特許 7550491 マルウェア検出システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-09-05

(45)【発行日】2024-09-13

(54)【発明の名称】マルウェア検出システム

(51)【国際特許分類】

   G06F 21/56 20130101AFI20240906BHJP

【ＦＩ】

G06F21/56 360

【請求項の数】 20

(21)【出願番号】P 2023547348

(86)(22)【出願日】2022-02-07

(65)【公表番号】

(43)【公表日】2024-02-09

(86)【国際出願番号】 US2022015448

(87)【国際公開番号】W WO2022170170

(87)【国際公開日】2022-08-11

【審査請求日】2023-08-02

(31)【優先権主張番号】63/146,975

(32)【優先日】2021-02-08

(33)【優先権主張国・地域又は機関】US

(73)【特許権者】

【識別番号】523293965

【氏名又は名称】ヴァリ サイバー インコーポレイテッド

(74)【代理人】

【識別番号】110002321

【氏名又は名称】弁理士法人永井国際特許事務所

(72)【発明者】

【氏名】ガディエント，オースティン ジェームス

(72)【発明者】

【氏名】リーヴス，ドナルド ベンソン

(72)【発明者】

【氏名】ガディエント，アンソニー ジェームス

【審査官】辻 勇貴

(56)【参考文献】

【文献】特開２０１７－１０２８２３（ＪＰ，Ａ）

【文献】特表２０１７－５２７９３１（ＪＰ，Ａ）

【文献】特表２０２０－５２２８０８（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／５６

(57)【特許請求の範囲】

【請求項1】

悪意のあるアクティビティを検出するための方法であって、
ユーザ空間において実行する挙動モニタによって、前記ユーザ空間において実行する複数のプロセスに対応する複数のフィルタを生成することと、
前記複数のプロセスのうちの第１のプロセスによって、カーネル空間における前記複数のフィルタのうちの対応するフィルタにシステムコールを送信することと、
前記複数のプロセスのうちの前記第１のプロセスによって、前記対応するフィルタから信号を受信することであって、前記信号は、前記第１のプロセスに、前記システムコールにおいて発行された引数を分析するように促す、受信することと、
前記受信することに応じて、前記第１のプロセスによって、前記システムコールにおいて発行された前記引数を分析することであって、前記引数を分析することは、
少なくとも１つのファイルおよび／またはデータが、前記第１のプロセス、または前記第１のプロセスに関連するプロセスによって、変更されたことを判定することを含み、
前記第１のプロセスによって、悪意のあるアクティビティに前記引数が関連付けられ得ると判定することと、
前記判定することに応じて、前記第１のプロセスによって、イベントを生成し、前記イベントを前記挙動モニタに送信することと、
前記挙動モニタによって、前記イベントを分析して、悪意のあるアクティビティに前記イベントが関連付けられているか否かを判定することであって、前記イベントを分析することは、
前記第１のプロセスによって変更される前に、前記少なくとも１つのファイルおよび／またはデータのコピーを生成することと、
前記少なくとも１つのファイルの前記コピーおよび／またはデータを、バックアップフォルダまたはシステムに保存することを含み、
悪意のあるアクティビティに前記イベントが関連付けられていると判定することに応じて、
前記挙動モニタによって、前記第１のプロセスに関連付けられたプロセスグループの実行を停止させることと、
前記挙動モニタによって、前記バックアップフォルダまたは前記システムから、前記少なくとも１つのファイルの、前のバージョンを復元することとを含む、方法。

【請求項2】

前記挙動モニタによって、前記第１のプロセスが変更したファイルおよび／またはデータのコピーを保存することをさらに含む、請求項１に記載の方法。

【請求項3】

前記挙動モニタによって、前記第１のプロセスが削除したファイルおよび／またはデータのコピーを保存することをさらに含む、請求項１に記載の方法。

【請求項4】

前記ユーザ空間において実行する前記挙動モニタによって、前記ユーザ空間において実行する前記複数のプロセスに対応する前記複数のフィルタを生成することは、
前記第１のプロセスの実行を一時停止することと、
前記第１のプロセスにコードを挿入することとを含み、前記コードは、前記第１のプロセス内にローカルハンドラを、前記カーネル空間に、前記対応するフィルタを生成する、請求項１に記載の方法。

【請求項5】

前記第１のプロセスに前記コードを挿入することは、
前記第１のプロセスに関連付けられたコードの少なくとも第１の部分を上書きすることと、
前記対応するフィルタが前記カーネル空間において生成された後、前記コードの前記第１の部分を復元することとを含む、請求項４に記載の方法。

【請求項6】

前記第１のプロセスは、コンテナにおいて実行する、請求項１に記載の方法。

【請求項7】

前記プロセスグループは、子／親関係を共有するプロセスの集合である、請求項１に記載の方法。

【請求項8】

１つまたは複数のプロセッサによって実行されると、コンピュータシステムに動作を実行させる命令を含む、非一時的なコンピュータ可読媒体であって、前記動作は、
ユーザ空間において実行する挙動モニタによって、前記ユーザ空間において実行する複数のプロセスに対応する複数のフィルタを生成することと、
前記複数のプロセスのうちの第１のプロセスによって、カーネル空間における前記複数のフィルタのうちの対応するフィルタにシステムコールを送信することと、
前記複数のプロセスのうちの前記第１のプロセスによって、前記対応するフィルタから信号を受信することであって、前記信号は、前記第１のプロセスに、前記システムコールにおいて発行された引数を分析するように促す、受信することと、
前記受信することに応じて、前記第１のプロセスによって、前記システムコールにおいて発行された前記引数を分析することであって、前記引数を分析することは、
少なくとも１つのファイルが、前記第１のプロセス、または前記第１のプロセスに関連するプロセスによって、変更されたことを判定することを含み、
前記第１のプロセスによって、悪意のあるアクティビティに前記引数が関連付けられ得ると判定することと、
前記判定することに応じて、前記第１のプロセスによって、イベントを生成し、前記イベントを前記挙動モニタに送信することと、
前記挙動モニタによって、前記イベントを分析して、悪意のあるアクティビティに前記イベントが関連付けられているか否かを判定することであって、前記イベントを分析することは、
前記第１のプロセスによって変更される前に、前記少なくとも１つのファイルおよび／またはデータのコピーを生成することと、
前記少なくとも１つのファイルおよび／またはデータの前記コピーを、バックアップフォルダまたはシステムに保存することを含み、
悪意のあるアクティビティに前記イベントが関連付けられていると判定することに応じて、
前記挙動モニタによって、前記第１のプロセスに関連付けられたプロセスグループの実行を停止させることと、
前記挙動モニタによって、前記バックアップフォルダまたは前記システムから、前記少なくとも１つのファイルおよび／またはデータの、前のバージョンを復元することとを含む、非一時的なコンピュータ可読媒体。

【請求項9】

前記挙動モニタによって、前記第１のプロセスが変更したファイルおよび／またはデータのコピーを保存することをさらに含む、請求項８に記載の非一時的なコンピュータ可読媒体。

【請求項10】

前記挙動モニタによって、前記第１のプロセスが削除したファイルおよび／またはデータのコピーを保存することをさらに含む、請求項８に記載の非一時的なコンピュータ可読媒体。

【請求項11】

前記ユーザ空間において実行する前記挙動モニタによって、前記ユーザ空間において実行する前記複数のプロセスに対応する前記複数のフィルタを生成することは、
前記第１のプロセスの実行を一時停止することと、
前記第１のプロセスにコードを挿入することとを含み、前記コードは、前記第１のプロセス内にローカルハンドラを、前記カーネル空間に、前記対応するフィルタを生成する、請求項８に記載の非一時的なコンピュータ可読媒体。

【請求項12】

前記第１のプロセスは、コンテナにおいて実行する、請求項８に記載の非一時的なコンピュータ可読媒体。

【請求項13】

前記第１のプロセスに前記コードを挿入することは、
前記第１のプロセスに関連付けられたコードの少なくとも第１の部分を上書きすることと、
前記対応するフィルタが前記カーネル空間において生成された後、前記コードの前記第１の部分を復元することとを含む、請求項１１に記載の非一時的なコンピュータ可読媒体。

【請求項14】

前記プロセスグループは、子／親関係を共有するプロセスの集合である、請求項８に記載の非一時的なコンピュータ可読媒体。

【請求項15】

システムであって、
プロセッサと、
前記プロセッサによって実行されると、前記システムに対して動作を実行させる、格納されたプログラミング命令を有するメモリとを備え、前記動作は、
ユーザ空間において実行する挙動モニタによって、前記ユーザ空間において実行する複数のプロセスに対応する複数のフィルタを生成することと、
前記複数のプロセスのうちの第１のプロセスによって、カーネル空間における前記複数のフィルタのうちの対応するフィルタにシステムコールを送信することと、
前記複数のプロセスのうちの前記第１のプロセスによって、前記対応するフィルタから信号を受信することであって、前記信号は、前記第１のプロセスに、前記システムコールにおいて発行された引数を分析するように促す、受信することと、
前記受信することに応じて、前記第１のプロセスによって、前記システムコールにおいて発行された前記引数を分析することであって、前記引数を分析することは、
少なくとも１つのファイルが、前記第１のプロセス、または前記第１のプロセスに関連するプロセスによって、変更されたことを判定することを含み、
前記第１のプロセスによって、悪意のあるアクティビティに前記引数が関連付けられ得ると判定することと、
前記判定することに応じて、前記第１のプロセスによって、イベントを生成し、前記イベントを前記挙動モニタに送信することと、
前記挙動モニタによって、前記イベントを分析して、悪意のあるアクティビティに前記イベントが関連付けられているか否かを判定することであって、前記イベントを分析することは、
前記第１のプロセスによって変更される前に、前記少なくとも１つのファイルおよび／またはデータのコピーを生成することと、
前記少なくとも１つのファイルおよび／またはデータの前記コピーを、バックアップフォルダまたはシステムに保存することを含み、
悪意のあるアクティビティに前記イベントが関連付けられていると判定することに応じて、
前記挙動モニタによって、前記第１のプロセスに関連付けられたプロセスグループの実行を停止させることと、
前記挙動モニタによって、前記バックアップフォルダまたは前記システムから、前記少なくとも１つのファイルの、前のバージョンを復元することとを含む、システム。

【請求項16】

前記動作は、前記挙動モニタによって、前記第１のプロセスが変更したファイルのコピーを保存することをさらに含む、請求項１５に記載のシステム。

【請求項17】

前記動作は、前記挙動モニタによって、前記第１のプロセスが削除したファイルおよび／またはデータのコピーを保存することをさらに含む、請求項１６に記載のシステム。

【請求項18】

前記ユーザ空間において実行する前記挙動モニタによって、前記ユーザ空間において実行する前記複数のプロセスに対応する前記複数のフィルタを生成することは、
前記第１のプロセスの実行を一時停止することと、
前記第１のプロセスにコードを挿入することとを含み、前記コードは、前記第１のプロセス内にローカルハンドラを、前記カーネル空間に、前記対応するフィルタを生成する、請求項１５に記載のシステム。

【請求項19】

前記第１のプロセスは、コンテナにおいて実行する、請求項１５に記載のシステム。

【請求項20】

前記第１のプロセスに前記コードを挿入することは、
前記第１のプロセスに関連付けられたコードの少なくとも第１の部分を上書きすることと、
前記対応するフィルタが前記カーネル空間において生成された後、前記コードの前記第１の部分を復元することとを含む、請求項１８に記載のシステム。

【発明の詳細な説明】

【技術分野】

【0001】

関連出願の相互参照
本出願は、２０２１年２月８日に出願された米国仮出願第６３／１４６，９７５号に対する優先権を主張し、その全体が参照により本明細書に組み込まれる。

【0002】

本明細書で開示される実施形態は、一般に、マルウェア検出システムおよびその動作のための方法に関する。

【背景技術】

【0003】

マルウェアは、ユーザのコンピューティングシステムに侵入して、限定されないが、個人識別情報または財務情報などの特権情報をあわよくば盗むように開発され得る。マルウェア検出が進歩し続けるなかで、不正行為者は、悪意のある攻撃を阻止するために実施され得るメカニズムを切り抜ける手法を模索し続けている。この技術の多くはＷｉｎｄｏｗｓベースのオペレーティングシステムに特化してきたが、Ｕｎｉｘ（登録商標）／Ｌｉｎｕｘ（登録商標）などのＵｎｉｘ系のオペレーティングシステムへの進歩はあまりなかった。

【発明の概要】

【課題を解決するための手段】

【0004】

いくつかの実施形態では、悪意のあるアクティビティを検出するための方法が本明細書に開示される。ユーザ空間において実行する挙動モニタ（behavioral monitor）は、ユーザ空間において実行する複数のプロセスに対応する複数のフィルタを生成する。複数のプロセスのうちの第１のプロセスは、カーネル空間（kernel space）における複数のフィルタのうちの対応するフィルタにシステムコールを送信する。複数のプロセスのうちの第１のプロセスは、対応するフィルタから信号を受信する。この信号は、第１のプロセスに、システムコールにおいて発行された引数（arguments）を分析するように促す。受信に応じて、第１のプロセスは、システムコールにおいて発行された引数を分析する。引数を分析することは、少なくとも１つのファイルおよび／またはデータが、第１のプロセス、または第１のプロセスに関連するプロセスによって、変更されたことを判定することを含む。第１のプロセスは、悪意のあるアクティビティに引数が関連付けられ得ると判定する。この判定に応じて、第１のプロセスは、イベントを生成し、イベントを、挙動モニタに送信する。挙動モニタは、イベントを分析して、悪意のあるアクティビティにイベントが関連付けられているか否かを判定する。イベントを分析することは、第１のプロセスによって変更される前に、少なくとも１つのファイルおよび／またはデータのコピーを生成することと、少なくとも１つのファイルのコピーおよび／またはデータを、バックアップフォルダまたはシステムに保存することとを含む。悪意のあるアクティビティにイベントが関連付けられていると判定することに応じて、挙動モニタは、第１のプロセスに関連付けられたプロセスグループの実行を停止させ、バックアップフォルダまたはシステムから、少なくとも１つのファイルの、前のバージョンを復元する。

【0005】

いくつかの実施形態では、非一時的なコンピュータ可読媒体が本明細書に開示される。非一時的なコンピュータ可読媒体は、１つまたは複数のプロセッサによって実行されると、コンピュータシステムに動作を実行させる命令を含む。これら動作は、ユーザ空間において実行する挙動モニタによって、ユーザ空間において実行する複数のプロセスに対応する複数のフィルタを生成することを含む。これら動作はさらに、複数のプロセスのうちの第１のプロセスによって、カーネル空間における複数のフィルタのうちの対応するフィルタに、システムコールを送信することを含む。これら動作はさらに、複数のプロセスのうちの第１のプロセスによって、対応するフィルタから信号を受信することを含む。この信号は、第１のプロセスに、システムコールにおいて発行された引数を分析するように促す。これら動作はさらに、受信することに応じて、第１のプロセスによって、少なくとも１つのファイルが、第１のプロセスまたは第１のプロセスに関連するプロセスによって変更されたと判定することによって、システムコールにおいて発行された引数を分析することを含む。これら動作はさらに、第１のプロセスによって、悪意のあるアクティビティに引数が関連付けられ得ると判定することを含む。これら動作はさらに、判定することに応じて、第１のプロセスによって、イベントを生成し、イベントを挙動モニタへ送信することを含む。これら動作はさらに、挙動モニタによって、第１のプロセスによって変更される前に、少なくとも１つのファイルおよび／またはデータのコピーを生成し、少なくとも１つのファイルおよび／またはデータのコピーを、バックアップフォルダまたはシステムに保存することによって、悪意のあるアクティビティにイベントが関連付けられているか否かを判定するために、イベントを分析することを含む。これら動作はさらに、悪意のあるアクティビティにイベントが関連付けられていると判定することに応じて、挙動モニタによって、第１のプロセスに関連付けられたプロセスグループの実行を停止させることと、挙動モニタによって、バックアップフォルダまたはシステムから、少なくとも１つのファイルおよび／またはデータの、前のバージョンを復元することとを含む。

【0006】

いくつかの実施形態では、システムが、本明細書に開示される。このシステムは、プロセッサおよびメモリを含む。メモリは、格納されたプログラミング命令を有しており、プログラミング命令は、プロセッサによって実行されると、システムに、動作を実行させる。これら動作は、ユーザ空間において実行する挙動モニタによって、ユーザ空間において実行する複数のプロセスに対応する複数のフィルタを生成することを含む。これら動作はさらに、複数のプロセスのうちの第１のプロセスによって、カーネル空間における複数のフィルタのうちの対応するフィルタに、システムコールを送信することを含む。これら動作はさらに、複数のプロセスのうちの第１のプロセスによって、対応するフィルタから信号を受信することを含む。この信号は、第１のプロセスに対して、システムコールにおいて発行された引数を分析するように促す。これら動作はさらに、受信することに応じて、第１のプロセスによって、少なくとも１つのファイルが、第１のプロセスまたは第１のプロセスに関連するプロセスによって変更されたと判定することによって、システムコールにおいて発行された引数を分析することを含む。これら動作はさらに、第１のプロセスによって、悪意のあるアクティビティに引数が関連付けられ得ると判定することを含む。これら動作はさらに、判定することに応じて、第１のプロセスによって、イベントを生成し、イベントを挙動モニタへ送信することを含む。これら動作はさらに、挙動モニタによって、第１のプロセスによって変更される前に、少なくとも１つのファイルおよび／またはデータのコピーを生成し、少なくとも１つのファイルおよび／またはデータのコピーを、バックアップフォルダまたはシステムに保存することによって、悪意のあるアクティビティにイベントが関連付けられているか否かを判定するために、イベントを分析することを含む。これら動作はさらに、悪意のあるアクティビティにイベントが関連付けられていると判定することに応じて、挙動モニタによって、第１のプロセスに関連付けられたプロセスグループの実行を停止させることを含む。これら動作はさらに、挙動モニタによって、バックアップフォルダまたはシステムから少なくとも１つのファイルの、前のバージョンを復元することを含む。

【0007】

本開示の上記の特徴を詳細に理解できるように、上記で簡単に要約された本開示のより具体的な説明は、実施形態を参照することによって得ることができ、そのうちのいくつかは添付図面に示されている。しかしながら、添付図面は、本開示の典型的な実施形態のみを示しており、したがって、本開示は他の同様に効果的な実施形態を許容し得るので、その範囲を限定するとみなされるものではないことに留意されたい。

【図面の簡単な説明】

【0008】

【図1】例示的な実施形態による、コンピューティングシステムを示すブロック図である。

【0009】

【図2A】例示的な実施形態による、マルウェアを検出する方法を示すフロー図である。

【0010】

【図2B】例示的な実施形態による、ユーザ空間において実行するプロセスを監視する方法を示すフロー図である。

【0011】

【図3】例示的な実施形態による、悪意のあるアクティビティが検出された場合に、是正アクションを講じる方法を示すフロー図である。

【0012】

【図4A】例示的な実施形態による、システムバスコンピューティングシステムアーキテクチャを示す図である。

【0013】

【図4B】例示的な実施形態による、チップセットアーキテクチャを有するコンピュータシステムを示す図である。

【発明を実施するための形態】

【0014】

理解を容易にするために、可能であれば、各図に共通する同一の要素を示すために同一の参照番号が使用される。１つの実施形態において開示された要素は、特に言及することなく他の実施形態でも有益に利用できると考えられる。

【0015】

本明細書で説明される１つまたは複数の技法は、一般に、マルウェア検出システムを対象とする。たとえば、ここで説明する１つまたは複数の技法は、Ｕｎｉｘ（登録商標）／Ｌｉｎｕｘ（登録商標）環境（たとえば、Ｕｂｕｎｔｕ（登録商標）、Ｒｅｄ Ｈａｔ（登録商標）など）内のマルウェアを検出する手段を提供する。悪意のあるアクティビティを検出するために、本明細書で説明される１つまたは複数の技法は、コンピューティング環境のユーザ空間において実行する様々なプロセスにプロセスコードを挿入するように構成された挙動モニタを利用し得る。そのようなプロセスコードの挿入により、コンピューティングシステムのカーネル空間において、対応するフィルタの生成をトリガし得る。カーネル空間におけるフィルタは、関連付けられたプロセスからのシステムコールを傍受し、悪意のあるアクティビティに関連付けられた可能性のある特定のシステムコールを識別するために使用され得る。現在のシステムが、１つまたは複数のプロセスまたはファイルが、悪意のあるアクティビティに関連付けられていると判定した場合、挙動モニタは、プロセスの実行を強制終了し、バックアップから、プロセスまたはファイルの、前のバージョンを復元し得る。

【0016】

図１は、例示的な実施形態による、コンピューティングシステム１００を示すブロック図である。いくつかの実施形態では、コンピューティングシステム１００は、ここで論じられる動作を実行するように構成されたサーバシステムを表し得る。他の実施形態では、コンピューティングシステム１００は、ＩＯＴデバイスまたは設備を表すことができる。図示されるように、コンピューティングシステム１００は、ユーザ空間１０２およびカーネル空間１０４を含み得る。ユーザ空間１０２およびカーネル空間１０４は、コンピューティングシステム１００に関連付けられたメモリの一部を表すことができる。

【0017】

一般に、ユーザ空間１０２は、オペレーティングシステムのカーネルの外側でコードを実行するメモリの一部を表し得る。たとえば、ユーザ空間１０２は、コンピューティングシステム１００においてアプリケーションを実行するように構成されたメモリの一部を表し得る。比較すると、カーネル空間１０４は、コンピューティングシステム１００に関連付けられたオペレーティングシステムカーネルを実行するメモリの一部を表し得る。たとえば、カーネル空間１０４は、カーネルおよびオペレーティングシステムに関連付けられたメモリの一部を表し得る。

【0018】

図示されるように、ユーザ空間１０２は、１つまたは複数のクライアントプロセス１０６（一般に、クライアントプロセス１０６）、挙動モニタ１０８、およびバックアップフォルダ１１０を含み得る。いくつかの実施形態では、クライアントプロセス１０６および挙動モニタ１０８のおのおのは、１つまたは複数のソフトウェアモジュールから構成され得る。１つまたは複数のソフトウェアモジュールは、１つまたは複数のアルゴリズムステップを実施する一連の機械命令（たとえば、プログラムコード）を表す、ユーザ空間１０２に格納されたコードまたは命令の集合であり得る。そのような機械命令は、コンピューティングシステム１００のプロセッサが命令を実施するために解釈する実際のコンピュータコードであり得るか、または、実際のコンピュータコードを取得するために解釈される命令の、より高いレベルのコーディングであり得る。１つまたは複数のソフトウェアモジュールは、１つまたは複数のハードウェア構成要素をも含み得る。例示的なアルゴリズムの１つまたは複数の態様は、命令の結果としてではなく、ハードウェア構成要素（たとえば、回路構成）自体によって実行され得る。

【0019】

いくつかの実施形態では、クライアントプロセス１０６は、コンピューティングシステム１００において実行するプログラムを称し得る。いくつかの実施形態では、クライアントプロセス１０６は、Ｄｏｃｋｅｒ（登録商標）、ＣＲＩ－Ｏなどのコンテナソリューションにおいて実行するプログラムを表し得る。一般に、コンテナ内部で実行するプログラムは、コンピューティングシステム１００において、個別のプログラムとして現れ得る。コンピューティングシステム１００の目的上、コンテナ内部で実行するプロセスと、他の任意のプロセスとの間に違いはない。いくつかの実施形態では、クライアントプロセス１０６は、仮想機械において実行するプログラムを表し得る。

【0020】

挙動モニタ１０８は、コンピューティングシステム１００におけるマルウェアを検出するように構成され得る。いくつかの実施形態では、コンピューティングシステム１００におけるあらゆるプロセスの監視を開始するために、挙動モニタ１０８以外の、コンピューティングシステム１００におけるあらゆるプログラムを一時停止され得る。いくつかの実施形態では、コンピューティングシステム１００におけるすべてのプロセスのサブセットが、一時停止され得る。プログラムが一時停止されると、挙動モニタ１０８は、各プログラムへの処理コードの挿入を開始し得る。最初に、システムにおけるすべてのプロセスを一時停止することによって、挙動モニタ１０８は、挙動モニタ１０８が、すべてのプログラムおよびスレッドに挿入しようとするときに、プログラムおよびスレッドが新たに作成される競合状態を気にすることなく、すべてのプログラムおよびスレッドに処理コードを挿入し得る。さらに、すべてのプロセス１０６に処理コードを挿入し、挿入されたコードからイベント情報を受信するように、挙動モニタ１０８を構成することができる。すべてのプロセス１０６に処理コードを挿入するために、挙動モニタ１０８は、システムコールを使用し得る。いくつかの実施形態では、システムコールは、ｐｔｒａｃｅまたはｐｒｏｃｅｓｓ＿ｖｍ＿ｗｒｉｔｅｖシステムコールであり得る。ｐｔｒａｃｅシステムコールは、挙動モニタ１０８が、様々なプロセス１０６に接続するか、または様々なプロセス１０６を制御できるようにし得る。ｐｒｏｃｅｓｓ＿ｖｍ＿ｗｒｉｔｅｖシステムコールにより、挙動モニタ１０８は、あらゆるプロセス１０６に処理コードを挿入することができる。

【0021】

いくつかの実施形態では、プロセスが挿入された後、プロセスはターゲットプロセス内に新しいプログラムまたはスレッドを作成することができる。一般に、コンピューティングシステム１００においてプロセスおよび／またはスレッドを作成できる複数の手法があり得る。たとえば、ユーザまたは管理者は、ｃｌｏｎｅ、ｆｏｒｋ、またはｖｆｏｒｋシステムコールのうちの１つまたは複数を利用して、新しいプログラムまたはスレッドを作成し得る。

【0022】

いくつかの実施形態では、ｅｘｅｃｖｅおよび／またはｅｘｅｃｖｅａｔシステムコールを使用して、ターゲットプロセス１０６またはプログラム内にプロセスを作成し得る。ｅｘｅｃｖｅおよび／またはｅｘｅｃｖｅａｔシステムコールは、プロセス１０６のアドレス空間における元のメモリを完全に上書きし、それによって、プロセス１０６内に新しいプログラムを作成し得る。一度実行されると、挙動モニタ１０８は、あたかも他のいずれかのプログラムであるかのように、新たに作成されたプログラムに、処理コードを再挿入し得る。

【0023】

いくつかの実施形態では、ターゲットプロセス１０６またはプログラム内にプログラムを作成するために、ｆｏｒｋおよび／またはｖｆｏｒｋシステムコールが使用され得る。いくつかの実施形態では、ｆｏｒｋおよび／またはｖｆｏｒｋおよび／またはｃｌｏｎｅシステムコールは、そのメモリ画像が、ｆｏｒｋをコールしたプロセスのコピーであり得る、プログラムを作成し得る。いくつかの実施形態では、実行は、ｆｏｒｋコールの位置の直後に再開され得る。いくつかの実施形態では、挿入された処理コードにより、プログラムによって元々意図されていた異なる場所で、ｆｏｒｋおよび／またはｖｆｏｒｋシステムコールが開始され得る。したがって、新しく作成されたプログラムのコンテキストは、ｆｏｒｋおよび／またはｖｆｏｒｋシステムコールの元々意図された場所と一致するように設定され得る。いくつかの実施形態では、コンテキストは、レジスタと、元々意図された実行の状態とを含み得る。

【0024】

いくつかの実施形態では、これは、新しく作成されたプログラムに、ｓｅｔｃｏｎｔｅｘｔ関数を挿入し、新しく作成されたプログラムにおいてｓｅｔｃｏｎｔｅｘｔ関数を実行することによって達成され得る。ｓｅｔｃｏｎｔｅｘｔは、必要な新しいコンテキストを、引数として受け取り得る。いくつかの実施形態では、挙動モニタ１０８は、所望の新しいコンテキストを作成し、所望の新しいコンテキストを、引数として、新しく挿入されたｓｅｔｃｏｎｔｅｘｔ関数に提供し得る。

【0025】

いくつかの実施形態では、これは、新しく作成されたプログラム内でｓｉｇｒｅｔｕｒｎシステムコールを実行し、新しく作成されたプログラムにおいてｓｉｇｒｅｔｕｒｎシステムコールを実行することによって達成され得る。

【0026】

いくつかの実施形態では、ｃｌｏｎｅシステムコールを使用して、ターゲットプロセス１０６またはプログラム内にスレッドを作成し得る。いくつかの実施形態では、ｃｌｏｎｅシステムコールは、上記で説明したｆｏｒｋシステムコールと同様に動作し得る。したがって、ｃｌｏｎｅシステムコールは、ｆｏｒｋシステムコールと同様に取り扱われ得る。いくつかの実施形態では、プロセス１０６内に新しいプログラムを作成するのではなく、ｃｌｏｎｅシステムコールは、プロセス１０６内に新しいスレッドを作成することができる。ｆｏｒｋシステムコールと同様に、ｃｌｏｎｅに対する元のコールの直後に、新しいスレッドの実行が開始され得る。このシステムコールは、元々意図された場所ではなく、挿入された処理コード内で発生する可能性があるため、新しいスレッドのコンテキストを、元々意図されたコンテキストと一致するように適切に設定する必要がある。

【0027】

いくつかの実施形態では、挙動モニタ１０８は、コンピューティングシステム１００において実行するプロセス１０６の状態に、損傷を与えないような手法でコードを挿入し得る。たとえば、動作中、プログラムが所与のプロセス１０６内に挿入される前に、プロセス１０６の元の状態のうち、変更されようとしている部分が格納され得る。プロセス１０６の元の状態のこの部分が格納されると、挙動モニタ１０８は、プロセス１０６へのコードの挿入を開始し得る。挿入が行われると、挙動モニタ１０８は、挿入されたコードとともに、格納されていた元の状態の部分を復元し得る。

【0028】

いくつかの実施形態では、挿入が行われ、それぞれのプロセス１０６の元の状態の部分が復元されると、プロセス１０６が変更または削除するファイルおよび／またはデータのコピーが作成され、バックアップフォルダ１１０に格納され得る。いくつかの実施形態では、挙動モニタ１０８は、システムコールを利用して、これらのファイルおよび／またはデータを、バックアップフォルダ１１０にコピーし得る。たとえば、挙動モニタ１０８は、ファイルおよび／またはデータをバックアップフォルダ１１０にコピーするために、ｃｏｐｙ＿ｆｉｌｅ＿ｒａｎｇｅシステムコールを利用し得る。

【0029】

いくつかの実施形態では、挙動モニタ１０８は、ファイルをバックアップフォルダ１１０にコピーするために、データのアクセス、読み出し、および書き込みをすることができる任意のシステムコールの組合せを使用し得る。

【0030】

いくつかの実施形態では、挿入が行われ、それぞれのプロセス１０６の元の状態の部分が復元されると、プロセス１０６が変更または削除するファイルおよび／またはデータのコピーが作成され、データベース、ネットワーク接続ストレージ、または代替機械などのデータを格納し得る任意のシステムに格納され得る。

【0031】

いくつかの実施形態では、挿入されたコードは、対象となり得るシステムコールに対するフィルタを確立するために、ｓｅｃｏｍｐフィルタに依存し得る。図示されるように、ｓｅｃｏｍｐフィルタは、ユーザ空間において作成され得るが、対応するフィルタ１１４は、カーネル空間１０４で確立され得る。このようにして、コンピューティングシステム１００は、このプロセスを実行するためにカーネルモジュールを必要としない。ｓｅｃｏｍｐフィルタは、プロセスが、着信システムコールに対してフィルタ１１４を指定する手段を提供し得る。いくつかの実施形態では、ｓｅｃｏｍｐフィルタは、バークレーパケットフィルタ（ＢＰＦ）プログラムの形式を採り得る。対象となり得るシステムコールの例は、限定されないが、ファイル操作に関連付けられたシステムコール、新しいプログラムの作成に関連付けられたシステムコール、ネットワーク接続の開始に関連するシステムコールなどを含み得る。たとえば、ｏｐｅｎやｏｐｅｎａｔなどのシステムコールは、所与のプロセスがアクセスしているファイルを追跡するためのキャプチャであり得る。それに加えて、ｅｘｅｃｖｅ、ｆｏｒｋ、およびｃｌｏｎｅなどのシステムコールをキャプチャして、新しいスレッド、プロセス、およびプロセスグループの作成を追跡し得る。ａｃｃｅｐｔ４、ａｃｃｅｐｔ、ｂｉｎｄ、ｃｏｎｎｅｃｔのようなシステムコールを使用して、ネットワーク接続の開始をキャプチャし得る。

【0032】

いくつかの実施形態では、挙動モニタ１０８は、ａｕｄｉｔｄルールを使用して、対象となり得るシステムコールに対するフィルタを確立し得る。

【0033】

いくつかの実施形態では、挙動モニタ１０８は、ｆａｎｏｔｉｆｙを使用して、対象となり得るシステムコールに対するフィルタを確立し得る。

【0034】

いくつかの実施形態では、挙動モニタ１０８は、拡張バークレーパケットフィルタ（ｅＢＰＦ）を使用して、対象となり得るシステムコールのフィルタを確立し得る。

【0035】

いくつかの実施形態では、挙動モニタ１０８は、引数ＰＲ＿ＳＥＴ＿ＳＹＳＣＡＬＬ＿ＵＳＥＲ＿ＤＩＳＰＡＴＣＨを用いてシステムコールｐｒｔｃｔｌを使用して、対象となり得るシステムコールのフィルタを確立し得る。

【0036】

いくつかの実施形態では、挙動モニタ１０８は、ＳＥＬｉｎｕｘモジュールを使用して、対象となり得るシステムコールのフィルタを確立し得る。

【0037】

いくつかの実施形態では、挙動モニタ１０８は、ＡｐｐＡｒｍｏｕｒプロファイルを使用して、対象となり得るシステムコールに対するフィルタを確立し得る。

【0038】

いくつかの実施形態では、挙動モニタ１０８は、システムコールｐｔｒａｃｅを使用して、対象となり得るシステムコールに対するフィルタを確立し得る。

【0039】

いくつかの実施形態では、挿入されたコードは、各プロセスにおいて信号ハンドラ１１２を登録または確立し得る。信号ハンドラ１１２は、カーネル空間１０４から受信した信号を取り扱うように構成され得る。たとえば、信号ハンドラ１１２は、カーネル空間１０４における対応するフィルタ１１４から送信されるＳＩＧＳＹＳ信号を取り扱うように構成され得る。いくつかの実施形態では、ＳＩＧＳＹＳ信号を受信すると、信号ハンドラ１１２は、信号から関連情報を取得し、特定のタイプのシステムコールに基づいて１つまたは複数のアクションを実行し得る。たとえば、動作中、クライアントプロセス１０６は、ファイルおよび／またはデータを変更する目的で、ファイルおよび／またはデータを開いたり、そのファイルおよび／またはデータを削除したりすることができる。そのような動作は、信号ハンドラ１１２をトリガして、ファイルに関するデータ、および／または、アクセスされているデータを、挙動モニタ１０８に送信し得る。挙動モニタ１０８は、ファイルおよび／またはデータのコピーを作成し得、ファイルおよび／またはデータを、バックアップフォルダ１１０に格納し得る。いくつかの実施形態では、挙動モニタ１０８は、ファイルおよび／またはデータのコピーを作成し得、データベース、ネットワーク接続ストレージ、または代替機械など、データを格納し得る任意のシステムに、ファイルおよび／またはデータを格納し得る。

【0040】

図示されるように、カーネル空間１０４を参照して示すように、カーネル空間１０４は、その中に確立された１つまたは複数のフィルタ１１４_１～１１４_ｎ（一般に、フィルタ１１４または複数のフィルタ１１４）を含み得る。各フィルタ１１４は、挙動モニタ１０８がコードを挿入したそれぞれのプロセス１０６に対応し得る。たとえば、前述したように、それぞれのプロセス１０６内にコードを挿入すると、カーネル空間１０４におけるそれぞれのフィルタ１１４が登録または確立される可能性がある。各フィルタ１１４は、それぞれのプロセス１０６から受信したシステムコールに基づいて１つまたは複数のルールを定義し得る。たとえば、プロセス１０６から受信したシステムコールのタイプに応じて、フィルタ１１４は、プロセス１０６を強制終了するか、プロセス１０６の完了を許可するか、またはＳＩＧＳＹＳ信号をプロセス１０６に送り返すかを選択し得る。ＳＩＧＳＹＳ信号を生成するシステムコールの例は、傍受される可能性のあるすべてのシステムコールを含む。例は、限定されないが、ファイルを操作するシステムコール、新しいプログラムを作成するシステムコール、既存のプログラムを変更するシステムコール、ネットワーク接続を開始するシステムコールなどを含み得る。

【0041】

いくつかの実施形態では、ＳＩＧＳＹＳ信号をプロセス１０６に送り返すことにより、信号ハンドラ１１２の実行を促す、または実行させることができる。ＳＩＧＳＹＳ信号は、プロセス１０６が何らかのアクションを講じたことを信号ハンドラ１１２に示し得る。例示的なアクションは、限定されないが、ファイルを開く、ファイルを保存する、ファイルへのアクセスを要求するなどを含み得る。信号ハンドラ１１２は、フィルタ１１４に送信されたシステムコール引数を検査して、引数が安全であることを保証するように構成され得る。いくつかの実施形態では、信号ハンドラ１１２は、引数が十分に安全であるという判定に基づいてシステムコールが進行することを許可し得る。許可されないシステムコールの例は、保護されたプログラムまたはファイルにアクセスするシステムコールを含むが、これに限定されない。安全性の判定は、システムコールごとに異なり、システムコールに提供された１つまたは複数の引数のタイプに依存する。いくつかの実施形態では、他のシステムコールの実行と並行して考慮される場合、その実行が、悪意のあるアクティビティを判定するために使用され得るシステムコールが、集計およびさらなる分析のために、監視プログラムに送り返され得る。いくつかの実施形態では、信号ハンドラ１１２は、挙動モニタ１０８にメッセージを送信し、挙動モニタ１０８にシステムコールを通知し得る。

【0042】

挙動モニタ１０８はさらに、信号ハンドラ１１２から、１つまたは複数のイベントを受信するように構成され得る。いくつかの実施形態では、１つまたは複数のイベントは、信号ハンドラ１１２から挙動モニタ１０８に送信され、フィルタ１１４からのＳＩＧＳＹＳ信号をトリガしたシステムコールを、挙動モニタ１０８に通知するメッセージを称し得る。いくつかの実施形態では、挙動モニタ１０８は、信号ハンドラ１１２からイベント情報を収集し、各イベントをトリガしたプロセスグループに従って、イベント情報をグループ化し得る。一般に、プロセスグループは、子／親関係を共有するプロセスの集合を称し得る。いくつかの実施形態では、グループにおける各プロセス１０６によって開始されたイベントは、あたかも同じプロセスによって開始されたかのようにともにグループ化され得る。その後、挙動モニタ１０８は、挙動検出アルゴリズム１１６を使用して、プロセスグループデータを分析および評価し得る。挙動検出アルゴリズム１１６は、プロセスグループデータを分析して、プロセスグループ自体に悪意があるか否かを判定するように構成され得る。挙動検出アルゴリズム１１６が、プロセスグループに悪意があると判定した場合、挙動モニタは、悪意のあるプロセスグループの強制終了を開始し得る。

【0043】

いくつかの実施形態では、挙動検出アルゴリズム１１６は、プロセスグループが、挙動モニタ１０８の内部で実行するシステムコール間のカウントおよび関係を維持するように構成され得る。そのような構成は、様々な理由から、元のシステムコールに関する情報全体を格納するよりも改善される。たとえば、挙動検出アルゴリズム１１６は、システムコール情報を、要約形式に集約するように構成され得る。システムコール情報を要約形式に集約することによって、コンピューティングシステム１００のメモリオーバヘッドが、大幅に削減され得る。それに加えて、そのような集約により、プロセスグループを表し得るデータ構造を検査するのに必要な分析時間も、大幅に短縮され得る。たとえば、プロセスが、数千のファイルを開く場合、挙動検出アルゴリズム１１６は、特定の数千のシステムコールに関する詳細情報の代わりに、開かれているファイルの数を表すカウントを格納し得る。さらに、挙動検出アルゴリズム１１６は、これら動作がどのように発生するかを追跡し、それらの事実に関連するカウントを保持し得る。たとえば、５００個のファイルが書込用に開かれ、５００個のファイルが読取用に開かれている場合、挙動検出アルゴリズム１１６は、個々のアクセスに関する詳細情報ではなく、異なるタイプのファイルアクセスのカウントを維持し得る。いくつかの実施形態では、挙動アルゴリズムは、コードを変更することなく更新できるように、コードではなくデータとして表され得る。

【0044】

いくつかの実施形態では、プロセスグループに悪意があると判定することに応じて、挙動モニタ１０８は、悪意のある挙動に関連付けられたプロセスグループ全体を強制終了し得る。各ファイルおよび／またはデータのコピーが生成され、バックアップフォルダ１１０に、またはデータベース、ネットワーク接続ストレージ、または代替機械などのデータを格納できる任意のシステムに格納されているので、挙動モニタ１０８は、悪意のあるプロセスグループによってドロップされたファイルおよび／またはデータを削除し、悪意のあるプロセスグループによって以前に変更されたファイルおよび／またはデータを復元するように構成され得る。

【0045】

図２Ａは、例示的な実施形態による、マルウェアを検出する方法２００を示すフロー図である。方法２００はステップ２０２において開始し得る。

【0046】

ステップ２０２において、挙動モニタ１０８は、ユーザ空間１０２において実行する複数のプロセスに対応するカーネル空間１０４に、複数のフィルタ１１４を生成し得る。複数のフィルタ１１４を生成するために、挙動モニタ１０８は、コンピューティングシステム１００において実行するすべてのプロセス１０６に、処理コードを挿入し得る。そのようなプロセスにより、カーネル空間１０４に複数のフィルタ１１４が生成される場合がある。いくつかの実施形態では、各フィルタ１１４は、ユーザ空間１０２において実行するそれぞれのプロセス１０６に対応し得る。

【0047】

ステップ２０４において、プロセス１０６は、システムコールを、カーネル空間１０４に送信し得る。いくつかの実施形態では、システムコールは、それに関連付けられた１つまたは複数の引数を含み得る。例示的なシステムコールは、限定されないが、ファイル操作に関連付けられたシステムコールと、新しいプログラムの作成に関連付けられたシステムコールとを含み得る。いくつかの実施形態では、システムコールは、システムコールを開始したプロセス１０６に関連付けられたそれぞれのフィルタ１１４によって傍受され得る。

【0048】

ステップ２０６において、フィルタ１１４は、システムコールを分析して、システムコールをどのように処理するかを判定し得る。たとえば、プロセス１０６から受信したシステムコールのタイプに応じて、フィルタ１１４は、プロセス１０６を強制終了するか、プロセス１０６の完了を許可するか、またはＳＩＧＳＹＳ信号をプロセス１０６に送り返すかを選択し得る。

【0049】

ステップ２０８において、フィルタ１１４は、分析に基づいて、信号をプロセス１０６に送信し得る。たとえば、プロセス１０６から受信したシステムコールの分析に応じて、フィルタ１１４は、プロセス１０６に送り返すＳＩＧＳＹＳ信号を生成し得る。ＳＩＧＳＹＳ信号は、プロセス１０６に対して、システムコールにおいて発行された引数をさらに分析するように促し得る。

【0050】

ステップ２１０において、プロセス１０６は、フィルタ１１４から信号を受信し、関連付けられたシステムコールにおける１つまたは複数の引数を分析し得る。たとえば、信号ハンドラ１１２は、フィルタ１１４に送られた１つまたは複数のシステムコール引数を検査して、この１つまたは複数の引数が、安全であることを保証し得る。いくつかの実施形態では、信号ハンドラ１１２は、１つまたは複数の引数が十分に安全であるとの判定に基づいて、システムコールを続行できるようにし得る。いくつかの実施形態では、信号ハンドラ１１２は、挙動モニタ１０８にメッセージを送信し、挙動モニタ１０８にシステムコールを通知し得る。

【0051】

ステップ２１２において、プロセス１０６は、挙動モニタ１０８にメッセージを送信し得る。たとえば、信号ハンドラ１１２は、システムコールにおける引数の分析に応じて、挙動モニタ１０８にメッセージを送信し、疑わしいシステムコールを挙動モニタ１０８に通知し得る。

【0052】

ステップ２１４において、挙動モニタ１０８は、信号ハンドラ１１２からイベント情報（たとえば、メッセージ）を収集し、各イベントをトリガしたプロセスグループに従って、イベント情報をグループ化し得る。一般に、プロセスグループは、子／親関係を共有するプロセスの集合を称し得る。いくつかの実施形態では、グループにおける各プロセス１０６によって開始されたイベントは、あたかも同じプロセスによって開始されたかのようにグループ化され得る。

【0053】

ステップ２１６において、挙動モニタ１０８は、挙動検出アルゴリズム１１６を使用して、プロセスグループデータを分析および評価し得る。挙動検出アルゴリズム１１６は、プロセスグループデータを分析して、プロセスグループ自体に悪意があるか否かを判定するように構成され得る。

【0054】

ステップ２１８において、挙動モニタ１０８は、プロセスグループに悪意があるか否かを判定し得る。ステップ２１８において、挙動モニタ１０８が、プロセスグループに悪意がないと判定した場合、ステップ２２０において、挙動モニタは、プロセスグループに、実行の継続を許可し得る。しかしながら、ステップ２１８において、挙動モニタ１０８が、プロセスグループに悪意があると判定した場合、ステップ２２２において、挙動モニタは、悪意のあるプロセスグループを強制終了し得る。

【0055】

図２Ｂは、例示的な実施形態による、ユーザ空間内で実行するプロセスを監視する方法２５０を示すフロー図である。方法２５０は、ステップ２５２として開始し得る。

【0056】

ステップ２５２において、挙動モニタ１０８は、ユーザ空間１０２において実行する複数のプロセスに対応するカーネル空間１０４に、複数のフィルタ１１４を生成し得る。複数のフィルタ１１４を生成するために、挙動モニタ１０８は、コンピューティングシステム１００において実行するすべてのプロセス１０６に、処理コードを挿入し得る。そのようなプロセスにより、カーネル空間１０４に複数のフィルタ１１４が生成される場合がある。いくつかの実施形態では、各フィルタ１１４は、ユーザ空間１０２において実行するそれぞれのプロセス１０６に対応し得る。

【0057】

ステップ２５４において、プロセス１０６は、システムコールをカーネル空間１０４に送信し得る。いくつかの実施形態において、システムコールは、それに関連付けられた１つまたは複数の引数を含み得る。例示的なシステムコールは、限定されないが、ファイル操作に関連付けられたシステムコールと、新しいプログラムの作成に関連付けられたシステムコールとを含み得る。いくつかの実施形態では、システムコールは、システムコールを開始したプロセス１０６に関連付けられたそれぞれのフィルタ１１４によって傍受され得る。

【0058】

ステップ２５６において、フィルタ１１４は、システムコールを分析して、システムコールをどのように処理するかを判定し得る。たとえば、プロセス１０６から受信したシステムコールのタイプに応じて、フィルタ１１４は、プロセス１０６を強制終了するか、プロセス１０６の完了を許可するか、またはＳＩＧＳＹＳ信号をプロセス１０６に送り返すかを選択し得る。

【0059】

ステップ２５８において、フィルタ１１４は、分析に基づいて、信号をプロセス１０６に送信し得る。たとえば、プロセス１０６から受信したシステムコールの分析に応じて、フィルタ１１４は、プロセス１０６に送り返すＳＩＧＳＹＳ信号を生成し得る。ＳＩＧＳＹＳ信号は、プロセス１０６に、システムコールで提出された引数をさらに分析するよう促し得る。

【0060】

ステップ２６０において、プロセス１０６は、フィルタ１１４から信号を受信し、関連付けられたシステムコールにおける１つまたは複数の引数を分析し得る。たとえば、信号ハンドラ１１２は、フィルタ１１４に送られた１つまたは複数のシステムコール引数を検査して、プロセス１０６が、ファイルを削除したか、または変更したかを判定し得る。

【0061】

ステップ２６２において、プロセス１０６がファイルおよび／またはデータを削除または変更したと信号ハンドラ１１２が判定したことに応じて、信号ハンドラ１１２は、データを挙動モニタ１０８に送信し得る。データは、既存のファイルおよび／またはデータを変更または削除するプロセス１０６の指示を表し得る。

【0062】

ステップ２６４において、プロセス１０６がファイルおよび／またはデータを削除または変更したという指示を挙動モニタ１０８が受信したことに応じて、挙動モニタ１０８は、バックアップフォルダ１１０に、ファイルおよび／またはデータのコピーを作成し得る。ファイルのコピーは、変更または削除前のファイルおよび／またはデータのバージョンを表し得る。このようにして、挙動モニタ１０８は、ファイルおよび／またはデータが、悪意のあるプロセスによって損傷または削除された場合に、そのファイルおよび／またはデータを、元の状態に復元することができる。

【0063】

図３は、例示的な実施形態による、悪意のあるアクティビティが検出された場合に、是正アクションを講じる方法３００を示すフロー図である。

【0064】

前述したように、挿入が発生し、それぞれのプロセス１０６の元の状態の部分が復元されると、挙動モニタ１０８は、コンピューティングシステム１００に対して、プロセス１０６、またはプロセス１０６の任意の子プロセスが、変更または削除したファイルおよび／またはデータのコピーを生成させ得る。そのような機能により、挙動モニタは、ファイルおよび／またはデータが、破損または削除された場合に、ファイルおよび／またはデータを元の状態に復元できる。いくつかの実施形態では、挙動モニタ１０８は、ファイルまたはプロセス１０６を、バックアップフォルダ１１０にコピーするために、ｃｏｐｙ＿ｆｉｌｅ＿ｒａｎｇｅと称されるシステムコールを利用し得る。いくつかの実施形態では、バックアップフォルダ１１０はさらに、ユーザ空間１０２において実行するファイルまたはプロセス１０６の前のバージョンを含み得る。

【0065】

ステップ３０２において、挙動モニタ１０８は、プロセスグループに悪意があると判定し得る。たとえば、挙動モニタ１０８は、挙動検出アルゴリズム１１６を使用して、１つまたは複数の信号ハンドラ１１２によって送信されたプロセスグループデータを分析および評価し得る。挙動検出アルゴリズム１１６は、プロセスグループデータを分析して、プロセスグループ自体に悪意があるか否かを判定するように構成され得る。

【0066】

ステップ３０４において、プロセスグループに悪意があると判定することに応じて、挙動モニタ１０８は、悪意のあるプロセスグループを強制終了し得る。たとえば、挙動モニタ１０８は、プロセス１０６の動作を停止させる信号をプロセス１０６に送信し得る。いくつかの実施形態では、プロセス１０６への信号は、強制終了コマンドの形式を採り得る。

【0067】

ステップ３０６において、挙動モニタ１０８は、悪意のあるアクティビティに関連付けられたファイルまたはプロセスを削除し得る。たとえば、分析に基づいて、挙動モニタ１０８は、悪意のある挙動に関連付けられた複数のプロセスまたは複数のファイルを識別することができる場合がある。この判定に基づいて、挙動モニタ１０８は、識別されたファイルおよび／またはデータまたはプロセスを削除し得る。

【0068】

ステップ３０８において、挙動モニタ１０８は、悪意のあるアクティビティによって影響を受けたファイルおよび／またはデータを復元し得る。たとえば、悪意のあるアクティビティに関連付けられたファイルおよび／またはデータの識別に応じて、挙動モニタ１０８は、以前にバックアップフォルダ１１０に格納されていた可能性のあるファイルおよびまたは／データの前のバージョンを識別し得る。その後、挙動モニタ１０８は、以前に格納されたバージョンに基づいて、ファイルおよび／またはデータの復元を上書きまたは開始し得る。

【0069】

図４Ａは、例示的な実施形態による、コンピューティングシステム４００のシステムバスアーキテクチャを示す。システム４００の１つまたは複数の構成要素は、バス４０５を使用して互いに電気通信し得る。システム４００は、プロセッサ（たとえば、１つまたは複数のＣＰＵ、ＧＰＵ、または他のタイプのプロセッサ）４１０と、読取専用メモリ（ＲＯＭ）４２０およびランダムアクセスメモリ（ＲＡＭ）４２５などのシステムメモリ４１５を含む様々なシステム構成要素をプロセッサ４１０へ結合するシステムバス４０５とを含み得る。システム４００は、プロセッサ４１０に直接、近接して接続されるか、またはプロセッサ４１０の一部として統合される、高速メモリのキャッシュを含むことができる。システム４００は、プロセッサ４１０による迅速なアクセスのために、メモリ４１５および／または記憶デバイス４３０から、キャッシュ４１２に、データをコピーすることができる。このようにして、キャッシュ４１２は、データを待っている間、プロセッサ４１０の遅延を回避する、性能向上を提供し得る。これらおよび他のモジュールは、様々なアクションを実行するためにプロセッサ４１０を制御するか、または制御するように構成することができる。他のシステムメモリ４１５も同様に利用可能であり得る。メモリ４１５は、異なる性能特性を有する複数の異なるタイプのメモリを含み得る。プロセッサ４１０は、単一のプロセッサまたは複数のプロセッサを表し得る。プロセッサ４１０は、プロセッサ４１０を制御するように構成された、記憶デバイス４３０に格納されたサービス１ ４３２、サービス２ ４３４、およびサービス４ ４３６などの汎用プロセッサまたはハードウェアモジュールまたはソフトウェアモジュールのみならず、ソフトウェア命令が実際のプロセッサ設計に組み込まれている専用プロセッサのうちの１つまたは複数を含むことができる。プロセッサ４１０は、本質的に、複数のコアまたはプロセッサ、バス、メモリコントローラ、キャッシュなどを含む、完全に内蔵型のコンピューティングシステムであり得る。マルチコアプロセッサは、対称的または非対称的であり得る。

【0070】

コンピューティングシステム４００とのユーザインタラクションを可能にするために、入力デバイス４４５は、音声用のマイクロフォン、ジェスチャまたはグラフィック入力用のタッチ感知スクリーン、キーボード、マウス、動き入力、音声など、任意の数の入力機構とすることができる。出力デバイス４３５（たとえば、ディスプレイ）は、当業者に知られている多くの出力機構のうちの１つまたは複数とすることもできる。場合によっては、マルチモーダルシステムは、ユーザが、コンピューティングシステム４００と通信するために複数のタイプの入力を提供できるようにすることができる。通信インターフェース４４０は、一般に、ユーザ入力およびシステム出力を統制および管理することができる。特定のハードウェア構成における動作に制限はないため、ここでの基本的な特徴は、開発された改良型ハードウェアまたはファームウェア構成に簡単に置換され得る。

【0071】

記憶デバイス４３０は、不揮発性メモリであってよく、磁気カセット、フラッシュメモリカード、ソリッドステートメモリデバイス、デジタル多用途ディスク、カートリッジ、ランダムアクセスメモリ（ＲＡＭ）４２５、読取専用メモリ（ＲＯＭ）４２０、およびそれらのハイブリッドなど、コンピュータによってアクセス可能なデータを格納できるハードディスク、または他のタイプのコンピュータ可読媒体とすることができる。

【0072】

記憶デバイス４３０は、プロセッサ４１０を制御するためのサービス４３２、４３４、および４３６を含むことができる。他のハードウェアまたはソフトウェアモジュールも考えられる。記憶デバイス４３０を、システムバス４０５に接続することができる。１つの態様では、特定の機能を実行するハードウェアモジュールは、機能を実行するために、プロセッサ４１０、バス４０５、出力デバイス４３５などの必要なハードウェア構成要素に関連してコンピュータ可読媒体に格納されたソフトウェア構成要素を含むことができる。

【0073】

図４Ｂは、例示的な実施形態による、チップセットアーキテクチャを有するコンピュータシステム４５０を示す。コンピュータシステム４５０は、開示された技術を実施するために使用できるコンピュータハードウェア、ソフトウェア、およびファームウェアの一例であり得る。システム４５０は、識別された計算を実行するように構成されたソフトウェア、ファームウェア、およびハードウェアを実行できる任意の数の物理的および／または論理的に別個のリソースを表す、１つまたは複数のプロセッサ４５５を含むことができる。１つまたは複数のプロセッサ４５５は、１つまたは複数のプロセッサ４５５への入力、および、１つまたは複数のプロセッサ４５５からの出力を制御できるチップセット４６０と通信することができる。この例では、チップセット４６０は、ディスプレイなどの出力４６５に情報を出力し、たとえば、磁気媒体およびソリッドステート媒体を含むことができる情報を読み出して、記憶デバイス４７０に書き込むことができる。チップセット４６０は、ＲＡＭ４７５からのデータの読取、およびＲＡＭ４７５へのデータの書込を行うことができる。チップセット４６０とインターフェースするために、様々なユーザインターフェース構成要素４８５とインターフェースするためのブリッジ４８０を設けることができる。そのようなユーザインターフェース構成要素４８５は、キーボード、マイクロフォン、タッチ検出および処理回路構成、マウスなどのポインティングデバイスなどを含むことができる。一般に、システム４５０への入力は、機械によって生成されたもの、および／または、人間によって生成されたものなど、様々なソースのいずれかから得ることができる。

【0074】

チップセット４６０は、異なる物理的インターフェースを有することができる、１つまたは複数の通信インターフェース４９０とインターフェースすることもできる。そのような通信インターフェースは、ワイヤおよびワイヤレスのローカルエリアネットワーク用の、ブロードバンドワイヤレスネットワーク用の、およびパーソナルエリアネットワーク用のインターフェースを含むことができる。本明細書に開示されるＧＵＩを生成し、表示し、使用するための方法のいくつかの応用は、物理的インターフェースを介して順序付けられたデータセットを受け取ること、または、記憶デバイス４７０またはＲＡＭ４７５に格納されたデータを分析する１つまたは複数のプロセッサ４５５によって機械自体によって生成されることを含むことができる。さらに、機械は、ユーザインターフェース構成要素４８５を介してユーザから入力を受信し、１つまたは複数のプロセッサ４５５を使用してこれらの入力を解釈することによってブラウジング機能などの適切な機能を実行することができる。

【0075】

例示的なシステム４００および４５０は、複数のプロセッサ４１０を有することができるか、または、より優れた処理能力を提供するために、ともにネットワーク化されたコンピューティングデバイスのグループまたはクラスタの一部となることができると理解され得る。

【0076】

上記は、本明細書において説明された実施形態を対象としているが、その基本的な範囲から逸脱することなく、他のさらなる実施形態が考案され得る。たとえば、本開示の態様は、ハードウェアまたはソフトウェア、またはハードウェアとソフトウェアとの組合せで実施され得る。本明細書において説明された１つの実施形態は、コンピュータシステムとともに使用するためのプログラム製品として実施され得る。プログラム製品のプログラムは、（本明細書において説明された方法を含む）実施形態の機能を定義し、様々なコンピュータ可読記憶媒体に含めることができる。例示的なコンピュータ可読記憶媒体は、限定されないが、（ｉ）情報が永続的に格納される書込不可能な記憶媒体（たとえば、ＣＤ－ＲＯＭドライブによって読み取り可能なＣＤ－ＲＯＭディスクのような、コンピュータ内の読取専用メモリ（ＲＯＭ）デバイス、フラッシュメモリ、ＲＯＭチップ、または任意のタイプのソリッドステート不揮発性メモリ）と、（ｉｉ）変更可能な情報が格納される書込可能な記憶媒体（たとえば、ディスケットドライブまたはハードディスクドライブ内のフロッピーディスク、または任意のタイプのソリッドステートランダムアクセスメモリ）とを含む。そのようなコンピュータ可読記憶媒体は、開示された実施形態の機能を指示するコンピュータ可読命令を担持する場合、本開示の実施形態である。

【0077】

当業者であれば、前述の実施例は例示的なものであり、限定的なものではないことが理解されよう。明細書を読み、図面を検討すれば、それらに対するすべての置換、拡張、均等物、および改良は、当業者に明らかであり、本開示の真の精神および範囲内に含まれることが意図される。したがって、以下の添付の特許請求の範囲は、これら教示の真の精神および範囲内に含まれるすべてのそのような修正、置換、および均等物を含むことが意図される。

【図1】

【図2A】

【図2B】

【図3】

【図4A】

【図4B】