特表 2022-537079 フォレンジクスのための動作ベースのＶＭリソースキャプチャ

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2022-08-23

(54)【発明の名称】フォレンジクスのための動作ベースのＶＭリソースキャプチャ

(51)【国際特許分類】

   G06F 21/55 20130101AFI20220816BHJP

   G06F 9/455 20060101ALI20220816BHJP

【ＦＩ】

G06F21/55

G06F9/455 150

【審査請求】有

【予備審査請求】未請求

(21)【出願番号】P 2022509726

(86)(22)【出願日】2020-08-14

(85)【翻訳文提出日】2022-02-21

(86)【国際出願番号】 US2020046463

(87)【国際公開番号】W WO2021034695

(87)【国際公開日】2021-02-25

(31)【優先権主張番号】16/542,897

(32)【優先日】2019-08-16

(33)【優先権主張国・地域又は機関】US

(81)【指定国・地域】

(71)【出願人】

【識別番号】502208397

【氏名又は名称】グーグル エルエルシー

【氏名又は名称原語表記】Ｇｏｏｇｌｅ ＬＬＣ

【住所又は居所原語表記】１６００ Ａｍｐｈｉｔｈｅａｔｒｅ Ｐａｒｋｗａｙ ９４０４３ Ｍｏｕｎｔａｉｎ Ｖｉｅｗ， ＣＡ Ｕ．Ｓ．Ａ．

(74)【代理人】

【識別番号】100142907

【弁理士】

【氏名又は名称】本田 淳

(72)【発明者】

【氏名】ハルクロウ、マイケル

(72)【発明者】

【氏名】ガルニエ、トーマス

(57)【要約】

フォレンジクスのためにリソース１１０をキャプチャする方法８００は、セキュリティ侵害インジケータ（ＩｏＣ）３１４を受信することを含む。セキュリティ侵害インジケータは、仮想マシン２５０に対する攻撃３１２が差し迫っていることを示す。方法は、ＩｏＣを受信することに応答して、および攻撃が開始する前に、仮想マシンによって使用されるメモリのメモリ状態３２２，３２４のスナップショットを生成し、仮想マシンの監査レベル３３２を標準レベルの監査から高められたレベルの監査へ上昇させることも含む。高められたレベルの監査は仮想マシンによって使用されるメモリへのすべてのアクセスを表すデータを生成する。仮想マシンに対する攻撃が開始された後、方法は、閾値期間の間、高められたレベルの監査を維持すること、仮想マシンのユーザ１２０にセキュリティ侵害インジケータを通知すること、データを仮想マシンの外部のメモリに格納することを含む。

【特許請求の範囲】

【請求項1】

方法（８００）であって、
仮想マシン（２５０）に対する攻撃（３１２）が差し迫っていることを示すセキュリティ侵害インジケータ（３１４）をデータ処理ハードウェア（１３２）で受信すること、
前記セキュリティ侵害インジケータ（３１４）を受信することに応答して、および前記仮想マシン（２５０）に対する前記攻撃（３１２）が開始する前に、
前記データ処理ハードウェア（１３２）が、前記仮想マシン（２５０）によって使用される揮発性メモリの揮発性メモリ状態（３２２）および前記仮想マシン（２５０）によって使用される不揮発性メモリの不揮発性メモリ状態（３２４）のスナップショットを生成すること、
前記データ処理ハードウェア（１３２）が、前記仮想マシン（２５０）の監査レベル（３３２）を、標準レベル（３３２Ｓ）の監査（３３２）から高められたレベルの監査（３３２）に上昇させること
を含み、前記高められたレベルの監査（３３２）は、前記仮想マシン（２５０）によって使用される前記揮発性メモリおよび前記仮想マシン（２５０）によって使用される前記不揮発性メモリへのすべてのアクセスを表すデータ（３３４Ｈ）を生成し、前記方法（８００）は、
前記仮想マシン（２５０）に対する前記攻撃（３１２）が開始された後、
前記データ処理ハードウェア（１３２）が、閾値期間の間、高められたレベルの監査（３３２）を維持すること、
前記データ処理ハードウェア（１３２）が、前記仮想マシン（２５０）のユーザ（１２０）に前記セキュリティ侵害インジケータ（３１４）を通知すること、
前記データ処理ハードウェア（１３２）が、前記仮想マシン（２５０）の外部のメモリに前記データ（３３４Ｈ）を格納すること
を含む、方法（８００）。

【請求項2】

前記不揮発性メモリ状態（３２４）のスナップショットを生成することは、前記不揮発性メモリのガベージコレクション（２１０）を一時停止することを含む、請求項１に記載の方法（８００）。

【請求項3】

前記揮発性メモリ状態（３２２）のスナップショットを生成することは、前記揮発性メモリのライブマイグレーションを実行することを含む、請求項１または２に記載の方法（８００）。

【請求項4】

前記閾値期間は、前記仮想マシン（２５０）の前記ユーザ（１２０）によって設定可能である、請求項１～３のいずれか一項に記載の方法（８００）。

【請求項5】

前記セキュリティ侵害インジケータ（３１４）は、疑わしいプロセスの存在に基づいており、
前記閾値期間は、前記疑わしいプロセスの存在に基づいている、
請求項１～４のいずれか一項に記載の方法（８００）。

【請求項6】

前記閾値期間は、前記仮想マシン（２５０）の存続期間に対応する、請求項１～５のいずれか一項に記載の方法（８００）。

【請求項7】

前記データ（３３４Ｈ）は、前記高められたレベルの監査（３３２）中に、前記仮想マシン（２５０）によって実行されたすべてのコマンドのリストをさらに含む、請求項１～６のいずれか一項に記載の方法（８００）。

【請求項8】

前記データ処理ハードウェア（１３２）が、前記攻撃（３１２）が終了したと判定すること、
前記攻撃（３１２）が終了したと判定することに応答して、前記データ処理ハードウェア（１３２）が、前記仮想マシン（２５０）によって使用される前記揮発性メモリの前記揮発性メモリ状態（３２２）および前記仮想マシン（２５０）によって使用される前記不揮発性メモリの前記不揮発性メモリ状態（３２４）のスナップショットを生成すること
をさらに含む、請求項１～７のいずれか一項に記載の方法（８００）。

【請求項9】

前記セキュリティ侵害インジケータ（３１４）を受信することは、前記データ処理ハードウェア（１３２）上で実行される侵入検知システム（３１０）から前記セキュリティ侵害インジケータ（３１４）を受信することを含む、請求項１～８のいずれか一項に記載の方法（８００）。

【請求項10】

前記侵入検知システム（３１０）は、第１の階層的保護ドメインで実行され、前記仮想マシン（２５０）のユーザ空間（２１６ｇ）内のソフトウェアリソース（１１０）は、第２の階層的保護ドメインで実行され、前記第１の階層的保護ドメインは、前記第２の階層的保護ドメインよりも多くの特権を有している、請求項９に記載の方法（８００）。

【請求項11】

前記第１の階層的保護ドメインは、前記仮想マシン（２５０）のリング０に対応し、前記第２の階層的保護ドメインは、前記仮想マシン（２５０）のリング３に対応する、請求項１０に記載の方法（８００）。

【請求項12】

前記仮想マシン（２５０）に対する前記攻撃（３１２）が進行中の間は、前記揮発性メモリの前記揮発性メモリ状態（３２２）および前記不揮発性メモリの前記不揮発性メモリ状態（３２４）のスナップショットの生成は発生しない、請求項１～１１のいずれか一項に記載の方法（８００）。

【請求項13】

システム（２００）であって、
データ処理ハードウェア（１３２）と、
前記データ処理ハードウェア（１３２）と通信するメモリハードウェア（１３４）であって、前記データ処理ハードウェア（１３２）上で実行されると、前記データ処理ハードウェア（１３２）に動作を実行させる命令を格納している、メモリハードウェア（１３４）とを備え、前記動作は、
仮想マシン（２５０）に対する攻撃（３１２）が差し迫っていることを示すセキュリティ侵害インジケータ（３１４）を、前記仮想マシン（２５０）を監視する侵入検知システム（３１０）から受信すること、
前記セキュリティ侵害インジケータ（３１４）を受信することに応答して、および前記仮想マシン（２５０）に対する前記攻撃（３１２）が開始する前に、
前記仮想マシン（２５０）によって使用される揮発性メモリの揮発性メモリ状態（３２２）および前記仮想マシン（２５０）によって使用される不揮発性メモリの不揮発性メモリ状態（３２４）のスナップショットを生成すること、
前記仮想マシン（２５０）の監査レベル（３３２）を、標準レベル（３３２Ｓ）の監査（３３２）から高められたレベルの監査（３３２）に上昇させること
を含み、前記高められたレベルの監査（３３２）は、前記仮想マシン（２５０）によって使用される前記揮発性メモリおよび前記仮想マシン（２５０）によって使用される前記不揮発性メモリへのすべてのアクセスを表すデータ（３３４Ｈ）を生成し、前記動作は、
前記仮想マシン（２５０）に対する前記攻撃（３１２）が開始された後、
閾値期間の間、高められたレベルの監査（３３２）を維持すること、
前記仮想マシン（２５０）のユーザ（１２０）に前記セキュリティ侵害インジケータ（３１４）を通知すること、
前記仮想マシン（２５０）の外部のメモリに前記データ（３３４Ｈ）を格納すること
を含む、システム（２００）。

【請求項14】

前記不揮発性メモリ状態（３２４）のスナップショットを生成することは、前記不揮発性メモリのガベージコレクション（２１０）を一時停止することを含む、請求項１３に記載のシステム（２００）。

【請求項15】

前記揮発性メモリ状態（３２２）のスナップショットを生成することは、前記揮発性メモリのライブマイグレーションを実行することを含む、請求項１３または１４に記載のシステム（２００）。

【請求項16】

前記閾値期間は、前記仮想マシン（２５０）の前記ユーザ（１２０）によって設定可能である、請求項１３～１５のいずれか一項に記載のシステム（２００）。

【請求項17】

前記セキュリティ侵害インジケータ（３１４）は、疑わしいプロセスの存在に基づいており、
前記閾値期間は、前記疑わしいプロセスの存在に基づいている、
請求項１３～１６のいずれか一項に記載のシステム（２００）。

【請求項18】

前記閾値期間は、前記仮想マシン（２５０）の存続期間に対応する、請求項１３～１７のいずれか一項に記載のシステム（２００）。

【請求項19】

前記データ（３３４Ｈ）は、前記高められたレベルの監査（３３２）中に、前記仮想マシン（２５０）によって実行されたすべてのコマンドのリストをさらに含む、請求項１３～１８のいずれか一項に記載のシステム（２００）。

【請求項20】

前記動作は、
前記攻撃（３１２）が終了したと判定すること、
前記攻撃（３１２）が終了したと判定することに応答して、前記仮想マシン（２５０）によって使用される前記揮発性メモリの前記揮発性メモリ状態（３２２）および前記不揮発性メモリの前記不揮発性メモリ状態（３２４）のスナップショットを生成すること
をさらに含む、請求項１３～１９のいずれか一項に記載のシステム（２００）。

【請求項21】

前記セキュリティ侵害インジケータ（３１４）を受信することは、前記データ処理ハードウェア（１３２）上で実行される侵入検知システム（３１０）から前記セキュリティ侵害インジケータ（３１４）を受信することを含む、請求項１３～２０のいずれか一項に記載のシステム（２００）。

【請求項22】

前記侵入検知システム（３１０）は、第１の階層的保護ドメインで実行され、前記仮想マシン（２５０）のユーザ空間（２１６ｇ）内のソフトウェアリソース（１１０）は、第２の階層的保護ドメインで実行され、前記第１の階層的保護ドメインは、前記第２の階層的保護ドメインよりも多くの特権を有している、請求項２１に記載のシステム（２００）。

【請求項23】

前記第１の階層的保護ドメインは、前記仮想マシン（２５０）のリング０に対応し、前記第２の階層的保護ドメインは、前記仮想マシン（２５０）のリング３に対応する、請求項２２に記載のシステム（２００）。

【請求項24】

前記仮想マシンに対する前記攻撃が進行中の間は、前記揮発性メモリの前記揮発性メモリ状態および前記不揮発性メモリの前記不揮発性メモリ状態（３２４）のスナップショットの生成は発生しない、請求項１３～２３のいずれか一項に記載のシステム（２００）。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、フォレンジクスのための動作ベースの仮想マシン（ＶＭ）リソースのキャプチャに関連する。

【背景技術】

【0002】

多くのサードパーティソフトウェアサービスは、悪意のあるソフトウェア攻撃をリカバリまたは分析する目的で、コンピューティングシステムのメモリの状態のスナップショットをキャプチャする。現代のコンピューティングシステムは相当量のメモリを使用する可能性があるため、これらのスナップショットはしばしばかなりの処理およびメモリリソースを消費する。加えて、スナップショットの静的な性質は、スナップショット間の差分（ｄｅｌｔａ）のみをキャプチャするため、小さな差分を確保するためにスナップショットを高頻度でキャプチャしたいという要望と、キャプチャおよび格納されるスナップショットの数を最小限に抑えることによりパフォーマンスを維持したいという要望との間で競合が発生する。

【発明の概要】

【0003】

本開示の一態様は、フォレンジクスのために仮想マシンリソースをキャプチャするための方法を提供する。方法は、データ処理ハードウェアで、セキュリティ侵害インジケータを受信することを含む。セキュリティ侵害インジケータは、仮想マシンに対する攻撃が差し迫っていることを示す。セキュリティ侵害インジケータを受信することに応答して、および仮想マシンに対する攻撃が始まる前に、方法は、データ処理ハードウェアが、仮想マシンによって使用される揮発性メモリの揮発性メモリ状態および仮想マシンによって使用される不揮発性メモリの不揮発性メモリ状態のスナップショットを生成すること、データ処理ハードウェアが、仮想マシンの監査レベルを、標準レベルの監査から高められたレベルの監査へ上昇させることを含む。高められたレベルの監査は、仮想マシンによって使用される揮発性メモリおよび仮想マシンによって使用される不揮発性メモリへのすべてのアクセスを表すデータを生成する。仮想マシンに対する攻撃が開始された後、方法は、データ処理ハードウェアが、閾値期間の間、高められたレベルの監査を維持すること、データ処理ハードウェアが、仮想マシンのユーザにセキュリティ侵害インジケータを通知すること、データ処理ハードウェアが、データを仮想マシンの外部のメモリに格納することを含む。

【0004】

本開示の実装形態は、以下の任意選択の特徴のうちの１つまたは複数を含んでいてよい。いくつかの実装形態においては、不揮発性メモリの状態のスナップショットを生成することは、不揮発性メモリのガベージコレクションを一時停止することを含む。揮発性メモリ状態のスナップショットを生成することは、揮発性メモリのライブマイグレーションを実行することを含んでもよい。いくつかの例では、閾値期間は、仮想マシンのユーザによって設定可能である。任意選択で、セキュリティ侵害インジケータは、疑わしいプロセスの存在に基づいており、閾値期間は、疑わしいプロセスの存在に基づいている。

【0005】

いくつかの実装形態では、閾値期間は、仮想マシンの存続期間に対応する。任意選択で、データは、高められたレベルの監査中に、仮想マシンによって実行されたすべてのコマンドのリストをさらに含む。いくつかの例では、方法は、データ処理ハードウェアが、攻撃が終了したと判定すること、攻撃が終了したと判定することに応答して、データ処理ハードウェアが、仮想マシンによって使用される揮発性メモリの揮発性メモリ状態および仮想マシンによって使用される不揮発性メモリの不揮発性メモリ状態のスナップショットを生成することをさらに含む。

【0006】

セキュリティ侵害インジケータを受信することには、データ処理ハードウェア上で実行される侵入検知システムからセキュリティ侵害インジケータを受信することを含んでいてよい。侵入検知システムは、第１の階層的保護ドメインで実行されてよく、仮想マシンのユーザ空間内のソフトウェアリソースは、第２の階層的保護ドメインで実行されてよい。第１の階層的保護ドメインは、第２の階層的保護ドメインよりも多くの特権を有している。いくつかの例では、第１の階層的保護ドメインは、仮想マシンのリング０に対応し、第２の階層的保護ドメインは、仮想マシンのリング３に対応する。いくつかの実装形態では、仮想マシンに対する攻撃の進行中の間は、揮発性メモリの揮発性メモリ状態および不揮発性メモリの不揮発性メモリ状態のスナップショットの生成は発生しない。

【0007】

本開示の別の態様は、フォレンジクスのために仮想マシンリソースをキャプチャするためのシステムを提供する。システムは、データ処理ハードウェアおよびデータ処理ハードウェアと通信するメモリハードウェアを含む。メモリハードウェアは、データ処理ハードウェア上で実行されると、データ処理ハードウェアに動作を実行させる命令を格納しており、動作は、セキュリティ侵害インジケータを受信することを含む。セキュリティ侵害インジケータは、仮想マシンに対する攻撃が差し迫っていることを示す。セキュリティ侵害インジケータを受信することに応答して、および仮想マシンに対する攻撃が始まる前に、動作は、仮想マシンによって使用される揮発性メモリの揮発性メモリ状態および仮想マシンによって使用される不揮発性メモリの不揮発性メモリ状態のスナップショットを生成すること、仮想マシンの監査レベルを、標準レベルの監査から高められたレベルの監査へ上昇させることを含む。高められたレベルの監査は、仮想マシンによって使用される揮発性メモリおよび仮想マシンによって使用される不揮発性メモリへのすべてのアクセスを表すデータを生成する。仮想マシンに対する攻撃が開始された後、動作は、閾値期間の間、高められたレベルの監査を維持すること、仮想マシンのユーザにセキュリティ侵害インジケータを通知すること、データを仮想マシンの外部のメモリに格納することを含む。

【0008】

この態様は、以下の任意選択の特徴のうちの１つまたは複数を含んでいてよい。いくつかの実装形態においては、不揮発性メモリの状態のスナップショットを生成することは、不揮発性メモリのガベージコレクションを一時停止することを含む。揮発性メモリ状態のスナップショットを生成することは、揮発性メモリのライブマイグレーションを実行することを含んでもよい。いくつかの例では、閾値期間は、仮想マシンのユーザによって設定可能である。任意選択で、セキュリティ侵害インジケータは、疑わしいプロセスの存在に基づいており、閾値期間は、疑わしいプロセスの存在に基づいている。

【0009】

いくつかの実装形態では、閾値期間は、仮想マシンの存続期間に対応する。任意選択で、データは、高められたレベルの監査中に、仮想マシンによって実行されたすべてのコマンドのリストをさらに含む。いくつかの例では、動作は、攻撃が終了したと判定すること、攻撃が終了したと判定することに応答して、仮想マシンによって使用される揮発性メモリの揮発性メモリ状態および仮想マシンによって使用される不揮発性メモリの不揮発性メモリ状態のスナップショットを生成することをさらに含む。

【0010】

セキュリティ侵害インジケータを受信することには、データ処理ハードウェア上で実行される侵入検知システムからセキュリティ侵害インジケータを受信することを含んでいてよい。侵入検知システムは、第１の階層的保護ドメインで実行されてよく、仮想マシンのユーザ空間内のソフトウェアリソースは、第２の階層的保護ドメインで実行されてよい。第１の階層的保護ドメインは、第２の階層的保護ドメインよりも多くの特権を有している。いくつかの例では、第１の階層的保護ドメインは、仮想マシンのリング０に対応し、第２の階層的保護ドメインは、仮想マシンのリング３に対応する。いくつかの実装形態では、仮想マシンに対する攻撃の進行中の間は、揮発性メモリの揮発性メモリ状態および不揮発性メモリの不揮発性メモリ状態のスナップショットの生成は発生しない。

【0011】

本開示の１つまたは複数の実施形態の詳細は、添付の図面および以下の説明に記載されている。他の態様、特徴、および利点は、説明および図面、ならびに特許請求の範囲から明らかになるであろう。

【図面の簡単な説明】

【0012】

さまざまな図面の同様の参照記号は、同様の要素を示す。

【図1】スケーラブルなリソースを有する例示的な分散システムの概略図である。

【図2】分散システム上でホストされる例示的なアプリケーション層および仮想マシン層の概略図である。

【図3】例示的なフォレンジクスマネージャの概略図である。

【図4】フォレンジクスマネージャのオーディタおよび標準的な監査データの概略図である。

【図5】フォレンジクスマネージャのオーディタおよび高度な構造化データの概略図である。

【図6】フォレンジクスのために仮想マシンリソースをキャプチャするためのタイムラインのプロットである。

【図7】階層的保護ドメインシステムの概略図である。

【図8】フォレンジクスのためにＶＭリソースをキャプチャする方法のための動作の例示的な配置の概略図である。

【図9】本明細書で説明されるシステムおよび方法を実装するために使用され得る例示的なコンピューティングデバイスの概略図である。

【発明を実施するための形態】

【0013】

メモリ（揮発性と不揮発性の両方）の状態のスナップショットをキャプチャすることは、コンピュータシステムに対する悪意のあるソフトウェア攻撃を回復または分析するための一般的なアプローチである。これらのスナップショットは、メモリの一部またはすべての、ビット毎の状態をキャプチャする（すなわち、メモリの「写真」を撮るように）。現代のコンピュータは相当量のメモリを使用するため、スナップショットは処理能力およびストレージ空間の両方で非常に高価である。したがって、必要な場合にのみスナップショットをキャプチャすることが望ましい。ただし、現代の保護システムは、攻撃が検出された場合に前のスナップショットに「ロールバック」することを目的として、一定の間隔でスナップショットをキャプチャする傾向がある。しかしながら、一度も使用されないスナップショットのために潜在的に無駄になる大量の処理およびストレージ、およびスナップショットが必要とする複雑なライフサイクル（例えば、いつ削除するか）に加えて、スナップショット間隔の間に機能を実行し、自身を消去する（または他の方法でトラックを隠す）巧妙な攻撃は、決して検出または分析されない可能性がある。ほぼリアルタイムで攻撃を検出できるシステムであっても、攻撃の直前および直後に詳細なフォレンジックデータ（ｆｏｒｅｎｓｉｃ ｄａｔａ）を生成することができず、インシデント対応が複雑になる可能性がある。仮想マシンに完全に統合されたシステムでは、必要なスナップショットの数を最小限に抑え、可能な場合にはメモリへの増分変更をキャプチャすることが有利である。

【0014】

本明細書の実装形態は、フォレンジック分析および／またはリカバリのために仮想マシン（ＶＭ）リソースをキャプチャするためのシステムおよび方法を対象としている。フォレンジクスマネージャ（ｆｏｒｅｎｓｉｃｓ ｍａｎａｇｅｒ）は、悪意のあるソフトウェアからの攻撃が差し迫っていることを検出する。それに応じて、および攻撃が始まる前に、フォレンジクスマネージャは、揮発性および不揮発性メモリの現在の状態のスナップショットをキャプチャする。フォレンジクスマネージャは、監査のレベルを、標準レベルから高められたレベルに上昇させる。高められたレベルの監査は、攻撃の動作を示す攻撃中のすべてのコマンドをキャプチャする。フォレンジクスマネージャが攻撃の終了を検出した後、フォレンジクスマネージャは、メモリの第２のリソーススナップショットをキャプチャし、監査のレベルを、高められたレベルから標準レベルに引き下げることができる。

【0015】

図１は、リソース１１０を実行するように構成された分散システム２００を含む例示的なシステム１００を示している。ユーザ１２０に関連付けられたユーザコンピュータ１３０は、ネットワーク１４０を介して分散システム２００にアクセスすることができる。示される例では、ユーザコンピュータ１３０は、メモリハードウェア１３４と通信するデータ処理ハードウェア１３２、ネットワークインタフェースデバイス１３６、およびユーザインタフェース１３８を含む。メモリハードウェア１３４（例えば、ランダムアクセスメモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）、ハードディスクドライブ（ＨＤＤ）、ソリッドステートドライブ（ＳＤＤ）、および／またはフラッシュメモリ）は、データ処理ハードウェア１３２上で実行されると、データ処理ハードウェア１３２に１つまたは複数の動作を実行させる命令を格納している。メモリハードウェア１３４は、ネイティブアプリケーション、ウェブブラウザ、および／またはオペレーティングシステム（ＯＳ）を構成するコンピュータ可読命令を格納することができる。ＯＳは、データ処理ハードウェア１３２と実行されるアプリケーションとの間のインタフェースとして機能する。ネットワークインタフェースデバイス１３６は、ネットワーク１４０と通信するように構成された１つまたは複数のデバイスを含む。ユーザインタフェース１３８は、ユーザ１２０から入力を受信し、および／またはユーザ１２０に出力を提供するように構成された１つまたは複数のデバイスを含む。ユーザインタフェース１３８は、タッチスクリーン、ディスプレイ、ＱＷＥＲＴＹキーボード、数字キーパッド、タッチパッド、マイクロフォン、および／またはスピーカーを含むことができるが、これらに限定されない。データ処理ハードウェア１３２は、ユーザコンピュータ１３０上に表示するために、グラフィカルユーザインタフェース（ＧＵＩ）１３９を実行することができる。

【0016】

分散システム２００は、コンピューティングエンジン、検索エンジン、電子メールサービス、ビデオ共有サービス、および他のサービスなどの１つまたは複数のクライアントサービスを実行することができるが、これらに限定されない。いくつかの実装形態では、分散システム２００は、リソース１１０を含み、これは、ハードウェアリソース１１０ｈおよび／またはソフトウェアリソース１１０ｓを含み得る。ハードウェアリソース１１０ｈは、データ処理デバイス１１２（コンピューティングデバイスとも呼ばれる）およびメモリハードウェア１１４（例えば、非一時的メモリ、永続ディスク）を含んでいてよい。ソフトウェアリソース１１０ｓは、ソフトウェアアプリケーション、ソフトウェアサービス、アプリケーションプログラミングインタフェース（ＡＰＩ）などを含み得る。ソフトウェアリソース１１０ｓは、ハードウェアリソース１１０ｈに存在してもよい。例えば、ソフトウェアリソース１１０は、非一時的メモリ１１４に格納され、１つまたは複数のデータ処理デバイス１１２によって実行され得る。

【0017】

図２に示す例では、分散システム２００は、リソース１１０（例えば、ハードウェアリソース１１０ｈ）の集合体２１０、仮想マシンモニタ（ＶＭＭ）２２０、１つまたは複数の仮想マシン（ＶＭ）２５０を実行するＶＭ層２４０、およびアプリケーション層２６０を含む。各ハードウェアリソース１１０ｈは、１つまたは複数の物理的な中央処理ユニット（ｐＣＰＵ）１１２（「物理プロセッサ１１２」）およびメモリハードウェア１１４を含むことができる。各ハードウェアリソース１１０ｈが単一の物理プロセッサ１１２を有することが示されているが、任意のハードウェアリソース１１０ｈは、複数の物理プロセッサ１１２を含んでいてもよい。オペレーティングシステム２１２は、リソース１１０の集合体２１０上で実行することができる。

【0018】

いくつかの例では、ＶＭＭ２２０は、ＶＭ２５０を生成および実行するように構成されたソフトウェア、ファームウェア、またはハードウェアのうちの少なくとも１つを含むハイパーバイザー２２０（例えば、コンピュートエンジン）に対応する。１つまたは複数のＶＭ２５０を実行するＶＭＭ２２０に関連付けられたコンピュータ（すなわち、データ処理ハードウェア１１２）は、ホストマシンと呼ばれ、一方、各ＶＭ２５０は、ゲストマシンと呼ばれ得る。ここで、ＶＭＭ２２０またはハイパーバイザーは、仮想オペレーティングプラットフォームを有する対応するゲストオペレーティングシステム（ＯＳ）２１２ｇを各ＶＭ２５０に提供し、ＶＭ２５０上での対応するゲストＯＳ２１２ｇの実行を管理するように構成されている。本明細書で使用される場合、各ＶＭ２５０は、「インスタンス」または「ＶＭインスタンス」と呼ばれることがある。いくつかの例では、さまざまなオペレーティングシステムの複数のインスタンスが、仮想化されたリソースを共有することができる。例えば、Ｌｉｎｕｘ（登録商標）オペレーティングシステムの第１のＶＭ２５０、Ｗｉｎｄｏｗｓ（登録商標）オペレーティングシステムの第２のＶＭ２５０、およびＯＳ Ｘ（登録商標）オペレーティングシステムの第３のＶＭ２５０は、すべて単一の物理ｘ８６マシンで実行できる。

【0019】

ＶＭ層２４０は、１つまたは複数の仮想マシン２５０を含む。分散システム２００は、ユーザ１２０がオンデマンドでＶＭ２５０を起動することを可能にする。ＶＭ２５０は、実際のコンピュータシステムをエミュレートし、かつコンピュータアーキテクチャおよび実際のコンピュータシステムまたは仮想のコンピュータシステムの機能に基づいて動作し、これは、専用のハードウェア、ソフトウェア、またはそれらの組み合わせを含むことができる。いくつかの例では、分散システム２００は、１つまたは複数のＶＭ２５０を起動する前に、ユーザ１２０を許可および認証する。ソフトウェアのインスタンス、または単にインスタンスは、分散システム２００のデータ処理ハードウェア１１２上でホストされる（実行される）ＶＭ２５０を指す。

【0020】

各ＶＭ２５０は、１つまたは複数の仮想中央処理ユニット（ｖＣＰＵ）２５２（「仮想プロセッサ」）を含み得る。示される例では、第１の仮想マシン２５０ａは、１つまたは複数の仮想プロセッサ２５２の第１のセット２５２ａを含み、第２の仮想マシン２５０ｂは、１つまたは複数の仮想プロセッサ２５２の第２のセット２５２ｂを含む。第２のセット２５２ｂは、１つの仮想プロセッサ２５２のみを含むものとして示されているが、任意の数の仮想プロセッサ２５２が可能である。各仮想プロセッサ２５２は、１つまたは複数の物理プロセッサ１１２をエミュレートする。例えば、１つまたは複数の仮想プロセッサ２５２の第１のセット２５２ａは、１つまたは複数の物理プロセッサ１１２の第１のセット１１３ａをエミュレートし、１つまたは複数の仮想プロセッサ２５２の第２のセット２５２ｂは、１つまたは複数の物理プロセッサ１１２の第２のセット１１３ｂをエミュレートする。アプリケーション層２６０は、仮想マシン２５０（複数可）上で実行することができるソフトウェアリソース１１０ｓ、１１０ｓａ、１１０ｓｂ（ソフトウェアアプリケーション）を含む。

【0021】

典型的には、ソフトウェアの各インスタンス（例えば、仮想マシン２５０）は、物理メモリハードウェア１１４上のサービスに揮発性および不揮発性のストレージ容量を提供する少なくとも１つの仮想ストレージデバイス２６２を含む。例えば、物理的メモリハードウェア１１４上の記憶容量は、ユーザ１２０のためのデータを複数の物理ディスク（例えば、メモリハードウェア１１４のメモリ領域１１６（図１０）または揮発性のメモリを提供するためのランダムアクセスメモリ（ＲＡＭ））に渡って格納する永続ディスク（ＰＤ）を含むことができる。より具体的には、対応するＶＭ２５０の各仮想ストレージデバイス２６２は、バイトまたはビット（ブロック）のシーケンスでデータをメモリハードウェア１１４上の関連付けられた物理ブロックストレージボリュームＶに移動させて、不揮発性ストレージを提供する。したがって、対応するＶＭインスタンス２５０の仮想ストレージデバイス２６２は、メモリハードウェア１１４上の対応する物理ブロックストレージボリュームＶにマッピングされるストレージ容量を提供する。いくつかの例では、仮想ストレージデバイス２６２は、メモリハードウェア１１４上のデータへのランダムアクセスをサポートし、概して、バッファリングされたＩ／Ｏを使用する。例には、ハードディスク、ＣＤ－ＲＯＭドライブ、およびフラッシュドライブが含まれる。同様に、物理メモリハードウェア１１４の揮発性メモリ（例えば、ＲＡＭ）の部分は、仮想ストレージデバイス２６２に分割され得る。

【0022】

各ＶＭインスタンス２５０のための１つまたは複数の仮想ストレージデバイス２６２は、ルートディスク２６２ｒ（例えば、ルート永続ディスク）および１つまたは複数のセカンダリストレージディスク２６２ｓを含むことができる。ルートディスク２６２ｒは、ＶＭインスタンス２５０のためのゲストオペレーティングシステム２１２ｇを含むルート永続ディスクを含んでいてよく、一方、１つ以上のセカンダリストレージ永続ディスク２６２は、ＶＭインスタンス２５０のために追加のストレージ容量／空間を提供する。いくつかの実装形態では、データ処理ハードウェア１１２は、ユーザ１２０がＶＭインスタンス２５０を作成する場合に、対応するルート永続ディスク２６２ｒを自動的に作成する。他の実装形態では、ユーザ１２０は、スタンドアロンルート永続ディスク２６２ｒを作成し、ＶＭインスタンス２５０を作成した後、スタンドアロンルート永続ディスク２６２ｒをＶＭインスタンス２５０にアタッチする。ルート永続ディスク２６２ｒは、デフォルトのストレージ容量（例えば、１０ＧＢ）を備えたブロックストレージボリュームＶを公開し（ｅｘｐｏｓｅ）、その後、ユーザ１２０がルート永続ディスク２６２ｒのサイズを変更して（例えば、ストレージ容量を増やして）、パフォーマンスを改善し、ＶＭインスタンス２５０のための追加のストレージオペレーティングシステムファイルを提供できるようにしてよい。追加的または代替的に、ユーザ１２０は、その後、１つまたは複数のセカンダリストレージディスク２６２を追加して、必要に応じて、ＶＭインスタンス２５０上で実行されるアプリケーションのために追加のデータストレージ容量を提供することができる。図２に示す例では、第１のＶＭ２５０ａは、対応するブロックストレージボリュームＶを公開する仮想ストレージデバイス２６２、２６２ｒ、２６２ｓの第１の集合体２６２ａを有し、第２のＶＭ２５０ｂは、対応するブロックストレージボリュームＶを公開する１つの仮想ストレージデバイス２６２の第２の集合体２６２ｂを含む。

【0023】

ゲストオペレーティングシステム２１２ｇ内には、ゲストカーネル２１４ｇが存在する。カーネルは、ＯＳへの完全なアクセスおよび制御が可能であるオペレーティングシステムのコアであるコンピュータプログラムである。すなわち、カーネルは、アプリケーション１１０ｓとホストマシンのハードウェアリソース１１０ｈとの間の仲介役である。現代のコンピューティングシステムのほとんどは、仮想メモリを保護されたカーネル空間とユーザ空間２１６ｇとに分離する。カーネルは通常、保護されたカーネル空間内の揮発性メモリに残り、ユーザ空間２１６ｇから分離されている。安全性および信頼性を高めるために、アプリケーション１１０ｓおよび他のソフトウェアサービスは、通常、ゲストユーザ空間２１６ｇで実行され、保護されたカーネル空間と相互作用（ｉｎｔｅｒａｃｔ）するために必要な特権を欠いている。示されている例では、各ＶＭ２５０のカーネル２１４ｇは、フォレンジクスマネージャ３００を含む。

【0024】

ここで図３を参照すると、いくつかの実装形態では、対応するゲストカーネル２１４ｇ内の対応するＶＭ２５０上で実行されるフォレンジクスマネージャ３００は、侵入検知システム（ＩＤＳ）３１０、リソーススナップショット生成器（ｓｎａｐｓｈｏｔｔｅｒ）３２０、およびオーディタ（ａｕｄｉｔｏｒ）３３０を含む。ＩＤＳ３１０は、悪意のあるソフトウェアからの差し迫った攻撃３１２を示す異常な動作について、１つまたは複数のソフトウェアリソース１１０ｓを実行している可能性があるＶＭ２５０のゲストユーザ空間２１６ｇを監視する。ＩＤＳ３１０は、ゲストユーザ空間２１６ｇ内で実行されているプロセス、ファイル転送、特権変更などを監視することができる。例えば、ＩＤＳ３１０は、そのプロセスが通常はデータをダウンロードしないときにデータをダウンロードするプロセス、プロセスが通常はアクセスしないファイルを開くプロセス、または他の異常な動作にフラグを立てることができる。ＩＤＳ３１０が差し迫った攻撃３１２を示す動作を検出する場合、ＩＤＳ３１０は、攻撃３１２が仮想マシン２５０に対して差し迫っていることを示すセキュリティ侵害インジケータ（ｉｎｄｉｃａｔｉｏｎ ｏｆ ｃｏｍｐｒｏｍｉｓｅ，ＩｏＣ）３１４を生成する。攻撃３１２はさまざまな形態をとり得るが、概して、攻撃３１２は、コンピューティングシステムに害を及ぼす（例えば、データの削除、盗用、または破損）ように意図的に設計された悪意のあるソフトウェア（マルウェア）である。いくつかの例では、攻撃３１２は、代わりに、（意図的に危害を加えるのではなく）危害を引き起こす可能性のあるソフトウェアの意図しない誤動作であってもよい。ＩｏＣ３１４に加えて、ＩＤＳ３１０は、攻撃通知３１６を生成し、攻撃通知３１６をユーザコンピュータ１３０に送信して、差し迫った攻撃３１２についてユーザ１２０に警告することができる。通知３１６は、任意の数の形式をとることができる。例えば、ＩＤＳ３１０は、電子メールを送信し、またはセキュリティアプリケーションで調査結果を発行してもよい。例えば、通知１６は、攻撃３１２によって影響を受けるソフトウェアリソース１１０ｓ（複数可）および／またはＶＭ２５０を示し得る。

【0025】

ＩｏＣ３１４を生成した後、ＩＤＳ３１０は、ＩｏＣ３１４をリソーススナップショット生成器３２０およびオーディタ３３０に提供する。ＩｏＣ３１４を受信することに応答して、およびＶＭ２５０に対する攻撃の開始前に、スナップショット生成器３２０は、ＶＭ２５０の揮発性メモリの揮発性メモリ状態３２２およびＶＭ２５０の不揮発性メモリ（例えば、仮想ストレージデバイス２６２）の不揮発性メモリ状態３２４のスナップショットを生成するように構成されている。すなわち、攻撃３１２が重大な目標を達成する機会を得る前に、リソーススナップショット生成器３２０は、揮発性メモリおよび不揮発性メモリの両方の完全な攻撃前状態３２２，３２４（すなわち、メモリの各ビットの状態）をキャプチャする。これらの状態３２２，３２４は、攻撃３１２のリカバリおよびフォレンジック分析のための最初の開始点を提供する。状態３２２，３２４をキャプチャすることは、ＶＭ２５０の他のすでに存在する機能を利用することができる。例えば、ＶＭ２５０は、不揮発性メモリへの変更のログを作成し、定期的にガベージコレクションサービスを使用して、不揮発性メモリ内の最新の値のみにログをプルーニングすることができる。この例で不揮発性メモリ３２４の状態をキャプチャする方法は、変更が永続的に格納されるまでガベージコレクションを一時停止することである。揮発性メモリの場合、リソーススナップショット生成器３２０は、ライブマイグレーションなどのツールを使用でき、これは通常、クライアントまたはアプリケーションを切断せずに、実行中のＶＭ２５０を別の物理マシンに移動させるプロセスである。ライブマイグレーションは、必然的に、転送する前に実行中のＶＭの揮発性メモリ状態３２２をコピーし、そのような機能は、いくつかの実装形態では、リソーススナップショット生成器３２０によって取り込まれ得る。

【0026】

メモリ状態３２２，３２４は、リソーススナップショット生成器３２０によってキャプチャされると、すぐに外部データストア３５０（例えば、ストレージソース１１４）にエクスポートされる。すなわち、状態３２２，３２４は、キャプチャされた後できるだけ早く、ＶＭ２５０から、ゲストユーザ空間２１６ｇによってアクセスできない場所、したがって攻撃３１２の到達範囲外に転送される。このようにして、フォレンジクスマネージャ３００は、攻撃３１２が、キャプチャされた状態３２２，３２４を変更できない、または影響を与えられないことを確実にする。

【0027】

オーディタ３３０は、ＶＭ２５０の監査３３２の現在のレベルを制御するように構成されている。現在のレベルの監査３３２は、ＶＭ２５０が経験する監査、監視、および／またはロギングの量を制御する。監査レベル３３２が上昇する／高められると、パフォーマンスの低下（すなわち、処理およびメモリリソース）も同様に増加する。したがって、通常または名目上の動作中、ＶＭ２５０は、わずかなパフォーマンスの低下のみが発生する標準レベルの監査３３２Ｓで動作することができる。図４は、例えば、通常の動作中（すなわち、攻撃３１２が差し迫っていない）、ＶＭ２５０が経験するログイン情報、ネットワーク接続、ファイルの作成および削除などのロギングを含むマイナーまたは中程度の監査を実行することによって、標準レベルの監査３３２を適用するオーディタ３３０の概略図４００を示す。しかしながら、パフォーマンスへの悪影響を回避するために、標準レベルの監査３３２Ｓには、メモリの読み取りまたは書き込みを行うすべての低レベルコマンドのロギングなどの細かい粒度の監査は含まれない。標準レベルの監査は、監査データ３３４，３３４Ｓを生成する。いくつかの例では、構造化され得る監査データ３３４Ｓは、データストア３５０に渡される。

【0028】

いくつかの実装形態では、動作３３５でのオーディタ３３０は、ＩｏＣ３１４が受信されたかどうかを判定する。オーディタ３３０がＩｏＣ３１４を受信していない場合、オーディタは標準の監査３３２Ｓを維持する。しかしながら、ＩｏＣ３１４を受信することに応答して（すなわち、攻撃３１２が差し迫っている）、オーディタ３３０は、現在のレベルの監査３３２を、高められたレベルの監査３３２Ｈに向上させることができる。高められたレベルの監査３３２Ｈは、標準レベルの監査３３２Ｓよりも高いレベルの監査である。すなわち、高められたレベルの監査３３２Ｈは、標準レベルの監査３３２よりも高い粒度で、より多くの量の、および／またはより多くのパラメータを使用してデータをロギングする。いくつかの実装形態では、高められたレベルの監査３３２Ｈは、高められた監査の期間中にＶＭ２５０によって使用される揮発性メモリおよび不揮発性メモリ２６２へのすべてのアクセスを表すデータ３３４Ｈを生成する。例えば、図５は、時間、タイプ、場所、および関連する値を含む、ＶＭ２５０への各メモリアクセスをロギングするデータ３３４Ｈを生成することによって、高められたレベルの監査３３２Ｈを適用するオーディタ３３０の概略図５００を示す。いくつかの例では、データ３３４Ｈは構造化されている。すなわち、構造化データ（ｓｔｒｕｃｔｕｒｅｄ ｄａｔａ）３３４Ｈは、容易に格納、照会、および分析される標準化されたフォーマットで組織化されたデータであってよい。図５に示す例では、構造化データ３３４Ｈは、攻撃３１２の間にオーディタ３３０によってキャプチャされた対応するＶＭ２５０に対するすべてのコマンド（例えば、読み取り／書き込み）のリストまたは配列（または任意の他のデータ構造）を提供することによって、標準レベルの監査３３２Ｓ中に得られる監査データ３３４Ｓよりもかなり詳細である。他の例では、データは、非構造化された形式で生成および格納される。いくつかの実装形態では、データ３３４Ｈは、ＶＭ２５０の外部のデータストア３５０に直ちに（またはその後すぐに）エクスポートされる。

【0029】

図３に戻ると、いくつかの実装形態では、オーディタ３３０は、動作３３６で閾値期間の間、高められたレベルの監査３３２Ｈを維持する。閾値期間は、一定量の時間（例えば、１０分）に基づいていてもよい。閾値期間は、攻撃３１２に基づいていてもよい。例えば、オーディタ３３０は、攻撃が完了するまで（例えば、攻撃に関連するプロセスが終了するまで）、またはその後の一定時間の間、高められたレベルの監査３３２Ｈを維持することができる。すなわち、ＩｏＣ３１４は、ユーザ空間２１６ｇで実行されている疑わしいプロセスに基づくことができ、閾値期間は、疑わしいプロセスの存在に基づくことができる。さらに他の例では、閾値期間は永続的である。すなわち、ＶＭ２５０は、ＶＭ２５０の存続期間（ｌｉｆｅ）中（例えば、ＶＭ２５０が終了するまで）、高められたレベルの監査３３２Ｈを維持することができる。閾値期間は、フォレンジクスで使用するために十分なデータがキャプチャされることを確実にするために、これらまたは任意の他の適切なオプションの中でユーザが設定可能である。閾値期間が満たされると、オーディタ３３０は、標準レベルの監査３３２Ｓに戻ることができる。

【0030】

いくつかの実装形態では、ＩＤＳ３１０は、攻撃３１２が終了したと判定する。例えば、攻撃３１２は、終了する特定のプロセスに関連付けられていてよい。攻撃が終了したと判定することに応答して、ＩＤＳ３１０は、攻撃完了通知３１５をリソーススナップショット生成器３２０および／またはオーディタ３３０に送信する。リソーススナップショット生成器３２０は、ＩＤＳ３１０から攻撃完了通知３１５を受信することに応答して、揮発性および不揮発性状態３２２，３２４のスナップショットを生成し、状態をデータストア３５０にエクスポートする。したがって、フォレンジクスマネージャ３００は、攻撃前スナップショット、攻撃後スナップショット、および攻撃の進行中にキャプチャされたデータ３３４Ｈ（すなわち、メモリへのアクセス）を使用して、攻撃中の任意の時点のＶＭ２５０のメモリ状態をで再構築することができ、一方、正確な動作および効果はその後いつでも分析できる。例えば、攻撃前スナップショットは、特定のメモリアドレスの値をロギングすることができる。データ３３４Ｈは、メモリアドレスが攻撃中に新しい値で書き込まれ、その後すぐに元の値で書き直されて、攻撃の発生を分かりにくくしたことを示し得る。このような場合、単なる断続的なスナップショットは、メモリが変更されたことを見逃す可能性が高く、巧妙な攻撃またはタイミングの良い攻撃でそのトラックを隠すことに成功する。しかしながら、データ３３４Ｈは、攻撃３１２の正確な効果が文書化されることを保証し（例えば、データ３３４Ｈは両方のメモリ書き込みをロギングする）、同時に高価なスナップショット生成を最小限に抑える。いくつかの実装形態では、ＶＭ２５０に対する攻撃３１２が進行している間、揮発性メモリ状態３２２および不揮発性メモリ状態３２４のスナップショットの生成は発生しない。

【0031】

ここで図６を参照すると、フォレンジクスのためにフォレンジクスマネージャ３００によって仮想マシンリソースをキャプチャするためのタイムラインのプロット６００は、フォレンジクスマネージャ３００が、キャプチャされるスナップショットの数を最小化すると同時に、攻撃３１２のすべてのステップを完全に再構築するのに十分な粒度でデータ３３４Ｈをキャプチャすることを示す。プロット６００は、図３～図５を参照して説明することができる。プロット６００は、図６の表示に対して左から右に時間が増加することを示している。例えば、時間６０２で、ＩＤＳ３１０は、差し迫った攻撃３１２を検出し、時間６０４で、リソーススナップショット生成器３２０は、揮発性および不揮発性メモリ状態３２２，３２４をキャプチャし、オーディタ３３０は、攻撃３１２が始まる前に、監査３３２のレベルを、標準レベル３３２Ｓから高められたレベル３３２Ｈに上昇させる。ここで、ＩＤＳ３１０は、ＩｏＣ３１４をリソーススナップショット生成器３２０に発行し、オーディタ３３０は、時間６０２で差し迫った攻撃３１２の検出に応答し、それにより、スナップショット生成器３２０およびオーディタ３３０に、それぞれ、メモリ状態３２２，３２４をキャプチャさせ、監査３３２のレベルを上昇させる。ＶＭ２５０に対する攻撃３１２が進行中の攻撃期間６０６中、オーディタ３３０は、攻撃３１２中の任意の時点のメモリの状態を再構築することができるデータ３３４Ｈをキャプチャするので、スナップショットは必要ない。ＩＤＳ３１０が時間６０８で攻撃３１２が終了したと判定した場合、ＩＤＳ３１０は、リソーススナップショット生成器３２０および／またはオーディタ３３０に攻撃完了通知３１５を発行することができる。攻撃完了通知３１５を受信することに応答して、リソーススナップショット生成器３２０は、時間６１０における揮発性メモリ３２２および不揮発性メモリ３２４の状態を再びキャプチャする。このスナップショットは、すべての最終的な攻撃後メモリ状態３２２，３２４が、高められたレベルの監査３３２Ｈを適用しながらオーディタ３３０によって取得されたデータ３３４Ｈを確証することを検証することができる。時間６１０において、オーディタ３３０は、監査３３２のレベルを標準レベルの監査３２２Ｓに戻すことができる。他の例では、高められたレベルの監査３２２Ｈは、攻撃３１２が終了した後閾値期間の間、またはＶＭ２５０が終了するまで維持される。

【0032】

ここで図７を参照すると、多くのコンピュータアーキテクチャにおいて、階層的保護ドメイン（保護リングとも呼ばれる）７００は、各ドメイン内に特権のレベル（すなわち、リソースへのアクセス）を提供することによって、障害および悪意のある攻撃から保護する。一般に、これらの階層的保護ドメインは、リング０，１，２，３と呼ばれる。リング３は通常、ユーザ空間に対応し、最小の特権またはリソースへのアクセスを有するが、一方、リング０はカーネルに対応し、最大の特権を有する。したがって、リング０は、対応するＶＭ２５０の仮想プロセッサ２５２および仮想ストレージデバイス２６２などのリソース１１０と最も直接的に相互作用する。中間リング１および２は通常、それぞれのデバイスドライバに対応し、これにより、リング１内のデバイスドライバは、リング２内のデバイスドライバよりも多くの特権を有する。いくつかの例では、フォレンジクスマネージャ３００（ＩＤＳ３１０、リソーススナップショット生成器３２０、およびオーディタ３３０を含む）は、第１の階層的保護ドメイン（例えば、リング０）で実行され、ＶＭ２５０のユーザ空間２１６ｇ内のソフトウェアリソース１１０ｓは、第１の階層的保護ドメインよりも少ない特権を有する第２の階層的保護ドメイン（例えば、リング３）で実行される。例えば、フォレンジクスマネージャ３００はリング０で実行されてよく、一方、ユーザ空間２１６ｇ内のソフトウェアリソース１１０ｓはリング３で実行されてよい。攻撃３１２は通常、ユーザ空間２１６ｇ内の攻撃３１２によって標的とされるプロセスの特権を継承するので、リング３で実行されるユーザ空間２１６ｇ内のハードウェア実施プロセス（例えば、ユーザプログラム）は、ユーザ空間２１６ｇにおける成功した攻撃３１２が、リング０によって保護されたゲストカーネル２１４ｇにアクセスするための十分な特権を取得することを防ぐ。攻撃３１２（例えば、スパイウェア）が特権を昇格させてリング０内のゲストカーネル２１４ｇへのアクセスを獲得しようとした場合でも、リング０内のゲストカーネル２１４ｇで実行されているＩＤＳ３１０は、そのような動作を検出し、セキュリティ侵害インジケータ３１４をトリガすることができる。

【0033】

フォレンジクスマネージャ３００の一部は、本発明の範囲または技術思想から逸脱することなく、システムの他のコンポーネントに含まれるか、またはシステムの他のコンポーネントと通信することができる。例えば、ＩＤＳ３１０、リソーススナップショット生成器３２０、および／またはオーディタ３３０の一部は、ＶＭＭ２２０（例えば、ハイパーバイザー２２０）に含まれていてよい。いくつかの例では、ゲストカーネル２１４ｇ（すなわち、フォレンジクスマネージャ３００）のインストルメンテーションは、キャプチャされたデータ（例えば、データ３３４Ｈ）をＶＭＭ２２０に送信する。

【0034】

図８は、フォレンジクスのためにＶＭリソースをキャプチャする方法８００のための動作の例示的な配置のフローチャートである。動作８０２で、方法は、データ処理ハードウェア９１０（図９）で、仮想マシン２５０に対する攻撃３１２が差し迫っていることを示すセキュリティ侵害インジケータ３１４を受信することを含む。ここで、データ処理ハードウェア９１０は、コンピューティングリソース１１２に関連付けられ、仮想マシン２５０のゲストカーネル２１４ｇ内で対応するフォレンジックマネージャ３００を実行することができ、フォレンジックマネージャ３００は、対応する侵入検知システム３１０、リソーススナップショット生成器３２０、およびオーディタ３３０を含む。侵入検知システム３１０は、攻撃３１２が差し迫っていることを検出し、スナップショット生成器３２０およびオーディタ３３０にセキュリティ侵害インジケータ３１４を発行することができる。方法８００は、セキュリティ侵害インジケータ３１４を受信することに応答して、および仮想マシン２５０に対する攻撃３１２が始まる前に、動作８０４で、データ処理ハードウェア９１０が、仮想マシン２５０によって使用される揮発性メモリの揮発性メモリ状態３２２および仮想マシン２５０によって使用される不揮発性メモリの不揮発性メモリ状態３２４のスナップショットを生成すること、動作８０６で、データ処理ハードウェア９１０が、仮想マシン２５０の監査レベル３３２を、標準レベルの監査３３２Ｓから高められたレベルの監査３３２Ｈへ上昇させることも含む。高められたレベルの監査３３２Ｈは、仮想マシン２５０によって使用される揮発性メモリおよび仮想マシン２５０によって使用される不揮発性メモリへのすべてのアクセスを表すデータ３３４Ｈを生成する。

【0035】

仮想マシン２５０に対する攻撃３１２が開始された後、方法８００は、動作８０８で、データ処理ハードウェア９１０が、閾値期間の間、高められたレベルの監査３３２Ｈを維持すること、動作８１０で、データ処理ハードウェア９１０が、仮想マシン２５０のユーザ１２０にセキュリティ侵害インジケータ３１４を通知することも含む。動作８１２で、方法８００は、データ処理ハードウェア９１０が、仮想マシン２５０の外部のデータストア３５０にデータ３３４Ｈを格納することも含む。

【0036】

非一時的メモリ（すなわち、メモリハードウェア）１１４は、コンピューティングデバイス１１２によって使用するために一時的または永続的にプログラム（例えば、命令のシーケンス）またはデータ（例えば、プログラム状態情報）を格納するために使用される物理デバイスであってよい。非一時的メモリ１１４は、揮発性および／または不揮発性のアドレス可能な半導体メモリであってよい。不揮発性メモリの例には、フラッシュメモリおよび読み取り専用メモリ（ＲＯＭ）／プログラム可能読み取り専用メモリ（ＰＲＯＭ）／消去可能プログラム可能読み取り専用メモリ（ＥＰＲＯＭ）／電子的に消去可能プログラム可能読み取り専用メモリ（ＥＥＰＲＯＭ）（例えば、ブートプログラムなどのファームウェアに通常使用される）、並びにディスクまたはテープが含まれるが、これらに限定されない。揮発性メモリの例には、ランダムアクセスメモリ（ＲＡＭ）、ダイナミックランダムアクセスメモリ（ＤＲＡＭ）、スタティックランダムアクセスメモリ（ＳＲＡＭ）、および相変化メモリ（ＰＣＭ）が含まれるが、これらに限定されない。

【0037】

ソフトウェアアプリケーション（すなわち、ソフトウェアリソース）は、コンピューティングデバイスにタスクを実行させるコンピュータソフトウェアを指すことができる。いくつかの例では、ソフトウェアアプリケーションは、「アプリケーション」、「アプリ」、または「プログラム」と呼ばれることがある。アプリケーションの例には、システム診断アプリケーション、システム管理アプリケーション、システムメンテナンスアプリケーション、ワード処理アプリケーション、スプレッドシートアプリケーション、メッセージングアプリケーション、メディアストリーミングアプリケーション、ソーシャルネットワーキングアプリケーション、およびゲームアプリケーションが含まれるが、これらに限定されない。

【0038】

図９は、この文書で説明されているシステムおよび方法を実装するために使用することができる例示的なコンピューティングデバイス９００の概略図である。コンピューティングデバイス９００は、ラップトップ、デスクトップ、ワークステーション、パーソナルデジタルアシスタント、サーバ、ブレードサーバ、メインフレーム、および他の適切なコンピュータなどの様々な形態のデジタルコンピュータを表すことが意図されている。ここに示されているコンポーネント、それらの接続および関係、並びにそれらの機能は、単なる例示を意味するものであり、この文書で説明および／または主張されている発明の実施を制限することを意味するものではない。

【0039】

コンピューティングデバイス９００は、プロセッサ９１０、メモリ９２０、ストレージデバイス９３０、メモリ９２０および高速拡張ポート９５０に接続する高速インタフェース／コントローラ９４０、および低速バス９７０およびストレージデバイス９３０に接続する低速インタフェース／コントローラ９６０を含む。コンポーネント９１０，９２０，９３０，９４０，９５０，および９６０の各々は、様々なバスを使用して相互接続されており、共通のマザーボードに、または必要に応じて他の方法で取り付けることができる。プロセッサ９１０（例えば、データ処理ハードウェア）は、高速インタフェース９４０に結合されたディスプレイ９８０などの外部入力／出力デバイスにグラフィカルユーザインタフェース（ＧＵＩ）のためのグラフィカル情報を表示するために、メモリ９２０またはストレージデバイス９３０に格納された命令を含む、コンピューティングデバイス９００内で実行するための命令を処理することができる。他の実装形態では、複数のメモリおよびメモリのタイプとともに、必要に応じて、複数のプロセッサおよび／または複数のバスを使用することができる。また、複数のコンピューティングデバイス９００が接続されてもよく、各デバイスは、（例えば、サーババンク、ブレードサーバのグループ、またはマルチプロセッサシステムとして）必要な動作の一部を提供する。プロセッサ９１０は、図２および図３のフォレンジックマネージャ３００（複数可）を実行することができる。

【0040】

メモリ９２０（例えば、メモリハードウェア）は、コンピューティングデバイス９００内に非一時的に情報を格納する。メモリ９２０は、コンピュータ可読媒体、揮発性メモリユニット（複数可）、または不揮発性メモリユニット（複数可）であってよい。非一時的メモリ９２０は、コンピューティングデバイス９００によって使用するために一時的または永続的にプログラム（例えば、命令のシーケンス）またはデータ（例えば、プログラム状態情報）を格納するために使用される物理デバイスであってよい。不揮発性メモリの例には、フラッシュメモリおよび読み取り専用メモリ（ＲＯＭ）／プログラム可能読み取り専用メモリ（ＰＲＯＭ）／消去可能プログラム可能読み取り専用メモリ（ＥＰＲＯＭ）／電子的に消去可能プログラム可能読み取り専用メモリ（ＥＥＰＲＯＭ）（例えば、ブートプログラムなどのファームウェアに通常使用される）が含まれるが、これらに限定されない。揮発性メモリの例には、ランダムアクセスメモリ（ＲＡＭ）、ダイナミックランダムアクセスメモリ（ＤＲＡＭ）、スタティックランダムアクセスメモリ（ＳＲＡＭ）、相変化メモリ（ＰＣＭ）、およびディスクまたはテープが含まれるが、これらに限定されない。

【0041】

ストレージデバイス９３０は、コンピューティングデバイス９００に大容量ストレージデバイスを提供することができる。いくつかの実装形態では、ストレージデバイス９３０は、コンピュータ可読媒体である。様々な異なる実施形態では、ストレージデバイス９３０は、フロッピーディスク（登録商標）デバイス、ハードディスクデバイス、光ディスクデバイス、またはテープデバイス、フラッシュメモリまたは他の類似のソリッドステートストレージデバイス、またはストレージエリアネットワークまたは他の構成におけるデバイスを含むデバイスのアレイであってよい。追加の実装形態では、コンピュータプログラム製品は、情報担体に有体的に具現化される。コンピュータプログラム製品は、実行されると、上述したような１つまたは複数の方法を実行する命令を含む。情報担体は、メモリ９２０、ストレージデバイス９３０、またはプロセッサ９１０上のメモリなどの、コンピュータまたは機械で読み取り可能な媒体である。

【0042】

高速コントローラ９４０は、コンピューティングデバイス９００のための帯域幅集約的な動作を管理し、一方、低速コントローラ９６０は、より少ない帯域幅を消費する動作を管理する。このような職務の割り当ては例示に過ぎない。いくつかの実装形態では、高速コントローラ９４０は、メモリ９２０、ディスプレイ９８０（例えば、グラフィックプロセッサまたはアクセラレータを介して）に結合され、および様々な拡張カード（図示せず）を受け入れることができる高速拡張ポート９５０に結合される。いくつかの実装形態では、低速コントローラ９６０は、ストレージデバイス９３０および低速拡張ポート９９０に結合されている。様々な通信ポート（例えば、ＵＳＢ、ブルートゥース（登録商標）、イーサネット（登録商標）、ワイヤレスイーサネット）を含み得る低速拡張ポート９９０は、キーボード、ポインティングデバイス、スキャナなどの１つまたは複数の入力／出力デバイスに、またはスイッチやルーターなどのネットワーキングデバイスに、例えば、ネットワークアダプタを介して結合され得る。

【0043】

コンピューティングデバイス９００は、図に示されるように、複数の異なる形態で実装することができる。例えば、それは、標準サーバ９００ａとして、またはそのようなサーバ９００ａのグループに複数回、ラップトップコンピュータ９００ｂとして、またはラックサーバシステム９００ｃの一部として実装することができる。

【0044】

本明細書に記載のシステムおよび技術の様々な実装形態は、デジタル電子および／または光回路、集積回路、特別に設計されたＡＳＩＣ（特定用途向け集積回路）、コンピュータハードウェア、ファームウェア、ソフトウェア、および／またはそれらの組み合わせで実現することができる。これらの様々な実装形態は、ストレージシステム、少なくとも１つの入力デバイス、および少なくとも１つの出力デバイスからデータおよび命令を受信し、それらへデータおよび命令を送信するために結合された、専用または汎用であり得る少なくとも１つのプログラム可能なプロセッサを含むプログラム可能なシステム上で実行可能および／または解釈可能な１つまたは複数のコンピュータプログラムにおける実装形態を含むことができる。

【0045】

ソフトウェアアプリケーション（すなわち、ソフトウェアリソース１１０ｓ）は、コンピューティングデバイスに１つまたは複数のタスクを実行させるコンピュータソフトウェアを指すことができる。いくつかの例では、ソフトウェアアプリケーションは、「アプリケーション」、「アプリ」、または「プログラム」と呼ばれることがある。アプリケーションの例には、システム診断アプリケーション、システム管理アプリケーション、システムメンテナンスアプリケーション、ワード処理アプリケーション、スプレッドシートアプリケーション、メッセージングアプリケーション、メディアストリーミングアプリケーション、ソーシャルネットワーキングアプリケーション、およびゲームアプリケーションが含まれるが、これらに限定されない。

【0046】

これらのコンピュータプログラム（プログラム、ソフトウェア、ソフトウェアアプリケーション、またはコードとしても知られる）は、プログラム可能なプロセッサのマシン命令を含み、高レベルの手続き型および／またはオブジェクト指向のプログラミング言語、および／またはアセンブリ／マシン言語で実装することができる。本明細書で使用される場合、「機械可読媒体」および「コンピュータ可読媒体」という用語は、機械命令および／またはデータをプログラム可能なプロセッサに提供するために使用される任意のコンピュータプログラム製品、非一時的なコンピュータ可読媒体、装置および／またはデバイス（例えば、磁気ディスク、光ディスク、メモリ、プログラマブルロジックデバイス（ＰＬＤ））を指し、機械命令を機械可読信号として受信する機械可読媒体を含む。「機械可読信号」という用語は、プログラム可能なプロセッサに機械命令および／またはデータを提供するために使用される任意の信号を指す。

【0047】

本明細書に記載のプロセスおよび論理フローは、データ処理ハードウェアとも呼ばれる１つまたは複数のプログラム可能なプロセッサによって実行でき、これは、１つまたは複数のコンピュータプログラムを実行して、入力データを操作し、出力を生成することによって機能を実行する。プロセスおよびロジックフローは、例えば、ＦＰＧＡ（フィールドプログラマブルゲートアレイ）またはＡＳＩＣ（特定用途向け集積回路）などの特定用途のロジック回路によっても実行できる。コンピュータプログラムの実行に適したプロセッサは、例として、汎用マイクロプロセッサおよび専用マイクロプロセッサの両方、および任意の種類のデジタルコンピュータの任意の１つまたは複数のプロセッサを含む。一般に、プロセッサは、読み取り専用メモリまたはランダムアクセスメモリ、あるいはその両方から命令とデータを受け取る。コンピュータの重要な素子は、命令を実行するためのプロセッサと、命令およびデータを格納するための１つまたは複数のメモリデバイスである。一般に、コンピュータは、データを格納するための１つまたは複数の大容量ストレージデバイス、例えば、磁気、光磁気ディスク、または光ディスクを含むか、またはそれらからデータを受信し、または転送し、あるいはその両方のために動作可能に結合される。しかしながら、コンピュータがそのようなデバイスを有する必要はない。コンピュータプログラム命令およびデータを格納するのに適したコンピュータ可読媒体は、あらゆる形態の不揮発性メモリ、媒体およびメモリデバイスを含み、それらは、例えば、半導体メモリデバイス、例えば、ＥＰＲＯＭ、ＥＥＰＲＯＭ、およびフラッシュメモリデバイス、磁気ディスク、例えば、内蔵ハードディスクまたはリムーバブルディスク、光磁気ディスク、およびＣＤ ＲＯＭおよびＤＶＤ－ＲＯＭディスクを含む。プロセッサおよびメモリは、特定用途の論理回路によって補完されてよく、または特定用途の論理回路に組み込まれてもよい。

【0048】

ユーザとのインタラクションを提供するために、本開示の１つまたは複数の態様は、ユーザに情報を表示するためのディスプレイデバイス、例えば、ＣＲＴ（陰極線管）、ＬＤＣ（液晶ディスプレイ）モニタ、またはタッチスクリーンを有するコンピュータ上に実装されてもよく、コンピュータは、任意選択で、キーボードおよびポインティングデバイス、例えば、マウスまたはトラックボールを有し、これによって、ユーザがコンピュータに入力を提供できる。他の種類のデバイスを使用して、ユーザとのインタラクションを提供することもでき、例えば、ユーザに提供されるフィードバックは、例えば、視覚的フィードバック、聴覚的フィードバック、または触覚的フィードバックなど、任意の形態の感覚的フィードバックであってよく、ユーザからの入力は、音響、音声、または触覚入力を含む任意の形式で受け取ることができる。加えて、コンピュータは、ユーザによって使用されるデバイスとの間でドキュメントを送受信することにより、ユーザと対話（ｉｎｔｅｒａｃｔ）でき、これは、例えば、Ｗｅｂブラウザから受信された要求に応答して、ユーザのクライアントデバイス上のＷｅｂブラウザにＷｅｂページを送信することによって行われる。

【0049】

複数の実装形態が説明された。それにもかかわらず、本開示の技術思想および範囲から逸脱することなく、様々な修正を行うことができることが理解されるであろう。したがって、他の実装形態は、以下の特許請求の範囲内にある。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【国際調査報告】