特表 2024-513129 サイバーセキュリティ脅威に対するエンドポイント検出及び応答

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2024-03-21

(54)【発明の名称】サイバーセキュリティ脅威に対するエンドポイント検出及び応答

(51)【国際特許分類】

   G06F 21/52 20130101AFI20240313BHJP

   G06F 21/62 20130101ALI20240313BHJP

【ＦＩ】

G06F21/52

G06F21/62

【審査請求】未請求

【予備審査請求】未請求

(21)【出願番号】P 2023561872

(86)(22)【出願日】2022-04-07

(85)【翻訳文提出日】2023-10-27

(86)【国際出願番号】 CA2022050534

(87)【国際公開番号】W WO2022213202

(87)【国際公開日】2022-10-13

(31)【優先権主張番号】63/173,033

(32)【優先日】2021-04-09

(33)【優先権主張国・地域又は機関】US

(81)【指定国・地域】

(71)【出願人】

【識別番号】522160147

【氏名又は名称】フィールド・エフェクト・ソフトウェア・インコーポレイテッド

(74)【代理人】

【識別番号】100145403

【弁理士】

【氏名又は名称】山尾 憲人

(74)【代理人】

【識別番号】100135703

【弁理士】

【氏名又は名称】岡部 英隆

(72)【発明者】

【氏名】ホーランド，マシュー

(57)【要約】

コンピューティングデバイス上でのコード実行を制御することは、悪意のあるコードが実行されることを防止し得る。コード実行を制御するために、コンピューティングデバイス上のコードパッケージのコンテキスト情報が維持され得る。コンテキスト情報は、コンピューティングデバイスの初期化時に、又はコードパッケージに対する変更が行われた場合に生成され得る。コンテキスト情報は、コードパッケージが実行を許可されるべきかどうかを迅速に評価するために、アクセス制御リスト（ＡＣＬ）及び／又は実行制御リスト（ＥＣＬ）とともに使用され得る。

【特許請求の範囲】

【請求項1】

コンピューティングデバイスのオペレーティングシステム（ＯＳ）内でコード実行をセキュリティ保護及び制御するための方法であって、前記方法が、前記コンピューティングデバイスにおいて実装され、かつ、
前記コンピューティングデバイス上のコードパッケージのコンテキスト情報を維持することであって、
コードパッケージのコンテキスト情報を判定し、前記コンピューティングデバイス上に記憶することであって、前記コードパッケージの各々について、前記コンテキスト情報が、前記それぞれのコードパッケージの状態及び前記それぞれのコードパッケージの１つ以上の属性に関する情報を含む、判定及び記憶すること、並びに
前記コンテキスト情報に対する変更について、前記コンピューティングデバイス上で実行されるコードパッケージを監視し、前記コンテキスト情報に対する任意の変更を用いて前記記憶されたコンテキスト情報を更新すること、である、維持することを含み、
前記コンテキスト情報を維持することとは独立して、
アクセサコードパッケージに関連付けられているＯＳイベントの通知を受信すること、
前記ＯＳイベントを、少なくとも１つのエントリを指定するアクセス制御リスト（ＡＣＬ）又は実行制御リスト（ＥＣＬ）と照合しようと試みることであって、各エントリが、検証条件を定義するＯＳイベント及び関連付けられているイベントコンテキストを含む、試みること、並びに一致が発生する場合、
前記アクセサコードパッケージに関連付けられているコンテキスト情報を取り出すこと、
前記取り出されたコンテキスト情報を、前記一致したＡＣＬ／ＥＣＬエントリ内で指定された前記イベントコンテキストに対して検証すること、及び
前記取り出されたコンテキスト情報の検証時に、前記一致したＡＣＬ／ＥＣＬリストエントリ内で指定されたアクションを遂行すること、を行う、方法。

【請求項2】

前記ＡＣＬが、前記アクセサコードパッケージによってリソースにアクセスするための１つ以上の条件を定義し、前記ＥＣＬが、前記アクセサコードパッケージを実行するための１つ以上の条件を定義する、請求項１に記載の方法。

【請求項3】

前記ＡＣＬ／ＥＣＬが、
プロセス実行制御リスト、
プロセスアクセス制御リスト、
ヒューリスティックアクセス制御リスト、
モジュール実行制御リスト、
リムーバブルドライブアクセス制御リスト、
ファイル読み取り／書き込みアクセス制御リスト、及び
レジストリアクセス制御リスト、のうちの少なくとも１つを含む、請求項１に記載の方法。

【請求項4】

前記一致した制御リストエントリに関連付けられている前記アクションが、
前記ＯＳイベントのアクセスをブロックすること、
前記ＯＳイベントのアクセスを許可すること、
前記ＯＳイベントの前記アクセスの場所を通知すること、
前記ＯＳイベントの実行をブロックすること、
前記ＯＳイベントの実行を許可すること、
前記ＯＳイベントの前記実行の場所を通知すること、
前記ＯＳイベントのプロセスを中断すること、及び
前記ＯＳイベントの前記プロセスをブロックすること、のうちの少なくとも１つを含む、請求項１に記載の方法。

【請求項5】

前記ＡＣＬ／ＥＣＬが、複数のＡＣＬ又はＥＣＬを含む、請求項１に記載の方法。

【請求項6】

前記ＡＣＬ／ＥＣＬが、ポリシー構造において定義され、前記ポリシー構造が、
１つ以上のＡＣＬ／ＥＣＬ、及び
前記ポリシー構造の前記検証された１つ以上のＡＣＬ／ＥＣＬに基づいて遂行されるアクションを指定するポリシー情報を定義する、請求項１に記載の方法。

【請求項7】

前記ポリシー構造が、前記ポリシー構造のＡＣＬ／ＥＣＬ間の関係の指標を更に含む、請求項６に記載の方法。

【請求項8】

前記ポリシー構造に追加する１つ以上の追加のＡＣＬ／ＥＣＬを受信することと、
前記１つ以上の追加のＡＣＬ／ＥＣＬを前記ポリシー構造の前記複数の制御リストと組み合わせることと、を更に含む、請求項６に記載の方法。

【請求項9】

前記１つ以上のＡＣＬ／ＥＣＬが、１つ以上のポリシー構造において指定される、請求項８に記載の方法。

【請求項10】

前記ポリシー構造から削除する１つ以上のＡＣＬ／ＥＣＬの指標を受信することと、
前記示された１つ以上のＡＣＬ／ＥＣＬを前記ポリシー構造から除去することと、を更に含む、請求項６に記載の方法。

【請求項11】

前記コンテキスト情報は、プロセスバイナリが署名されているかどうかの指標を含む、請求項１に記載の方法。

【請求項12】

前記コードパッケージが、
プロセス、
動的ライブラリ、及び
ドライバ、のうちの１つ以上を含む、請求項１に記載の方法。

【請求項13】

コンピューティングデバイスであって、
命令を実行するためのプロセッサと、
前記プロセッサによって実行されたときに、請求項１から１２のいずれか一項に記載の前記方法を遂行するように前記コンピューティングデバイスを構成する命令を記憶するメモリと、を備える、コンピューティングデバイス。

【請求項14】

コンピューティングデバイスのプロセッサによって実行されたときに、請求項１から１２のいずれか一項に記載の前記方法を遂行するように前記コンピューティングデバイスを構成する命令を記憶する非一時的コンピュータ可読媒体。

【発明の詳細な説明】

【技術分野】

【0001】

（関連出願の相互参照）
本出願は、米国仮特許出願第６３／１７３，０３３号に対する優先権の利益を主張するものであり、その全内容は参照により本明細書に組み込まれる。

【0002】

（発明の分野）
本開示は、サイバーセキュリティに関し、特に、エンドポイント上のサイバーセキュリティ脅威を検出し、それに応答するための機能に関する。

【背景技術】

【0003】

サイバーセキュリティは、コンピュータ関連のセキュリティ脅威を防止又は軽減しようと試みるものである。脅威は、例えば、ウイルス、マルウェア、ランサムウェアなどの様々な形態をとり得る。セキュリティ脅威は、典型的には、悪意のあるコードの実行を含む。全ての脅威が悪意のあるコードの実行に関与するわけではない可能性があるが、悪意のあるコードの実行を検出し、場合によっては防止することによって、セキュリティ脅威の一部分を防止又は軽減することができる。

【0004】

悪意のあるコードの実行を防止する手法は、プロセスのシグネチャを判定して、プロセスのシグネチャが既知の悪意のあるプロセスに関連付けられたシグネチャと一致するかどうかを判定することを含み得る。これらの手法は、いくつかのセキュリティ脅威を検出する際に有用であり得るが、新しい脅威に対して全てのエンドポイント上で署名を維持することは、困難であり得る。加えて、アクションが発生するたびにプロセスを評価しなければならないことは、エンドポイントにとって計算コストが高くなる可能性がある。

【0005】

サイバーセキュリティ脅威を検出し、場合によってはそれに応答するための代替の、追加の、及び又は改善されたプロセスが望ましい。

【図面の簡単な説明】

【0006】

本開示の更なる特徴及び利点は、添付の図面と組み合わせて、以下の詳細な説明から明らかになるであろう。

【図1】セキュリティ脅威を軽減するためのエンドポイントシステムを描示する。

【図2】セキュリティ脅威を軽減するためのエンドポイント方法を描示する。

【図3】並行状態モニタの詳細を描示する。

【図4】アクセス／実行制御の詳細を描示する。

【図5】ポリシー構造を描示する。

【図6】例示的なＡＣＬ／ＥＣＬ関係を描示する。

【図7】例示的なポリシーを描示する。

【発明を実施するための形態】

【0007】

本開示によれば、コンピューティングデバイスのオペレーティングシステム（operating system、ＯＳ）内で、コード実行をセキュリティ保護及び制御するための方法が提供され、方法は、コンピューティングデバイスにおいて実装され、かつ、コンピューティングデバイス上のコードパッケージのコンテキスト情報を維持することであって、コードパッケージのコンテキスト情報を判定し、コンピューティングデバイス上に記憶することであって、コードパッケージの各々について、コンテキスト情報が、それぞれのコードパッケージの状態及びそれぞれのコードパッケージの１つ以上の属性に関する情報を含む、判定及び記憶すること、並びにコンテキスト情報に対する変更について、コンピューティングデバイス上で実行するコードパッケージを監視し、コンテキスト情報に対する任意の変更を用いて、記憶されたコンテキスト情報を更新すること、である、維持することを含み、コンテキスト情報を維持することとは独立して、アクセサコードパッケージに関連付けられているＯＳイベントの通知を受信すること、ＯＳイベントを、少なくとも１つのエントリを指定するアクセス制御リスト（access control list、ＡＣＬ）又は実行制御リスト（execution control list、ＥＣＬ）と照合しようと試みることであって、各エントリが、ＯＳイベント及び検証条件を定義する関連するイベントコンテキストを含む、試みること、並びに一致が発生する場合、アクセサコードパッケージに関連付けられたコンテキスト情報を取り出すこと、取り出されたコンテキスト情報を、一致したＡＣＬ／ＥＣＬエントリ内で指定されたイベントコンテキストに対して検証すること、及び取り出されたコンテキスト情報の検証時に、一致したＡＣＬ／ＥＣＬリストエントリ内で指定されたアクションを遂行すること、を行う。

【0008】

本方法の更なる実施形態によれば、ＡＣＬは、アクセサコードパッケージによってリソースにアクセスするための１つ以上の条件を定義し、ＥＣＬは、アクセサコードパッケージを実行するための１つ以上の条件を定義する。

【0009】

本方法の更なる実施形態によれば、ＡＣＬ／ＥＣＬは、プロセス実行制御リスト、プロセスアクセス制御リスト、ヒューリスティックアクセス制御リスト、モジュール実行制御リスト、リムーバブルドライブアクセス制御リスト、ファイル読み取り／書き込みアクセス制御リスト、及びレジストリアクセス制御リスト、のうちの少なくとも１つを含む。

【0010】

本方法の更なる実施形態によれば、一致した制御リストエントリに関連付けられているアクションは、ＯＳイベントのアクセスをブロックすること、ＯＳイベントのアクセスを許可すること、ＯＳイベントのアクセスの場所を通知すること、ＯＳイベントの実行をブロックすること、ＯＳイベントの実行を許可すること、ＯＳイベントの実行の場所を通知すること、ＯＳイベントのプロセスを中断すること、及びＯＳイベントのプロセスをブロックすること、のうちの少なくとも１つを含む。

【0011】

本方法の更なる実施形態によれば、ＡＣＬ／ＥＣＬは、複数のＡＣＬ又はＥＣＬを含む。

【0012】

本方法の更なる実施形態によれば、ＡＣＬ／ＥＣＬは、ポリシー構造内で定義され、ポリシー構造は、１つ以上のＡＣＬ／ＥＣＬ、並びにポリシー構造の検証された１つ以上のＡＣＬ／ＥＣＬに基づいて遂行されるアクションを指定するポリシー情報を定義する。

【0013】

本方法の更なる実施形態によれば、ポリシー構造は、ポリシー構造のＡＣＬ／ＥＣＬ間の関係の指標を更に含む。

【0014】

本方法の更なる実施形態によれば、本方法は、ポリシー構造に追加するための１つ以上の追加のＡＣＬ／ＥＣＬを受信することと、１つ以上の追加のＡＣＬ／ＥＣＬをポリシー構造の複数の制御リストと組み合わせることと、を更に含む。

【0015】

本方法の更なる実施形態によれば、１つ以上のＡＣＬ／ＥＣＬは、１つ以上のポリシー構造内で指定される。

【0016】

本方法の更なる実施形態によれば、方法は、ポリシー構造から除去する１つ以上のＡＣＬ／ＥＣＬの指標を受信することと、示された１つ以上のＡＣＬ／ＥＣＬをポリシー構造から除去することと、を更に含む。

【0017】

本方法の更なる実施形態によれば、コンテキスト情報は、プロセスバイナリが署名されているかどうかの指標を含む。

【0018】

本方法の更なる実施形態によれば、コードパッケージは、プロセス、動的ライブラリ、及びドライバ、のうちの１つ以上を含む。

【0019】

本開示によれば、コンピューティングデバイスが更に提供され、コンピューティングデバイスは、命令を実行するためのプロセッサと、プロセッサによって実行されたときに、上で説明される方法を遂行するようにコンピューティングデバイスを構成する命令を記憶するメモリと、を備える。

【0020】

本開示によれば、コンピューティングデバイスのプロセッサによって実行されたときに、上で説明される方法を遂行するようにコンピューティングデバイスを構成する命令を記憶する、更なる非一時的コンピュータ可読媒体が存在する。

【0021】

エンドポイントは、例えば、パーソナルコンピュータ、ラップトップ、サーバ、モバイルコンピューティングデバイスなどを含むコンピューティングデバイスを備え得る。以下で更に説明するように、異なる脅威に対するエンドポイント保護は、アクセス制御リスト（ＡＣＬ）及び実行制御リスト（ＥＣＬ）のセットを使用することによって提供される。エンドポイント検出及び応答（endpoint detect and respond、ＥＤＲ）機能は、エンドポイントの各々で動作し、ホスト上のコードパッケージに関するコンテキスト情報を維持するように、エンドポイントを監視することができる。コードパッケージは、ロード及び実行され得るコードのパッケージを提供し、例えば、プロセス、動的ライブラリ、ドライバなどを含み得る。コンテキスト情報は、コードパッケージについての情報を、例えば、エンドポイントのブート時に一度判定することを許可し、特定のアクションが許可されるべきか、ブロックされるべきか、又は何らかの他のアクションが取られるべきかを評価するときに、複数回使用される。あるアクションを取るかどうかの判定は、１つ以上のポリシー構造として提供され得るＡＣＬ／ＥＣＬを使用して定義され得る。ポリシー構造は、オペレータが脅威を容易に定義し、自動的にアクションを取ることを許可する。ポリシー構造は、エンドポイントに容易に配布され、コンテキスト情報を使用してオペレーティングシステムイベントを評価する際に使用され得る。

【0022】

ＥＤＲ機能は、オペレータが脅威を容易に定義し、自動的にアクションを取ることを許可するように設計されたＡＣＬ及びＥＣＬの特殊化されたセットを利用する自動化されるアクティブ検出及びブロック特徴のセットを提供する。ＥＤＲシステムは、リアルタイム観察に基づいており、複雑さよりも単純さを利用する。この手法には多くの利点があるが、ＡＣＬ／ＥＣＬが単純であり、実際の脅威がどのように詳述及び追跡されるかを反映するように構造化されることを含む。更に、ＡＣＬ／ＥＣＬは、複雑なイベント相関を必要とせずに迅速な意思決定を可能にする。ＡＣＬ／ＥＣＬは、マルウェア「ピンチポイント」と概念的に整合され、脅威を迅速に識別し、複雑さを伴わずに破壊することを許可する。ＡＣＬ／ＥＣＬは、ランサムウェアから標準的なマルウェア、複雑な高度永続的脅威（advanced persistent threat、ＡＰＴ）技法に及ぶ全てのタイプの脅威を識別及び追跡するために使用することができる。ＡＣＬ／ＥＣＬはまた、ＡＣＬ／ＥＣＬの違反に基づいてブロック又は通知し、その後の、プロセス、スレッド、ドライバ、動的ライブラリなど、及び脅威の終了又は中断をトリガするために使用することもできる。

【0023】

ＥＤＲ機能は、状態機械を使用して、ホスト上のコードパッケージについての事前定義された結論の並列セットを維持し得る。例えば、コードパッケージバイナリが署名され、キャッシュされ、ホストブートの期間中、又はそのバイナリが変更されるまで維持されるかどうかの状態。コンテキスト情報を維持することにより、高価な処理がホストのブートごとに１回だけ遂行されるように強制する１回決定による多数回アクションのパターンが可能になる。これは、重い処理又は予想外の結果につながる場合が多い複雑な様式でイベントの範囲を処理する必要性を回避する。進行中のオペレーティングシステムオブジェクト／アクティビティセンサを使用して、コードパッケージの状態機械及びそれらのコードパッケージに関する属性を維持し得る。オブジェクト／アクティビティセンサは、Ｗｉｎｄｏｗｓ及びｍａｃＯＳ（登録商標）上のセキュリティ指向ＡＰＩ（すなわち、セキュリティ追跡を目的とするＡＰＩ）によって動かされ得る。

【0024】

コードパッケージ及び属性の状態を維持することに加えて、ＥＤＲ機能はまた、１つ以上のＡＣＬ／ＥＣＬに対してＯＳイベントを処理し、ＯＳイベントをブロックし、許可し、又はＯＳイベントに対して他のアクションを取ることができる。１つ以上のＡＣＬ／ＥＣＬは、１つ以上のポリシーオブジェクト内で定義することができる。ポリシーオブジェクトを使用して、様々なＡＣＬ／ＥＣＬ構成を、例えば、アンチランサムウェア、マルウェアデータ収集、マルウェアパーシステンスベクトル、Ｍｉｃｒｏｓｏｆｔ ｏｆｆｉｃｅの使用、Ｌｉｂｒｅ Ｏｆｆｉｃｅの使用、会計士ソフトウェアアクセス、法務ソフトウェアアクセス、医療ソフトウェアアクセス、標準的なＷｉｎｄｏｗｓのワークステーションヒューリスティック保護、標準的なＷｉｎｄｏｗｓサーバのヒューリスティック保護などの運用構成に直観的に一致するポリシーとして定義し得る。

【0025】

図１は、セキュリティ脅威を軽減するためのエンドポイントシステムを描示する。システムは、コンピュータ１００として描示されているが、ＥＤＲ機能は、他のエンドポイントデバイス上に提供され得る。図１には描示されていないが、エンドポイントコンピュータ１００は、命令を実行する１つ以上のプロセッサと、命令及びデータを記憶するメモリと、を備える。メモリに記憶された命令は、プロセッサによって実行されたときに、様々な機能１０２を提供するようにエンドポイントコンピュータを構成する。機能１０２は、プロセス１０６を実行する機能を提供するオペレーティングシステム１０４を含む。プロセス１０６は、例えば、プロセスがどこから生じたか、それが署名されているかどうかなど、それらに関連付けられた様々な属性を有し得る。プロセスは、例えば、ファイルシステム１０８にアクセスすることを含む、様々な機能を遂行することができる。図１ではプロセスとして描示されているが、実行可能コードのパッケージは、プロセス、スレッド、動的、ライブラリ、ドライバ、カーネルドライバなどを含むことが可能である。

【0026】

ＯＳ機能１０４は、例えば、プロセスの実行、ファイルへのアクセス、表示の制御などのイベントを処理するイベント処理機能１１０を有し得る。ＯＳ機能はまた、ＥＤＲ機能１１２を含み得る。オペレーティングシステム１０４の一部として提供されるものとして描示されているが、ＥＤＲ機能は、ＯＳの一部である必要はなく、代わりに、プロセス１０６のうちの１つのようにＯＳ上で実行され得る。

【0027】

ＥＤＲ機能１１２は、ホストを監視し、ホスト上のプロセス又は他の実行可能コードパッケージについての情報を維持する並行状態モニタ１１４を備え得る。並行状態モニタ１１４は、１つ以上のＯＳオブジェクト／アクティビティセンサを使用して、プロセス又はコードパッケージに関するコンテキスト情報を維持し得る。コンテキスト情報は、ファイル、データベース、状態機械、又は他の構造などの何らかの構造に記憶され得る（１１６）。コンテキスト情報は、プロセスに関する状態情報及び属性を含む。

【0028】

状態情報は、アクセス／実行制御機能１１８によって使用され得る。アクセス／実行制御機能１１８は、ＯＳイベントの通知を受信し、１つ以上のポリシー１２０に記憶され得る１つ以上のＡＣＬ／ＥＣＬとともに状態情報を使用する。アクセス／実行制御機能は、ＯＳイベントを１つ以上のＡＣＬ／ＥＣＬ又は１つ以上のＡＣＬ／ＥＣＬを指定するポリシーと照合する。ＯＳイベントがポリシー又はＡＣＬ／ＥＣＬと一致する場合、イベントに関連付けられているアクセサプロセス又は実行可能コードパッケージは、一致したポリシー又はＡＣＬ／ＥＣＬに従って検証される。本明細書で更に説明されるように、アクセス／実行制御機能は、様々な関係で互いにリンクされ得る複数のＡＣＬ／ＥＣＬに基づいて、ＯＳイベントを検証することができる。ＡＣＬ／ＥＣＬの検証において違反があったかどうかに基づいて、アクセス／実行制御１１９は、ＯＳイベントをブロックすること、ＯＳイベントの通常の処理を継続することを許可すること、若しくはＯＳイベントを許可するがイベントをログ記録すること、及び／又はイベントの通知を１つ以上の場所に送信すること、を含む様々なアクションを取ることができる。ＥＤＲ機能１１２は、イベントをログ記録するとともに通知を提供し得るログ／通知機能１２２を含み得る。

【0029】

図２は、セキュリティ脅威を軽減するためのエンドポイント方法を描示する。方法２００は、ホスト上に存在するコードパッケージの状態及び属性の状態機械を維持するために、プロセス状態更新を監視し（２０２）、コンテキスト情報を生成する（２０４）第１のプロセスを含む。これは、プロセス状態更新を監視するものとして描示されているが、ブート時に最初に状態情報を生成するために、ブート中に発生し得る。監視は、プロセス又は実行可能コードパッケージに対する何らかの変更が発生した場合に、コンテキスト情報を更新するために連続的に行われ得る。

【0030】

上で説明されるようにコンテキスト情報を維持することと同時に、方法２００は、ＯＳイベントを受信し得る（２０６）。次いで、ＯＳイベントは、例えば、ポリシー内で指定された１つ以上のＡＣＬ／ＥＣＬであり得る１つ以上の制御リストと照合され得る（２０８）。ＯＳイベントが制御リストと一致する場合、ＯＳイベントのアクセサプロセスのコンテキスト情報が取り出され（２１０）、一致した制御リストに対してアクセサプロセスを検証するために使用され得る（２１２）。検証に基づいて、ＯＳイベントに対してアクションを取ることができる（２１４）。アクションとしては、例えば、ＯＳイベントが通常通りに処理されることを許可すること、ＯＳイベントが更に処理されることからブロックすること、ＯＳイベントに関連付けられたプロセスを強制終了又は中断すること、及びＯＳイベントをログ記録すること又はＯＳイベントの通知を送信することが挙げられる。

【0031】

図３は、並行状態モニタの詳細を描示する。並行状態モニタ１１２は、例えば、プロセス又はコードパッケージに関するコンテキスト情報を判定することができ（３０４）、これは、複数のプロセス／コードパッケージに関して最初に行われ得る。例えば、ホストのブートプロセス中に、ホスト上の様々なプロセス又はコードパッケージのコンテキスト情報を判定することができる。判定されたコンテキスト情報は記憶され（３０６）、次いで、並行状態モニタは、コードパッケージの状態及び／又は属性に対する変更を監視し得る（３０８）。状態及び／又は属性に対する何らかの変更が検出された場合、又は新しいコードパッケージが検出された場合、状態情報を更新及び記憶し得る（３０６）。

【0032】

図４は、アクセス／実行制御の詳細を描示する。アクセス／実行制御機能１１８は、ＯＳイベントを受信し得る（４０２）。オペレーティングシステムイベントが発生すると、ＡＣＬ／ＥＣＬルックアップが発生して、そのイベントがいずれかのＡＣＬ／ＥＣＬと一致するかどうかを判定する（４０４）。一致するエントリが存在する場合（４０４での「はい」）、このエントリは、ＡＣＬ／ＥＣＬに対するＯＳイベントを検証するために評価され（４０６）、これは、コンテキスト情報を使用してＡＣＬ／ＥＣＬエントリ及び関係を処理することによって行われ得る。ＡＣＬ／ＥＣＬの検証は、アクセサプロセス／コードパッケージの状態を確かめるために、状態機械を使用して行われ得る。アクセサがＡＣＬ／ＥＣＬの規定に違反する場合、違反が発生する（４０８）。違反が発生した場合（４０８での「はい」）、イベントに対する応答アクションが判定され、これは、違反の通知を送信すること又はイベントをブロックすること（４１０）のいずれかとして描示されている。違反の結果としてアクセサがブロックされるべき場合（４１０での「ブロック」）、イベントはブロックされる（４１２）。図４には描示されていないが、通知及び／又はログは、イベントをブロックする際に生成され得る。イベントをブロックした後、アクセサプロセス又は実行中のコードパッケージを中断又は強制終了すべきかどうかが判定され得る（４１４）。実行中のコードパッケージが中断又は強制終了されるべきである場合（４１４での「はい」）、アクセサは中断又は強制終了される（４１６）。実行中のコードパッケージを中断又は強制終了すべきでない場合（４１４での「いいえ」）、処理は完了する（４１８）。ＯＳイベントの通知又はブロックに戻り（４１０）、違反が通知されるべきである場合（４１０での「通知」）、通知が発行され（４２０）、かつ／又は違反がログ記録され、ＯＳイベントの処理が継続する（４２２）。同様に、ＯＳイベントがいずれのＡＣＬ／ＥＣＬにも一致しない場合（４０４での「いいえ」）、又はＡＣＬ／ＥＣＬの違反がない場合（４０８での「いいえ」）、ＯＳイベント処理は継続する（４２２）。

【0033】

上で説明されるように、ＥＤＲ機能を使用して、１つ以上のＡＣＬ／ＥＣＬに対してＯＳイベントを検証し得る。制御リストは、ポリシーオブジェクト内に記憶されるか、又は他の方法で指定され得る。ＥＤＲ機能は、プロセス変更通知及び／又はネットワーク状態変化通知を提供することを含み得、この変更通知は、ｐｏｌｌ＋ｄｉｆｆｓモデルではなくプッシュモデルを使用し得る。ＥＤＲ機能は、セッション変更通知を更に提供し得、この変更通知は、セッション変更に非常に費用がかかる可能性がある時間ベースのポーリングを回避するために、ｐｏｌｌ＋ｄｉｆｆｓを行うためにログイン／ログアウトイベントに関連付けられているプッシュトリガを使用し得る。プロセス及びネットワーク関連のＯＳイベントを特に参照して説明されているが、ＥＤＲ機能は、生成され得る任意のＯＳイベントとともに使用され得ることが理解されよう。

【0034】

以下で更に説明されるように、制御リストは、複数の異なるタイプの制御リストを含み得る。ＥＤＲ機能は、異なるタイプの制御リストを処理するための機能を含み得る。例えば、ＥＤＲ機能は、許可リスト又はブロックリストのいずれかを利用して、プロセスが実行することをブロックされることを許可する、プロセスＥＣＬを扱うための機能であり得る。これは、固有の実行ファイルが動作することをブロックするための一時的なメカニズムを提供することを意図している。例えば、典型的なワークステーションは、「ｒｅｇ．ｅｘｅ」又は「ｒｅｇｅｄｉｔ．ｅｘｅ」を実行することを決して望まない可能性があり、あるいは、固有のマルウェアインスタンスが、ネットワーク上の別のホスト上で見られたときにブロックされる必要がある可能性がある。プロセスＡＣＬを扱うための機能は、プロセスアクセス関係が許可リスト又はブロックリストを介して定義／制御されることを許可する。これは、プロセスインジェクション又は予想外のプロセス空間アクセスなどの試みを停止することを意図している。ヒューリスティックＡＣＬを扱う機能は、プラットフォーム固有のヒューリスティックが、許可リスト又はブロックリストを介して制御されることを許可する。これは、検出を無効にするために使用されるプロセス起動メカニズムに関連付けられている様々なヒューリスティックなど、いくつかのよりプラットフォーム固有の挙動を捕捉することを意図している。モジュールＥＣＬを扱うための機能は、許可リスト又はブロックリストのいずれかを利用して、ユーザモード／カーネルモードモジュールがメモリにロードされるのをブロックすることを許可する。これは、署名されていないモジュールが固有のプロセスにロードされること、又は悪意のある行為を試みる「ｒｕｎｄｌｌ．ｅｘｅ」の悪意のある利用などの行為を防止するメカニズムを提供することを意図している。ネットワーク監視機能は、ネットワークモニタがＩＰｖ４／ＩＰｖ６及びＵＤＰ／ＴＣＰトラフィックを監視するように配置されることを許可し、メッセージフローを、ユーザモードで現在存在する既存の「ネットワーク通知ＡＰＩ」に統合する。リムーバブルドライブＡＣＬを扱う機能は、リムーバブルドライブがシリアル番号によってブロックされる（又は許容される）ことを許可する。これはまた、ドライブがブロックされたときに通知を送信する。ファイル読み取り／書き込みＡＣＬを扱うための機能は、固有の読み取り／書き込みＡＣＬが（ファイル拡張子に基づいて）ファイルタイプに配置されることを許可する。特定のプログラムへのファイルアクセスをロックダウンするために、セキュリティプロバイダがホストネットワーク（すなわち、コンテンツにアクセスするためにどのプログラムが使用されるか）について知ることを許可することが意図されている。これは、ランサムウェア保護に対するバックアップとして有用であり得るが、マルウェアヒューリスティックを識別するためにも使用され得る。レジストリＡＣＬを取り扱うための機能は、ＡＣＬがレジストリキー、値、及びキーツリー上に配置されることを許可する。これは、永続的なマルウェアのインストールをブロックするために特定の場所でレジストリをロックダウンすることを意図しており、新しい自動開始プログラムがホストに追加されたときを認識するためのリモート「ＡｕｔｏＲｕｎｓ」モニタとして使用することもできる。可能なブロック条件について特定の例が上記で使用されたが、あるイベントをブロックするかどうかを判定するときに、他のデータが使用され得ることが理解されよう。

【0035】

ＥＤＲ機能は、上で説明されるように、１つ以上の一致する制御リストに従ってＯＳイベントを処理し得る。制御リストは、アクセス制御リスト及び実行制御リストを含み得る。制御リストは、１つ以上のポリシー内で指定され得る。ポリシーは、以下で更に説明するように、ポリシーオブジェクトによって提供され得る。

【0036】

図５は、ポリシーオブジェクトを描示する。ポリシーオブジェクト５０２は、ポリシー情報５０４を含み得、これは、ポリシー名、ＩＤ、バージョン情報、及び可能性のある違反に関連付けられているアクション、並びにポリシーフラグなどのポリシー情報５０４を含み得る。ポリシーオブジェクトはまた、１つ以上のＡＣＬ／ＥＣＬ５０６及びＡＣＬ／ＥＣＬ５０８間の１つ以上の関係を含み得る。

【0037】

ポリシー情報は、例えば、ポリシーＩＤを含み得、これは、最大６４個のポリシーが顧客セットにわたって定義及び使用されることを可能にする、６４ビットのビットフラグ値であり得る。各フラグの意味は、事前定義され得る。ポリシーは、一度に複数のフラグを引用することによってＥＤＲ機能から設定又は削除することができるので、エンドポイントにおいて効力のあるポリシーを更新するための複合更新メッセージが可能であり、これは、メッセージトラフィックを低減するのに役立ち得る。加えて、全てのＡＣＬ／ＥＣＬの取り扱いは、複数のポリシーの概念を尊重し、したがって、それらを適宜組み合わせる／マージする。ポリシー情報は、ポリシーＩＤによって識別されるようなポリシーのバージョンを識別する６４ビット値であり得るポリシーバージョンを更に含み得る。ポリシー情報は、更に含み得る。例えば、ポリシープラットフォームの指標であり、これは、フラグであり得る、その値は、ポリシーが互換可能であるプラットフォームを示し、誤ったプラットフォーム上での偶発的なポリシー展開からの悪い結果を回避することが意図される。ポリシー情報は、ポリシーメタデータフラグなどの追加データを更に含み得、その値は、ポリシーの意図についての記述情報を含む。そのような情報は、主に情報的であり得るが、発行され得るポップアップ、ｓｙｓｌｏｇ、Ｗｉｎｄｏｗｓ Ｅｖｅｎｔ Ｌｏｇなどのホスト側通知のタイプを考慮し得る。

【0038】

ポリシーオブジェクトは、１つ以上のＡＣＬ及び／又はＥＣＬに関するＡＣＬ／ＥＣＬ情報を含み得る。ＡＣＬ及びＥＣＬは、例えば、プロセス実行関係、実行チェーンなどに対する実行制御を提供して、どのプロセスがどのような状況下で動作し得るかを定義するプロセスＥＣＬを含む、様々な異なるタイプを含むことができる。プロセスＡＣＬは、例えば、プロセスインジェクションへの前段階として「メモリ書き込み」権限を有するハンドルを開くなど、他のプロセスにアクセスするプロセスに関するアクセス制御を提供し得る。ヒューリスティックＡＣＬは、ＮＴＦＳトランザクションロールバックを使用してプロセスをディスク上の別の実行可能ファイルに関連付けられているものとして偽装するＷｉｎｄｏｗｓ技法など、プラットフォーム固有の技法に対する制御を提供し得る。モジュールＥＣＬは、ユーザモードモジュール及びカーネルモジュールモジュールがプロセスメモリ空間にマッピングされるときに、それらのモジュールに対する制御を提供し得る。レジストリＡＣＬは、レジストリキーへのアクセス、特に特定のレジストリ値の書き込み、又はシステムリソースに関連付けられているキーの削除に対する制御を提供し得る。ファイルＡＣＬ（読み取り及び書き込み）は、ディスク上のファイルの読み取り／書き込み／名前変更／削除に対する制御を提供し、予想されるアプリケーション挙動をファイルタイプに関連付け得る。リムーバブルドライブＡＣＬは、ホストに挿入されたリムーバブルドライブに対する制御を提供し得る。

【0039】

上で言及されるように、ＥＤＲポリシー構成は、エンドポイントエージェント上でポリシーを組み合わせること、及びそれらを一緒に良好に機能させることを容易にするように実装され得る。例えば、次のような小さな例を考える：
１． ０ｘ００００００００００００４０００のＩＤを有する「Ｍｉｃｒｏｓｏｆｔ Ｏｆｆｉｃｅ」と呼ばれるファイル書き込みＡＣＬポリシーは、＜ＭＳＯＦＦＩＣＥ＿ＲＯＯＴ＞＼ｗｉｎｗｏｒｄ．ｅｘｅによって以下のファイルタイプがアクセスされ得ることを示す：
ａ．「．ｄｏｃ」
ｂ．「．ｄｏｃｘ」
ｃ．「．ｄｏｃｍ」
２． ０ｘ００００００００１０００００００のＩＤを有する「Ｌｉｂｒｅ Ｏｆｆｉｃｅ」と呼ばれるファイル書き込みＡＣＬポリシーは、＜ＬＩＢＲＥＯＦＦＩＣＥ＿ＲＯＯＴ＞＼ｓｗｒｉｔｅｒ．ｅｘｅによって以下のファイルタイプがアクセスされ得ることを示す：
ａ．「．ｄｏｃ」
ｂ．「．ｄｏｃｘ」
ｃ．「．ｄｏｃｔ」
ｄ．「．ｄｏｔ」

【0040】

両方のポリシーがエンドポイントエージェントに適用されるとき、ファイル書き込みＡＣＬリスティングは、以下の組み合わされたポリシーデータを示すことになる（上記の２つのポリシーＩＤを組み合わせる太字のポリシーＩＤ値に留意されたい）：
●０ｘ００００００００１０００４０００－「．ｄｏｃ」
〇＜ＭＳＯＦＦＩＣＥ＿ＲＯＯＴ＞＼ｗｉｎｗｏｒｄ．ｅｘｅ
〇＜ＬＩＢＲＥＯＦＦＩＣＥ＿ＲＯＯＴ＞＼ｓｗｒｉｔｅｒ．ｅｘｅ
●０ｘ００００００００１０００４０００－「．ｄｏｃｘ」
〇＜ＭＳＯＦＦＩＣＥ＿ＲＯＯＴ＞＼ｗｉｎｗｏｒｄ．ｅｘｅ
〇＜ＬＩＢＲＥＯＦＦＩＣＥ＿ＲＯＯＴ＞＼ｓｗｒｉｔｅｒ．ｅｘｅ
●０ｘ００００００００００００４０００－「．ｄｏｃｍ」
〇＜ＭＳＯＦＦＩＣＥ＿ＲＯＯＴ＞＼ｗｉｎｗｏｒｄ．ｅｘｅ
●０ｘ００００００００１０００００００－「．ｄｏｃｔ」
〇＜ＬＩＢＲＥＯＦＦＩＣＥ＿ＲＯＯＴ＞＼ｓｗｒｉｔｅｒ．ｅｘｅ
●０ｘ００００００００１０００００００－「．ｄｏｔ」
〇＜ＬＩＢＲＥＯＦＦＩＣＥ＿ＲＯＯＴ＞＼ｓｗｒｉｔｅｒ．ｅｘｅ

【0041】

ポリシーのタイプに依存して、いくつかのポリシーは組み合わされるか、又は別々に保たれる。ポリシーが組み合わされるか又は別個に保たれるかの最重要点は、組み合わせるべきデータポイントが存在するかどうかに依存する。

【0042】

組み合わされたポリシーは、それらが記述するデータに基づいて重複され得る。例えば、２つのファイル書き込みＡＣＬポリシーの上記の説明は、共通ファイルタイプの重複する保護を有する。両方のポリシーが適用されるとき、それらの保護は、両方のポリシーが、このケースではファイル拡張子である同じデータピボットポイントの周りに適用されるように組み合わされる。組み合わされたポリシーは、それらが正確に同じであり、両方が適用され、次いで一方が除去された場合、除去されなかった一方がそのまま残るというポイントまで保護される。上で説明されるポリシータイプのうち、組み合わされたポリシータイプには、ファイルＡＣＬ、レジストリＡＣＬ、及びリムーバブルドライブＡＣＬが含まれる。

【0043】

たとえそれらが類似のものを記述していても、別々のファイルが並んで追加される。例えば、一方のプロセスＥＣＬポリシーが＜ＷＩＮＤＯＷＳ（登録商標）＞＼Ｓｙｓｔｅｍ３２＼ｃｍｄ．ｅｘｅが動作することをブロックされたケースを記述し、別のプロセスＥＣＬポリシーが＜ＷＩＮＤＯＷＳ（登録商標）＞＼Ｓｙｓｔｅｍ３２＼ｃｍｄ．ｅｘｅに追加の制約を有していた場合、両方の制約がアクティブになる。加えて、一方のポリシーが通知するように示され、違反され、次に別のポリシーがアクションをブロックするように示された場合、ブロックアクションは、それがより高いシステムインパクトを有するために有効になり、発行された任意のプロセスＥＣＬログは、両方のポリシーが違反を有したことを示す。この手法は、組み合わせが発生し得る好適なデータポイントを有しないエンティティに対して必要とされる。別個のポリシーは、プロセスＥＣＬ、プロセスＡＣＬ、モジュールＥＣＬ、及びヒューリスティックＡＣＬを含む。

【0044】

ポリシーは、ポリシーの違反が発生した場合に遂行される異なるアクションに関連付けられ得る。例えば、ポリシーに割り当てることができる３つのアクション、すなわち、ポリシーのタイプに応じて異なる効果を有し得る違反を通知すること、又は違反をブロックすること、及び確認された一致がないとき、又は「不明なリスト一致」と称される不一致を通知することが存在し得る。例えば、以下を含む所望のアクションを指定するためにフラグを使用し得る：
●ＮＯＴＩＦＹ＿ＯＮ＿ＶＩＯＬＡＴＩＯＮ－許可リストが一致しない形態、又はブロックリストエントリが明確に一致する形態のいずれかで、ポリシーが明示的に違反されたときにログが生成されることを示す。
●ＢＬＯＣＫ＿ＯＮ＿ＶＩＯＬＡＴＩＯＮ－このフラグは、許可リストが一致しない形態、又はブロックリストエントリが明確に一致する形態のいずれかで、ポリシーが明示的に違反されたときにアクションが明確にブロックされることを示す。加えて、ブロックイベントの概要を示すログが生成される。
●ＮＯＴＩＦＹ＿ＯＮ＿ＵＮＫＮＯＷＮ－ＬＩＳＴＵＮＫＮＯＷＮ－フラグは、ポリシーが許可リストとブロックリストの両方の組み合わせであり、いずれのリストも違反されていないときにログが生成されることを示し、これは、所与のイベントが「不明なカテゴリ」に入ったことを示す。不明なリストについては、次のセクションで更に考察される。

【0045】

ホスト上でアクションを実行又は遂行するために、何が許可されるか、及び何が許可されないかを記述するポリシーを定義することに関する課題は、ポリシーが常に経験の定義であり、何が知られているかである。しかしながら、顧客ネットワーク／ホスト上で発生する不思議な又は予想外のことが常に存在し、ＥＤＲポリシーソリューションは、知られているものを最大限に活用し、知られていないものを提供することが意図されている。それとともに、一致又は一致の欠如に関して何をすべきかを記述する以下の３つのＥＣＬ／ＡＣＬカテゴリが定義されている。
●許可リスト－これらのリストは、所与のＥＣＬ／ＡＣＬタイプに対して許容される固有のイベントを概説する。
●ブロックリスト－これらのリストは、所与のＥＣＬ／ＡＣＬタイプに対して許容されない固有のイベントを概説する。
●不明なリスト－このリストは、実際にはリストではなく、許可リストとブロックリストの両方が使用されるが、所与のイベントがどちらにも一致しない場合のキャッチオールである。

【0046】

上記の定義が与えられると、以下に記載されるいくつかのＥＣＬ／ＡＣＬタイプについてこれらのリストを利用することができる４つのモードが存在する。
●許可リストのみ－許可リストは、何が明示的に許容されるかを定義し、一致しないものは全てポリシー違反とみなされる。
●ブロックリストのみ－ブロックリストは、何が明示的に許容されないかを定義し、一致するものは全てポリシー違反とみなされる。全ての不一致イベントが許容される。
●許可リスト＋ブロックリスト、不明なリスト通知有効化－許可リストは、何が明示的に許容されるかを定義し、ブロックリストは、何が明示的に許容されないかを定義する。許可リスト一致が発生せず、かつブロックリスト一致が発生しない場合、アクションが許容され、不明なリスト通知としてマークされたログが生成される。これは、特にＡＣＬが違反をブロックするようにマークされている場合に、オペレータが不明なリスト違反を追跡して、ホスト活動を必ずしもブロックすることなく予想外の挙動について学習するのを助けることを許可することが意図されている。
●許可リスト＋ブロックリスト、不明なリスト通知無効化－許可リストは、何が明示的に許容されるかを定義し、ブロックリストは、何が明示的に許容されないかを定義する。許可リストの一致が発生せず、ブロックリストの一致が発生しない場合、アクションは許容される。

【0047】

上で説明されるように、ポリシーは、様々なフラグを含み得る。フラグは、例えば、所与のＥＣＬ／ＡＣＬオブジェクトインスタンスの一部であるフィールド及びデータタイプを記述すること、ポリシー違反が発生したときにどのようなアクションを取るべきかを記述すること、ポリシー違反ごとに、どのフィールド及びデータタイプが違反されたかを記述すること、を含む、様々な目的のために、ＥＤＲを介して、使用され得る。フラグは、ＥＣＬ／ＡＣＬを処理する際に使用するための様々な異なる情報を提供し得る。例えば、フラグは、例えば、ファイルの名前及び／又は場所、ファイル、プロセス、モジュール、レジストリキーなどのＥＣＬ／ＡＣＬのエンティティの特性、並びに取るべきアクションなどの広範囲の情報のために含まれ得る。

【0048】

ＥＤＲポリシーは、それらが適用されているホストについてのいかなる情報も知らないポリシーを容易にするために、プラットフォーム／ソフトウェア／ユーザキーワードを活用し得る。例えば、プロセスｃ：＼Ｗｉｎｄｏｗｓ＼Ｓｙｓｔｅｍ３２＼ｃｍｄ．ｅｘｅを記述するプロセスＥＣＬポリシーは、どのルートドライブＷｉｎｄｏｗｓがインストールされているかを知る必要がある。あるケースでは、それはＣ：であるが、そうである必要はない。そのため、キーワードの概念が導入され、これにより、このポリシーは、＜ＷＩＮＤＯＷＳ（登録商標）＞＼Ｓｙｓｔｅｍ３２＼ｃｍｄ．ｅｘｅとして定義され得、＜ＷＩＮＤＯＷＳ（登録商標）＞キーワードが動的に変換され、動作時に、Ｃ：＼Ｗｉｎｄｏｗｓなどのホスト固有の値に置き換えられる。これは、ポリシー存続期間中の重要な時間にのみ遂行され、この手法による関連するパフォーマンスヒットがないことを確実にする。

【0049】

ＥＤＲエンドポイントエージェント機能は、単純な又は深いプロセス実行関係を定義するために、一連の基準及び任意選択的なレベルの複雑さを使用してプロセスブロックを許可する機能を提供する。様々なキーワード又はプレースホルダが使用され、固有のデバイス上の実際の値で置き換えられ得る。例えば、ルールは、「＜ＷＩＮＤＯＷＳ（登録商標）＞」、「＜ＰＲＯＧＲＡＭ＿ＦＩＬＥＳ＞」、及び「＜ＯＦＦＩＣＥ＿ＲＯＯＴ＞」などのキーワードを使用して定義し得、これらは、特定のデバイス上の実際のパスと置き換え得る。プロセス実行は、最高レベルのブロックリスト駆動型の個々のエントリとして定義される。ブロックリストの対象になったプロセス実行のグループは、以下の高レベル構造を有し得るプロセスＥＣＬポリシー内で管理され得る：
●ポリシーフラグ＋バージョン
＋
●プロセスＥＣＬ １
●プロセスＥＣＬ ２
●プロセスＥＣＬ ３
．．．
●プロセスＥＣＬ ｎ

【0050】

このオブジェクトは、記述ポリシー情報を、単一のポリシーオブジェクトとして移動するプロセスＥＣＬのグループに関連付ける能力を提供する。プロセスＥＣＬには以下の２つのカテゴリがある：
●子プロセス駆動型は、プロセス実行の深さを、７などのあるレベル数まで定義するために使用され得、プロセスＥＣＬのタイプは、プロセス作成時に評価され、作成チェーンが子プロセスの開始を許容されているかどうかを確認することが意図されており、プロセスの乱用を捕捉することが意図されている。例えば、これは、ｐｏｗｅｒｓｈｅｌｌ．ｅｘｅがｅｘｐｌｏｒｅｒ．ｅｘｅによって開始された場合にのみ、その使用を許容するために使用することができる。実行されているプロセスが正当な（悪意のない）実行チェーンからのものであることを確かめる必要がある場合、これらは、非常に複雑になる可能性がある。
●作成者プロセス駆動型を使用して、特定のプロセスが子プロセスに関して作成することができるものを定義することができ、これは、作成者の元の意図を超えてアクセスするために使用されているソフトウェアを検出することを意図している。例えば、これは、同じディレクトリ内に常駐するプロセスのみなど、Ｍｉｃｒｏｓｏｆｔ Ｏｆｆｉｃｅインストールディレクトリ内の任意のプロセスが実行することができるものを制限するために使用することができる。

【0051】

上記に加えて、他の全てのＥＣＬ／ＡＣＬは、どのプロセスが特定のリソースにアクセスすることができる／できないかを識別するためのデータ記述子としてプロセスＥＣＬを使用する。例えば、レジストリＡＣＬは、特定のレジストリキー／値にアクセスすることができる／できないプロセスを記述するＰｒｏｃｅｓｓＥｃｌＰｏｌｉｃｙＬｉｓｔであるオブジェクトメンバを有する。プロセスＥＣＬオブジェクトは、ＥＤＲポリシーの一部として全てのＥＣＬ／ＡＣＬを定義するコンテキストにおいて重要である。

【0052】

この新しいプロセスブロック能力に関連付けられているインターフェースは、以下の通りである：
●プロセスＥＣＬポリシーの追加／更新－エージェントによって実施される新しいプロセスＥＣＬポリシーを追加するか、又は既存のプロセスＥＣＬポリシーを修正するために使用される。ポリシー重複は、単純なポリシー管理を許可するように意図されたエージェントによって丁寧に扱われる。
〇入力：ＰｒｏｃｅｓｓＥｃｌＰｏｌｉｃｙＬｉｓｔ
〇出力：なし
●プロセスＥＣＬポリシーの除去－エージェントから既存のプロセスＥＣＬポリシーを除去する。
〇入力：ＰｏｌｉｃｙＲｅｍｏｖｅ
〇出力：なし
●プロセスＥＣＬのリスティング－エージェントによって現在実施されているプロセスＥＣＬをリスティングする。
〇入力：なし
〇出力：ＰｒｏｃｅｓｓＥｃｌＰｏｌｉｃｙＬｉｓｔ
●プロセスＥＣＬログのフラッシュ－プロセスＥＣＬ違反（通知又はブロック違反）によって生成された任意のプロセスＥＣＬログをフラッシュする。
〇入力：なし
〇出力：ＰｒｏｃｅｓｓＥｃｌＬｏｇＬｉｓｔ

【0053】

プロセスＥＣＬ特徴に加えて、プロセス通知は、短寿命プロセスを見逃す可能性があるユーザモードにおけるポーリング機構ではなく、正確なプロセス開始／停止通知のためにＥＤＲコンポーネント内で実装され得る。これらの通知は、ＥＤＲコンポーネントに投入され、特別なメッセージを介して変更通知レイヤに送信され得る。

【0054】

プロセスＥＣＬオブジェクトの単一インスタンスは、プロセスインスタンスを記述し、単一ファイル文字列値（全ての文字列比較は大文字と小文字を区別しない）、ファイルハッシュ値、及び場合によっては、そのファイル名／場所及び／又はハッシュ値によってプロセスを指定するための一連の署名状態フラグ、並びにその状態／属性、例えば、署名済み／未署名、信頼できるか又は信頼できないか、証明書が失効しているかどうかなどから構成することができる。プロセスＥＣＬオブジェクトは、親又は作成者の関係を通じて、他のプロセスＥＣＬにリンクすることができる。

【0055】

固有のプロセス文字列が指定されておらず、ハッシュが設定されていない場合、プロセス文字列は、「全てのプロセス」を示すために「＊」の値であると想定されるか、又はそれに設定され得る。このケースでは、全てのプロセスは、指定された署名フラグに対してチェックされる。

【0056】

コマンドライン情報は、プロセス実行意図を記述する追加の実行条件を識別するのに非常に役立ち得る。例えば、ｒｕｎｄｌｌ３２．ｅｘｅは、任意のＤＬＬをロードして動作させるために使用することができ、これらのＤＬＬを確かめることは非常に有用であり得る。別の例は、ｐｏｗｅｒｓｈｅｌｌ．ｅｘｅが符号化されたコンテンツで実行されているかどうかを確かめることである。コマンドラインアーティファクトを指定するために、コマンドラインアーティファクトオブジェクトの１つ以上のインスタンスをプロセスＥＣＬオブジェクトに追加することができる。

【0057】

親プロセス情報及び作成者プロセス情報を記述するためにプロセスＥＣＬを利用することは、ネイティブプロセスの固有の悪用（すなわち、環境寄生型攻撃）を識別するために非常に固有であり得るポリシーを構築することを許可する。親プロセスと作成者プロセスとの間の差異／区別に留意することが重要である。作成者プロセスは、新しいプロセスを開始する実際のプロセスである。親プロセスは、新しいプロセスによって継承される一組のハンドルを提供する場合、又はしない場合があるプロセスである。多くの場合、親は作成者でもあると想定されるが、それらは異なるプロセスである可能性があり、どの親が新しいプロセスを開始することを決定しているかを評価するとき、評価されるべきは作成者プロセスである（親ではない）。

【0058】

プロセスＥＣＬオブジェクトのセットがプロセスＥＣＬポリシーリスト内に提供されるとき、各プロセスＥＣＬオブジェクトは、プロセスＥＣＬポリシーリスト全体のコンテキスト内で一意であるべき一意のＩＤ値を有し得る。この値は、平坦化された（ワイヤ上の）プロセスＥＣＬの一部であるプロセスＥＣＬ間の関係を相関させるために使用され、このリストは、エージェント内のメモリ内にあるときに垂直方向に拡張することができる。これらの関係は、ポリシーオブジェクト内に記憶される。関係情報は、ポリシー構造内の各レベルにおける各プロセスＥＣＬ内で関連付けられている関係オブジェクトとして提供され得る。関係情報は、プロセスＥＣＬオブジェクト間の関係に関する以下の情報を有し得る：
●プロセスレコードＩＤ－作成されたプロセスの一意のＩＤを識別する。
●親レコードＩＤ－新しく作成されたプロセスの親であるプロセスの一意のＩＤを識別する。
●作成者レコードＩＤ－新しく作成されたプロセスの作成者であるプロセスの一意のＩＤを識別する。この値は、任意選択的であるが、親レコードＩＤ及び作成者レコードＩＤのうちの少なくとも一方、又は両方が指定されるべきである。

【0059】

検出及びブロックのために一致が所望される以下の例を考える：
●ターゲットプロセス－Ｃ：＼Ｗｉｎｄｏｗｓ＼Ｓｙｓｔｅｍ３２＼ＷｉｎｄｏｗｓＰｏｗｅｒＳｈｅｌｌ＼ｖ１．０＼ｐｏｗｅｒｓｈｅｌｌ．ｅｘｅ
●作成者プロセス－署名されたプロセスでなければならない
●親プロセス－ｃｍｄ．ｅｘｅ
●親プロセスの作成者ｃｍｄ．ｅｘｅ－署名されていなければならない

【0060】

図６は、例示的なＡＣＬ／ＥＣＬ関係を描示する。図６に描示される関係は、上で説明される検出及びブロックプロセスを表している。描示されるように、検出及びブロックの例は、以下の値を有する４つのプロセスＥＣＬオブジェクト６０２、６０６、６０８、６１２、及び２つの親プロセス・オブジェクト６０４、６１０の定義を必要とする。
プロセスＥＣＬ １ ６０２
ＲｅｃｏｒｄＩｄ＝１
プロセス文字列＝“＜ＷＩＮＤＯＷＳ（登録商標）＞＼Ｓｙｓｔｅｍ３２＼ＷｉｎｄｏｗｓＰｏｗｅｒＳｈｅｌｌ＼ｖ１．０＼ｐｏｗｅｒｓｈｅｌｌ．ｅｘｅ”
フラグ＝ＢＬＯＣＫ＿ＯＮ＿ＶＩＯＬＡＴＩＯＮ ＦＩＬＥ＿ＰＡＴＨ
プロセスＥＣＬ ３ ６０６
ＲｅｃｏｒｄＩｄ＝２
プロセス文字列＝“＊”
フラグ＝ＦＩＬＥ＿ＳＩＧＮＥＤ
プロセスＥＣＬ ２ ６０８
ＲｅｃｏｒｄＩｄ＝３
プロセス文字列＝“ｃｍｄ．ｅｘｅ”
フラグ＝ＦＩＬＥ＿ＮＡＭＥ
プロセスＥＣＬ ４ ６１２
ＲｅｃｏｒｄＩｄ＝４
プロセス文字列＝“＊”
フラグ＝ＦＩＬＥ＿ＳＩＧＮＥＤ
親プロファイル１ ６０４
プロセスレコードＩＤ＝１
作成者レコードＩＤ＝２
親レコードＩＤ＝３
親プロファイル２ ６１０
プロセスレコードＩＤ＝３
作成者レコードＩＤ＝４
親レコードＩＤ＝０

【0061】

図７は、例示的なポリシーオブジェクトを描示する。ポリシーオブジェクト７００は、ポリシー情報７０２と、１つ以上のプロセスＥＣＬ ７０４ａ、７０４ｂ、７０４ｃを含むプロセスＥＣＬリスト７０４と、を含む。ポリシーオブジェクト７００は、ＥＣＬ間の１つ以上の関係７０６ａ、７０６ｂを含む関係プロファイルリスト７０６を更に含み得る。ポリシーオブジェクトは、１つ以上のポリシーバージョン７０８ａ、７０８ｂを含むポリシーバージョンリスト７０８を更に含み得る。プロセスＥＣＬ管理に関連する構造は、主に、実世界の脅威が高レベルで、又は非常に固有のレベルでモデル化され得ることを確実にするためにモデルに柔軟性を提供する必要があるため、ＥＤＲの最も複雑な態様である。

【0062】

ポリシーオブジェクト又は構造は、１つ以上のプロセスＥＣＬポリシーを含み得、単一のオブジェクトとして移動するように意図されている。この構造のインスタンスは、エンドポイントエージェントに適用することができ、これは、エージェントに対する単一のポリシー、いくつかのポリシー、又は全てのプロセスＥＣＬポリシーのいずれかを含む。ＥＤＲエンドポイントは、それを処理することが可能であるが、それを処理することが所望され得る。これは、複雑に見え得るが、エンドポイントのＥＤＲ管理機能内に到着したときに構造最適化を容易にするように設計されており、プロセスＥＣＬ構造セットが他のＥＣＬ／ＡＣＬカテゴリをサポートするために完全に再使用されることを容易にする。これは、データモデル内の一貫性の尺度を保持するだけでなく、ＥＤＲの全てにわたって非常に豊富なレベルの記述性も保証する。プロセスＥＣＬが違反されると、ログが生成され、中央サーバなどの１つ以上の場所に転送され得る。

【0063】

上記は、プロセスＥＣＬポリシーオブジェクトの詳細について説明している。上で説明されるように、ＥＤＲ機能は、異なるポリシータイプを処理し得る。様々なポリシーオブジェクトの構造は、プロセスＥＣＬポリシーオブジェクトの構造と同様であるが、モジュール、ヒューリスティック、ファイルシステム、レジストリ、又はリムーバブルドライブなどのそれぞれの要素への実行又はアクセスを制御するためのそれぞれのＡＣＬ又はＥＣＬを記述する。

【0064】

ＡＣＬ／ＥＣＬのためのポリシーオブジェクト構造は、単純な関係と複雑な関係の両方が記述され、したがってＥＤＲ機能によって制御されることを許可する機構を提供する。エンドポイントで最新の保護を維持するために、ポリシーをＥＤＲ機能に追加し、ＥＤＲ機能から削除することができる。更に、ＡＣＬ／ＥＣＬを検証する際に使用される必要なコンテキスト情報が、状態／属性情報を１回判定するためにプロセスを評価する並列プロセスによって維持され、その後、ＡＣＬ／ＥＣＬポリシーが検証されるときに状態／属性情報を複数回再使用することができるので、ポリシーオブジェクト及びＡＣＬ／ＥＣＬは、動作時に処理するのが簡単である。

【0065】

特定の構成要素及び工程が説明されてきたが、個々に説明された構成要素及び工程は、より少ない構成要素若しくは工程に一緒に組み合わされ得るか、又は工程は、連続的に、非連続的に、若しくは同時に遂行され得ることが企図される。更に、特定の順序で発生するものとして上記で説明したが、本教示を考慮した当業者は、他の工程に対するある工程の特定の順序が変更され得ることを理解するであろう。同様に、個々の構成要素又は工程は、複数の構成要素又は工程によって提供され得る。本教示を考慮する当業者は、本明細書に説明される構成要素及びプロセスが、例示的な実施例として本明細書に説明される具体的な実装形態以外の、ソフトウェア、ファームウェア、及び／又はハードウェアの種々の組み合わせによって提供され得ることを理解するであろう。

【0066】

様々な実施形態の技法は、ソフトウェア、ハードウェア、及び／又はソフトウェアとハードウェアの組み合わせを使用して実装され得る。様々な実施形態は、装置、例えば、通信システム又はデータ記憶システムにおいて使用され得るノードを対象とする。様々な実施形態はまた、非一時的機械、例えば、コンピュータ、可読媒体、例えば、ＲＯＭ、ＲＡＭ、ＣＤ、ハードディスクなどを対象とし、これらは、機械、例えば、プロセッサを制御して、説明された１つ以上の方法の工程のうちの１つ、複数、又は全てを実施するための機械可読命令を含む。

【0067】

いくつかの実施形態は、コンピュータ又は複数のコンピュータに、様々な機能、工程、行為及び／又は動作、例えば、上で説明される工程のうちの１つ又は複数又は全てを実装させるためのコードを含むコンピュータ可読媒体を備えるコンピュータプログラム製品を対象とする。実施形態に応じて、コンピュータプログラム製品は、遂行される各工程に対して異なるコードを含むことができ、かつ時には含む。したがって、コンピュータプログラム製品は、方法、例えば、通信デバイス、例えば、ワイヤレス端末又はノードを動作させる方法の各個々の工程のためのコードを含むことができ、かつ時には含む。コードは、ＲＡＭ（ランダムアクセスメモリ）、ＲＯＭ（読み出し専用メモリ）、又は他のタイプの記憶デバイスなどのコンピュータ可読媒体上に記憶された機械、例えば、コンピュータ実行可能命令の形態であり得る。コンピュータプログラム製品を対象とすることに加えて、いくつかの実施形態は、上で説明される１つ以上の方法の様々な機能、工程、行為、及び／又は動作のうちの１つ以上を実装するように構成されたプロセッサを対象とする。したがって、いくつかの実施形態は、本明細書で説明する方法の工程の一部又は全部を実装するように構成されたプロセッサ、例えば、ＣＰＵを対象とする。プロセッサは、例えば、通信デバイス又は本出願において説明される他のデバイスにおいて使用するためのものであり得る。

【0068】

上で説明される様々な実施形態の方法及び装置に関する多数の追加の変形形態は、上の説明を考慮すれば当業者には明らかであろう。そのような変形は、範囲内であると考えられるべきである。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【国際調査報告】