特表 2023-529597 脅威に強いマルチコンピューティング環境

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2023-07-11

(54)【発明の名称】脅威に強いマルチコンピューティング環境

(51)【国際特許分類】

   G06F 21/55 20130101AFI20230704BHJP

【ＦＩ】

G06F21/55

【審査請求】未請求

【予備審査請求】未請求

(21)【出願番号】P 2022574103

(86)(22)【出願日】2021-06-03

(85)【翻訳文提出日】2022-12-01

(86)【国際出願番号】 IL2021050665

(87)【国際公開番号】W WO2021245674

(87)【国際公開日】2021-12-09

(31)【優先権主張番号】275098

(32)【優先日】2020-06-03

(33)【優先権主張国・地域又は機関】IL

(81)【指定国・地域】

【公序良俗違反の表示】

（特許庁注：以下のものは登録商標）

１．Ｌｉｎｕｘ

２．ＢＬＵＥＴＯＯＴＨ

３．イーサネット

(71)【出願人】

【識別番号】520372331

【氏名又は名称】カズアー アドヴァンスド テクノロジーズ リミテッド

【氏名又は名称原語表記】ＫＡＺＵＡＲ Ａｄｖａｎｃｅｄ Ｔｅｃｈｎｏｌｏｇｉｅｓ Ｌｔｄ．

(74)【代理人】

【識別番号】110001302

【氏名又は名称】弁理士法人北青山インターナショナル

(72)【発明者】

【氏名】フィンチェルスタイン，ダニエル モンディ

(72)【発明者】

【氏名】ポラット，ユヴァル モシェ

(72)【発明者】

【氏名】フェンスター，ヤアコフ

(72)【発明者】

【氏名】マルコ，シュロミ ラズ

(57)【要約】

コンピューティングシステムは、共有リソースにアクセスするために１つ以上のコンピューティング環境（ＣＥ）を実行するように構成された１つ以上のプロセッサと、前記１つ以上のＣＥに動作可能に接続され、前記１つ以上のＣＥによって生成されたデータを検査するように構成された、プロセッサベースのコンピューティング環境検査ユニット（ＣＥＩＵ）と、プロセッサベースの緩和ユニット（ＭＵ）と、記憶媒体と、を備え、前記ＣＥＩＵは、第１のＣＥの侵害を示すＣＥによって生成されたデータの検出に応答して、前記第１のＣＥの侵害を前記ＭＵに通知するようにさらに構成され、前記ＭＵは、前記第１のＣＥの侵害の通知の受信に応答して、前記第１のＣＥによる前記共有リソースへのアクセスを無効にするように構成される。
【選択図】図１Ｂ

【特許請求の範囲】

【請求項1】

コンピューティングシステムであって、
１つ以上のプロセッサであって、前記１つ以上のプロセッサは、１つ以上のコンピューティング環境（ＣＥ）を実行するように構成され、前記１つ以上のＣＥは、共有リソースにアクセスするように構成された、プロセッサと、
前記１つ以上のＣＥに動作可能に接続され、前記１つ以上のＣＥのＣＥデータを検査するように構成された、プロセッサベースのコンピューティング環境検査ユニット（ＣＥＩＵ）と、
プロセッサベースの緩和ユニット（ＭＵ）と、
を備え、
前記ＣＥＩＵは、第１のＣＥの侵害を示すＣＥデータの検出に応答して、前記第１のＣＥの侵害を前記ＭＵに通知するようにさらに構成され、
前記ＭＵは、前記第１のＣＥの侵害の通知の受信に応答して、
ａ）前記第１のＣＥによる前記共有リソースへのアクセスを無効にすることと、
ｂ）前記第１のＣＥの実行状態の派生データを保存し、これにより脅威分析に使用できるＣＥ画像を生成することと、
ｃ）前記第１のＣＥを終了し、前記第１のＣＥの第１のブート画像からＣＥ動作を復元することと、
を含む群の少なくとも１つを実施するように構成される、システム。

【請求項2】

前記１つ以上のＣＥの少なくとも１つはゲストＣＥであり、前記ＭＵはハイパーバイザ機能を備える、請求項１に記載のシステム。

【請求項3】

前記１つ以上のＣＥの少なくとも１つはベースＣＥであり、前記ＭＵはブートローダ機能を備える、請求項１に記載のシステム。

【請求項4】

前記１つ以上のＣＥの少なくとも１つはオペレーティングシステムプロセスである、請求項１に記載のシステム。

【請求項5】

前記１つ以上のＣＥの少なくとも１つはコンテナである、請求項１に記載のシステム。

【請求項6】

前記１つ以上のプロセッサの少なくとも１つは無線リンクを含むリモートデバイス内にあり、
リモートＣＥが前記少なくとも１つのプロセッサ上で実行され、
前記リモートＣＥの前記ＣＥＩＵへの動作可能な接続が前記無線リンクを利用する、請求項１に記載のシステム。

【請求項7】

前記ＭＵは、前記第１のＣＥのＣＥデータをおとりリソースに向けることによって共有リソースへのアクセスを無効にするように構成され、これによって前記第１のＣＥを分離する、請求項１に記載のシステム。

【請求項8】

前記おとりリソースは、前記第１のＣＥのＣＥデータの派生データを記憶媒体に記憶するように構成される、請求項７に記載のシステム。

【請求項9】

前記おとりリソースは、おとりデータを前記第１のＣＥに提供するように構成される、請求項７に記載のシステム。

【請求項10】

前記ＣＥＩＵは、ネットワークインターフェースコントローラに配置され、前記ＣＥＩＵは、前記１つ以上のＣＥからのネットワークデータを検査するように構成される、請求項１に記載のシステム。

【請求項11】

前記ＣＥＩＵは、仮想ネットワークに動作可能に接続されたゲストＣＥであり、前記ＣＥＩＵは、
１つ以上の前記ＣＥによって生成されたネットワークデータ、および
１つ以上の前記ＣＥに送信されたネットワークデータのうちの少なくとも１つを検査するように構成される、請求項１に記載のシステム。

【請求項12】

コンピューティング環境（ＣＥ）の侵害を緩和する方法であって、
プロセッサベースのコンピューティング環境検査ユニット（ＣＥＩＵ）によって、共有リソースにアクセスするように構成された１つ以上のＣＥのＣＥデータを検査することと、
前記プロセッサベースのＣＥＩＵによって、第１のＣＥの侵害を示すＣＥデータを検出することと、
侵害を示す前記データの検出に応答して、前記プロセッサベースのＣＥＩＵによって、前記第１のＣＥの侵害をプロセッサベースの緩和ユニット（ＭＵ）に通知することと、
前記第１のＣＥの侵害の通知の受信に応答して、前記ＭＵによって、
ｇ）前記第１のＣＥによる前記共有リソースへのアクセスを無効にすることと、
ｈ）前記第１のＣＥの実行状態の派生データを保存し、これにより脅威分析に使用できるＣＥ画像を生成することと、
ｉ）前記第１のＣＥを終了し、前記第１のＣＥの第１のブート画像からＣＥ動作を復元することと、
を含む群の少なくとも１つを実施することと、
を含む方法。

【請求項13】

共有リソースへのアクセスを無効にすることは、前記第１のＣＥのＣＥデータをおとりリソースユニットに向けることを含み、これによって前記第１のＣＥを分離する、請求項１２に記載の方法。

【請求項14】

共有リソースへのアクセスを無効にすることの後に、前記プロセッサベースのＭＵによって、記憶媒体に保存された第１のＣＥブート画像からＣＥ動作を復元することをさらに含む、請求項１２に記載の方法。

【請求項15】

前記おとりリソースは、おとりデータを前記第１のＣＥに提供する、請求項１３に記載の方法。

【請求項16】

プログラム命令を含むコンピュータ可読記憶媒体を備えるコンピュータプログラム製品であって、当該プログラム命令は、プロセッサによって読み込まれると、コンピューティング環境（ＣＥ）の侵害を緩和する方法を前記プロセッサに実施させ、本方法は、
プロセッサベースのコンピューティング環境検査ユニット（ＣＥＩＵ）によって、共有リソースにアクセスするように構成された１つ以上のＣＥのＣＥデータを検査することと、
前記プロセッサベースのＣＥＩＵによって、第１のＣＥの侵害を示すＣＥデータを検出することと、
侵害を示す前記データの検出に応答して、前記プロセッサベースのＣＥＩＵによって、前記第１のＣＥの侵害をプロセッサベースの緩和ユニット（ＭＵ）に通知することと、
前記第１のＣＥの侵害の通知の受信に応答して、前記ＭＵによって、
ｊ）前記第１のＣＥによる前記共有リソースへのアクセスを無効にすることと、
ｋ）前記第１のＣＥの実行状態の派生データを保存し、これにより脅威分析に使用できるＣＥ画像を生成することと、
ｌ）前記第１のＣＥを終了し、前記第１のＣＥの第１のブート画像からＣＥ動作を復元することと、
を含む群の少なくとも１つを実施することと、
を含む、コンピュータプログラム製品。

【請求項17】

共有リソースへのアクセスを無効にすることは、前記第１のＣＥを終了することを含む、請求項１６に記載のコンピュータプログラム製品。

【請求項18】

共有リソースへアクセスを無効にすることは、前記第１のＣＥのＣＥデータをおとりリソースユニットに向けることを含み、これによって前記第１のＣＥを分離する、請求項１６に記載のコンピュータプログラム製品。

【請求項19】

前記方法は、共有リソースへのアクセスを無効にすることの後に、前記プロセッサベースのＭＵによって、記憶媒体に保存された第１のＣＥブート画像からＣＥ動作を復元することをさらに含む、請求項１６に記載のコンピュータプログラム製品。

【発明の詳細な説明】

【技術分野】

【0001】

本開示の主題は、コンピューティングシステムの保護に関し、特にマルウェアの侵入を緩和する。

【背景技術】

【0002】

マルウェアの感染とその緩和の問題は、従来技術で認識されており、解決策を提供するためにさまざまな技術が開発されてきた。

【発明の概要】

【0003】

本開示の主題の一態様によれば、コンピューティングシステムが提供され、本システムは、１つ以上のプロセッサであって、前記１つ以上のプロセッサは、１つ以上のコンピューティング環境（ＣＥ）を実行するように構成され、前記１つ以上のＣＥは、共有リソースにアクセスするように構成された、プロセッサと、前記１つ以上のＣＥに動作可能に接続され、前記１つ以上のＣＥによって生成されたデータを検査するように構成された、プロセッサベースのコンピューティング環境検査ユニット（ＣＥＩＵ）と、プロセッサベースの緩和ユニット（ＭＵ）と、記憶媒体と、を備え、前記ＣＥＩＵは、第１のＣＥの侵害を示すＣＥ生成データの検出に応答して、前記第１のＣＥの侵害を前記ＭＵに通知するようにさらに構成され、前記ＭＵは、前記第１のＣＥの侵害の通知の受信に応答して、前記第１のＣＥによる前記共有リソースへのアクセスを無効にするように構成される。

【0004】

上記の特徴に加えて、本開示の主題の本態様によるシステムは、技術的に可能な任意の所望の組み合わせまたは順列で、以下に列挙される特徴（ｉ）から（ｘ）の１つまたは複数を含むことができる。

【0005】

（ｉ）前記１つ以上のＣＥの少なくとも１つはゲストＣＥであり、前記ＭＵはハイパーバイザ機能を備える。

【0006】

（ｉｉ）前記１つ以上のＣＥの少なくとも１つはベースＣＥであり、前記ＭＵはブートローダ機能を備える。

【0007】

（ｉｉｉ）共有リソースへのアクセスを無効にすることは、前記第１のＣＥを終了することを含む。

【0008】

（ｉｖ）共有リソースへのアクセスを無効にすることは、前記第１のＣＥによって生成されたデータをプロセッサベースのおとりリソースユニットに向けることを含み、これによって前記第１のＣＥを分離する。

【0009】

（ｖ）前記おとりリソースユニットは、前記第１のＣＥによって生成された受信データの派生データを前記記憶媒体に記憶するように構成される。

【0010】

（ｖｉ）前記おとりリソースユニットは、おとりデータを前記第１のＣＥに提供するように構成される。

【0011】

（ｖｉｉ）前記ＭＵは、前記第１のＣＥの侵害を示す前記通知の受信に応答して、前記第１のＣＥの実行状態のデータ派生物を前記記憶媒体に記憶するように構成され、これにより、脅威分析に使用できるＣＥ画像が生成される。

【0012】

（ｖｉｉｉ）前記ＭＵは、共有リソースへのアクセスを無効にした後、前記記憶媒体に保存された第１のＣＥブート画像からＣＥ動作を復元するように構成される。

【0013】

（ｉｘ）前記ＣＥＩＵは、ネットワークインターフェースコントローラに配置され、前記ＣＥＩＵは、前記１つ以上のＣＥからのネットワークデータを検査するように構成される。

【0014】

（ｘ）前記ＣＥＩＵは、仮想ネットワークに動作可能に接続されたゲストＣＥであり、前記ＣＥＩＵは、前記１つ以上のＣＥによって生成されたネットワークデータを検査するように構成される。

【0015】

本開示の主題の別の態様によれば、マルチＣＥシステムにおけるコンピューティング環境（ＣＥ）の侵害を緩和する方法が提供され、本方法は、プロセッサベースのコンピューティング環境検査ユニット（ＣＥＩＵ）によって、共有リソースにアクセスするように構成された１つ以上のＣＥによって生成されたデータを検査することと、前記プロセッサベースのＣＥＩＵによって、第１のＣＥの侵害を示すＣＥ生成データを検出することと、侵害を示す前記データの検出に応答して、前記プロセッサベースのＣＥＩＵによって、前記第１のＣＥの侵害をプロセッサベースの緩和ユニット（ＭＵ）に通知することと、前記第１のＣＥの侵害の通知の受信に応答して、前記ＭＵによって、前記第１のＣＥによる前記共有リソースへのアクセスを無効にすることと、を含む。

【0016】

本開示の主題の本態様は、技術的に可能な任意の所望の組み合わせまたは順列で、システムに関する上述の特徴（ｉ）から（ｘ）の１つまたは複数を適宜、任意で含むことができる。

【0017】

本開示の主題の別の態様によれば、プログラム命令を含むコンピュータ可読記憶媒体を備えるコンピュータプログラム製品が提供され、当該プログラム命令は、プロセッサによって読み込まれると、マルチＣＥシステムにおけるコンピューティング環境（ＣＥ）の侵害を緩和する方法を前記プロセッサに実施させ、本方法は、プロセッサベースのコンピューティング環境検査ユニット（ＣＥＩＵ）によって、共有リソースにアクセスするように構成された１つ以上のＣＥによって生成されたデータを検査することと、前記プロセッサベースのＣＥＩＵによって、第１のＣＥの侵害を示すＣＥ生成データを検出することと、侵害を示す前記データの検出に応答して、前記プロセッサベースのＣＥＩＵによって、前記第１のＣＥの侵害をプロセッサベースの緩和ユニット（ＭＵ）に通知することと、前記第１のＣＥの侵害の通知の受信に応答して、前記ＭＵによって、前記第１のＣＥによる前記共有リソースへのアクセスを無効にすることと、を含む。

【0018】

本開示の主題の本態様は、技術的に可能な任意の所望の組み合わせまたは順列で、システムに関する上述の特徴（ｉ）から（ｘ）の１つまたは複数を適宜、任意で含むことができる。

【0019】

本開示の主題の別の態様によれば、コンピューティングシステムが提供され、本システムは、１つ以上のプロセッサであって、前記１つ以上のプロセッサは、１つ以上のコンピューティング環境（ＣＥ）を実行するように構成され、前記１つ以上のＣＥは、共有リソースにアクセスするように構成された、プロセッサと、前記１つ以上のＣＥに動作可能に接続され、前記１つ以上のＣＥのＣＥデータを検査するように構成された、プロセッサベースのコンピューティング環境検査ユニット（ＣＥＩＵ）と、プロセッサベースの緩和ユニット（ＭＵ）と、を備え、前記ＣＥＩＵは、第１のＣＥの侵害を示すＣＥデータの検出に応答して、前記第１のＣＥの侵害を前記ＭＵに通知するようにさらに構成され、前記ＭＵは、前記第１のＣＥの侵害の通知の受信に応答して、
ａ）前記第１のＣＥによる前記共有リソースへのアクセスを無効にすることと、
ｂ）前記第１のＣＥの実行状態の派生データを保存し、これにより脅威分析に使用できるＣＥ画像を生成することと、
ｃ）前記第１のＣＥを終了し、前記第１のＣＥの第１のブート画像からＣＥ動作を復元することと、
を含む群の少なくとも１つを実施するように構成される。

【0020】

上記の特徴に加えて、本開示の主題の本態様によるシステムは、技術的に可能な任意の所望の組み合わせまたは順列で、以下に列挙される特徴（ｉ）から（ｉｘ）の１つまたは複数を含むことができる。

【0021】

（ｉ）前記１つ以上のＣＥの少なくとも１つはゲストＣＥであり、前記ＭＵはハイパーバイザ機能を備える。

【0022】

（ｉｉ）前記１つ以上のＣＥの少なくとも１つはベースＣＥであり、前記ＭＵはブートローダ機能を備える。

【0023】

（ｉｉｉ）前記１つ以上のＣＥの少なくとも１つはオペレーティングシステムプロセスである。

【0024】

（ｉｖ）前記１つ以上のＣＥの少なくとも１つはコンテナである。

【0025】

（ｖ）前記１つ以上のプロセッサの少なくとも１つは無線リンクを含むリモートデバイス内にあり、リモートＣＥが前記少なくとも１つのプロセッサ上で実行され、前記リモートＣＥの前記ＣＥＩＵへの動作可能な接続が前記無線リンクを利用する。

【0026】

（ｖｉ）前記ＭＵは、前記第１のＣＥのＣＥデータをおとりリソースに向けることによって共有リソースへのアクセスを無効にするように構成され、これによって前記第１のＣＥを分離する。

【0027】

（ｖｉｉ）前記おとりリソースは、前記第１のＣＥのＣＥデータの派生データを記憶媒体に記憶するように構成される。

【0028】

（ｖｉｉｉ）前記おとりリソースは、おとりデータを前記第１のＣＥに提供するように構成される。前記ＣＥＩＵは、ネットワークインターフェースコントローラに配置され、前記ＣＥＩＵは、前記１つ以上のＣＥからのネットワークデータを検査するように構成される。

【0029】

（ｉｘ）前記ＣＥＩＵは、仮想ネットワークに動作可能に接続されたゲストＣＥであり、前記ＣＥＩＵは、１つ以上の前記ＣＥによって生成されたネットワークデータ、および１つ以上の前記ＣＥに送信されたネットワークデータのうちの少なくとも１つを検査するように構成される。

【0030】

本開示の主題の別の態様によれば、コンピューティング環境（ＣＥ）の侵害を緩和する方法が提供され、本方法は、プロセッサベースのコンピューティング環境検査ユニット（ＣＥＩＵ）によって、共有リソースにアクセスするように構成された１つ以上のＣＥのＣＥデータを検査することと、前記プロセッサベースのＣＥＩＵによって、第１のＣＥの侵害を示すＣＥデータを検出することと、侵害を示す前記データの検出に応答して、前記プロセッサベースのＣＥＩＵによって、前記第１のＣＥの侵害をプロセッサベースの緩和ユニット（ＭＵ）に通知することと、前記第１のＣＥの侵害の通知の受信に応答して、前記ＭＵによって、
ａ）前記第１のＣＥによる前記共有リソースへのアクセスを無効にすることと、
ｂ）前記第１のＣＥの実行状態の派生データを保存し、これにより脅威分析に使用できるＣＥ画像を生成することと、
ｃ）前記第１のＣＥを終了し、前記第１のＣＥの第１のブート画像からＣＥ動作を復元することと、
を含む群の少なくとも１つを実施することと、を含む。

【0031】

本開示の主題の本態様は、技術的に可能な任意の所望の組み合わせまたは順列で、システムに関する上述の特徴（ｉ）から（ｉｘ）の１つまたは複数を適宜、任意で含むことができる。

【0032】

本開示の主題の別の態様によれば、プログラム命令を含むコンピュータ可読記憶媒体を備えるコンピュータプログラム製品が提供され、当該プログラム命令は、プロセッサによって読み込まれると、コンピューティング環境（ＣＥ）の侵害を緩和する方法を前記プロセッサに実施させ、本方法は、プロセッサベースのコンピューティング環境検査ユニット（ＣＥＩＵ）によって、共有リソースにアクセスするように構成された１つ以上のＣＥのＣＥデータを検査することと、前記プロセッサベースのＣＥＩＵによって、第１のＣＥの侵害を示すＣＥデータを検出することと、侵害を示す前記データの検出に応答して、前記プロセッサベースのＣＥＩＵによって、前記第１のＣＥの侵害をプロセッサベースの緩和ユニット（ＭＵ）に通知することと、前記第１のＣＥの侵害の通知の受信に応答して、前記ＭＵによって、
ｄ）前記第１のＣＥによる前記共有リソースへのアクセスを無効にすることと、
ｅ）前記第１のＣＥの実行状態の派生データを保存し、これにより脅威分析に使用できるＣＥ画像を生成することと、
ｆ）前記第１のＣＥを終了し、前記第１のＣＥの第１のブート画像からＣＥ動作を復元することと、
を含む群の少なくとも１つを実施することと、を含む。

【0033】

本開示の主題の本態様は、技術的に可能な任意の所望の組み合わせまたは順列で、システムに関する上述の特徴（ｉ）から（ｉｘ）の１つまたは複数を適宜、任意で含むことができる。

【0034】

本開示の主題の特定の実施形態の利点の中には、マルウェアによるコンピューティング環境の侵害に対する回復力の強化がある。

【図面の簡単な説明】

【0035】

本発明を理解し、実際にどのように実施できるかを理解するために、添付の図面を参照して、非限定的な例として実施形態を説明する。

【図1A】図１Ａは、本開示の主題のいくつかの実施形態による、脅威に強いマルチコンピューティング環境システムの例のブロック図である。

【図1B】図１Ｂは、本開示の主題のいくつかの実施形態による、脅威に強いマルチコンピューティング環境システムの代替例のブロック図である。

【図2】図２は、本開示の主題のいくつかの実施形態による、脅威に強いマルチコンピューティング環境システムにおいて侵害された可能性のあるコンピューティング環境を緩和するプロセスの例のフロー図である。

【図3】図３は、本開示の主題のいくつかの実施形態による、ハイパーバイザ分離が構成された侵害されたコンピューティング環境のデータフローのプロセスの例のフロー図である。

【発明を実施するための形態】

【0036】

以下の詳細な説明では、本発明を十分に理解できるようにするために、数多くの具体的な詳細が示されている。しかしながら、本開示の主題は、これらの具体的な詳細がなくとも実施され得ることが、当業者には理解されるであろう。他の実施例では、本開示の主題を曖昧にしないように、周知の方法、手順、構成要素、および回路については詳細に説明していない。

【0037】

特に明記しない限り、以下の記述から明らかなように、明細書の記述全体を通して、「処理する」、「演算する」、「比較する」、「通知する」、「検査する」、「決定する」、「計算する」、「受信する」、「緩和する」、「停止する」、「分離する」、「提供する」、「復元する」などの用語を使用する場合は、データを操作および／または他のデータに変換するコンピュータの動作および／または処理を指しており、当該データは例えば電子量などの物理量として表され、および／または当該データは物理的な対象物を表す。「コンピュータ」という用語は、非限定的な例として、本出願で開示されるプロセッサ、緩和ユニット、および検査ユニットを含む、データ処理機能を備えたあらゆる種類のハードウェアベースの電子デバイスをカバーするように広く解釈されるべきである。

【0038】

本明細書で使用される「非一時的メモリ」および「非一時的記憶媒体」という用語は、現在開示されている主題に適した任意の揮発性または不揮発性コンピュータメモリを含むように広く解釈されるべきである。

【0039】

本明細書の教示による動作は、所望の目的のために特別に構築されたコンピュータによって、または非一時的なコンピュータ可読記憶媒体に記憶されたコンピュータプログラムによって所望の目的のために特別に構成された汎用コンピュータによって実行され得る。

【0040】

現在開示されている主題の実施形態は、特定のプログラミング言語を参照して説明されていない。本明細書に記載されているように、現在開示されている主題の教示を実装するために、さまざまなプログラミング言語を使用できることが理解されるであろう。

【0041】

これを念頭に置いて、本開示の主題のいくつかの実施形態による、脅威に強いマルチコンピューティング環境システムの例のブロック図を示す図１Ａを参照する。

【0042】

多様なセキュリティメカニズムが広く展開されているにもかかわらず、ネットワーク化されたコンピューティングデバイスに対するサイバー攻撃を可能にする脅威ベクトルが多数存在する。これらのベクトルには、電子メール、Ｗｅｂコンテンツ、ユニバーサルシリアルバス（ＵＳＢ）デバイス、不正なモバイルアプリなどがある。これらのシステムアクセス方法は、組織または個人に対する攻撃を開始したり、情報を盗んだりするためのエントリポイントとなる。

【0043】

ソーシャルエンジニアリング攻撃を避けるためにユーザを慣れさせる努力やマルウェア対策ソリューションの展開にもかかわらず、組織や個人は依然として攻撃の犠牲になっている。場合によっては、マルウェアインスタンスが、従来のマルウェア対策保護の範囲外の特定のコンピュータ構成要素（低レベルのオペレーティングシステムソフトウェアなど）に現れることがある。場合によっては、マルウェアインスタンスには、従来のマルウェア対策メカニズムによる検出を回避できるメカニズムがある。

【0044】

いくつかの実施形態では、本主題は、マルチコンピューティング環境（ＣＥ）を、ＣＥをモニタリングし、いかなる侵害も検出／緩和するためのインフラストラクチャとともに含むことができる、脅威に強いマルチコンピューティングシステム１００について説明する。

【0045】

「敵対ツール」マルウェアの潜伏期間は、例えば１４日間である。頻繁に、攻撃者は、例えば５０～１５０日間、システムの活動を受動的にモニタリングできる。その結果、ＣＥを毎日または毎週復元することで、このような種類の敵対者の活動を効果的に緩和することができる。

【0046】

本開示の主題の説明を明確にするために、図１Ａは、二次バス１１７を介して動作可能に接続された単一のメモリ１１５を有する単一のプロセッサ１１０を含む脅威に強いコンピューティングシステム１００の例を示す。いくつかの実施形態では、脅威に強いマルチコンピューティングシステム１００は、１つ以上のプロセッサを含むことができ、これらは、当技術分野で知られているように、さまざまな方法で１つ以上のメモリおよび他の構成要素と動作可能に相互接続できることに留意されたい。プロセッサ１１０に関する以下の説明は、（そのような複数のプロセッサが存在する実施形態では）追加のプロセッサにも同様に適用できることにさらに留意されたい。

【0047】

脅威に強いコンピューティングシステム１００は、プロセッサ１１０を含むことができる。プロセッサ１１０は、例えば、汎用プロセッサ、専用の特定用途向け集積回路（ＡＳＩＣ）、マルチコアプロセッサ内の１つ以上のコアなど、データ処理機能を備えた適切なハードウェアベースの電子デバイスとすることができる。プロセッサ１１０は、例えば、複数のプロセッサ、複数のＡＳＩＣ、仮想プロセッサ、それらの組み合わせなどから構成される。プロセッサ１１０は、システムバス１０５に動作可能に接続することができる。

【0048】

メモリ１１５は、例えば、適切な種類の揮発性または不揮発性記憶装置とすることができ、例えば、単一の物理メモリ構成要素または複数の物理メモリ構成要素を含むことができる。メモリ１１５は、仮想メモリも含むことができる。メモリ１１５は、例えば、演算に使用されるさまざまなデータを記憶するように構成することができる。

【0049】

図２を参照して以下でさらに詳細に説明するように、プロセッサ１１０は、非一時的コンピュータ可読記憶媒体上に実装されたコンピュータ可読命令に従っていくつかの機能モジュールを実行するように構成することができる。このような機能モジュールは、以降、プロセッサに含まれるものとして参照される。これらのモジュールは、例えば、後述するコンピューティング環境（ＣＥ）を含むことができる。

【0050】

本開示では、「コンピューティング環境」（ＣＥ）という用語は、非限定的な例として、ソフトウェアモジュール（例えば、物理プロセッサまたは仮想プロセッサなどのプロセッサ上で実行する）を含み、ここでプロセッサ（ＢＩＯＳを実行するブートプロセッサまたはハイパーバイザを実行する汎用プロセッサなど）は、ブート画像から初期化できる。

【0051】

非限定的な例として、コンピューティング環境は、Ｌｉｎｕｘ、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（商標）などの汎用ソフトウェアオペレーティングシステム、組み込みＬｉｎｕｘなどの専用リアルタイムオペレーティングシステム、専用ユーザアプリケーションなどである場合がある。「ベースＣＥ」には、ハイパーバイザやその他の仮想化／ゲストテクノロジがない場合に、物理プロセッサ上で実行するＣＥが含まれる。いくつかの実施形態では、ベースＣＥは、ハイパーバイザまたは他の仮想化／ゲスト機能を提供する。

【0052】

いくつかの実施形態では、ベースＣＥは、例えば、Ｌｉｎｕｘ ＫｅｒｎｅｌベースのＶｉｒｔｕａｌ ＭａｃｈｉｎｅまたはＭｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ Ｈｙｐｅｒ－Ｖなどのハイパーバイザ技術を含むことができる。そのような実施形態では、追加のＣＥは、そのようなベースＣＥによって有効にされる仮想マシン（ＶＭ）で実行することができる。「ゲストＣＥ」という用語には、ベースＣＥ内のハイパーバイザまたはその他の仮想化／ゲストテクノロジによって有効にされるプロセッサ（物理または仮想）上で実行されるＣＥが含まれる。ゲストＣＥは、例えば、Ｌｉｎｕｘ、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（商標）などの汎用ソフトウェアオペレーティングシステム、組み込みＬｉｎｕｘなどの専用リアルタイムオペレーティングシステム、専用ユーザアプリケーションなどを実行できる。

【0053】

いくつかの実施形態では、ゲストＣＥは、ＣＥブート画像からの初期化をサポートする他の技術（例えば、適切なコンテナ技術、実行可能なプロセス、ｃｈｒｏｏｔなど）を使用して実装することができる。

【0054】

図１Ａでは、ベースＣＥ（ハイパーバイザを含む）１３０がプロセッサ１１０上で実行し、プロセッサ１１０に含まれている。ゲストＣＥ１３５Ａ、１３５Ｂは、非限定的な例として、ベースＣＥ（ハイパーバイザを含む）１３０上で動作するＶＭであり、プロセッサ１１０にも含まれる。

【0055】

いくつかの実施形態では、ゲストＣＥは、ｗｉｆｉまたはＢｌｕｅｔｏｏｔｈなどの無線通信リンクを介して検査ユニット１８０に動作可能に接続されたリモートデバイス（例えば、ＩｏＴデバイス）上に配置することができる。

【0056】

いくつかの実施形態では、脅威に強いコンピューティングシステム１００は、プロセッサ１１０上でＣＥを初期化するための基本機能を実行するＣＥ（例えば、基本入出力システム、すなわちＢＩＯＳ）を実行できるブートプロセッサ（図示せず）を含むことができる。

【0057】

ネットワークインターフェースコントローラ１２０は、イーサネット、電気電子技術者協会（ＩＥＥＥ）８０２．１１などの適切な種類のネットワークインターフェースとすることができ、システムバス１０５に動作可能に接続することができる。プロセッサ１１０および含まれるＣＥ１３０、１３５Ａ、１３５Ｂは、例えば、ネットワークインターフェースコントローラ１２０を介して外部エンティティとの間でデータを送受信することができる。

【0058】

記憶媒体１４５は、当技術分野で既知の適切な種類の記憶装置（例えば、ディスクベースまたはフラッシュベースの記憶システムなどの不揮発性記憶装置）であり、システムバス１０５に動作可能に接続できる。

【0059】

いくつかの実施形態では、記憶媒体１４５は、チェックポイントＣＥブート画像１５０を記憶することができる。いくつかの実施形態では、チェックポイントＣＥブート画像１５０は、実行中のＣＥから作成されたブート画像である。実施形態固有の構成要素（例えば、緩和ユニット１７０、またはＣＥ自体、または専用の画像作成ユニット（図示せず））は、定期的に（またはイベントの発生時に）、チェックポイントＣＥブート画像１５０を、マルウェアによって侵害されていないコンピューティング環境であると決定または評価されたＣＥから作成することができる。

【0060】

いくつかの実施形態では、チェックポイントＣＥブート画像は、図２を参照して以下に説明するように、マルウェアによる侵害の可能性の評価に続いてＣＥを復元するために引き続き利用することができる。

【0061】

いくつかの実施形態では、記憶媒体１４５は、分析のために侵害されたＣＥの画像を記憶することができる。

【0062】

脅威に強いマルチコンピューティングシステム１００は、ＣＥ間で共有されるリソースを含むことができる。例えば、ゲストＣＥ１３５Ａ、１３５ＢおよびベースＣＥ１３０は、ネットワークインターフェースコントローラ１２０、共有メモリ１１８、または他の適切な構成要素の利用のアクセスを共有することができる。したがって、ＣＥ１３０、１３５Ａ、１３５Ｂは、これらの共有リソースにアクセスするように構成することができる。

【0063】

検査ユニット１８０（ＣＥ検査ユニットとも呼ばれる）は、システムバス１０５に動作可能に接続することができ、システムバス１０５を介して、例えば当技術分野で知られている方法を使用して、動作可能に接続された他のシステム構成要素と通信することができる。検査ユニット１８０は、専用プロセッサ（ソフトウェアを実行する汎用プロセッサなど）とすることができる。あるいは、検査ユニット１８０は、ＡＳＩＣ、またはプロセッサ１１０に関して上で説明した実装などの処理能力を有する別の種類のデバイスであり得る。

【0064】

検査ユニット１８０は、例えば、マルウェアまたは別の方法でコンピューティング環境（ＣＥ）（例えば、ゲストＣＥまたはベースＣＥ）が侵害されたことを示す、ＣＥ生成またはＣＥアドレス指定されたバスアクティビティついてシステムバス１０５を検査するように構成することができる。非限定的な例として、検査は、ＣＥによるバス要求の統計的分布がモニタリングまたは構成された基準から逸脱していることを検出することができる。さらなる非限定的な例として、検査は、ＣＰＵ使用、ハードウェアドライバのアクセス、またはシステムコールが、モニタリングまたは設定された基準から逸脱していることを検出できる。

【0065】

検査ユニット１８０は、ＣＥの侵害の検出に応答して、緩和ユニット１７０にＣＥが侵害されたことを通知するように構成することができる。非限定的な例として、検査ユニット１８０は、保護された（例えば、認証された）メッセージを、緩和ユニット１７０によって読み取られる共有メモリ１１８の場所に書き込むことができる。非限定的な例として、そのようなメッセージは、侵害された可能性のあるＣＥを実行しているプロセッサを示すシステムバス１０５アドレスを示すデータを含むことができる。

【0066】

いくつかの実施形態では、検査ユニット１８０は、例えば緩和ユニット１７０などの他の構成要素と同じ場所に配置することができる。いくつかの実施形態では、検査ユニット１８０自体がＣＥであり得る。

【0067】

いくつかの実施形態では、検査ユニット１８０は、ネットワークインターフェースコントローラ１２０と同じ場所に配置することができる。いくつかのそのような実施形態では、検査ユニット１８０は、ＮＩＣを介した送信のために他の構成要素（プロセッサ１１０など）によって送信されたデータを読み取り、そのようなデータおよび／またはメタデータ（送信機および受信機の識別子、パケット長など）を検査することができる。いくつかのそのような実施形態では、検査ユニット１８０は、通信媒体を介して受信されたデータを読み取り、そのようなデータおよび／またはメタデータを検査することができる。いくつかのそのような実施形態では、検査ユニット１８０は、ＣＥの侵害を示すデータについて、ＣＥによって生成されたネットワークトラフィックデータ（およびＣＥ宛てのデータ）を検査することができる。「ＣＥデータ」という用語は、本明細書では、特定のＣＥによって生成されるか、または特定のＣＥ宛てのデータを指すために使用される。

【0068】

緩和ユニット１７０は、システムバス１０５に動作可能に接続され、例えば当技術分野で知られている方法を使用して、動作可能に接続された他のシステム構成要素と通信することができる。緩和ユニット１７０は、専用プロセッサ（ソフトウェアを実行する汎用プロセッサなど）とすることができる。あるいは、緩和ユニット１７０は、ＡＳＩＣ、またはプロセッサ１１０に関して上述した実装などの処理能力を有する別の種類のデバイスとすることができる。いくつかの実施形態では、緩和ユニット１７０は、例えば検査ユニット１８０などの他の構成要素と同じ場所に配置することができる。いくつかの実施形態では、緩和ユニット１７０自体がＣＥであってもよい。

【0069】

緩和ユニット１７０は、ＣＥの侵害の可能性の通知に応答して、ＣＥが脅威に強いマルチコンピューティングシステム１００の共有リソースにアクセスできないようにすることによって侵害を緩和するように構成することができる。いくつかの実施形態では、緩和ユニット１７０は、ＣＥの実行を終了することによって、共有リソースへのＣＥアクセスを無効にする（任意で、ＭＵはチェックポイントブート画像からＣＥ動作を復元することができる）。いくつかの実施形態では、緩和ユニット１７０は、ＣＥを分離することによって共有リソースへのＣＥアクセスを無効にする（以下で説明するように）。

【0070】

いくつかの実施形態では、緩和ユニット１７０は、プロセッサ上のＣＥのセキュリティ侵害の可能性についての通知に応答して、侵害された可能性のあるＣＥの実行状態のデータ派生物（例えば、コード、スタック等を含むＣＥの画像）を記憶媒体１４５に保存する。侵害された可能性のあるＣＥの保存された画像は、分析のために後でアクセスできる。

【0071】

いくつかの実施形態では、緩和ユニット１７０は、侵害された可能性のあるＣＥの実行を停止するのと並行して、またはその後に、プロセスをトリガして、以前に記憶された特定のチェックポイントＣＥブート画像の実行を開始することによって、ＣＥを復元することができる。いくつかの実施形態では、緩和ユニット１７０は、復元されたＣＥのパラメータ（例えば、ネットワークインターフェースアドレス、メモリ構成、または他のパラメータ）を異なる値またはランダム化された値に設定することができる。この方法でパラメータを変更すると、マルウェアやその情報収集が妨害される可能性がある。

【0072】

いくつかの実施形態では、緩和ユニット１７０は、緩和ポリシーを利用して、侵害された可能性のあるＣＥに適用する緩和アクションを決定することができる。いくつかの実施形態では、緩和ポリシーは、例えば、ソフトウェアにハードコーディングされた静的なものであり得る。いくつかの実施形態では、緩和ポリシーは動的であることができ、例えば、実行される緩和の種類は、例えば侵害された可能性のあるＣＥの検出頻度に依存することができる。

【0073】

緩和ユニット１７０は、ベースＣＥ１３０を停止および復元できるようにするブートローダ機能を備えて構成することができる。例えば、緩和ユニット１７０は、ブートローダ機能を実装することができる（例えば、当技術分野で知られている特定の実装に適した方法を使用してコンピューティング環境を開始／終了するためのサポート方法）。あるいは、緩和ユニット１７０は、脅威に強いマルチコンピューティングシステム１００内の他の場所に配置されたブートローダを制御することができる。

【0074】

以下に説明するように、緩和ユニット１７０は、ゲストＣＥ１３５Ａ、１３５Ｂを停止および復元できるようにするハイパーバイザ機能を備えて構成することができる。

【0075】

緩和ユニット１７０は、例えば、ベースＣＥ１３０が動作可能に接続されている特定の種類のバスまたはネットワークに適した方法を使用して、侵害された可能性のあるベースＣＥ１３０の分離を可能にすることができる。例えば、緩和ユニット１７０は、侵害された可能性のあるＣＥによって生成されたデータがおとりリソースユニット１９５に向けられるように、システムバス１０５の機能を構成することができる。おとりリソースユニット１９５は、侵害された可能性のあるＣＥから受信したデータを示すデータを記憶媒体１４５に記憶することができる。おとりリソースユニット１９０は、以下で説明するように、侵害された可能性のあるＣＥにおとりデータを提供することができる。

【0076】

おとりリソースユニット１９５は、例えば、システムバス１０５に動作可能に接続され、例えば、当技術分野で知られている方法を使用して、動作可能に接続された他のシステム構成要素と通信することができる。このようなおとりリソースユニットは、専用プロセッサ（ソフトウェアを実行する汎用プロセッサなど）またはＡＳＩＣ、またはプロセッサ１１０に関して上述した実装などの処理能力を有する別の種類のデバイスであり得る。

【0077】

おとりリソースユニット１９５は、侵害された可能性のあるＣＥの分離の一部として利用することができる。具体的には、分離中、おとりリソースユニット１９５は、侵害された可能性のあるＣＥからデータを受信するように構成することができる。いくつかの実施形態では、おとりリソースユニット１９５は、侵害された可能性のあるＣＥから受信したデータを分析して、どの種類のマルウェアがＣＥなどに影響を与えた可能性があるかを判断する。いくつかの実施形態では、おとりリソースユニット１９５は、後続の分析（例えば、オフライン分析ど）のために、侵害された可能性のあるＣＥから受信したデータ派生物を（例えば、記憶媒体１４５に）保存する。いくつかの実施形態では、おとりリソースユニット１９５は、おとりデータ（例えば、ＣＥに提供されるデータに似たデータ）を侵害された可能性のあるＣＥに提供する。このようにして、脅威に強いマルチコンピューティングシステム１００は、脅威に強いマルチコンピューティングシステム１００の完全性を脅かすことなく、侵害されたＣＥの挙動をモニタリングすることができる。

【0078】

第２の検査ユニット１４０は、専用プロセッサ（ソフトウェアを実行する汎用プロセッサなど）とすることができる。あるいは、第２の検査ユニット１４０は、ＡＳＩＣ、またはプロセッサ１１０に関して上述した実装などの処理能力を有する別の種類のデバイスであり得る。いくつかの実施形態では、第２検査ユニット１４０はＣＥとすることができる。

【0079】

第２の検査ユニット１４０は、システムバス１０５に動作可能に接続することができ、システムバス１０５のバス信号を読み取って検査することができる。第２の検査ユニット１４０は、例えば、検査ユニット１８０への／からのバス信号の検査を実行し、これらの検査ユニット１８０がマルウェアによって、または異なる方法で構成されているという兆候を検査するように構成することができる。第２の検査ユニット１４０は、検査ユニット１８０の潜在的な侵害を緩和ユニット１７０に通知するように構成することができる。検査ユニット１７０は、（本明細書で説明するように）ＣＥの場合と同じ方法で、検査ユニット１８０の潜在的な侵害を緩和することができる。

【0080】

本開示の主題の教示は、図１Ａを参照して説明された対話型指導システムおよび被験者ガイダンスシステムによって拘束されないことに留意されたい。同等および／または変更された機能は、別の方法で統合または分割でき、ソフトウェアとファームウェアおよび／またはハードウェアの適切な組み合わせで実装でき、適切なデバイスで実行できる。インタラクティブな指示システムと被験者ガイダンスシステムは、それぞれスタンドアロンエンティティにすることも、ネットワークやその他の手段を介して他のエンティティと完全にまたは部分的に統合することもできる。

【0081】

ここで、本開示の主題のいくつかの実施形態による、脅威に強いマルチコンピューティングシステムの変形例のブロック図を示す図１Ｂに注目する。

【0082】

図１Ｂに示す脅威に強いマルチコンピューティングシステム１００では、検査ユニット１８５をプロセッサ１１０に含めることができる。具体的には、検査ユニット１８５は、例えば、ベースＣＥ（ハイパーバイザ）１３０のハイパーバイザ機能によって有効化されたゲストＣＥ（例えば、仮想マシン）とすることができる。

【0083】

いくつかの実施形態では、ゲストＣＥ１３５Ａ、１３５Ｂは、ベースＣＥ（ハイパーバイザ）１３０の内部にある仮想ネットワークインターフェース（図示せず）を介して互いに通信することができる。いくつかのそのような実施形態では、検査ユニット１８５は、仮想ネットワークインターフェースに動作可能に接続され、ユーザＣＥ１３５Ａ、１３５Ｂによって送信された／ユーザＣＥ１３５Ａ、１３５Ｂに向けられたネットワークデータを受信し、データおよび／またはメタデータ（送信機および受信機の識別子など、パケット長など）を検査する。他の実施形態では、ゲストＣＥ１３５Ａ、１３５Ｂおよび／または検査ユニット１８５は、他の適切なメカニズムを使用して通信することができる。いくつかの実施形態では、ゲストＣＥ１３５Ａ、１３５Ｂおよび検査ユニット１８５は、ベースＣＥ（ハイパーバイザ）１３０を介してシステムバス１０５に動作可能に接続された構成要素（例えば、ネットワークインターフェースコントローラ１２０）と通信することができる。図２の検査ユニット１８５は、例えば、図１の検査ユニット１８０を参照して、上述したＣＥおよびＣＥデータの同じ挙動を検査することができる。

【0084】

図１Ｂは、ゲストＣＥおよびベースＣＥの特定の非限定的な構成例を示していることに留意されたい。他の例では、ゲストＣＥは、コンテナ、プロセスなどの内部に配置され、当技術分野で知られている適切なメカニズムで他のシステム構成要素と通信してもよい。

【0085】

図１Ｂに示される脅威に強いマルチコンピューティングシステム１００では、緩和ユニット１７５は、プロセッサ１１０に含まれ得る。いくつかの実施形態では、緩和ユニット１７５は、ベースＣＥ（ハイパーバイザ）１３０のハイパーバイザ機能を管理する能力を有するＣＥとすることができる。いくつかの他の実施形態では、緩和ユニット１７５は、ベースＣＥ（ハイパーバイザ）１３０のハイパーバイザ機能と統合することができる（例えば、ベースＣＥ（ハイパーバイザ）１３０のハイパーバイザモジュール内に完全に含まれる統合ソフトウェアモジュールとして）。

【0086】

本明細書で使用される「ハイパーバイザ機能」という用語は、ブート画像からＣＥを停止および／または復元する機能、ならびにＣＥ間でデータを転送する機能、およびＣＥ間で転送されるデータを変更およびリダイレクトする機能、および以下に説明するＣＥのハイパーバイザ分離に利用される他の機能を含む。いくつかの実施形態では、緩和ユニット１７５は、例えば、ハイパーバイザとの統合によって、またはハイパーバイザの管理によって、ハイパーバイザ機能を有する。

【0087】

いくつかの実施形態では、ゲストＣＥ１３５Ａ、１３５Ｂの侵害の可能性についての検査ユニット１８５からの通知の受信に応答して、緩和ユニット１７５は、ハイパーバイザ機能を利用して、侵害されたゲストＣＥ１３５Ａ、１３５Ｂを停止することができる。

【0088】

いくつかの実施形態では、緩和ユニット１７５は、同時に（例えば、ゲストＣＥ１３５Ａ、１３５Ｂの侵害の可能性についての検査ユニット１８５からの通知の受信に応答して）、または適切なチェックポイントＣＥブート画像１５０からゲストＣＥ１３５Ａ、１３５Ｂを後で復元することができる。

【0089】

いくつかの実施形態では、ゲストＣＥ１３５Ａ、１３５Ｂの侵害の可能性についての検査ユニット１８５からの通知の受信に応答して、緩和ユニット１７５は、侵害された可能性のあるゲストＣＥ１３５Ａ、１３５Ｂの実行状態の派生データ（例えば、画像または「スナップショット」）を記憶媒体１４５に記憶することができる。次に、この画像を例えばオフライン分析にかけることができる。

【0090】

いくつかの実施形態では、緩和ユニット１７５は、ゲストＣＥ１３５Ａ、１３５Ｂのセキュリティ侵害の可能性についての通知を受信すると、侵害された可能性のあるＣＥのハイパーバイザ分離を構成することができる。一部の実施形態では、ＣＥに対してハイパーバイザ分離が構成されると、ＣＥは実行を継続するが、脅威に強いマルチコンピューティングシステム１００内の共有リソースの一部または全部に直接アクセスしない。

【0091】

緩和ユニット１７０は、例えば、ベースＣＥ１３０内の特定の種類のハイパーバイザに適した方法を使用して、侵害された可能性のあるゲストＣＥ１３５Ａ、１３５Ｂのハイパーバイザ分離を可能にすることができる。例えば、緩和ユニット１７０は、侵害された可能性のあるＣＥによって生成されたデータがおとりリソースユニット１９５に向けられるように、ベースＣＥ（ハイパーバイザ）１３０のハイパーバイザ機能を構成することができる。おとりリソースユニット１９５は、侵害された可能性のあるＣＥから受信したデータを示すデータを記憶媒体１４５に記憶することができる。おとりリソースユニット１９０は、以下で説明するように、侵害された可能性のあるＣＥにおとりデータを提供することができる。

【0092】

おとりリソースユニット１９５は、例えば、ベースＣＥ（ハイパーバイザ）１３０のハイパーバイザ機能によって有効化されるゲストＣＥ（例えば、仮想マシン）であり得る。あるいは、おとりリソースユニットは、例えば、システムバス１０５に動作可能に接続され、例えば、当技術分野で知られている方法を使用して、動作可能に接続された他のシステム構成要素と通信することができる。このようなおとりリソースユニットは、専用プロセッサ（ソフトウェアを実行する汎用プロセッサなど）またはＡＳＩＣ、またはプロセッサ１１０に関して上述した実装などの処理能力を有する別の種類のデバイスであり得る。

【0093】

おとりリソースユニット１９５は、侵害された可能性のあるＣＥのハイパーバイザ分離の一部として利用することができる。具体的には、ハイパーバイザの分離中に、おとりリソースユニット１９５は、侵害された可能性のあるＣＥからデータを受信するように構成できる。いくつかの実施形態では、おとりリソースユニット１９５は、侵害された可能性のあるＣＥから受信したデータを分析して、どの種類のマルウェアがＣＥなどに影響を与えた可能性があるかを判断する。いくつかの実施形態では、おとりリソースユニット１９５は、後続の分析（例えば、オフライン分析）のために、侵害された可能性のあるＣＥから受信したデータのデータ派生物を（例えば、記憶媒体１４５に）保存する。いくつかの実施形態では、おとりリソースユニット１９５は、おとりデータ（例えば、ＣＥに提供されるデータに似たデータ）を侵害された可能性のあるＣＥに提供する。このようにして、脅威に強いマルチコンピューティングシステム１００は、脅威に強いマルチコンピューティングシステム１００の完全性を脅かすことなく、侵害されたＣＥの挙動をモニタリングすることができる。

【0094】

本開示の主題の教示は、図１Ｂを参照して説明された対話型指導システムおよび被験者ガイダンスシステムによって拘束されないことに留意されたい。同等および／または変更された機能は、別の方法で統合または分割でき、ソフトウェアとファームウェアおよび／またはハードウェアの適切な組み合わせで実装でき、適切なデバイスで実行できる。インタラクティブな指示システムと被験者ガイダンスシステムは、それぞれスタンドアロンエンティティにすることも、ネットワークやその他の手段を介して他のエンティティと完全にまたは部分的に統合することもできる。

【0095】

ここで、本開示の主題のいくつかの実施形態による、脅威に強いマルチコンピューティング環境システムにおいて侵害された可能性のあるコンピューティング環境を緩和するプロセスの例のフロー図である図２に注目する。

【0096】

検査ユニット１８０または１８５は、ＣＥによって生成された活動をモニタリングする（２１０）ことができる。例えば、検査ユニット１８０または１８５は、上述のようにＣＥ（例えば、ベースＣＥ（ハイパーバイザ）１３０またはユーザＣＥ１３５Ａ、１３５Ｂ）を実行するプロセッサ１１０から／へのバス信号またはネットワークトラフィックをモニタリングすることができ、これによってＣＥによって生成または受信されたデータを検査することができる。いくつかの実施形態では、検査ユニット１８０（例えば、プロセッサ上で動作するソフトウェアとして実装される）は、図１Ａを参照して上述したように、バスアクティビティまたはネットワークトラフィックをモニタリングする。いくつかの実施形態では、検査ユニット１８５は、ゲストＣＥ（例えば、仮想マシン）として実装され、例えば、図１Ｂを参照して上述したように、仮想ネットワークを介してネットワークトラフィックをモニタリングする。

【0097】

検査ユニット１８０または１８５は、ＣＥ侵害またはＣＥ侵害の可能性を示すＣＥが生成した活動の検出に応答して、侵害されたＣＥに関して緩和ユニット１７０または１７５に通知することができる（２２０）。例えば、検査ユニット１８０または１８５は、実施形態に適した通知メカニズム（例えば、安全メッセージング）を介して緩和ユニット１７０または１７５に通知メッセージを送ることができる。

【0098】

任意で、緩和ユニット１７０または１７５がＣＥ侵害の通知を受けることに応答して、緩和ユニット１７０または１７５は、侵害された可能性のあるゲストＣＥ１３５Ａ、１３５Ｂの画像の派生データ（例えば、上記の画像または「スナップショット」）を記憶媒体１４５に記憶することができる（２２５）。次に、この画像を例えばオフライン分析にかけることができる。

【0099】

緩和ユニット１７０または１７５がＣＥ侵害の通知を受けることに応答して、緩和ユニット１７０または１７５は、侵害されたＣＥによる一部またはすべての共有リソースへのアクセスを無効にすることができる（２３０）。

【0100】

いくつかの実施形態では、緩和ユニット１７０または１７５は、侵害されたＣＥを終了することによって、共有リソースへのアクセスを無効にすることができる。非限定的な例として、緩和ユニット１７０は、侵害されたベースＣＥ１３０を終了するために、図１Ａを参照して上述したようにブートローダ機能を利用することができる。さらなる非限定的な例として、緩和ユニット１７５は、侵害されたゲストＣＥ１３５Ａ、１３５Ｂを終了するために、図１Ｂを参照して上述したようにハイパーバイザ機能を利用することができる。

【0101】

いくつかの実施形態では、緩和ユニット１７０または１７５は、侵害されたゲストＣＥ１３５Ａ、１３５Ｂのハイパーバイザ分離を構成することによって、共有リソースへのアクセスを無効にすることができる。非限定的な例として、緩和ユニット１７５は、侵害されたゲストＣＥ１３５Ａ、１３５Ｂのハイパーバイザ分離を構成するために、図１Ｂを参照して上述したハイパーバイザ機能を利用することができる。ハイパーバイザの分離については、図３を参照して以下でさらに詳しく説明する。

【0102】

任意で、侵害されたＣＥの終了と並行して、またはその後に、緩和ユニット１７０または１７５は、例えばチェックポイントＣＥブート画像２４０からＣＥを復元することができる（２４０）。非限定的な例として、緩和ユニット１７０は、ベース（ハイパーバイザ）ＣＥ１３０を復元するために、図１Ａを参照して上述したようにブートローダ機能を利用することができる。さらなる非限定的な例として、緩和ユニット１７５は、ゲストＣＥ１３５Ａ、１３５Ｂを復元するために、図１Ｂを参照して上述したようにハイパーバイザ機能を利用することができる。

【0103】

いくつかの実施形態では、緩和ユニット１７０は、復元されたＣＥのパラメータ（例えば、ネットワークインターフェースアドレス、メモリ構成、または他のパラメータ）を異なる値またはランダム化された値に設定することができる。この方法でパラメータを変更すると、マルウェアやその情報収集が妨害される可能性がある。

【0104】

いくつかの実施形態では、緩和ユニット１７０は、緩和ポリシーを利用して、侵害された可能性のあるＣＥに適用する緩和アクションを決定することができる。いくつかの実施形態では、緩和ポリシーは、例えば、ソフトウェアにハードコーディングされた静的なものであり得る。いくつかの実施形態では、緩和ポリシーは動的であることができ、例えば、実行される緩和の種類は、例えば侵害された可能性のあるＣＥの検出頻度に依存することができる。

【0105】

本開示の主題の教示は、図２に示される流れ図に制限されず、図示された動作は、図示された順序以外で発生することができることに留意されたい。例えば、連続して示される動作２２５および２３０は、実質的に同時に実行することができる。また、フローチャートは、図１Ａおよび図１Ｂのシステムの要素を参照して説明されているが、これは決して拘束力を持たず、動作は本明細書に記載された要素以外の要素によって動作を実行することができることに留意されたい。

【0106】

ここで、本開示の主題のいくつかの実施形態による、ハイパーバイザ分離が有効になっている場合の侵害されたゲストＣＥ１３５Ａ、１３５Ｂからのデータフローのプロセスの例のフロー図を示す図３に注目する。

【0107】

侵害されたゲストＣＥ１３５Ａ、１３５Ｂは、データを生成できる（３１０）。このデータには、例えば、メモリやストレージからの読み取りまたは書き込み、特定の実行パス、またはネットワークデータの送信などのリクエストが含まれる。これらの生成されたデータは、良性または悪意のある可能性がある。

【0108】

ハイパーバイザ分離が構成されているため、ハイパーバイザは（例えば）、ＣＥが生成したデータをおとりリソースユニット１９５に向けることができる（３２０）。このようにして、ＣＥ活動を凍結することができ、特に共有リソースはＣＥデータの影響を受けない。

【0109】

おとりリソースユニットは、セキュリティ分析のために、侵害されたゲストＣＥ１３５Ａ、１３５Ｂによって生成された受信データを（例えば、記憶媒体１４５に）記憶することができる（３３０）。

【0110】

おとりリソースユニット１９５は、侵害されたゲストＣＥ１３５Ａ、１３５Ｂにおとりデータを送信することができる（３４０）。おとりデータは、侵害されたＣＥがそのリクエストに応じて受け取り得るデータに似たデータである可能性がある。このようにして、脅威に強いマルチコンピューティングシステム１００は、侵害されたゲストＣＥ１３５Ａ、１３５Ｂによって生成されたデータを受信し続けることができ、これによって脅威分析を容易にする。

【0111】

侵害されたゲストＣＥ１３５Ａ、１３５Ｂは、おとりデータを受信し（３５０）、脅威に強いマルチコンピューティングシステム１００または機密共有リソースに悪影響を与えることなく実行を継続できる。

【0112】

本開示の主題の教示は、図３に示される流れ図に制限されず、図示された動作は、図示された順序以外で発生することができることに留意されたい。例えば、連続して示される動作３２５および３３０は、実質的に同時に実行することができる。また、フローチャートは、図１Ａおよび図１Ｂのシステムの要素を参照して説明されているが、これは決して拘束力を持たず、動作は本明細書に記載された要素以外の要素によって動作を実行することができることに留意されたい。

【0113】

本発明は、その適用において、本明細書に含まれる説明または図面に示される詳細に限定されないことを理解されたい。本発明は、他の実施形態が可能であり、さまざまな方法で実施および実施することができる。したがって、本明細書で使用される表現および用語は、説明を目的とするものであり、限定的なものと見なされるべきではないことを理解されたい。そのため、当業者は、本開示の基づく概念が、本開示の主題のいくつかの目的を実行するための他の構造、方法、およびシステムを設計するための基礎として容易に利用できることを理解するであろう。

【0114】

本発明によるシステムは、少なくとも部分的に、適切にプログラムされたコンピュータ上で実施できることも理解されるであろう。同様に、本発明は、本発明の方法を実行するためのコンピュータによって読み取り可能なコンピュータプログラムを企図する。本発明はさらに、本発明の方法を実行するためにコンピュータによって実行可能な命令のプログラムを有形に具体化する非一時的なコンピュータ可読メモリを企図する。

【0115】

当業者は、添付の特許請求の範囲において、およびそれによって定められるその範囲から逸脱することなく、前述のように、さまざまな修正および変更を本発明の実施形態に適用できることを容易に理解するであろう。

【図1A】

【図1B】

【図2】

【図3】

【国際調査報告】