JP6341964B2 - 悪意のあるコンピュータシステムを検出するシステム及び方法 - Google Patents
悪意のあるコンピュータシステムを検出するシステム及び方法 Download PDFInfo
- Publication number
- JP6341964B2 JP6341964B2 JP2016178478A JP2016178478A JP6341964B2 JP 6341964 B2 JP6341964 B2 JP 6341964B2 JP 2016178478 A JP2016178478 A JP 2016178478A JP 2016178478 A JP2016178478 A JP 2016178478A JP 6341964 B2 JP6341964 B2 JP 6341964B2
- Authority
- JP
- Japan
- Prior art keywords
- computer system
- computer
- state
- malicious
- relationship
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000000034 method Methods 0.000 title claims description 60
- 230000006870 function Effects 0.000 claims description 26
- 238000004458 analytical method Methods 0.000 claims description 23
- 230000006399 behavior Effects 0.000 claims description 21
- 230000008859 change Effects 0.000 claims description 20
- 230000008569 process Effects 0.000 claims description 14
- 230000005540 biological transmission Effects 0.000 claims description 6
- 230000001960 triggered effect Effects 0.000 claims description 6
- 238000011156 evaluation Methods 0.000 claims description 2
- 238000012790 confirmation Methods 0.000 claims 1
- 230000002155 anti-virotic effect Effects 0.000 description 13
- 230000003287 optical effect Effects 0.000 description 7
- 238000001514 detection method Methods 0.000 description 6
- 238000012546 transfer Methods 0.000 description 6
- 238000010276 construction Methods 0.000 description 5
- 238000010586 diagram Methods 0.000 description 5
- 230000000694 effects Effects 0.000 description 5
- 238000005516 engineering process Methods 0.000 description 5
- 238000004891 communication Methods 0.000 description 4
- 230000008901 benefit Effects 0.000 description 3
- 238000012545 processing Methods 0.000 description 3
- 239000013598 vector Substances 0.000 description 3
- 230000009471 action Effects 0.000 description 2
- 230000007123 defense Effects 0.000 description 2
- 238000011161 development Methods 0.000 description 2
- 230000014509 gene expression Effects 0.000 description 2
- 208000015181 infectious disease Diseases 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 238000012986 modification Methods 0.000 description 2
- 230000010355 oscillation Effects 0.000 description 2
- 230000002093 peripheral effect Effects 0.000 description 2
- 230000002085 persistent effect Effects 0.000 description 2
- 241000700605 Viruses Species 0.000 description 1
- 238000013459 approach Methods 0.000 description 1
- 238000007630 basic procedure Methods 0.000 description 1
- 230000009286 beneficial effect Effects 0.000 description 1
- 238000004422 calculation algorithm Methods 0.000 description 1
- 230000000536 complexating effect Effects 0.000 description 1
- 238000004590 computer program Methods 0.000 description 1
- 238000013500 data storage Methods 0.000 description 1
- 230000007423 decrease Effects 0.000 description 1
- 238000012217 deletion Methods 0.000 description 1
- 230000037430 deletion Effects 0.000 description 1
- 230000001419 dependent effect Effects 0.000 description 1
- 238000000605 extraction Methods 0.000 description 1
- ZXQYGBMAQZUVMI-GCMPRSNUSA-N gamma-cyhalothrin Chemical compound CC1(C)[C@@H](\C=C(/Cl)C(F)(F)F)[C@H]1C(=O)O[C@H](C#N)C1=CC=CC(OC=2C=CC=CC=2)=C1 ZXQYGBMAQZUVMI-GCMPRSNUSA-N 0.000 description 1
- 238000009434 installation Methods 0.000 description 1
- 230000001788 irregular Effects 0.000 description 1
- 238000007726 management method Methods 0.000 description 1
- 230000008520 organization Effects 0.000 description 1
- 230000035515 penetration Effects 0.000 description 1
- 230000009467 reduction Effects 0.000 description 1
- 230000004044 response Effects 0.000 description 1
- 238000013515 script Methods 0.000 description 1
- 239000007787 solid Substances 0.000 description 1
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
- G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
- G06F2221/033—Test or assess software
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Software Systems (AREA)
- Theoretical Computer Science (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Physics & Mathematics (AREA)
- Virology (AREA)
- Health & Medical Sciences (AREA)
- General Health & Medical Sciences (AREA)
- Debugging And Monitoring (AREA)
- Computer And Data Communications (AREA)
Description
・署名分析−分析対象のプログラムの特定のコードセクションと、悪意のあるプログラムの署名データベースからの既知のコード(署名)との対応関係を検索する。
・ヒューリスティック分析−分析対象のプログラムの作業をエミュレートし、エミュレーションログ(API呼び出し、送信されたパラメータ、分析対象のプログラムのコードセクション等のデータを含む)を作成し、悪意のあるプログラムのエミュレーションデータベースからのデータを用いて作成されたログからのデータとの対応関係を検索する。
・ホワイトリスト及びブラックリスト-悪意のあるプログラム(ブラックリスト)のチェックサムのデータベース又は決定プログラム(ホワイトリスト)のチェックサムのデータベースにおいて分析対象のプログラム(又はその一部)の計算されたチェックサムを検索する。
・事前保護−分析対象のプログラムであってシステム内で実行されているプログラムのアプリケーションプログラミングインターフェイス(API)関数呼び出しをインターセプトし、分析対象のプログラム(API呼び出し、送信されたパラメータ、分析対象のプログラムのコードセクション等のデータを含む)のログを作成し、その作成されたログからのデータと、悪意のあるプログラムの呼び出しデータベースからのデータとの対応関係を検索する。
・署名分析を無効にするコードの難読化-元のテキスト(JavaScriptスクリプトなど)又はプログラムの実行可能コードを機能を保持する形に変換するが、解析、動作アルゴリズムの理解、及び逆コンパイル中の変更を妨げる。
・ヒューリスティック分析を無効にする動作の複雑化-プログラムのI/O作業結果に影響を与えず、しかもアンチウイルスプログラムによるエミュレーションを妨げる、多数のAPI関数呼び出し又は操作の使用。
・事前保護を無効にする外国のプログラムの動作の追跡-オペレーティングシステムにおける外国のプログラムの動作の絶え間ない追跡、アンチウイルスプログラムの検索、及びそれらに対する反作用(例えば、分析のための自己コードの隠蔽又は置換)。
悪意のあるコンピュータシステムを検出するためのシステムであって、少なくとも1つのハードウェアプロセッサを備え、前記ハードウェアプロセッサは、以下(1)〜(5)を行うように構成される、システム、が提供される。
(1)コンピュータシステムの特性を収集する。
(2)収集された前記コンピュータシステムの特性間の関係を決定する。
(3)決定された関係に基づいて前記コンピュータシステムの少なくとも1つの状態の時間依存性を判定する。
(4)少なくとも決定された時間依存性に基づいて前記コンピュータシステムの前記少なくとも1つの状態を確定する。
(5)正当な又は悪意のあるコンピュータシステムを表す選択されたパターンに関連して前記コンピュータシステムの前記少なくとも1つの状態を分析して、コンピュータシステムの有害度を判定する。
悪意のあるコンピュータシステムを検出するためのコンピュータ実行可能命令を格納する不揮発性コンピュータ可読メディアであって、次に示す(1)から(5)の命令を含む、不揮発性コンピュータメディア、が提供される。
(1)コンピュータシステムの特性を収集する。
(2)前記コンピュータシステムの収集された特性間の関係を決定する。
(3)決定された関係に基いて前記コンピュータシステムの少なくとも1つの状態の時間依存性を判定する。
(4)判定された時間依存性に少なくとも基いて前記コンピュータシステムの前記少なくとも1つの状態を確定する。
(5)正当な又は悪意のあるコンピュータシステムを表す選択されたパターンに関連して前記コンピュータシステムの前記少なくとも1つの状態を分析して、前記コンピュータシステムの有害度を判定する。
・中央処理装置の性能(1秒あたりの動作数で測定)。
・メインメモリとのデータ交換速度(バイト/秒で測定)。
・外部記憶媒体とのデータ交換速度(バイト/秒で測定)。
特性の値は、リファレンスのコンピュータシステムの動作速度に対して標準化された無次元量である。
・コンピュータシステムの特性を収集する。
・関係空間構築モジュール102に、収集した特性を送信する。
・コンピュータシステムのコンピューティングリソースの特性。
・コンピュータシステム上で実行されているソフトウェアの特性。
・コンピュータシステム上で処理されるデータの特性。
・コンピュータシステムのメインメモリ。
・コンピュータシステムの性能。
・ネットワーク環境の特性。
・コンピュータシステム内で実行されているアプリケーションの識別子だけでなく、識別されたアプリケーションに関連付けられたファイル(名前、実行可能ファイルへの完全パス、又は実行可能ファイルのチェックサム等)。
・コンピュータシステムで実行されているアプリケーションの設定ファイルからの記録(レジストリ内のエントリ、又はiniファイルのエントリ等)。
・どのアプリケーションがデータをやりとりするかを特徴付けるアプリケーション間の関係。
・データの送信側と受信側の識別子(例えば、データ交換が行われているアプリケーションの名前)。
・データ種類(例えば、データベースファイル、イメージ等)。
・データ転送方法(例えば、コンピュータネットワークによって送信されるデータ、又はプロセス間通信方法を使用してあるアプリケーションから別のアプリケーションに送信されるデータ)。
・ユーザのコンピュータシステムの様々なコンピューティングリソースの特性:
−利用可能なメインメモリの容量(例えば、8GB)。
−ローカル及びネットワークディスクの容量(例えば、ディスクドライブC:120GB、D:500GB、Z:10TB)。
−コンピュータシステムのCPUの性能(例えば、10GFLOP)。
−コンピュータネットワークのスループット(例えば、100Mbit/s)。
・ユーザのコンピュータシステム上で動作するソフトウェアの特性(「インターネットエッジ」の例):
−アプリケーションのインストールパス(例えば、C:\Program Files\Internet Edge\edge.exe, など)。
−インストール済みアプリケーションの開始頻度及び動作時間(例えば、セッション30回:8:30:17から8:34:05,8:46:56から9:01:30など)。
−実行されたインストール済みアプリケーションの機能の統計情報(例えば、WriteFile:13757、ReadFile:76446、CreateSocket:5561など)。
−インストール済みアプリケーションによるコンピュータシステムのコンピューティングリソースの使用統計。これらに限定されるものではないが、例えば以下のデータ。
*使用されたメインメモリの容量(例えば、1034MB)。
*コンピュータシステムのCPUの作業負荷レベル(例えば、7.56%)。
*データ交換が行われているネットワークアドレス(例えば、192.168.17.1、192.168.34.56など)。
*記憶媒体から読み込まれるデータ量又は記憶媒体に書き込まれるデータ量(例えば、データ入力:5641MB、データ出力:675MB)。
・ネットワーク環境の特性:
−データ交換が行われているネットワークアドレス(例えば、192.168.17.1、192.168.34.56など)。
−ネットワーク・アドレスでのデータ交換の速度(例えば、192.168.17.1:30MB/s、192.168.34.56:15MB/s)。
・ユーザーアクティビティ:
−どのアプリケーションがユーザによって起動されたか(例えば、SQLServerManagementStudio)。
−インストール済みアプリケーションのグラフィックインターフェースのどの要素が使用されたか(例えば、ダイアログ:ID=12145、ボタン:ID=17、87)。
・コンピュータシステムの得られた特性の間の関係を決定する。(ここで、関係は、別の特性の値の変更に対応するある特性の値の変更の関数であってもよい。)
・少なくとも決定された関係の分析に基づいて、コンピュータシステムの状態の時間依存性を判定する。(ここで、コンピュータシステムの状態は、判定された関係のセットによって特徴付けられてもよく、コンピュータシステムの状態の時間依存性は、時間の関数として、コンピュータシステムの状態を記述する特性の値の変化を記述する規則を含む。)
・判定されたコンピュータシステムの状態の時間依存性を識別モジュール103に送信する。
・時間依存性が既定されている他の特性に対するこの特性の既知の依存性を使用することによって、コンピュータシステムの状態の記述に含まれる1つの特性の値の変化の時間依存性を特定する工程。
・特定された上記特性の値の時間依存性に従って、上記特性の値の変化に対する規則を作成する工程。
b)コンピュータシステムにおけるアプリケーションの動作開始の順序。
b)に従って起動された各アプリケーションは、a)の一定量のメインメモリを利用することができ、その結果、利用可能なメインメモリの容量は、新しいアプリケーションが起動されるたびに減少する。コンピュータシステム内で実行されているアプリケーション数に依存して、利用可能なメインメモリの容量の2次元関数を構築するために、以下のような特徴的な減少関数を得ることができる。
ここで、Mは、利用可能なメインメモリの容量であり、Nは、コンピュータシステム内で実行されているアプリケーションの数であり、
は、コンピュータシステム内で実行されているアプリケーションの平均数であり、コンピュータシステムがその機能を果たすことができる。得られた機能は、コンピュータシステムが変更されていない場合(例えば、新しいアプリケーションがインストールされていない場合)、又はコンピュータシステムがわずかに変更された場合(アプリケーションがインストールされたが、頻繁には使用されていないか、又はコンピュータシステムの動作にほとんど影響を与えない場合)にはほとんど変化しない可能性がある。
ここで、Nは、実行されている動作の数を示す。
・コンピュータシステムの状態の取得された時間依存性の分析に少なくとも基づいて、コンピュータシステムの状態を判定する。
・コンピュータシステムの以下(1)、(2)の状態を表しうるパターンをパターン記憶装置112から選択する。
(1)正当なコンピュータシステムの状態。
(2)悪意のあるコンピュータシステムの状態。
・コンピュータシステムの判定された状態と選択されたパターンとを比較する。
・比較結果を分析モジュール104に送信する。
・コンピュータシステムの変更のための以下(1)〜(3)の規則のいくつかをトリガする際の状態。
(1)アプリケーションの実行開始。
(2)アプリケーションの実行終了。
(3)以前に選択されたAPI関数の呼び出し。
・定期的に、定められた時点での状態。
・コンピュータシステムの状態と選択されたパターンとを比較して得られた結果の分析に少なくとも基づいて、コンピュータシステムの有害度を判定する。
・コンピュータシステムの有害度と選択された閾値とを比較した結果に基づいて、コンピュータシステムを悪意のあるものとして認識する判定を宣言する。
・以前に判定された正当なコンピュータシステムとの差異度。
・以前に判定された悪意のあるコンピュータシステムとの類似度。
・特性収集モジュール101によって収集されたコンピュータシステムの特性間の関係の格納する。
・関係空間構築モジュール102に、収集された関係を提供する。
・以下(1)、(2)に示す以前に判定されたパターンを格納する。
(1)正当なコンピュータシステムの状態。
(2)悪意のあるコンピュータシステムの状態。
・識別モジュール103にパターンを提供する。
・選択されたセキュリティポリシー(例えば、コンピュータシステム上で何が、どのように行われることが許可されているか)に基づいてコンピュータシステムの状態から事前に選択されているパターン。
・ユーザーのコンピュータのアンチウイルススキャン結果(悪意のあるアプリケーションに感染していると認識されたコンピュータから、悪意のあるコンピュータシステムの状態を取得し、正当であると認められたコンピュータから、正当なコンピュータシステムの状態を取得する)に基づいて、ユーザーのコンピュータシステムの状態から事前に選択されているパターン。
・分析されるコンピュータシステムの以前に得られた状態(例えば、長い間コンピュータシステムに変更が加えられていない場合、又は変更が無視できる程度である場合)として事前に判定されるパターン。
・コンピュータシステムのコンピューティングリソースの特性。
・コンピュータシステム上で実行されているソフトウェアの特性。
・コンピュータシステム上で処理されるデータの特性。
・コンピュータシステムのメインメモリ。
・コンピュータシステムの性能。
・ネットワーク環境の特性。
・コンピュータシステム内で実行されているアプリケーションの識別子だけでなく、識別されたアプリケーションに関連付けられたファイル(名前、実行可能ファイルへの完全パス、実行可能ファイルのチェックサムなど)。
・コンピュータシステムで実行されているアプリケーションの設定ファイル(レジストリ内のエントリ又はiniファイルのエントリなど)からの記録。
・どのアプリケーションがデータを交換し、どのように交換するかを特徴付けるアプリケーション間の関係。
・データの送信側及び受信側の識別子(例えば、データ交換が行われているアプリケーションの名称)。
・データの種類(例えば、データベースファイル、イメージなど)。
・データ転送方法(例えば、コンピュータネットワークによって行われるデータ転送、又はプロセス間通信の方法を使用したあるアプリケーションから別のアプリケーションへのデータ転送)。
・時間依存性がすでに定められている他の特性に対してこの特性の既知の依存性を用いて、コンピュータシステムの状態の記述に関わる1つの特性の値の変化の時間依存性を識別する工程
・上記特性の値の識別された時間依存性によって、上記特性の値の変化に対する規則を構成する工程
・コンピュータシステムの変更のための以下(1)〜(3)の規則のいくつかをトリガするときの状態。
(1)アプリケーションの実行開始。
(2)アプリケーションの実行終了。
(3)以前に選択されたAPI関数の呼び出し。
・定期的に、定められた時点での状態。
・選択されたセキュリティポリシー(例えば、コンピュータシステム上で何が、どのように、行われることが許可されているか)に基づいてコンピュータシステムの状態から事前に選択されるパターン。
・ユーザーのコンピュータのアンチウイルススキャンの結果(悪質なアプリケーションに感染していると認識されたコンピュータから、悪質なコンピュータシステムの状態を取得し、正当であると認められたコンピュータから、正当なコンピュータシステムの状態を取得する)に基いて、ユーザーのコンピュータシステムの状態から事前に選択されるパターン。
・分析中のコンピュータシステムの以前に得られた状態として事前に決定されるパターン(例えば、長い間コンピュータシステムに変更が加えられていないか、又は行われた変更が無視できる場合)。
・以前に判定された正当なコンピュータシステムとの差異度
・以前に判定された悪意のあるコンピュータシステムとの類似度
Claims (18)
- 悪意のあるコンピュータシステムを検出するためのコンピュータ実装方法であって、
収集工程と、決定工程と、判定工程と、確定工程と、分析工程とを備え、
前記収集工程では、プロセッサにより前記コンピュータシステムの特性を収集し、
前記決定工程では、収集した前記コンピュータシステムの特性間の関係を決定し、
前記判定工程では、決定された関係に基いてコンピュータシステムの少なくとも1つの状態の時間依存性を判定し、
前記確定工程では、判定された時間依存性に少なくとも基いて前記コンピュータシステムの前記少なくとも1つの状態を確定し、
前記分析工程では、正当な又は悪意のあるコンピュータシステムを表す選択されたパターンに関連して、前記コンピュータシステムの前記少なくとも1つの状態をプロセッサにより分析して、コンピュータシステムの有害度を判定する、
コンピュータ実装方法。 - 前記収集工程は、前記コンピュータシステムのコンピューティングリソースの特性、前記コンピュータシステム上で動作するソフトウェアの特性、及び前記コンピュータシステム上で処理されるデータの特性のうちの少なくとも1つの特性を収集することを備える、請求項1に記載のコンピュータ実装方法。
- 前記コンピュータシステムのコンピューティングリソースの特性は、前記コンピュータシステムのメインメモリの特性、前記コンピュータシステムの性能、及び前記コンピュータシステムが関連付けられているネットワーク環境の特性のうちの少なくとも1つを含む、請求項2に記載のコンピュータ実装方法。
- 前記ソフトウェアの特性は、前記コンピュータシステム内で動作する1つ以上のアプリケーションの識別子、前記1つ以上のアプリケーションに関連するファイルの特性、前記1つ以上のアプリケーションの設定ファイルからの記録、及び前記1つ以上のアプリケーション間の関係のうちの少なくとも1つを含む、請求項2に記載のコンピュータ実装方法。
- 前記コンピュータシステム上で処理されるデータの特性は、前記データの送信側及び受信側の識別子、前記データの種類、及びデータ送信方法のうちの少なくとも1つを含む、請求項2に記載のコンピュータ実装方法。
- 関係は、第2特性の値が変化したときの第1特性の値の変化の関数として構成され、前記決定工程は、収集された特性の値を表す多次元空間を使用する工程、及び選択された特性の多次元空間における投影に少なくとも基いて前記コンピュータシステムの前記少なくとも1つの状態を決定する工程を備える、請求項1に記載のコンピュータ実装方法。
- 前記判定工程は、時間の関数として前記コンピュータシステムの前記少なくとも1つの状態を記述する特性の値の変更のための規則を決定する工程を備える、請求項6に記載のコンピュータ実装方法。
- 前記確定工程は、前記判定された時間依存性の分析及び特性の値の変更に従って、前記コンピュータシステムの非標準的な挙動を識別する工程を備える、請求項7に記載のコンピュータ実装方法。
- 前記正当な又は悪意のあるコンピュータシステムを表す選択されたパターンは、パターンの少なくとも1つのデータベースから検索されるように構成され、各パターンは、前記コンピュータシステム特性の変更のために以前にトリガされた規則に対応する、請求項1に記載のコンピュータ実装方法。
- コンピュータシステムが正当であるか又は悪意のあるものであるかどうかを判定するために、コンピュータシステムの有害度と、選択された閾値とを比較する評価工程をさらに備える、請求項1に記載のコンピュータ実装方法。
- 悪意のあるコンピュータシステムを検出するためのシステムであって、
少なくとも1つのハードウェアプロセッサを備え、
前記ハードウェアプロセッサは、以下(1)〜(5)を行うように構成される、システム。
(1)コンピュータシステムの特性を収集する。
(2)収集された前記コンピュータシステムの特性間の関係を決定する。
(3)決定された関係に基づいて前記コンピュータシステムの少なくとも1つの状態の時間依存性を判定する。
(4)少なくとも決定された時間依存性に基づいて前記コンピュータシステムの前記少なくとも1つの状態を確定する。
(5)正当な又は悪意のあるコンピュータシステムを表す選択されたパターンに関連して前記コンピュータシステムの前記少なくとも1つの状態を分析して、コンピュータシステムの有害度を判定する。 - 前記コンピュータシステムの特性を収集するために、前記少なくとも1つのプロセッサは、前記コンピュータシステムのコンピューティングリソースの特性、前記コンピュータシステム上で動作するソフトウェアの特性、及びコンピュータシステム上で処理されるデータの特性のうちの少なくとも1つの特性を収集するようにさらに構成される、請求項11に記載のシステム。
- 前記コンピュータシステムのコンピューティングリソースの特性は、前記コンピュータシステムのメインメモリの特性、前記コンピュータシステムの性能、及び前記コンピュータシステムが関連付けられているネットワーク環境の特性のうちの少なくとも1つを含み、
前記コンピュータシステム上で動作するソフトウェアの特性は、前記コンピュータシステム内で動作する1つ以上のアプリケーションの識別子、前記1つ以上のアプリケーションに関連するファイルの特性、前記コンピュータシステム内で動作する前記1つ以上のアプリケーションの設定ファイルからの記録、及び前記1つ以上のアプリケーション間の関係のうちの少なくとも1つを含み、
前記コンピュータシステム上で処理されるデータの特性は、前記データの送信側及び受信側の識別子、前記のデータ種類、及びデータ送信方法のうちの少なくとも1つを含む、請求項11に記載のシステム。 - 関係は、第2特性の値が変化したときの第1特性の値の変化の関数として構成され、
前記正当な又は悪意のあるコンピュータシステムを表す選択されたパターンは、パターンの少なくとも1つのデータベースから検索されるように構成され、各パターンは、前記コンピュータシステムの特性の変更のために以前にトリガされた規則に対応し、
前記コンピュータシステムの収集された特性間の関係を決定するために、前記少なくとも1つのプロセッサは、前記収集された特性の値を表すために多次元空間を使用し、選択された特性の多次元空間における投影に少なくとも基づいて前記コンピュータシステムの前記少なくとも1つの状態を判定するようにさらに構成される、請求項11に記載のシステム。 - 前記決定された関係に基づいて前記コンピュータシステムの前記少なくとも1つの状態の時間依存性を判定するために、前記少なくとも1つのプロセッサは、時間の関数として前記コンピュータシステムの少なくとも1つの状態を記述する特性の値の変更のための規則を決定するようにさらに構成される、請求項14に記載のシステム。
- 前記判定された時間依存性に少なくとも基づいて前記コンピュータシステムの前記少なくとも1つの状態を確定するために、前記少なくとも1つのプロセッサは、前記判定された時間依存性の分析及び前記特性の値の変更に従って、前記コンピュータシステムの非標準的な挙動を識別するようにさらに構成される、請求項15に記載のシステム。
- 前記少なくとも1つのプロセッサは、前記コンピュータシステムの有害度と、選択された閾値とを比較して評価するようにさらに構成され、前記コンピュータシステムが正当であるか又は悪意のあるものであるかどうかを判定する、請求項11に記載のシステム。
- 悪意のあるコンピュータシステムを検出するためのコンピュータ実行可能命令を格納する不揮発性コンピュータ可読メディアであって、次に示す(1)から(5)の命令を含む、不揮発性コンピュータメディア。
(1)コンピュータシステムの特性を収集する。
(2)前記コンピュータシステムの収集された特性間の関係を決定する。
(3)決定された関係に基いて前記コンピュータシステムの少なくとも1つの状態の時間依存性を判定する。
(4)判定された時間依存性に少なくとも基いて前記コンピュータシステムの前記少なくとも1つの状態を確定する。
(5)正当な又は悪意のあるコンピュータシステムを表す選択されたパターンに関連して前記コンピュータシステムの前記少なくとも1つの状態を分析して、前記コンピュータシステムの有害度を判定する。
Applications Claiming Priority (4)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
RU2016121877 | 2016-06-02 | ||
RU2016121877A RU2634181C1 (ru) | 2016-06-02 | 2016-06-02 | Система и способ обнаружения вредоносных компьютерных систем |
US15/215,116 | 2016-07-20 | ||
US15/215,116 US10372907B2 (en) | 2016-06-02 | 2016-07-20 | System and method of detecting malicious computer systems |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2017220195A JP2017220195A (ja) | 2017-12-14 |
JP6341964B2 true JP6341964B2 (ja) | 2018-06-13 |
Family
ID=60154053
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2016178478A Active JP6341964B2 (ja) | 2016-06-02 | 2016-09-13 | 悪意のあるコンピュータシステムを検出するシステム及び方法 |
Country Status (4)
Country | Link |
---|---|
US (1) | US10372907B2 (ja) |
JP (1) | JP6341964B2 (ja) |
CN (1) | CN107463841B (ja) |
RU (1) | RU2634181C1 (ja) |
Families Citing this family (6)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US10681073B2 (en) | 2018-01-02 | 2020-06-09 | International Business Machines Corporation | Detecting unauthorized user actions |
RU2724800C1 (ru) * | 2018-12-28 | 2020-06-25 | Акционерное общество "Лаборатория Касперского" | Система и способ обнаружения источника вредоносной активности на компьютерной системе |
RU2724710C1 (ru) * | 2018-12-28 | 2020-06-25 | Акционерное общество "Лаборатория Касперского" | Система и способ классификации объектов вычислительной системы |
RU2739866C2 (ru) * | 2018-12-28 | 2020-12-29 | Акционерное общество "Лаборатория Касперского" | Способ обнаружения совместимых средств для систем с аномалиями |
US11108790B1 (en) * | 2019-04-30 | 2021-08-31 | Rapid7, Inc. | Attack signature generation |
KR102244128B1 (ko) * | 2020-10-19 | 2021-04-23 | (주)시큐레이어 | 컴퓨팅 리소스 수용량에 기반한 네트워크 공격 강도 측정 기법을 사용하는 네트워크 호스트 공격 탐지 방법 및 장치 |
Family Cites Families (26)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP5090415B2 (ja) | 2003-10-10 | 2012-12-05 | シャープ株式会社 | 再生装置、ビデオデータの再生方法、制御プログラム、及びコンテンツ記録媒体 |
US7673341B2 (en) | 2004-12-15 | 2010-03-02 | Microsoft Corporation | System and method of efficiently identifying and removing active malware from a computer |
CN1988541A (zh) * | 2005-12-19 | 2007-06-27 | 国际商业机器公司 | 确定恶意工作负荷模式的方法和装置 |
US8065728B2 (en) * | 2007-09-10 | 2011-11-22 | Wisconsin Alumni Research Foundation | Malware prevention system monitoring kernel events |
EP2081356A1 (en) | 2008-01-18 | 2009-07-22 | Fraunhofer-Gesellschaft zur Förderung der angewandten Forschung e.V. | Method of and telecommunication apparatus for SIP anomaly detection in IP networks |
JP5009244B2 (ja) * | 2008-07-07 | 2012-08-22 | 日本電信電話株式会社 | マルウェア検知システム、マルウェア検知方法及びマルウェア検知プログラム |
EP2157526B1 (en) * | 2008-08-14 | 2014-04-30 | Assa Abloy Ab | RFID reader with embedded attack detection heuristics |
JP5413010B2 (ja) * | 2009-07-17 | 2014-02-12 | 日本電気株式会社 | 分析装置、分析方法およびプログラム |
US8566943B2 (en) * | 2009-10-01 | 2013-10-22 | Kaspersky Lab, Zao | Asynchronous processing of events for malware detection |
JP5329451B2 (ja) | 2010-01-27 | 2013-10-30 | 三洋電機株式会社 | 非水系二次電池 |
RU2420793C1 (ru) * | 2010-03-02 | 2011-06-10 | Закрытое акционерное общество "Лаборатория Касперского" | Система и способ определения потенциально вредоносных программ на основе контроля целостности файлов с использованием временных отметок |
US8925101B2 (en) * | 2010-07-28 | 2014-12-30 | Mcafee, Inc. | System and method for local protection against malicious software |
US9094291B1 (en) * | 2010-12-14 | 2015-07-28 | Symantec Corporation | Partial risk score calculation for a data object |
RU2486588C1 (ru) * | 2012-03-14 | 2013-06-27 | Закрытое акционерное общество "Лаборатория Касперского" | Система и способ эффективного лечения компьютера от вредоносных программ и последствий их работы |
US20140053267A1 (en) * | 2012-08-20 | 2014-02-20 | Trusteer Ltd. | Method for identifying malicious executables |
EP2959658A1 (en) * | 2013-02-22 | 2015-12-30 | Adaptive Mobile Security Limited | Dynamic traffic steering system and method in a network |
EP2785009A1 (en) | 2013-03-29 | 2014-10-01 | British Telecommunications public limited company | Method and apparatus for detecting a multi-stage event |
RU2531861C1 (ru) * | 2013-04-26 | 2014-10-27 | Закрытое акционерное общество "Лаборатория Касперского" | Система и способ оценки вредоносности кода, исполняемого в адресном пространстве доверенного процесса |
US9213807B2 (en) * | 2013-09-04 | 2015-12-15 | Raytheon Cyber Products, Llc | Detection of code injection attacks |
US9607146B2 (en) * | 2013-09-18 | 2017-03-28 | Qualcomm Incorporated | Data flow based behavioral analysis on mobile devices |
MY181777A (en) * | 2013-11-11 | 2021-01-06 | Adallom Inc | Cloud service security broker and proxy |
RU2571723C2 (ru) | 2013-12-05 | 2015-12-20 | Закрытое акционерное общество "Лаборатория Касперского" | Система и способ для снижения нагрузки на операционную систему при работе антивирусного приложения |
US20150039513A1 (en) * | 2014-02-14 | 2015-02-05 | Brighterion, Inc. | User device profiling in transaction authentications |
EP3123868B1 (de) * | 2015-07-25 | 2018-09-12 | DMK Deutsches Milchkontor GmbH | Verfahren zur herstellung von milchprodukten mit definiertem lactosegehalt |
US11848940B2 (en) * | 2015-08-28 | 2023-12-19 | The Boeing Company | Cumulative trajectory of cyber reconnaissance indicators |
US10097581B1 (en) * | 2015-12-28 | 2018-10-09 | Amazon Technologies, Inc. | Honeypot computing services that include simulated computing resources |
-
2016
- 2016-06-02 RU RU2016121877A patent/RU2634181C1/ru active
- 2016-07-20 US US15/215,116 patent/US10372907B2/en active Active
- 2016-09-13 JP JP2016178478A patent/JP6341964B2/ja active Active
- 2016-11-25 CN CN201611054559.8A patent/CN107463841B/zh active Active
Also Published As
Publication number | Publication date |
---|---|
CN107463841A (zh) | 2017-12-12 |
JP2017220195A (ja) | 2017-12-14 |
CN107463841B (zh) | 2020-12-04 |
US20170351859A1 (en) | 2017-12-07 |
RU2634181C1 (ru) | 2017-10-24 |
US10372907B2 (en) | 2019-08-06 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
JP6341964B2 (ja) | 悪意のあるコンピュータシステムを検出するシステム及び方法 | |
CN109684832B (zh) | 检测恶意文件的***和方法 | |
Chen et al. | Stormdroid: A streaminglized machine learning-based system for detecting android malware | |
Javaheri et al. | Detection and elimination of spyware and ransomware by intercepting kernel-level system routines | |
Feizollah et al. | A review on feature selection in mobile malware detection | |
Alazab | Profiling and classifying the behavior of malicious codes | |
RU2595511C2 (ru) | Система и способ ограничения работы доверенных приложений при наличии подозрительных приложений | |
EP3420489B1 (en) | Cybersecurity systems and techniques | |
RU2531861C1 (ru) | Система и способ оценки вредоносности кода, исполняемого в адресном пространстве доверенного процесса | |
KR102160659B1 (ko) | 하드웨어-기반 마이크로-아키텍처 데이터를 이용한 이상 프로그램 실행의 검출 | |
CN107066883B (zh) | 用于阻断脚本执行的***和方法 | |
US9218461B2 (en) | Method and apparatus for detecting malicious software through contextual convictions | |
US20190141075A1 (en) | Method and system for a protection mechanism to improve server security | |
Zhao et al. | Malicious executables classification based on behavioral factor analysis | |
JP6400758B2 (ja) | 不正リモート管理からのコンピュータを保護するためのシステム及び方法 | |
US9239922B1 (en) | Document exploit detection using baseline comparison | |
Shan et al. | Growing grapes in your computer to defend against malware | |
Amer | Permission-based approach for android malware analysis through ensemble-based voting model | |
US10601867B2 (en) | Attack content analysis program, attack content analysis method, and attack content analysis apparatus | |
Alsaleh et al. | gextractor: Towards automated extraction of malware deception parameters | |
EP3252645B1 (en) | System and method of detecting malicious computer systems | |
Ham et al. | Vulnerability monitoring mechanism in Android based smartphone with correlation analysis on event-driven activities | |
Jawhar | A Survey on Malware Attacks Analysis and Detected | |
Emmah et al. | Review of malware and techniques for combating zero-day attacks | |
Shankarpani et al. | Computational intelligent techniques and similarity measures for malware classification |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20180403 |
|
A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20180420 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20180508 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20180515 |
|
R150 | Certificate of patent or registration of utility model |
Ref document number: 6341964 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |