コードモジュールは遅延（暗黙）ロードイベントとしてマークされ、元のイベントの疑わしさのレベルが増大され、ロードされたモジュールが故意にクリーンで普及しており、主流ではない特定の目的のために使用される場合、元のイベントの疑わしさのレベルが再び増大され、イベントはさらなる調査のためにマークされる。

Ｓ２０３で、新しいプロセスが外部コードモジュールを要求すると判定された場合、Ｓ２０４に進み、新しいプロセスの開始時間に対して、新しいプロセスによって要求される外部コードモジュールのうちの１つまたは複数がロードされる時間が観察される。

Ｓ２０５において、新しいプロセスの開始と外部コードモジュールのロードとの間に経過した時間が所定の期待境界外にある場合、Ｓ２０６に進み、新しいプロセスによって要求される外部コードモジュールの使用が異常であると判定される。新しいプロセスの開始と外部コードモジュールのロードとの間に経過した時間が所定の期待境界を超えない場合、Ｓ２０８に進み、新しいプロセスによって要求される外部コードモジュールの使用が異常ではないと判定される。

Ｓ２０７では、検出された新しいプロセスによって要求される外部コードモジュールの使用が異常であると判定することに基づいて、ネットワークノード及び／またはコンピュータネットワークを保護するために、さらなるアクションが取られる。

一実施形態では、異常な外部モジュールのロードの検出は、プロセスのタイムライン分析に基づく。観測された時間（新しいプロセスの開始時間対外部コードモジュールロード時間）の間の時間差が所定の限界を超えることを検出することに基づいて、脅威を識別することができる。遅延した外部コードモジュールのロードは、プロセスによって要求される外部コードモジュールの事前の知識なしに検出することもできる。この目的のために、過去の観察に関連する関連情報を使用することができる。同様のコードモジュールが同様のプロセスによって使用されるという認識は、判定において使用されることができる。プロセス間の類似性は、様々な属性を見ることによって定義することができる。この目的のために、これらのプロセスのための実行可能イメージのファイル名が十分に類似しているか、または実行可能イメージのコンテンツの部分が十分に強く一致しているか（例えば、ＳＳＤＥＥＰ、ＩＭＰＨＡＳＨ、ＳＨＡ２５６などを使用して）を定義することができる。コードモジュール間の類似性は、プロセスの実行可能ファイルに対して有効な任意の基準によって定義されてもよい。さらに、プロセス実行の開始に対して追加のコードモジュールがロードされた時間が判定される。このデータは、例えば動的解析法を用いて検索することができる。

一実施形態では、遅延外部コードモジュールの検出は、様々な機械学習異常検出アプローチを適用することによって構成することができ、モデルは、プロセス及びモジュールまたは類似のプロセス及びモジュールの時間遅延分布（異なる動的フレームワーク／データ収集アプローチが適用される場合には時間スケールが正規化される）、プロセスまたは類似のプロセスのモジュール使用量分布、及び／またはモジュールまたは類似のモジュールのプロセス使用量分布を表すことができる。

一実施形態では、新しいプロセスは、コードモジュール、動的ロードライブラリ、共有オブジェクトのうちの１つまたは複数の実行を含む。

一実施形態では、本方法は、実行可能イメージが１つまたは複数の所定のホワイトリスト基準を満たすか否かを判定することによって、新しいプロセスのための関連する実行可能イメージがクリーンであることが既知であるか否かを判定することをさらに含む。一実施形態では、関連する実行可能イメージがクリーンであることが分かっているプロセス、すなわち、実行可能イメージが１つ以上の明示的なホワイトリスト基準（例えば、ベットされた、信頼できる製造業者からの有効なＡｕｔｈｅｎｔｉｃｏｄｅ署名を有するファイル、または主要なオペレーティングシステムの一部であるファイル）を満たすプロセスについて、このプロセスのための外部コードモジュールの使用が異常であるか否かを判定する。この判定は、上述したように、様々な異なる方法で実施することができる。

一実施形態では、本方法は、新たなプロセスによって使用され得る予想される外部コードモジュールのリストを検索するために、関連実行可能イメージのファイルコンテンツを処理することをさらに含む。ファイルコンテンツを処理することは、インポートテーブルを処理すること、コードを処理すること、様々なアーチファクトを抽出することのうちの１つまたは複数を含むことができる。

一実施形態では、本方法は、さらに、ロードまたはアンロードされている新しいコードモジュールに関する情報を収集し、全ての新しいコードモジュールのロードまたはアンロードに関連して、本方法が、新しいコードモジュールのロード／アンロードが予想される外部コードモジュールのリストにない場合に、新しいプロセスの疑わしさのレベルを増加させる。

一実施形態では、新しいプロセスによって要求される外部コードモジュールの使用が異常であるか否かを判定することは、プロセスのための実行可能イメージのファイル名を比較すること、及び／またはプロセスのための実行可能イメージのコンテンツの部分を比較することに基づいて、新しいプロセスによって要求される外部コードモジュールが十分に類似した特性を有する既知のプロセスのグループに属すると判定することにさらに基づく。

一実施形態では、コンピュータネットワーク及び／または関連する任意のネットワークノードをセキュアにするためのさらなるアクションをとることは、１つ以上のネットワークノードのスイッチオフの防止、１つ以上のネットワークノードのファイアウォールのスイッチオン、セキュリティ侵害の兆候が検出された１つ以上のネットワークノードのユーザへの警告、及び／または１つ以上のネットワークノードへのソフトウェア更新の送信を含むリストのうちの１つ以上を含む。

一実施形態では、新しいプロセスによって要求される外部コードモジュールの使用が異常であると判定することに基づいてとられるさらなるアクションは、攻撃者が停止され、そのアクティビティのトレースが破壊されないことを保証するために、ネットワークノードの設定を変更することによって即時アクションをとることを含むことができる。設定の変更には、例えば、ＲＡＭ内の情報を保存するために、１つ以上のノード（コンピュータまたは他の装置であってもよい）がスイッチオフされないようにすること、１つ以上のノードでファイアウォールをスイッチオンして攻撃者を即座に遮断すること、１つ以上のノードのユーザに、侵害が検出され、そのワークステーションが調査中であることが警告されること、及び／またはシステム更新またはソフトウェアパッチが、侵害の兆候を検出することに応答して、ＥＤＲバックエンド２からノードに送信されること、などが含まれてもよい。これらのアクションのうちの１つまたは複数は、上述のアルゴリズムによって自動的に開始され得ることが想定される。例えば、上記の方法を用いて、データを収集し、コンピュータネットワーク１内のノードからＥＤＲバックエンド２に送ることができる。分析アルゴリズムは、脅威が検出されたことを判定する。アルゴリズムは、脅威の兆候が検出されたと判定すると、人間の介入なしに関連するネットワークノードにコマンドを生成して発行し、ノードで上記のアクションの１つ以上を自動的に開始することができる。これを行うことにより、人間の介入なしに、非常に高速で、起こり得る侵害を停止させることができ、かつ／または損傷を自動的に最小限に抑えることができる。

一般に、提案したアプローチは、従来の脅威検出方式に多くの改良を導入する。このような改良は、例えば、実行の後の段階で、特に、評判がよく信頼できるプロセス又は実行可能なイメージの内部で起こる状況において、コードを動的にロードする高度な脅威を検出することができることを含む。

一実施形態による別の改善は、動的コードロードのタイミングに基づいて、異常な、及び潜在的に悪意のあるアクティビティを検出することができることである。これは、特に、監視下にあるエンティティが信頼され、他のデータが不足しているか、または計算するのにコストがかかりすぎる状況において有益である。したがって、本発明は、非常に効果的な脅威検出スキームを提供すると同時に、脅威検出に必要なデータ量を低減し、その結果、コンピュータシステムのリソースを節約し、コストを節約することを可能にする。

さらに、提案された脅威検出スキームは、外部モジュールがどのように使用されているかについての異常を検出することができるので、例えば、最近見られるサプライチェーン攻撃のような場合、及びシェルコードまたは外部ペイロードが攻撃者によって使用される場合に、極めて有用である。

本明細書で説明するような任意の適切なコンピュータネットワークシステム、サーバ、エンドポイントノード／デバイス、及びコンピュータ装置は、それぞれ、本発明の実施形態による脅威検出方法を実行するか、またはそれに寄与することができる。このようなシステムのプロセッサは、本明細書に記載する方法及びプロセスに基づいてコンピュータプログラム命令を実行するように構成され、そのような命令は、メモリのような非一時的コンピュータ可読媒体に記憶される。コンピュータプログラム命令は、別のコンピュータ可読媒体から、または通信インターフェイスを介して別の装置からメモリに読み込まれてもよい。メモリに含まれる命令は、コンピュータ装置のプロセッサに、本明細書に記載するようなプロセスまたは方法を実行させる。代替的に、または加えて、ハードワイヤード回路を、コンピュータプログラム命令の代わりに、または組み合わせて使用して、本発明と調和するプロセス及び方法を実施することができる。ハードウェア回路の例としては、半導体チップ、集積回路、フィールドプログラマブルゲートアレイ、特定用途向け集積回路、電子プログラマブル集積回路等が挙げられるが、これらに限定されない。したがって、本発明は、ハードウェア回路及び／またはソフトウェアの任意の特定の組合せに限定されない。

非一時的コンピュータ可読媒体は、そこに記憶されたコンピュータプログラム命令を含み、それは、サーバ、サーバシステム、または他のコンピューティングシステムの１つ以上のプロセッサ上で実行されるとき、脅威検出のプロセスまたは方法のステップを実行し、図１及び２を参照して本明細書に記載するように、新しいプロセスによって要求される外部コードモジュールの使用が異常であると判定することに基づいて、ネットワークノード及び／またはコンピュータネットワークを保護するためのさらなるアクションをとる。

本発明は、上述のような好ましい実施形態に関して説明されてきたが、これらの実施形態は、例示的なものにすぎず、特許請求の範囲は、これらの実施形態に限定されないことを理解されたい。当業者は、添付の特許請求の範囲内にあると考えられる開示を考慮して、修正及び代替を行うことができるであろう。本明細書に開示または例示される各特徴は、単独であろうと、または任意の適切な組み合わせであろうと、本明細書に開示または例示される任意の他の特徴とともに、本発明に組み込まれてもよい。

２ ＥＤＲバックエンド
３ クラウド
４ ゲートウェイ
４ａ データコレクタ
５ａ〜５ｈ ネットワークノード
６ａ〜６ｈ データコレクタ

Claims (18)

1. コンピュータネットワークのネットワークノードでの新しいプロセスの開始を検出し、
   前記プロセスが外部コードモジュールを要求することを判定し、
   プロセス開始時間に対して、前記新しいプロセスが要求する少なくとも１つの外部コードモジュールがロードされる時間を監視し、
   前記プロセスの開始と前記外部コードモジュールのロードとの間に経過した時間が所定の期待境界外にあるときに、前記新しいプロセスによって要求される外部コードモジュールの使用が異常であると判定し、
   検出された前記新しいプロセスによって要求される外部コードモジュールの使用が異常であると判定することに基づいて、ネットワークノード及び／またはコンピュータネットワークを保護するためのさらなるアクションをとる、
   脅威検出方法。
2. 前記新しいプロセスは、コードモジュール、動的ロードライブラリ、共有オブジェクトの少なくとも１つの実行を含む、
   請求項１に記載の脅威検出方法。
3. 前記新しいプロセスのための関連する実行可能イメージがクリーンであることが既知であるか否かを判定することをさらに含み、
   前記新しいプロセスのための関連する実行可能イメージがクリーンであることが既知であるか否かを判定することは、前記実行可能イメージが少なくとも１つの所定のホワイトリスト基準を満たすか否かを判定することを含む、
   請求項１に記載の脅威検出方法。
4. 前記新しいプロセスによって使用されることができる予想される外部コードモジュールのリストを取り出すために、関連する実行可能イメージのファイルコンテンツを処理することをさらに含む、
   請求項１に記載の脅威検出方法。
5. 前記ファイルコンテンツを処理することは、インポートテーブルの処理、コードの処理、様々なアーチファクトの抽出の少なくとも１つを含む、
   請求項４に記載の脅威検出方法。
6. ロードまたはアンロードされている新しいコードモジュールに関する情報を収集し、
   全ての新しいコードモジュールのロードまたはアンロードに関連して、前記新しいコードモジュールのロード／アンロードが予想される外部コードモジュールのリストにない場合に、前記新しいプロセスの疑わしさのレベルを増加させる、
   請求項４に記載の脅威検出方法。
7. 前記新しいプロセスによって要求される外部コードモジュールの使用が異常であるか否かを判定することは、前記プロセスのための実行可能イメージのファイル名の比較及び／または前記プロセスのための実行可能イメージのコンテンツの部分の比較に基づいて、前記新しいプロセスによって要求される前記外部コードモジュールが、十分に類似した特性を有する既知のプロセスのグループに属することを判定することにさらに基づく、
   請求項１に記載の脅威検出方法。
8. 前記ネットワークノード及び／またはコンピュータネットワークを保護するためのさらなるアクションをとることが、
   少なくとも１つの前記ネットワークノードのスイッチオフの防止、
   少なくとも１つの前記ネットワークノードのファイアウォールのスイッチオン、
   セキュリティ侵害の兆候が検出された少なくとも１つの前記ネットワークノードのユーザへの警告、及び／または、
   少なくとも１つの前記ネットワークノードへのソフトウェア更新の送信、
   の少なくとも１つを含む、
   請求項１に記載の脅威検出方法。
9. コンピュータネットワークのネットワークノードでの新しいプロセスの開始を検出し、
   前記プロセスが外部コードモジュールを要求することを判定し、
   プロセス開始時間に対して、前記新しいプロセスが要求する少なくとも１つの外部コードモジュールがロードされる時間を監視し、
   前記プロセスの開始と前記外部コードモジュールのロードとの間に経過した時間が所定の期待境界外にあるときに、前記新しいプロセスによって要求される外部コードモジュールの使用が異常であると判定し、
   検出された前記新しいプロセスによって要求される外部コードモジュールの使用が異常であると判定することに基づいて、ネットワークノード及び／またはコンピュータネットワークを保護するためのさらなるアクションをとる、
   ように構成されている少なくとも１つのプロセッサを含む、
   コンピュータ装置。
10. 前記新しいプロセスは、コードモジュール、動的ロードライブラリ、共有オブジェクトの少なくとも１つの実行を含む、
    請求項９に記載のコンピュータ装置。
11. 前記プロセッサは、さらに、
    前記新しいプロセスのための関連する実行可能イメージがクリーンであることが既知であるか否かを判定する、
    ように構成され、
    前記新しいプロセスのための関連する実行可能イメージがクリーンであることが既知であるか否かを判定することは、前記実行可能イメージが少なくとも１つの所定のホワイトリスト基準を満たすか否かを判定することを含む、
    請求項９に記載のコンピュータ装置。
12. 前記プロセッサは、さらに、
    前記新しいプロセスによって使用されることができる予想される外部コードモジュールのリストを取り出すために、関連する実行可能イメージのファイルコンテンツを処理する、
    ように構成されている、
    請求項９に記載のコンピュータ装置。
13. 前記ファイルコンテンツを処理することは、インポートテーブルの処理、コードの処理、様々なアーチファクトの抽出の少なくとも１つを含む、
    請求項１２に記載のコンピュータ装置。
14. 前記プロセッサは、さらに、
    ロードまたはアンロードされている新しいコードモジュールに関する情報を収集し、
    全ての新しいコードモジュールのロードまたはアンロードに関連して、前記新しいコードモジュールのロード／アンロードが予想される外部コードモジュールのリストにない場合に、前記新しいプロセスの疑わしさのレベルを増加させる、
    ように構成されている、
    請求項１２に記載のコンピュータ装置。
15. 前記プロセッサは、さらに、
    前記プロセスのための実行可能イメージのファイル名の比較及び／または前記プロセスのための実行可能イメージのコンテンツの部分の比較に基づいて、前記新しいプロセスによって要求される前記外部コードモジュールが、十分に類似した特性を有する既知のプロセスのグループに属することを判定することに基づいて、前記新しいプロセスによって要求される外部コードモジュールの使用が異常であるか否かを判定する、
    ように構成されている、
    請求項９に記載のコンピュータ装置。
16. 前記ネットワークノード及び／またはコンピュータネットワークを保護するためのさらなるアクションをとることが、
    少なくとも１つの前記ネットワークノードのスイッチオフの防止、
    少なくとも１つの前記ネットワークノードのファイアウォールのスイッチオン、
    セキュリティ侵害の兆候が検出された少なくとも１つの前記ネットワークノードのユーザへの警告、及び／または、
    少なくとも１つの前記ネットワークノードへのソフトウェア更新の送信、
    の少なくとも１つを含む、
    請求項９に記載のコンピュータ装置。
17. コンピュータ装置上で実行されるとき、前記コンピュータ装置を請求項９に記載のコンピュータ装置として動作させる、コンピュータ可読コードを含むコンピュータプログラム。
18. 請求項１７に記載のコンピュータプログラムと非一時的コンピュータ可読媒体とを含むコンピュータプログラム製品であって、前記コンピュータプログラムは、前記非一時的コンピュータ可読媒体に記憶されている、コンピュータプログラム製品。
    

Images