特表 2024-521135 コード実行ログデータにペイロードデータが含まれるのを防止するためのエントロピーの使用

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2024-05-28

(54)【発明の名称】コード実行ログデータにペイロードデータが含まれるのを防止するためのエントロピーの使用

(51)【国際特許分類】

   G06F 11/34 20060101AFI20240521BHJP

   G06F 11/36 20060101ALI20240521BHJP

【ＦＩ】

G06F11/34

G06F11/36 136

【審査請求】未請求

【予備審査請求】未請求

(21)【出願番号】P 2023572175

(86)(22)【出願日】2022-05-02

(85)【翻訳文提出日】2024-01-05

(86)【国際出願番号】 US2022072044

(87)【国際公開番号】W WO2022246359

(87)【国際公開日】2022-11-24

(31)【優先権主張番号】LU500189

(32)【優先日】2021-05-21

(33)【優先権主張国・地域又は機関】LU

(81)【指定国・地域】

(71)【出願人】

【識別番号】314015767

【氏名又は名称】マイクロソフト テクノロジー ライセンシング，エルエルシー

(74)【代理人】

【識別番号】100118902

【弁理士】

【氏名又は名称】山本 修

(74)【代理人】

【識別番号】100106208

【弁理士】

【氏名又は名称】宮前 徹

(74)【代理人】

【識別番号】100196508

【弁理士】

【氏名又は名称】松尾 淳一

(72)【発明者】

【氏名】モーラ，ジョーディ

【テーマコード（参考）】

5B042

【Ｆターム（参考）】

5B042MC40

(57)【要約】

コード実行ログデータにペイロードデータが含まれるのを防ぐためにエントロピーを使用すること。いくつかの実施形態は、コード実行ログデータに関連付けられるペイロードデータアイテムが、所定のエントロピー閾値を超えるエントロピーを有すると判定し、ペイロードデータアイテムと相互作用した特定の実行可能コードを識別する。いくつかの実施形態は、次いで、特定の実行可能コードの実行記録にペイロードデータアイテムが含まれるのを除外する予防アクションを行う。予防アクションの例には、ペイロードデータアイテムがコンピュータシステムからエクスポートされるのを防止すること、ペイロードデータアイテムがコード実行ログデータに含まれるのを防止すること、および特定の実行可能コードを参照してペイロードデータアイテムをブロックリストに追加することが含まれる。

【特許請求の範囲】

【請求項1】

コード実行ログデータにペイロードデータが含まれるのを防止するための、プロセッサ（１０１）を含むコンピュータシステム（１０１）で実装される方法（６００）であって、
コード実行ログデータに関連付けられるペイロードデータアイテムが、所定のエントロピー閾値を超えるエントロピーを有すると判定するステップ（２０３）と、
前記ペイロードデータアイテムと相互作用した特定の実行可能コードを識別するステップ（２０４）と、
前記特定の実行可能コードの実行記録に前記ペイロードデータアイテムが含まれるのを除外する予防アクションを行うステップ（２０６）と
を含む方法。

【請求項2】

請求項１に記載の方法であって、前記ペイロードデータアイテムが前記所定のエントロピー閾値を超えるエントロピーを有すると判定するステップは、前記ペイロードデータアイテムが前記所定のエントロピー閾値を超える固有エントロピーを有すると判定するステップ（２０３ａ）を含む、方法。

【請求項3】

請求項２に記載の方法であって、前記ペイロードデータアイテムが前記所定のエントロピー閾値を超える固有エントロピーを有すると判定するステップは、
前記ペイロードデータアイテム内のエントロピーのビット数と、前記ペイロードデータアイテム内の総ビット数との比を計算するステップと、
前記ペイロードデータアイテムの圧縮性を計算するステップと
のうちの少なくとも一方を含む、方法。

【請求項4】

請求項１に記載の方法であって、前記ペイロードデータアイテムが前記所定のエントロピー閾値を超えるエントロピーを有すると判定するステップは、前記ペイロードデータアイテムが前記所定のエントロピー閾値を超える文脈エントロピーを有すると判定するステップ（２０３ｂ）を含み、前記文脈エントロピーは、複数の関連するコード実行ログから識別された複数の関連するペイロードデータアイテムに関する、方法。

【請求項5】

請求項１から４のいずれか一項に記載の方法であって、前記ペイロードデータアイテムと相互作用した前記特定の実行可能コードを識別するステップは、前記ペイロードデータアイテムを消費した実行可能コードを識別するステップを含む、方法。

【請求項6】

請求項１から４のいずれか一項に記載の方法であって、前記ペイロードデータアイテムと相互作用した前記特定の実行可能コードを識別するステップは、前記ペイロードデータアイテムを生成した実行可能コードを識別するステップを含む、方法。

【請求項7】

請求項１から６のいずれか一項に記載の方法であって、前記ペイロードデータアイテムと相互作用した前記特定の実行可能コードを識別するステップは、特定の実行可能命令を識別するステップを含む、方法。

【請求項8】

請求項１から６のいずれか一項に記載の方法であって、前記ペイロードデータアイテムと相互作用した前記特定の実行可能コードを識別するステップは、特定の関数を識別するステップを含む、方法。

【請求項9】

請求項１から８のいずれか一項に記載の方法であって、前記予防アクションは、前記ペイロードデータアイテムが前記コンピュータシステムからエクスポートされるのを防止するステップを含む、方法。

【請求項10】

請求項１から９のいずれか一項に記載の方法であって、前記予防アクションは、前記ペイロードデータアイテムが前記コード実行ログデータに含まれるのを防止するステップを含む、方法。

【請求項11】

請求項１０に記載の方法であって、前記ペイロードデータアイテムが前記コード実行ログデータに含まれるのを防止するステップは、前記コード実行ログデータ内の前記ペイロードデータアイテムを、（ｉ）代替データと、（ｉｉ）前記ペイロードデータに対する１つまたは複数の制約と、（ｉｉｉ）前記特定の実行可能コードに関するコードフローオーバーライドとのうちの１つまたは複数で置き換えるステップを含む、方法。

【請求項12】

請求項１から８のいずれか一項に記載の方法であって、前記予防アクションは、前記特定の実行可能コードを参照して前記ペイロードデータアイテムをブロックリスト（１１４）に追加するステップを含み、前記ブロックリストは、後で生成されるコード実行ログデータに前記ペイロードデータアイテムが含まれるのを防止するように構造化される、方法。

【請求項13】

請求項１から１２のいずれか一項に記載の方法であって、前記ペイロードデータアイテムが前記所定のエントロピー閾値を超えるエントロピーを有すると判定するステップは、前記特定の実行可能コードへの参照に少なくとも基づいて、ブロックリスト（１１４）から前記ペイロードデータアイテムを識別するステップを含む、方法。

【請求項14】

請求項１から１３のいずれか一項に記載の方法であって、前記ペイロードデータアイテムが前記所定のエントロピー閾値を超えるエントロピーを有すると判定するステップは、前記コード実行ログデータの後処理中に前記ペイロードデータアイテムを識別するステップを含む、方法。

【請求項15】

請求項１から１４のいずれか一項に記載の方法であって、ペイロードデータアイテムの追加インスタンスまたはその派生物が別の実行可能コードの別の実行記録に含まれるのを除外するために過渡的に適用される方法。

【発明の詳細な説明】

【技術分野】

【0001】

[001]本開示は、個人識別情報（ＰＩＩ）、暗号鍵、およびパスワードなどの機密ペイロードデータが、再生可能な実行トレースおよび他の実行ログに含まれるのを防止するシステム、方法、およびデバイスに関する。

【背景技術】

【0002】

[002]望ましくないソフトウェア挙動／障害を追跡して修正することは、ソフトウェア開発の中核的な活動である。望ましくないソフトウェア挙動には、実行クラッシュ、ランタイム例外、遅い実行パフォーマンス、不正なデータ結果、データ破損など、多くのものが含まれることがある。望ましくないソフトウェア挙動は、データ入力、ユーザ入力、競合状態（例えば共有リソースへのアクセス時）など様々な要因によってトリガされる。様々なトリガを仮定して、望ましくないソフトウェア挙動はまれであり、一見ランダムに見えることが多く、再現するのが非常に難しい。そのため、所与の望ましくないソフトウェア挙動を開発者が識別するのは非常に時間がかかり困難であることが多い。望ましくないソフトウェア挙動が識別されても、その根本原因を決定するのに再び時間がかかり困難であることが多い。

【0003】

[003]開発者は、様々な手法を使用して、望ましくないソフトウェア挙動を識別し、次いで、望ましくないソフトウェア挙動を引き起こすアプリケーションのコード内の１つまたは複数の場所を識別する。例えば、開発者は、アプリケーションのコードの様々な部分を様々な入力に対してテストすることがよくある（単体テストなど）。別の例として、開発者は、（例えば、ブレークポイント／ウォッチポイントを設定することや、コードが実行されるときにコードラインなどをステップ実行することによって）デバッガでのアプリケーションのコードの実行について推論することが多い。別の例として、開発者はプロファイラでコード実行挙動（例えば、タイミング、カバレッジなど）を観察することがよくある。別の例として、開発者は診断コード（例えばトレースステートメント）をアプリケーションのコードに挿入することがよくある。これらの各アクティビティは、対象アプリケーションに含まれる診断コードによって生成されるイベントログなどのコード実行ログによって支援される。

【0004】

[004]従来の診断ツール（例えばデバッガやプロファイラなど）は「ライブ」順方向実行コードで動作しているが、新しい形の診断ツールにより、「履歴」デバッグ（「タイムトラベル」または「リバース」デバッグとも呼ばれる）が可能になり、実行可能なコンピュータプログラムの実行コンテキスト（例えばプロセスやスレッドなど）の少なくとも一部が、１つまたは複数のトレースファイル（すなわち実行トレース）を含むコード実行ログに記録される。いくつかのトレース技法を使用して、実行トレースは、「ビット精度」履歴実行トレースデータを含む。これにより、トレースされた実行コンテキストの任意の記録された部分を、個々の命令（例えばマシンコード命令や中間言語コード命令など）の粒度まで仮想的に（例えばエミュレーションを介して）「再生」できる。したがって、ビット精度トレースデータを使用して、診断ツールにより、開発者は、「ライブ」順方向実行に限定される従来のデバッグとは対照的に、実行可能プログラムの記録された以前の実行について推論することができる。例えば、再生可能な実行トレースを使用して、一部の履歴デバッガは、例えば、順方向と逆方向との両方のブレークポイント／ウォッチポイントを可能する、またはコードを順方向と逆方向との両方でステップ実行できるようにするユーザエクスペリエンスを提供する。一方、一部の履歴プロファイラは、以前に実行されたコードからコード実行挙動（例えばタイミングやカバレッジ）を導出することができる。

【0005】

[005]再生可能な実行トレースは、記録された各命令へのあらゆる入力およびそこからのあらゆる出力を明示的にまたは暗黙的に含む。したがって、再生可能な実行トレースは、トレースされたコードによって消費または生成されたすべてのデータを含む。トレースされたコードがＰＩＩ、暗号鍵、パスワードなどの機密データアイテムを消費または生成するとき、そのトレースされたコードの実行トレースは、これらの機密データアイテムも含む。アプリケーションの診断コードによって生成されるイベントログなど、それほど厳密ではない形式のコード実行ログも、機密データアイテムを含むことがある。

【発明の概要】

【0006】

[006]本明細書で述べる少なくともいくつかの実施形態は、コード実行ログデータにペイロードデータが含まれるのを防止するためにエントロピー分析を使用することによってデータセキュリティを向上させる。これらの実施形態は、特定のデータアイテムを機密データアイテム（例えば、ＰＩＩ、暗号鍵、パスワードなど）とみなすべきであることを効率的にかつ確実に判定することができるという技術的課題に対処する。これらの実施形態は、機密データアイテムが、機密性の低いデータアイテム（例えば環境変数や数学的定数など）と比較したときに比較的高いエントロピーを有する傾向があるという本発明者の観察に基づいている。いくつかの実施形態では、データアイテムのエントロピーは、固有に（すなわち、データアイテムの全長に対するエントロピーのビット数の比を見ることによって）、および／または文脈的に（すなわち、他のコード実行ログデータセット内のデータアイテムの値と比較したときの、あるコード実行ログデータセット内の所与のデータアイテムの値の一意性を決定することによって）考慮される。機密データアイテムが比較的高いエントロピーを有することを認識して、これらの実施形態は、高エントロピーのデータアイテムを識別し、再生可能な実行トレースやイベントログなどのコード実行ログデータにそれらのデータアイテムが含まれるのを除外する。

【0007】

[007]いくつかの実施形態では、コード実行ログデータから高エントロピーデータアイテムを除外することは、コード実行ログデータを介して機密データアイテムが不用意に露出されるのを防止することによって、データセキュリティを促進する技術的効果を有する。さらに、高エントロピーデータアイテムをコード実行ログデータから除外することで、容易に圧縮可能でないことが多い高エントロピーデータの除去を含めてデータの一部を除去することによって、コード実行ログデータのサイズが減少され、これは、コンピューティングリソースを節約するという追加の技術的効果を有する。例えば、コード実行ログデータのサイズを減少させることで、そのログデータを分析するときに処理リソースが節約され、コード実行ログデータを記憶および転送するために必要とされるストレージおよびネットワークリソースが節約される。

【0008】

[008]上記のことに従って、いくつかの実施形態では、方法、システム、およびコンピュータ製品が、コード実行ログデータにペイロードデータが含まれるのを防止するためにエントロピーを使用することを対象とする。これらの実施形態は、コード実行ログデータに関連付けられたペイロードデータアイテムが、所定のエントロピー閾値を超えるエントロピーを有すると判定する。ペイロードデータアイテムが所定のエントロピー閾値を超えるエントロピーを有するという判定に基づいて、これらの実施形態は、ペイロードデータアイテムと相互作用した特定の実行可能コードを識別する。次いで、これらの実施形態は、特定の実行可能コードの実行記録にペイロードデータアイテムが含まれるのを除外する予防アクションを行う。

【0009】

[009]本明細書で述べる少なくともいくつかの追加または代替の実施形態は、ペイロードデータ自体の分析に依拠しないいくつかの形態の実行トレース分析（例えば、コードおよび／またはデータフロー分析、メモリ局所性分析、メモリアクセスパターン分析、キャッシュ使用量分析、競合状態分析、バッファオーバーフロー分析、従来のデバッグなど）を行う能力を損なうことなく、実行トレースから最大ですべてのペイロードデータを除去することによって、データセキュリティを向上させる。例えば、いくつかの実施形態は、実行トレースを処理してペイロードデータアイテムを識別する。識別されたペイロードデータアイテムごとに、いくつかの実施形態は、データアイテムと相互作用したコードの実行がデータアイテムに課した制約を決定し、実行トレース内のデータアイテムの値をそれらの制約を維持する情報で置き換える。いくつかの実施形態では、この情報は、実行可能コード自体、データアイテムのメモリアドレス、および／またはコードフローを保存するように構造化されたデータ（例えば、データアイテムに関する置換値、データアイテムに関する有効値の仕様、従うべきコードパスの命令など）を含む。

【0010】

[010]いくつかの実施形態は、実行トレースからペイロードデータを除外することは、実行トレースを介して機密データアイテムが不用意に露出されるのを防止することによって、データセキュリティを促進する技術的効果を有する。さらに、いくつかの実施形態では、実行トレースからペイロードデータを除外することで、それらの実行トレースの圧縮率を大幅に増加させることができる。いずれにせよ、実行トレースからペイロードデータを除外することで、実行トレースのサイズを大幅に減少させることができ、これは、コンピューティングリソースを節約するという追加の技術的効果を有する。例えば、実行トレースのサイズを減少させることで、それらの実行トレースを分析するときに処理リソースが節約され、実行トレースを記憶および転送するときに必要とされるストレージとネットワークリソースが節約される。

【0011】

[011]上記のことに従って、いくつかの実施形態では、方法、システム、およびコンピュータ製品が、実行トレースからペイロードデータを除去することを対象とする。これらの実施形態は、実行トレース内のペイロードデータアイテムを識別し、ペイロードデータアイテムと相互作用した特定の実行可能コードを識別する。ペイロードデータアイテムおよび特定の実行可能コードに基づいて、これらの実施形態は、特定の実行可能コードの実行がペイロードデータアイテムに課している１つまたは複数の制約を決定し、次いで、実行トレース内のペイロードデータアイテムの値を１つまたは複数の制約を維持する情報で置き換える。様々な実施形態において、１つまたは複数の制約は、特定の実行可能コードのバイト、ペイロードデータアイテムに対応するメモリアドレス、またはコードフローを保存するように構造化されたデータのうちの１つまたは複数を含み、１つまたは複数の制約を維持する情報は、特定の実行可能コードのバイト、ペイロードデータアイテムに対応するメモリアドレス、またはコードフローを保存するように構造化されたデータのうちの１つまたは複数を含む。

【0012】

[012]この概要は、発明を実施するための形態の項で以下にさらに述べる一部の概念を簡略化した形で紹介するために提供される。この概要は、特許請求される主題の主要な特徴または本質的な特徴を識別することを意図されたものではなく、また、特許請求される主題の範囲を決定する際の補助として使用されることを意図されたものでもない。

【0013】

[013]本発明の上記および他の利点および特徴をどのように得ることができるかの方法を述べるために、簡単に上述した本発明のより特定的な説明を、添付図面に示されるその特定の実施形態を参照して行う。これらの図面は本発明の典型的な実施形態のみを示しており、したがって本発明の範囲を限定するものとみなされるべきではないという理解のもとで、添付図面を使用して本発明をさらに具体的にかつ詳細に記述して説明する。

【図面の簡単な説明】

【0014】

【図1】[014]コード実行ログデータにペイロードデータが含まれるのを防止するためのエントロピーの使用、または実行トレースからのペイロードデータの除去のうちの１つまたは複数を容易にする例示的なコンピューティング環境を示す図である。

【図2】[015]コード実行ログデータにペイロードデータが含まれるのを防止するためにエントロピーを使用するように構成されたデバッグコンポーネントの追加の詳細を示す図である。

【図3】[016]実行トレースからペイロードデータを除去するように構成されたデバッグコンポーネントの詳細を示す図である。

【図4】[017]図１のコンピュータシステムが１つまたは複数のネットワークを介して１つまたは複数の他のコンピュータシステムに接続される例示的なコンピューティング環境を示す図である。

【図5】[018]実行トレースの一例を示す図である。

【図6】[019]コード実行ログデータにペイロードデータが含まれるのを防止するためにエントロピーを使用するための例示的な方法の流れ図である。

【図7】[020]実行トレースからペイロードデータを除去するための例示的な方法の流れ図を示す図である。

【発明を実施するための形態】

【0015】

[021]言及したように、本明細書で述べる少なくともいくつかの実施形態は、（ｉ）コード実行ログデータ（実行トレースまたはイベントログなど）にペイロードデータが含まれるのを防ぐためにエントロピーを使用するための実施形態、または（ｉｉ）実行トレースからペイロードデータを除去するための実施形態のうちの１つまたは複数を対象とする。いずれの実施形態も、データセキュリティを促進し、コード実行ログデータ／実行トレースのサイズを減少させると共に、特定のデータアイテムが機密データアイテムであるとみなされるべきであることを効率的にかつ確実に決定するという技術的課題に対処する。

【0016】

[022]いくつかの実施形態では、本明細書での実施形態によって使用される実行トレースは、様々な履歴デバッグ技術のうちの１つまたは複数によって生成される。一般に、履歴デバッグ技術は、実行コンテキスト（例えばプロセスやスレッドなど）の状態を、対応する実行可能なコンピュータプログラムのコードが実行されるときに様々な時点で記録または再構築して、その実行コンテキストをその実行状態から少なくとも部分的に再生できるようにする。その仮想実行の忠実度は、利用可能なトレースされた実行状態によって異なる。

【0017】

[023]一例では、本明細書でタイムトラベルデバッグと呼ぶいくつかのクラスの履歴デバッグ技術は、実行コンテキストのビット精度トレースを継続的に記録する。このビット精度トレースを後で使用して、実行コンテキストの以前の実行を、個々のコード命令の忠実度に至るまで忠実に再生することができる。例えば、ビット精度トレースは、実行コンテキストの以前の実行における少なくとも１時点に関する初期プロセッサ状態を再現するのに十分な情報を、その時点以降に実行されたときに実行可能命令によって読み取られたデータ値（例えば、メモリ読取値）と共に、（例えば、プロセッサレジスタのスナップショットを記録することによって）記録する。次いでこのビット精度トレースを使用して、記録された読取値を命令に提供することに基づいて、それらの実行可能命令の実行（初期プロセッサ状態から始めて）を再生することができる。

【0018】

[024]本明細書で分岐トレースデバッグと呼ぶ別のクラスの履歴デバッグ技術は、プロセッサ分岐トレースを含む（すなわち、分岐が行われたか否かの記録を含む）ダンプまたはスナップショット（例えばクラッシュダンプ）からの逆算に基づいて、実行コンテキストの状態の少なくとも一部を再構築することに依拠する。これらの技術は、このダンプまたはスナップショットからの値（例えばメモリおよびレジスタ）から始まり、分岐トレースを使用して、コード実行フローを少なくとも部分的に決定し、実行コンテキストの一部として実行されたコード命令を繰り返し順方向および逆方向で再生して、コード命令によって使用される中間データ値（例えばレジスタおよびメモリ）を、それらの値が定常状態に達するまで再構築する。これらの技術は、どれだけ遡ってデータ値を再構築することができるか、および再構築することができるデータ値の数が制限されることがある。それにもかかわらず、再構築された履歴実行データを履歴デバッグに使用することができる。

【0019】

[025]本明細書で再生およびスナップショットデバッグと呼ぶさらに別のクラスの履歴デバッグ技術は、実行中に実行コンテキストのメモリスペースおよびプロセッサレジスタの完全なスナップショットを定期的に記録する。実行コンテキストが、実行コンテキスト自体のメモリ以外のソース、または非決定的ソースからのデータに依拠する場合、いくつかの実施形態では、これらの技術は、スナップショットと共にそのようなデータも記録する。これらの技術は、次にスナップショット内のデータを使用して、スナップショット間で実行可能プログラムのコードの実行を再生する。

【0020】

[026]図１は、コード実行ログデータにペイロードデータが含まれるのを防止するためのエントロピーの使用、または実行トレースからのペイロードデータの除去のうちの１つまたは複数を容易にする例示的なコンピューティング環境１００を示す。図示されているように、コンピューティング環境１００は、プロセッサ１０２（または複数のプロセッサ）を含むコンピュータシステム１０１（例えば、専用または汎用コンピューティングデバイス）を含む。図示されているように、プロセッサ１０２に加えて、コンピュータシステム１０１は、システムメモリ１０３、永続ストレージ１０４、および場合によってはネットワークデバイス１０５（または複数のネットワークデバイス）も含み、これらは、少なくとも１つの通信バス１０６を使用して、互いにおよびプロセッサ１０２に通信可能に結合される。

【0021】

[027]本発明の範囲内の実施形態は、コンピュータ実行可能命令および／またはデータ構造を搬送または記憶するための物理媒体および他のコンピュータ可読媒体を含むことができる。そのようなコンピュータ可読媒体は、汎用または専用コンピュータシステムによってアクセスできる任意の利用可能な媒体でよい。コンピュータ実行可能命令および／またはデータ構造を記憶するコンピュータ可読媒体は、コンピュータ記憶媒体である。コンピュータ実行可能命令および／またはデータ構造を搬送するコンピュータ可読媒体は、伝送媒体である。したがって、限定ではなく例として、本発明の実施形態は、少なくとも２つの明確に異なる種類のコンピュータ可読媒体、すなわちコンピュータ記憶媒体と伝送媒体とを備えることができる。

【0022】

[028]コンピュータ記憶媒体は、コンピュータ実行可能命令および／またはデータ構造を記憶する物理記憶媒体（例えば、システムメモリ１０３および／または永続ストレージ１０４）である。物理的な記憶媒体は、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、ソリッドステートドライブ（「ＳＳＤ」）、フラッシュメモリ、相変化メモリ（「ＰＣＭ」）、光ディスクストレージ、磁気ディスク記憶装置もしくは他の磁気記憶デバイスなどのコンピュータハードウェア、または任意の他のハードウェア記憶デバイスを含み、それを使用して、コンピュータ実行可能命令またはデータ構造の形式でプログラムコードを記憶することができ、プログラムコードは、本発明の開示される機能を実装するために汎用または専用コンピュータシステムによってアクセスおよび実行することができる。

【0023】

[029]伝送媒体は、ネットワークおよび／またはデータリンクを含むことができ、ネットワークおよび／またはデータリンクは、コンピュータ実行可能命令またはデータ構造の形式でプログラムコードを搬送するために使用することができ、汎用または専用コンピュータによってアクセスすることができる。「ネットワーク」は、コンピュータシステムおよび／またはモジュールおよび／または他の電子デバイス間での電子データの移送を可能にする１つまたは複数のデータリンクとして定義される。情報がネットワーク（例えばネットワークデバイス１０５）または別の通信接続（有線、無線、または有線と無線との組合せのいずれか）を介してコンピュータシステムに転送または提供されるとき、コンピュータシステムは、その接続を伝送媒体とみなすことができる。上記の組合せも、コンピュータ可読媒体の範囲内に含まれるべきである。

【0024】

[030]さらに、様々なコンピュータシステムコンポーネントに達すると、コンピュータ実行可能命令またはデータ構造の形式でのプログラムコードは、伝送媒体からコンピュータ記憶媒体に（またはその逆に）自動的に転送されることがある。例えば、ネットワークまたはデータリンクを介して受信されたコンピュータ実行可能命令またはデータ構造を、ネットワークインターフェースモジュール（図示せず）内のＲＡＭにバッファし、次いで、最終的にコンピュータシステムのＲＡＭ（例えばシステムメモリ１０３）および／またはコンピュータシステムでの低揮発性コンピュータ記憶媒体（例えば永続ストレージ１０４）に転送することができる。したがって、コンピュータ記憶媒体は、さらに（または主に）伝送媒体を利用するコンピュータシステムコンポーネントに含めることができることを理解されたい。

【0025】

[031]コンピュータ実行可能命令は、例えば、１つまたは複数のプロセッサで実行されるときに汎用コンピュータシステム、専用コンピュータシステム、または専用処理デバイスに特定の機能または機能のグループを実行させる命令およびデータを含む。コンピュータ実行可能命令は、例えば、マシンコード命令（例えば、バイナリ）、アセンブリ言語などの中間フォーマット命令、またはさらにはソースコードでよい。

【0026】

[032]パーソナルコンピュータ、デスクトップコンピュータ、ラップトップコンピュータ、メッセージプロセッサ、ハンドヘルドデバイス、マルチプロセッサシステム、マイクロプロセッサベースまたはプログラム可能な家庭用電化製品、ネットワークＰＣ、ミニコンピュータ、メインフレームコンピュータ、携帯電話、ＰＤＡ、タブレット、ポケットベル、ルータ、スイッチなどを含む多くのタイプのコンピュータシステム構成と共にネットワークコンピューティング環境で本発明を実施することができることを当業者は理解されよう。本発明は、ネットワークを介して（有線データリンク、無線データリンク、または有線データリンクと無線データリンクとの組合せのいずれかによって）リンクされたローカルコンピュータシステムとリモートコンピュータシステムとがどちらもタスクを実行する分散システム環境で実施することもできる。したがって、分散システム環境では、コンピュータシステムは、複数の構成コンピュータシステムを含むことがある。分散システム環境では、プログラムモジュールは、ローカルメモリ記憶デバイスとリモートメモリ記憶デバイスとの両方に位置されることがある。

【0027】

[033]また、本発明をクラウドコンピューティング環境で実施することができることを当業者は理解されよう。クラウドコンピューティング環境は分散型であり得るが、これは必須ではない。分散型の場合、クラウドコンピューティング環境は、組織内で国際的に分散される、および／または複数の組織にまたがって所有されたコンポーネントを有することがある。本明細書および以下の特許請求の範囲では、「クラウドコンピューティング」は、構成可能なコンピューティングリソース（例えば、ネットワーク、サーバ、ストレージ、アプリケーション、およびサービス）の共有プールへのオンデマンドネットワークアクセスを可能にするためのモデルとして定義される。「クラウドコンピューティング」の定義は、適切に展開されたときにそのようなモデルから得ることができる他の多くの利点のいずれにも限定されない。

【0028】

[034]クラウドコンピューティングモデルは、オンデマンドセルフサービス、ブロードネットワークアクセス、リソースプーリング、迅速な弾力性、計測可能なサービスなどの様々な特性から構成することができる。クラウドコンピューティングモデルは、例えば、Ｓｏｆｔｗａｒｅ ａｓ ａ Ｓｅｒｖｉｃｅ（「ＳａａＳ」）、Ｐｌａｔｆｏｒｍ ａｓ ａ Ｓｅｒｖｉｃｅ（「ＰａａＳ」）、およびＩｎｆｒａｓｔｒｕｃｔｕｒｅ ａｓ ａ Ｓｅｒｖｉｃｅ（「ＩａａＳ」）などの様々なサービスモデルの形式であってもよい。クラウドコンピューティングモデルは、プライベートクラウド、コミュニティクラウド、パブリッククラウド、ハイブリッドクラウドなどの様々な展開モデルを使用して展開することもできる。

【0029】

[035]クラウドコンピューティング環境などのいくつかの実施形態は、それぞれが１つまたは複数の仮想マシンを実行することができる１つまたは複数のホストを含むシステムを備えることができる。動作中、仮想マシンは動作中のコンピューティングシステムをエミュレートし、オペレーティングシステムおよび場合によっては１つまたは複数の他のアプリケーションをサポートする。いくつかの実施形態では、各ホストは、仮想マシンの観点から抽象化された物理リソースを使用して仮想マシンのための仮想リソースをエミュレートするハイパーバイザを含む。ハイパーバイザは、仮想マシン間の適切な分離も提供する。したがって、任意の所与の仮想マシンの観点から、仮想マシンが物理リソースの外観（例えば仮想リソース）とインターフェースしているだけであっても、ハイパーバイザは、仮想マシンが物理リソースとインターフェースしているかのような錯覚を与える。物理リソースの例には、処理能力、メモリ、ディスクスペース、ネットワーク帯域幅、メディアドライブなどが含まれる。

【0030】

[036]図１に示されるように、いくつかの実施形態では、プロセッサ１０２は、例えば、処理ユニット１０７（または複数の処理ユニット）およびメモリキャッシュ１０８（または複数のメモリキャッシュ）を含む。各処理ユニット１０７（例えば、プロセッサコア）は、複数の実行ユニット１０７ｂのうちの少なくとも１つにマシンコード命令をロードして実行する。これらのマシンコード命令の実行中、命令は、一時記憶場所としてレジスタ１０７ａを使用することができ、メモリキャッシュ１０８を介してシステムメモリ１０３内の様々な場所に読み書きすることができる。各処理ユニット１０７は、プロセッサ命令セットアーキテクチャ（ＩＳＡ）によって定義されるマシンコード命令を実行する。各プロセッサ１０２の特定のＩＳＡは、プロセッサ製造元およびプロセッサモデルに基づいて異なることがある。一般的なＩＳＡには、ＩＮＴＥＬ， ＩＮＣ．のＩＡ－６４およびＩＡ－３２アーキテクチャ、ＡＤＶＡＮＣＥＤ ＭＩＣＲＯ ＤＥＶＩＣＥＳ， ＩＮＣ．のＡＭＤ６４アーキテクチャ、ＡＲＭ ＨＯＬＤＩＮＧＳ， ＰＬＣの様々なＡｄｖａｎｃｅｄ ＲＩＳＣ Ｍａｃｈｉｎｅ（「ＡＲＭ」）アーキテクチャが含まれるが、他のＩＳＡも多数存在し、本発明によって使用することができる。一般に理解されているように、マシンコード命令は、プロセッサによって実行可能な、外部（すなわちプロセッサの外）から見えるコードの最小単位である。

【0031】

[037]レジスタ１０７ａは、プロセッサ１０２のＩＳＡに基づいて定義されるハードウェア記憶場所である。レジスタ１０７ａは、それらの命令が実行ユニット１０７ｂで実行されるときに、マシンコード命令または処理ユニット１０７から読み取られる、および／またはそこに書き込まれる。レジスタ１０７ａは一般に、マシンコード命令を実行するための入力として使用するためにメモリキャッシュ１０８からフェッチされた値を記憶するため、マシンコード命令を実行した結果を記憶するため、プログラム命令カウントを記憶するため、スレッドスタックのメンテナンスをサポートするためなどに使用される。いくつかの実施形態では、レジスタ１０７ａは、マシンコード命令を実行することによって引き起こされる何らかの状態変化を信号通知するため（例えば、算術演算が繰り上げやゼロ結果などであったかどうかを示すため）に使用される「フラグ」を含む。いくつかの実施形態では、レジスタ１０７ａは、１つまたは複数の制御レジスタ（例えば、プロセッサ動作の異なる側面を制御するために使用される）、および／または他のプロセッサモデル固有レジスタ（ＭＳＲ）を含む。

【0032】

[038]メモリキャッシュ１０８は、処理ユニット１０７によるマシンコード命令の実行中に、システムメモリ１０３のブロックを一時的にキャッシュする。いくつかの実装形態では、メモリキャッシュ１０８は、アプリケーションコードを記憶するシステムメモリ１０３の部分をキャッシュする１つまたは複数の「コード」部分と、アプリケーションランタイムデータを記憶するシステムメモリ１０３の部分をキャッシュする１つまたは複数の「データ」部分とを含む。処理ユニット１０７が、メモリキャッシュ１０８にまだ記憶されていないデータ（例えばコードまたはアプリケーションランタイムデータ）を要求した場合、次いで処理ユニット１０７は「キャッシュミス」を開始し、１つまたは複数のデータブロックがシステムメモリ１０３からフェッチされ、メモリキャッシュ１０８に流入される。その際、場合により、メモリキャッシュ１０８にすでに記憶されている何らかの他のデータを置き換えてシステムメモリ１０３に「追い出す」。

【0033】

[039]図示されているように、永続ストレージ１０４は、コンピュータ実行可能命令、および／または実行可能なソフトウェアコンポーネントを表すデータ構造を記憶する。それに対応して、プロセッサ１０２でのこのソフトウェアの実行中、これらのコンピュータ実行可能命令および／またはデータ構造の１つまたは複数の部分がシステムメモリ１０３にロードされる。例えば、永続ストレージ１０４は、デバッグコンポーネント１０９に対応するコンピュータ実行可能命令および／またはデータ構造を記憶するものとして示され、さらに場合によっては、トレーサコンポーネント１１０、エミュレーションコンポーネント１１１、または（１つまたは複数の）アプリケーション１１２のうちの１つまたは複数に対応するコンピュータ実行可能命令および／またはデータ構造を記憶するものとして示されている。いくつかの実施形態では、永続ストレージ１０４は、再生可能な実行トレース１１３（例えば、上述した履歴デバッグ技術のうちの１つまたは複数を使用してトレーサコンポーネント１１０によって生成される）や、デバッグコンポーネント１０９によって生成および／または使用される（１つまたは複数の）ブロックリスト１１４などのデータも記憶する。

【0034】

[040]いくつかの実施形態では、デバッグコンポーネント１０９の指示の下で、トレーサコンポーネント１１０は、アプリケーション１１２の実行を、１つまたは複数の再生可能な実行トレース１１３に記録または「トレース」する。いくつかの実施形態では、トレーサコンポーネント１１０は、アプリケーション１１２の実行が、プロセッサ１０２上での直接の「ライブ」実行である場合、管理されたランタイムによるプロセッサ１０２上での「ライブ」実行であるとき、および／またはエミュレーションコンポーネント１１１を介するエミュレートされた実行であるとき、その実行を記録する。したがって、図１はまた、いくつかの実施形態では、デバッグコンポーネント１０９およびトレーサコンポーネント１１０がシステムメモリ１０３（すなわち、デバッグコンポーネント１０９’およびトレーサコンポーネント１１０’）にロードされることを示す。トレーサコンポーネント１１０’と再生可能な実行トレース１１３’との間の矢印は、トレーサコンポーネント１１０’がトレースデータを１つまたは複数の再生可能な実行トレース１１３’に記録し、次いでこれを１つまたは複数の再生可能な実行トレース１１３として永続ストレージ１０４に永続記憶することができることを示す。

【0035】

[041]図５は、実行トレースの一例を示す。特に、図５は、複数のデータストリーム（すなわち、データストリーム５０１ａ～５０１ｎ）を含む実行トレース５００を示す。いくつかの実施形態では、各データストリームは、アプリケーション１１２から実行された異なるスレッドなど、異なる実行コンテキストの実行を表す。一例では、データストリーム５０１ａは、アプリケーション１１２の第１のスレッドの実行を記録し、データストリーム５０１ｎは、アプリケーション１１２の第ｎのスレッドを記録する。図示されているように、データストリーム５０１ａは、複数のデータパケット５０２を含む。データパケット５０２のそれぞれにログ記録される特定のデータは異なることがあるので、これらのデータパケットは、異なるサイズを有するものとして示されている。いくつかの実施形態では、タイムトラベルデバッグ技術を使用するとき、データパケット５０２のうちの１つまたは複数は、アプリケーション１１２のこの第１のスレッドの一部として実行された１つまたは複数の実行可能命令への入力（例えばレジスタ値やメモリ値など）を記録する。いくつかの実施形態では、メモリ値は、メモリキャッシュ１０８への流入として、および／またはキャッシュされていない読取値として取得される。いくつかの実施形態では、データストリーム５０１ａは、１つまたは複数のキーフレーム（例えばキーフレーム５０３ａおよび５０３ｂ）も含み、各キーフレームが、キーフレームの時点から始めて順方向に、スレッドの以前の実行を再生できるようにするのに十分な情報（例えば、レジスタおよび／またはメモリ値のスナップショットなど）をキャプチャする。

【0036】

[042]いくつかの実施形態では、実行トレースは、実行された実際のコードも含む。したがって、図５では、各データパケット５０２が、データ入力部分５０４（白い部分）およびコード部分５０５（網掛け部分）を含むものとして示されている。いくつかの実施形態では、各データパケット５０２のコード部分５０５は、存在する場合には、対応するデータ入力に基づいて実行される実行可能命令を含む。しかし、他の実施形態では、実行トレースは、実行された実際のコードを省略し、代わりに、実行可能コードへの個別のアクセス（例えばアプリケーション１１２のコピー）を有することに依拠する。これらの他の実施形態では、各データパケットは、アプリケーションバイナリイメージ内の適切な実行可能命令へのアドレスまたはオフセットを指定する。図示されていないが、実行トレース５００は、コード実行の出力のうちの１つまたは複数を記憶するデータストリームを含むことが可能である。データパケットの異なるデータ入力およびコード部分の使用は例示にすぎず、複数のデータパケットの使用などの様々な方法で同じデータを記憶することもできることに留意されたい。

【0037】

[043]複数のデータストリームがある場合、いくつかの実施形態では、これらのデータストリームは、シーケンスイベントを含むことがある。各シーケンスイベントは、スレッドなどの様々な実行コンテキストにわたって順序付け可能なイベントの発生を記録する。一例では、シーケンスイベントは、スレッドによって共有されるメモリへのアクセスなど、スレッド間の相互作用に対応する。したがって、例えば、第１のデータストリーム（例えばデータストリーム５０１ａ）にトレースされる第１のスレッドが同期変数に書き込む場合、第１のシーケンスイベントがそのデータストリーム（例えばデータストリーム５０１ａ）に記録される。その後、第２のデータストリーム（例えばデータストリーム５０１ｎ）にトレースされる第２のスレッドがその同期変数から読み取る場合、第２のシーケンスイベントがそのデータストリーム（例えばデータストリーム５０１ｎ）に記録される。これらのシーケンスイベントは、本来的に順序付けされる。例えば、いくつかの実施形態では、各シーケンスイベントは単調増加する値に関連付けられ、単調増加する値は、シーケンスイベント間の全体の順序を定義する。一例では、第１のデータストリームに記録された第１のシーケンスイベントには値１が与えられ、第２のデータストリームに記録された第２のシーケンスイベントには値２が与えられ、以下同様である。

【0038】

[044]いくつかの実施形態では、デバッグコンポーネント１０９の指示の下で、エミュレーションコンポーネント１１１は、再生可能な実行トレース１１３の１つから取得された実行状態データに基づいて、アプリケーション１１２などの実行可能エンティティのコードの実行をエミュレートする。したがって、図１は、いくつかの実施形態では、デバッグコンポーネント１０９およびエミュレーションコンポーネント１１１がシステムメモリ１０３（すなわちデバッグコンポーネント１０９’およびエミュレーションコンポーネント１１１’）にロードされ、アプリケーション１１２の実行がエミュレーションコンポーネント１１１’（すなわち、アプリケーション１１２’）内でエミュレートされることを示す。

【0039】

[045]いくつかの実施形態では、コンピュータシステム１０１は、ネットワーク化されたコンピューティング環境の一部であり、コンピュータシステム１０１は、（例えばネットワークデバイス１０５を使用して）１つまたは複数のリモートコンピュータシステムに接続され、各リモートコンピュータシステムは、対応するデバッグコンポーネント、対応するトレーサコンポーネント、または対応するエミュレーションコンポーネントの１つまたは複数を含む。例えば、図４は、例示的なコンピューティング環境４００を示し、（１つまたは複数の）ネットワーク４０１を介して（１つまたは複数の）リモートコンピュータシステム（リモートコンピュータシステム４０２ａ～リモートコンピュータシステム４０２ｎなど）に接続されているものとして図１のコンピュータシステム１０１を示す。一実施形態では、コンピュータシステム１０１は、それぞれがトレーサコンポーネントを含む１つまたは複数のリモートコンピュータシステムからネットワーク４０１を介して１つまたは複数の再生可能な実行トレース１１３を受信する（例えば、コンピュータシステム１０１でのデバッグコンポーネント１０９によるそれらのトレースの分析のために）。別の実施形態では、コンピュータシステム１０１は、トレーサコンポーネント１１０を使用して１つまたは複数の再生可能な実行トレース１１３を記録し、それらのトレースを、１つまたは複数のデバッグコンポーネントまたはエミュレーションコンポーネントをそれぞれ含む１つまたは複数のリモートコンピュータシステムにネットワーク４０１を介して送信する（例えば、リモートコンピュータシステムによるそれらのトレースの分析のため）。いくつかの実施形態では、コンピュータシステム１０１はまた、ネットワーク４０１を介して、１つまたは複数のリモートコンピュータシステムとの間でブロックリスト１１４を送受信する。

【0040】

[046]いくつかの実施形態では、デバッグコンポーネント１０９、トレーサコンポーネント１１０、および／またはエミュレーションコンポーネント１１１は、それぞれ独立したコンポーネントまたはアプリケーションであるが、他の実施形態では、それらは同じアプリケーションに代替的に統合される（デバッグスイートなど）、または別のソフトウェアコンポーネント（オペレーティングシステムコンポーネント、ハイパーバイザ、クラウドファブリックなど）に統合されることに留意されたい。したがって、本発明をコンピュータシステム１０１を含むクラウドコンピューティング環境で実施することもできることを当業者は理解されよう。例えば、いくつかの実施形態では、これらのコンポーネントは、ユーザのローカルコンピュータで実行される１つまたは複数のソフトウェアアプリケーションの形を取るが、他の実施形態では、クラウドコンピューティング環境によって提供されるサービスの形を取る。

【0041】

[047]いくつかの実施形態では、デバッグコンポーネント１０９は、アプリケーション１１２の以前の実行の分析の一部として、１つまたは複数の再生可能な実行トレース１１３を消費するツール（例えば、デバッガ、プロファイラ、クラウドサービスなど）である。ここで図２および６に関連してより詳細に説明するように、いくつかの実施形態では、デバッグコンポーネント１０９は、再生可能な実行トレース１１３などのコード実行ログデータにペイロードデータが含まれるのを防止するためにエントロピー分析を使用するための機能を提供する。追加または代替として、図３および７に関連してより詳細に説明するように、いくつかの実施形態では、デバッグコンポーネント１０９は、再生可能な実行トレース１１３からペイロードデータを除去するための機能を提供する。
Ｉ．コード実行ログデータにペイロードデータが含まれるのを防止するためのエントロピーの使用
[048]デバッグコンポーネント１０９のいくつかの実施形態が、コード実行ログデータにペイロードデータが含まれるのを防止するためにエントロピー分析を使用するための機能を提供することは上で述べた。これらの実施形態は、機密データアイテム（例えば、ＰＩＩ、暗号鍵、パスワードなど）が高エントロピーを有する傾向があるという観察を活用することによって、機密データアイテムをプログラムによって識別することが非常に困難であり得るという課題に対処する。この観察を使用して、これらの実施形態は、実行可能な命令や関数などへの入出力などの高エントロピーのデータアイテムを識別し、再生可能な実行トレースやイベントログなどのコード実行ログデータにそれらのデータアイテムが含まれるのを除外する。

【0042】

[049]本明細書で使用するとき、データアイテムの固有および／または文脈エントロピーが所定の閾値を満たすとき、データアイテムは「高いエントロピー」を有するとみなされる。いくつかの実施形態では、データアイテム内のエントロピーのビット数とデータアイテム内の総ビット数との比が所定の閾値を超える場合、データアイテムは、高い固有エントロピー（したがって高いエントロピー）を有するとみなされる。一例では、暗号鍵およびパスワードは、鍵／パスワードの総文字数に対して比較的多くの一意の文字を含む傾向があるため、固有エントロピーが高くなる傾向がある。逆に、自然言語テキストは、テキスト内の総文字数に対して比較的少数の一意の文字を含む傾向があるため、固有エントロピーが低くなる傾向がある。特に、高い固有エントロピーを有するデータアイテムは、低い固有エントロピーを有するデータアイテムと比較したとき、比較的低い内部文字反復を有し、したがって、高い固有エントロピーを有するデータアイテムは、高い固有エントロピーを有するデータアイテムと比較したとき、低い圧縮率を有する。逆に、低い固有エントロピーを有するデータアイテムは、高い固有エントロピーを有するデータアイテムと比較したとき、比較的高い内部文字反復を有し、したがって、低い固有エントロピーを有するデータアイテムは、低い固有エントロピーを有するデータアイテムと比較したとき、高い圧縮率を有する。したがって、いくつかの実施形態では、データアイテムが低い固有エントロピーを有するとみなされるか高い固有エントロピーを有するとみなされるかを決定するために、データアイテムの圧縮率が使用される。

【0043】

[050]いくつかの実施形態では、データアイテムの特定の値が出現する回数と、実行トレースのコレクション内でデータアイテムが現れる総回数との比が所定の閾値未満であるとき、またはデータアイテムの特定の値が出現するトレースの数と、実行トレースのコレクション内のトレースの総数との比が所定の閾値未満であるとき、データアイテムは高い文脈エントロピー（したがって高いエントロピー）を有するとみなされる。一例では、社会保障番号は、高い文脈エントロピーを有する傾向がある。これは、多数のコンピュータシステムにわたって収集された大きなデータコレクションを仮定して、所与の社会保障番号がめったに出現しない傾向があるからである。逆に、州名は、低い文脈エントロピーを有する傾向がある。これは、多数のコンピュータシステムにわたって収集された大きなデータコレクションを仮定して、所与の州名が頻繁に出現する傾向があるからである。

【0044】

[051]いくつかの実施形態では、コード実行ログデータを生成するコンピュータシステムは、コード実行ログデータに高エントロピーデータが含まれるのを除外するためのアクションを行う。一例では、コンピュータシステム１０１でのトレーサコンポーネント１１０による１つまたは複数の再生可能な実行トレース１１３の生成中、コンピュータシステム１０１でのデバッグコンポーネント１０９は、ブロックリスト１１４および／または固有エントロピー分析を使用して、高エントロピーペイロードデータアイテムを識別し、それらのペイロードデータアイテムをそれらのトレースから除外する。別の例では、コンピュータシステム１０１でのデバッグコンポーネント１０９によって生成された１つまたは複数の再生可能な実行トレース１１３の後処理中、コンピュータシステム１０１でのデバッグコンポーネント１０９は、ブロックリスト１１４および／または固有エントロピー分析を使用して、高エントロピーペイロードデータアイテムを識別し、それらのペイロードデータアイテムをそれらのトレースから除外する。いずれにせよ、高エントロピーペイロードデータアイテムは、ログデータがコンピュータシステム１０１から（例えばリモートコンピュータシステム４０２ａに）エクスポートされる前に、コード実行ログデータから除外される。

【0045】

[052]他の実施形態では、コード実行ログデータのコレクションを処理するコンピュータシステムは、ブロックリスト１１４内の高エントロピーデータと相互作用するコードを識別することによって、およびそのブロックリスト１１４を１つまたは複数のリモートコンピュータシステムに送信することによって、将来のコレクションに高エントロピーデータが含まれるのを除外するためのアクションを行う。これらの実施形態では、このコンピュータシステムは、高エントロピーデータアイテムを識別するために使用されたコード実行ログデータのコレクションから高エントロピーデータアイテムを除去することもできる。一例では、コンピュータシステム１０１でのデバッグコンポーネント１０９が、複数のリモートコンピュータシステムから受信されたアプリケーション１１２の複数の再生可能な実行トレース１１３を処理する間、デバッグコンポーネント１０９は、固有エントロピー分析および／または文脈エントロピー分析を使用して、この複数の実行トレース内の高エントロピーペイロードデータアイテムを識別する。次いで、デバッグコンポーネント１０９は、それらのデータアイテムと相互作用したコードへの参照に基づいて、それらのデータアイテムをブロックリスト１１４（またはシステムメモリ１０３内のブロックリスト１１４’）に追加し、このブロックリスト１１４をリモートコンピュータシステムに配布して、それらのリモートコンピュータシステムから収集される将来の実行トレースにそれらのデータアイテムが含まれるのを防止する。いくつかの実施形態では、デバッグコンポーネント１０９はまた、これらの高エントロピーペイロードデータアイテムを複数の実行トレースから除去する。

【0046】

[053]これらの概念をさらに実証するために、図２は、コード実行ログデータにペイロードデータが含まれるのを防止するためにエントロピーを使用するように構成されたデバッグコンポーネント２０１の一例２００（例えば、デバッグコンポーネント１０９の一実施形態）を示し、コード実行ログデータにペイロードデータが含まれるのを防止するためにエントロピーを使用するように動作するコンポーネント（例えば、ログデータ相互作用コンポーネント２０２、高エントロピーペイロード識別コンポーネント２０３、コード相互作用コンポーネント２０４、ブロックリスト相互作用コンポーネント２０５、予防アクションコンポーネント２０６、エクスポートコンポーネント２０７など）を含む。サブコンポーネントを含むデバッグコンポーネント２０１の図示されるコンポーネントは、本明細書で述べる様々な実施形態に従ってデバッグコンポーネント２０１が実装または利用することができる様々な機能を表す。しかし、図示されたコンポーネント（それらのアイデンティティ、サブコンポーネント、および配置を含む）は、本明細書で述べるデバッグコンポーネント２０１の様々な実施形態を説明するための補助として提示されているにすぎず、これらのコンポーネントは、本明細書で述べるデバッグコンポーネント２０１の様々な実施形態またはその特定の機能をソフトウェアおよび／またはハードウェアが実装する方法について限定しないことを理解されたい。

【0047】

[054]デバッグコンポーネント２０１を図６に関連して述べる。図６は、コード実行ログデータにペイロードデータが含まれるのを防止するためにエントロピーを使用するための方法６００の流れ図を示す。したがって、以下の論述では、方法および方法操作に言及する。方法操作は、特定の順序で論じられることがあり、または特定の順序で行われるものとして流れ図に示されることがあるが、特に指定されている場合を除き、またはある操作が、その操作が実施される前に完了した別の操作に依存しているため順序が必要とされる場合を除き、特定の順序は必要とされない。いくつかの実施形態では、方法６００を実装するための命令は、コンピュータシステム（例えばコンピュータシステム１０１）に方法６００を実施させるためにプロセッサ（例えばプロセッサ１０２）によって実行可能なハードウェア記憶デバイス（例えば永続ストレージ１０４）に記憶されているコンピュータ実行可能命令（例えばデバッグコンポーネント２０１）として符号化される。

【0048】

[055]ログデータ相互作用コンポーネント２０２は、コード実行ログデータ、例えば再生可能な実行トレース１１３、またはイベントログなどの他のコード実行ログと相互作用する。図示されているように、様々な実装形態において、ログデータ相互作用コンポーネント２０２は、ログデータアクセスコンポーネント２０２ａ（すなわち、永続ストレージ１０４に記憶されている再生可能な実行トレース１１３などの既存のコード実行ログデータにアクセスするため）、ログデータ生成コンポーネント２０２ｂ（すなわち、再生可能な実行トレース１１３などのコード実行ログデータを生成するため）、またはログデータ修正コンポーネント２０２ｃ（すなわち、永続ストレージ１０４に記憶されている再生可能な実行トレース１１３などの既存のコード実行ログデータを修正するため）の１つまたは複数を含む。ログデータ相互作用コンポーネント２０２によって作用されるコード実行ログデータのタイプは異なることがあるが、いくつかの実施形態では、コード実行ログデータは、再生可能な実行トレース１１３の１つなど、再生可能な実行トレースである。

【0049】

[056]高エントロピーペイロード識別コンポーネント２０３は、（例えばトレーサコンポーネント１１０による）コード実行ログデータの生成に関連して、またはコード実行ログデータの後処理に関連して、高エントロピーペイロードデータアイテムを識別する。コード相互作用コンポーネント２０４は、高エントロピーペイロードデータアイテムと、実行されたコードとの相互作用を分析することによって、またはブロックリスト１１４を調べることによって、高エントロピーペイロードデータアイテムと相互作用したコードを識別する。

【0050】

[057]図６を見ると、方法６００は、コード実行ログデータに関連付けられた高エントロピーペイロードデータアイテムを識別する操作６０１と、高エントロピーペイロードデータアイテムと相互作用した特定のコードを識別する操作６０２とを含む。操作６０１と操作６０２とは、操作間で任意の特定の順序を有さずに示されている。いくつかの実施形態では、まず操作６０１が、高エントロピーペイロードデータアイテムを識別し、次いで操作６０２が、高エントロピーペイロードデータアイテムと相互作用した特定のコードを識別する。他の実施形態では、操作が、ブロックリスト１１４から高エントロピーペイロードデータアイテムと相互作用した特定のコードを識別し、次いで操作６０１が、特定のコードが相互作用したアイテムとして高エントロピーペイロードデータアイテムを識別する。

【0051】

[058]いくつかの実施形態では、操作６０１は、コード実行ログデータに関連付けられたペイロードデータアイテムが、所定のエントロピー閾値を超えるエントロピーを有すると判定することを含む。いくつかの実施形態では、操作６０２は、ペイロードデータアイテムと相互作用した特定の実行可能コードを識別することを含む。いくつかの実施形態では、操作６０１および操作６０２は、ＰＩＩ、暗号鍵、パスワードなどの機密データであり得るペイロードデータを、そのペイロードデータと相互作用したコードと共に識別するという技術的効果を有する。特に、操作６０１で、機密データであり得るペイロードデータを識別し、操作６０２で、機密データと相互作用したコードを識別することにより、この高エントロピーペイロードデータをコード実行ログデータから除外できるようにすることにより、データセキュリティを向上させることができる。

【0052】

[059]図示されているように、高エントロピーペイロード識別コンポーネント２０３は、所与のデータアイテムに関する計算されたエントロピーが「高エントロピー」であるとみなされるのがどんな場合であるかを定義する閾値２０３ｃを含む。固有および文脈エントロピーの議論に鑑みて理解されるように、いくつかの実施形態では、これらの閾値２０３ｃは比に基づく。

【0053】

[060]これも図示されているように、いくつかの実施形態では、高エントロピーペイロード識別コンポーネント２０３は、固有エントロピーコンポーネント２０３ａを含む。いくつかの実施形態では、固有エントロピーコンポーネント２０３ａは、その固有エントロピーに基づいてペイロードデータを分析する。したがって、操作６０１のいくつかの実施形態では、ペイロードデータアイテムが所定のエントロピー閾値を超えるエントロピーを有すると判定することは、ペイロードデータアイテムが所定のエントロピー閾値を超える固有エントロピーを有すると判定することを含む。

【0054】

[061]論じたように、データアイテム内のエントロピーのビット数とデータアイテム内の総ビット数との比が所定の閾値（すなわち閾値２０３ｃ）を超える場合、データアイテムは、高い固有エントロピー（したがって高いエントロピー）を有する。したがって、操作６０１のいくつかの実施形態では、ペイロードデータアイテムが所定のエントロピー閾値を超える固有エントロピーを有すると判定することは、ペイロードデータアイテム内のエントロピーのビット数と、ペイロードデータアイテム内の総ビット数との比を計算することを含む。これも論じたように、いくつかの実施形態では、データアイテムが低い固有エントロピーを有するか（すなわち、比較的高い圧縮率を有するとき）、高い固有エントロピーを有するか（すなわち、比較的低い圧縮率を有するとき）を決定するために、データアイテムの圧縮率が使用される。したがって、操作６０１のいくつかの実施形態では、ペイロードデータアイテムが所定のエントロピー閾値を超える固有エントロピーを有すると判定することは、ペイロードデータアイテムの圧縮率を計算することを含む。

【0055】

[062]これも図示されているように、いくつかの実施形態では、高エントロピーペイロード識別コンポーネント２０３は、文脈エントロピーコンポーネント２０３ｂを含む。いくつかの実施形態では、文脈エントロピーコンポーネント２０３ｂは、その文脈エントロピーに基づいてペイロードデータを分析する。いくつかの実施形態では、データアイテムの特定の値が出現する回数と、実行トレースのコレクション内でデータアイテムが現れる総回数との比が所定の閾値（すなわち閾値２０３ｃ）未満であるとき、データアイテムは高い文脈エントロピー（したがって高いエントロピー）を有する。他の実施形態では、データアイテムの特定の値が出現するトレースの数と、実行トレースのコレクション内でのトレースの総数との比が所定の閾値（すなわち閾値２０３ｃ）未満であるとき、データアイテムは高い文脈エントロピー（したがって高いエントロピー）を有する。したがって、操作６０１のいくつかの実施形態では、ペイロードデータアイテムが所定のエントロピー閾値を超えるエントロピーを有すると判定することは、ペイロードデータアイテムが所定のエントロピー閾値を超える文脈エントロピーを有すると判定することを含み、文脈エントロピーは、複数の関連するコード実行ログから識別された複数の関連するペイロードデータアイテムに関する。

【0056】

[063]いくつかの実施形態では、操作６０１で高エントロピーペイロードデータアイテムを識別するとき、高エントロピーペイロード識別コンポーネント２０３は、ブロックリスト相互作用コンポーネント２０５を利用して、ネットワーク４０１を介してリモートコンピュータシステムから受信されたブロックリストなどブロックリスト１１４からの既知の高エントロピーペイロードデータを識別する。論じたように、いくつかの実施形態では、ブロックリスト１１４は、データアイテムを消費または生成したコードなど、データアイテムと相互作用したコードを参照して高エントロピーデータアイテムを識別する。したがって、操作６０１のいくつかの実施形態では、ペイロードデータアイテムが所定のエントロピー閾値を超えるエントロピーを有すると判定することは、ペイロードデータアイテムと相互作用した（操作６０２で識別された）特定の実行可能コードへの参照に少なくとも基づいて、ブロックリストからペイロードデータアイテムを識別することを含む。

【0057】

[064]いくつかの実施形態では、高エントロピーペイロード識別コンポーネント２０３は、例えば、コード実行ログデータを生成したコンピュータシステムによって、またはコード実行ログデータを別のコンピュータシステムから受信するコンピュータシステムによって、コード実行ログデータの後処理中に動作する。したがって、操作６０１のいくつかの実施形態では、ペイロードデータアイテムが所定のエントロピー閾値を超えるエントロピーを有すると判定することが、コード実行ログデータの後処理中にペイロードデータアイテムを識別することを含む。他の実施形態では、高エントロピーペイロード識別コンポーネント２０３は、トレーサコンポーネント１１０によるトレース記録中など、コード実行ログデータの生成中に動作する。したがって、操作６０１のいくつかの実施形態では、ペイロードデータアイテムが所定のエントロピー閾値を超えるエントロピーを有すると判定することが、コード実行ログデータの生成中にペイロードデータアイテムを識別することを含む。

【0058】

[065]上で論じたように、操作６０２で、コード相互作用コンポーネント２０４は、ペイロードデータアイテムと相互作用した特定の実行可能コードを識別する。様々な実施形態において、この相互作用は、ペイロードデータアイテムの消費（操作６０２で、ペイロードデータアイテムと相互作用した特定の実行可能コードを識別することが、ペイロードデータアイテムを消費した実行可能コードを識別することを含む）、またはペイロードデータアイテムの生成（操作６０２で、ペイロードデータアイテムと相互作用した特定の実行可能コードを識別することが、ペイロードデータアイテムを生成した実行可能コードを識別することを含む）でよい。コード相互作用コンポーネント２０４が実行可能コードを識別する粒度は、例えば、命令レベル（操作６０２で、ペイロードデータアイテムと相互作用した特定の実行可能コードを識別することが、特定の実行可能命令を識別することを含む）や機能レベル（操作６０２で、ペイロードデータアイテムと相互作用した特定の実行可能コードを識別することが、特定の機能を識別することを含む）などで変化し得る。

【0059】

[066]予防アクションコンポーネント２０６は、（例えばエクスポートコンポーネント２０７による）ペイロードデータのエクスポートを防止するため、ペイロードデータアイテムがコード実行ログデータに含まれるのを防止するため、および／またはペイロードデータアイテムをブロックリストに追加するための予防アクションを行う。図６を見ると、方法６００は、特定のコードの実行の記録から高エントロピーペイロードデータアイテムを除外するアクションを行う操作６０３を含む。いくつかの実施形態では、操作６０３は、特定の実行可能コードの実行の記録にペイロードデータアイテムが含まれるのを除外する予防アクションを行うことを含む。

【0060】

[067]上述したように、いくつかの実施形態では、予防アクションコンポーネント２０６は、ペイロードデータのエクスポートを防止する予防アクションを行う。したがって、図６に示されるように、いくつかの実施形態では、操作６０３は、ペイロードデータアイテムのエクスポートを防止する操作６０３ａを含み、操作６０３での予防アクションは、ペイロードデータアイテムがコンピュータシステムからエクスポートされるのを防止することを含む。例えば、いくつかの実施形態では、予防アクションコンポーネント２０６は、コード実行ログデータがエクスポートコンポーネント２０７によってリモートコンピュータシステムにエクスポートされるときに、コード実行ログデータから高エントロピーペイロードデータアイテム（操作６０１で高エントロピーペイロード識別コンポーネント２０３によって識別される）を除去する。

【0061】

[068]上述したように、いくつかの実施形態では、予防アクションコンポーネント２０６は、ペイロードデータアイテムがコード実行ログデータに含まれるのを防止する予防アクションを行う。したがって、図６に示されるように、追加または代替実施形態では、操作６０３は、コード実行ログデータにペイロードデータアイテムが含まれるのを防止する操作６０３ｂを含み、操作６０３での予防アクションは、コード実行ログデータにペイロードデータアイテムが含まれるのを防止することを含む。例えば、いくつかの実施形態では、予防アクションコンポーネント２０６は、現在生成されているコード実行ログデータに高エントロピーデータアイテム（操作６０１で高エントロピーペイロード識別コンポーネント２０３によって識別される）が含まれるのを防止し、および／またはそれらの高エントロピーデータアイテムを既存のコード実行ログデータから除去する。

【0062】

[069]様々な実施形態において、ペイロードデータアイテムがコード実行ログデータに含まれるのを防止することは、コード実行ログデータ内のペイロードデータアイテムを、（ｉ）代替データ、（ｉｉ）ペイロードデータアイテムに対する１つまたは複数の制約、または（ｉｉｉ）特定の実行可能コードに関するコードフローオーバーライドのうちの１つまたは複数で置き換えることを含む。これらの技法は、実行トレースからのペイロードデータの除去を達成するための方法を述べる図３および７に関連してより詳細に論じる。

【0063】

[070]上述したように、いくつかの実施形態では、予防アクションコンポーネント２０６は、ペイロードデータアイテムをブロックリストに追加する予防アクションを行う。したがって、図６に示されるように、追加または代替実施形態では、操作６０３は、ペイロードデータアイテムをブロックリストに追加する操作６０３ｃを含み、操作６０３での予防アクションは、特定の実行可能コードを参照してペイロードデータアイテムをブロックリストに追加することを含み、ブロックリストは、後で生成されるコード実行ログデータにペイロードデータアイテムが含まれるのを防止するように構造化される。例えば、いくつかの実施形態では、予防アクションコンポーネント２０６は、ブロックリスト相互作用コンポーネント２０５を使用して、それらのデータアイテムと相互作用する（操作６０２でのコード相互作用コンポーネント２０４によって識別された）コードを参照して、高エントロピーデータアイテム（操作６０１で高エントロピーペイロード識別コンポーネント２０３によって識別される）をブロックリスト１１４に追加する。したがって、操作６０３ａは、まだ生成されていないコード実行ログデータに高エントロピーデータアイテムが含まれるのを防止する効果を有する。

【0064】

[071]いくつかの実施形態では、デバッグコンポーネント２０１は、コード実行ログデータにペイロードデータが含まれるのを防止するときに過渡的に動作し、したがって、高エントロピーペイロードデータ（派生物を含む）の複数のインスタンスがコード実行ログデータに含まれるのを除外される。例えば、いくつかの実施形態では、高エントロピーペイロード識別コンポーネント２０３は、特定の機能の第１のパラメータのデータが高エントロピー値であると判定したとき、同様にそのデータ（またはそのコピー／派生物）とも相互作用する任意の追加のコード位置も識別する。次いで、予防アクションコンポーネント２０６は、これらの識別されたコード位置それぞれに関して予防アクションを行って、コード実行ログデータにこのデータが含まれるのを除外する。例えば、第１のパラメータ（またはその派生物）が後で文字列として画面に印刷される場合、いくつかの実施形態では、高エントロピーペイロード識別コンポーネント２０３は、この文字列ペイロードを印刷する、およびその文字列ペイロードをクリアするコードを識別する。いくつかの実施形態では、記録されたコードパスに印刷ルーチンがない場合でさえ、これが当てはまる。したがって、いくつかの実施形態では、デバッグコンポーネント２０１は、コード実行ログデータから高エントロピーペイロードデータ（その派生物を含む）のすべてのインスタンスを過渡的に除外するように動作する。したがって、方法６００のいくつかの実施形態では、方法６００は、ペイロードデータアイテムの追加インスタンスまたはその派生物が別の実行可能コードの別の実行記録に含まれるのを除外するために過渡的に適用される。

【0065】

[072]いくつかの実施形態では、ペイロードデータアイテムがエクスポートコンポーネント２０７によってエクスポートされるのが防止され、コード実行ログデータに含まれるのが防止され、および／またはコード実行ログデータから除去されたとしても、いくつかの実施形態では、予防アクションコンポーネント２０６は、これらのペイロードデータアイテムを（例えば永続ストレージ１０４に）個別に保持すると共に、場合によってはそれらのデータ時間を暗号化または他の方法で保護する。いくつかの実施形態では、この保持により、必要が生じた場合には、それらのデータ時間を後で提供して、コード実行ログデータの分析を容易にすることができる。したがって、方法６００のいくつかの実施形態では、ペイロードデータアイテムは、コード実行ログデータとは別にコンピュータシステムに保持される。

【0066】

[073]特に、例えば、操作６０３ａでペイロードデータアイテムのエクスポートを防止することによって、操作６０３ｂでコード実行ログデータにペイロードデータアイテムが含まれるのを防止することによって、または操作６０３ｃでペイロードデータアイテムをブロックリストに追加することによって、高エントロピーデータをコード実行記録から除外することにより、コード実行ログデータから高エントロピーデータを除外してデータセキュリティを向上させることができる。これには、コード実行ログデータを介して機密データアイテムが不用意に露出されるのを防ぐという技術的効果がある。さらに、高エントロピーペイロードデータアイテムをコード実行記録から除外することで、再生可能な実行トレース１１３など容易に圧縮可能でないことが多い高エントロピーデータの除去を含めてデータの一部を除去することによって、コード実行ログデータのサイズが減少され、これは、コンピューティングリソースを節約するという追加の技術的効果を有する。例えば、再生可能な実行トレース１１３のサイズを減少させることで、それらのトレースを分析するときの処理リソースが節約され、それらのトレースを記憶および転送するために必要とされるストレージおよびネットワークリソースが節約される。
ＩＩ． 実行トレースからのペイロードデータの除去
[074]デバッグコンポーネント１０９のいくつかの実施形態が、追加または代替として、再生可能な実行トレース１１３からペイロードデータを除去するための機能を提供することは前述した。これらの実施形態は、コードおよび／またはデータフロー分析、メモリ局所性分析、メモリアクセスパターン分析、キャッシュ使用量分析、競合状態分析、バッファオーバーフロー分析、従来のデバッグなど、多くの形式の実行トレース分析にペイロードデータが頻繁に実質的に寄与していないという認識に基づいている。実行トレースからこのペイロードデータを除去することによって、これらの実施形態は、データセキュリティを改良し（すなわちそのようなデータ実行トレースを除去することによって）、またトレースファイルサイズを大幅に削減する。

【0067】

[075]概念上、これらの実施形態は、実行トレースを、実行された各命令へのすべての入力およびすべての出力（すなわちペイロードデータ）を明示的または本来的にキャプチャするものから、実行された実際のコード、そのコードをそのように実行させた原因に関する情報、およびメモリアクセスパターン（すなわちアクセスされるメモリアドレス）を含むものに変換する。特に、これらの実施形態は、実行トレースを処理して、実行可能な命令や関数などへの入力およびそれらからの出力など、ペイロードデータアイテムを識別する。識別されたペイロードデータアイテムごとに、これらの実施形態は、ペイロードデータアイテムと相互作用したコードの実行がペイロードデータアイテムに課した制約を決定する。次いで、これらの実施形態は、実行トレース内のペイロードデータアイテムの値を、それらの制約を維持する情報に置き換える。いくつかの実施形態では、この情報は、ペイロードデータアイテムと相互作用した実際の実行可能コード、ペイロードデータアイテムのメモリアドレス、および／またはペイロードデータアイテムによって影響を及ぼされるコードフローを保存するように構造化されたデータ（例えば、コードフローを保存するペイロードデータアイテムに関する置換値、コードフローを保存するデータアイテムに関する有効値の仕様、従うべきコードパスの命令など）を含む。

【0068】

[076]これらの概念をさらに実証するために、図３は、実行トレースからペイロードデータを除去するように動作するコンポーネント（例えば、トレース相互作用コンポーネント３０２、ペイロード識別コンポーネント３０３、コード相互作用コンポーネント３０４、制約識別コンポーネント３０５、ペイロード置換コンポーネント３０６など）を含む、実行トレースからペイロードデータを除去するように構成されたデバッグコンポーネント３０１（例えばデバッグコンポーネント１０９の一実施形態）の一例３００を示す。サブコンポーネントを含むデバッグコンポーネント３０１の図示されるコンポーネントは、本明細書で述べる様々な実施形態に従ってデバッグコンポーネント３０１が実装または利用することができる様々な機能を表す。しかし、図示されたコンポーネント（それらのアイデンティティ、サブコンポーネント、および配置を含む）は、本明細書で述べるデバッグコンポーネント３０１の様々な実施形態を説明するための補助として提示されているにすぎず、これらのコンポーネントは、本明細書で述べるデバッグコンポーネント３０１の様々な実施形態またはその特定の機能をソフトウェアおよび／またはハードウェアが実装する方法について限定しないことを理解されたい。

【0069】

[077]デバッグコンポーネント３０１を図７に関連して述べる。図７は、実行トレースからペイロードデータを除去するための方法７００の流れ図を示す。したがって、以下の論述では、方法および方法操作に言及する。方法操作は、特定の順序で論じられることがあり、または特定の順序で行われるものとして流れ図に示されることがあるが、特に指定されている場合を除き、またはある操作が、その操作が実施される前に完了した別の操作に依存しているため順序が必要とされる場合を除き、特定の順序は必要とされない。いくつかの実施形態では、方法７００を実装するための命令は、コンピュータシステム（例えばコンピュータシステム１０１）に方法７００を実施させるためにプロセッサ（例えばプロセッサ１０２）によって実行可能なハードウェア記憶デバイス（例えば永続ストレージ１０４）に記憶されているコンピュータ実行可能命令（例えばデバッグコンポーネント３０１）として符号化される。

【0070】

[078]トレース相互作用コンポーネント３０２は、再生可能な実行トレース１１３などの実行トレースと相互作用する。図示されているように、トレース相互作用コンポーネント３０２は、トレースアクセスコンポーネント３０２ａ（すなわち、既存の実行トレースにアクセスするため）、およびトレース修正コンポーネント３０２ｂ（すなわち、既存の実行トレースを修正するため）を含む。

【0071】

[079]ペイロード識別コンポーネント３０３は、トレースアクセスコンポーネント３０２ａによってアクセスされた実行トレースからペイロードアイテムを識別する。いくつかの実施形態では、ペイロード識別コンポーネント３０３は、コード命令、関数、モジュールなどへの入力およびそこからの出力を識別する。いくつかの実施形態では、ペイロード識別コンポーネント３０３は、各ペイロードアイテムに対応するメモリアドレス（またはさらには、ある範囲のメモリアドレス）も識別する。いくつかの実施形態では、ペイロード識別コンポーネント３０３は、変数名、構造名、クラス名など、各ペイロードアイテムに関する名前またはラベルも識別する。図７を参照すると、方法７００は、実行トレースからペイロードデータアイテムを識別する操作７０１を含む。いくつかの実施形態では、操作７０１は、トレース相互作用コンポーネント３０２によってアクセスされる再生可能な実行トレース１１３の１つの中にあるペイロードデータアイテムを識別することを含む。

【0072】

[080]コード相互作用コンポーネント３０４は、ペイロード識別コンポーネント３０３によって識別された各ペイロードデータアイテムと相互作用したコードを識別する。前述したように、ペイロード識別コンポーネント３０３は、コード命令、関数、モジュールなどへの入力およびそこからの出力を識別する。したがって、コード相互作用コンポーネント３０４は、これらの命令、関数、モジュールなどのコードを識別する。いくつかの実施形態では、コード相互作用コンポーネント３０４はさらに、このコードがどのメモリアドレスからアクセスされたかを識別する。図７を見ると、方法７００は、ペイロードデータアイテムと相互作用した特定のコードを識別する操作７０２を含む。いくつかの実施形態では、操作７０２は、操作７０１でペイロード識別コンポーネント３０３によって識別されたペイロードデータアイテムと相互作用した特定の実行可能コードを識別することを含む。

【0073】

[081]操作７０１および操作７０２の例では、実行トレースは、以下のような文字列コピー関数の実行を記録する。

【0074】

【数1】

ここで、＊ｓｒｃによって指し示されるメモリアドレスから始まるメモリブロックに記憶されている文字に、以下のような文字列「Ｓａｍｐｌｅ」が記憶されていると仮定する。

【0075】

【表1】

このとき、ｓｔｒｃｐｙ（）関数の実行後、これらの同じ文字が、＊ｄｅｓｔによって指し示されるメモリの別のブロックにコピーされる。例として、この実行トレースを処理するとき、ペイロード識別コンポーネント３０３は、ｗｈｉｌｅループの反復ごとに、「Ｓａｍｐｌｅ」文字列の文字の１つを、それらのペイロードアイテムに関する対応するメモリアドレスと共に、分岐命令への入力（例えば、ｗｈｉｌｅに対応する）、メモリロード命令への入力、およびメモリ記憶命令への入力として識別する。これに対応して、コード相互作用コンポーネント３０４は、これらの命令を、これらのペイロードデータアイテムと相互作用したコードとして、そのコードに関する対応するメモリアドレスと共に識別する。

【0076】

[082]制約識別コンポーネント３０５は、コード相互作用コンポーネント３０４によって識別されたコードの実行がペイロード識別コンポーネント３０３によって識別されたペイロードに課す制約を識別する。図７を見ると、方法７００は、特定のコードの実行がペイロードデータアイテムに課した制約を決定する操作７０３を含む。いくつかの実施形態では、操作７０３は、ペイロードデータアイテムおよび特定の実行可能コードに基づいて、特定の実行可能コードの実行がペイロードデータアイテムに課す１つまたは複数の制約を決定することを含む。

【0077】

[083]図示されているように、いくつかの実施形態では、制約識別コンポーネント３０５は、コードバイトコンポーネント３０５ａを備える。理解されるように、ペイロードデータと相互作用する実際のコードは、コード入力としてのそのペイロードデータに対する固有の制約である。したがって、いくつかの実施形態では、コードバイトコンポーネント３０５ａは、実行トレースに含めるために、実行されたコードの実際のバイトを識別する。いくつかの実施形態では、コードバイトコンポーネント３０５ａは、コード相互作用コンポーネント３０４によって識別されたコードメモリアドレスに記憶されているデータに基づいて、これらのコードバイトを識別する。図７に示されるように、いくつかの実施形態では、操作７０３は、コードバイトを識別する操作７０３ａを含む。したがって、操作７０３のいくつかの実施形態では、１つまたは複数の制約は、特定の実行可能コードの１つまたは複数のバイトを含む。一例では、上記のｓｔｒｃｐｙ（）の例で動作するとき、コードバイトコンポーネント３０５ａは、ｓｔｒｃｐｙ（）関数の実際のコードを識別する。

【0078】

[084]これも図示されているように、いくつかの実施形態では、制約識別コンポーネント３０５は、メモリアドレスコンポーネント３０５ｂを備える。理解されるように、実行可能コードがペイロードデータにアクセスした場所が、そのペイロードデータに対する場所の制約を課す。したがって、いくつかの実施形態では、メモリアドレスコンポーネント３０５ｂは、実行トレースに含めるために、ペイロードデータアイテムがアクセスされたメモリアドレスを識別する。図７に示されるように、いくつかの実施形態では、操作７０３は、メモリアドレスを識別する操作７０３ｂを含む。したがって、操作７０３のいくつかの実施形態では、１つまたは複数の制約は、ペイロードデータアイテムに対応するメモリアドレスを含む。一例では、上記のｓｔｒｃｐｙ（）の例で動作するとき、メモリアドレスコンポーネント３０５ｂは、ｓｒｃおよびｄｅｓｔ文字列内の各文字のメモリアドレスを識別する。

【0079】

[085]これも図示されているように、いくつかの実施形態では、制約識別コンポーネント３０５は、コードフローコンポーネント３０５ｃを備える。理解されるように、ペイロードデータとの相互作用により生じるコードフローは、同じコードフローを保存するペイロードデータの取り得る値に制約を課す。したがって、いくつかの実施形態では、コードフローコンポーネント３０５ｃは、実行トレースに含めるために、ペイロードデータに対するコードフロー制約を識別する。図７に示されるように、いくつかの実施形態では、操作７０３は、コードフローを保存するように構造化されたデータを識別する操作７０３ｃを含む。したがって、操作７０３のいくつかの実施形態では、１つまたは複数の制約は、コードフローを保存するように構造化されたデータを含む。

【0080】

[086]いくつかの実施形態では、コードフローコンポーネント３０５ｃは、ペイロードデータアイテムに関する置換値の形でコードフローを保存するように構造化されたデータを識別し、置換値は、ペイロードデータアイテムの元の値を置き換えるときに適切なコードフローを保存する値である。したがって、いくつかの実施形態では、操作７０３ｃは、ペイロードデータアイテムに関する置換値を含み、置換値は、コードフローを保存するように構造化される。

【0081】

[087]いくつかの実施形態では、コードフローコンポーネント３０５ｃは、ランダム値生成に基づいてこの置換値を選択し、操作７０３ｃは、ランダム値生成に基づいて置換値を識別することを含む。いくつかの実施形態では、コードフローコンポーネント３０５ｃがランダム値に基づいて置換値を選択するとき、コードフローコンポーネント３０５ｃは、（例えば擬似ランダム値生成技法を使用して）ペイロードデータアイテムに適切なデータサイズのランダム値を生成し、次いで、ランダムに生成されたその値がペイロードデータアイテムの値として使用された場合にコードフローを保存するかどうかをチェックする。コードフローを保存する場合、コードフローコンポーネント３０５ｃは、そのランダムに生成された値を置換値として選択する。コードフローを保存しない場合、コードフローコンポーネント３０５ｃは、コードフローを保存する値が識別されるまで、新しいランダム値を生成してチェックする。特に、いくつかの実施形態では、コードフローコンポーネント３０５ｃは、ペイロードデータアイテムの元の値と同一のランダム値の生成を可能にする。一例では、上記のｓｔｒｃｐｙ（）の例で動作するとき、コードフローコンポーネント３０５ｃは、「Ｓａｍｐｌｅ」文字列の各英字に対して異なるランダムな１バイト値を生成する。ここで、非ヌルバイト（例えば０×０以外のバイト）はコードフローを保存する。

【0082】

[088]追加または代替実施形態では、コードフローコンポーネント３０５ｃは、利用可能な置換値のセットからの検索に基づいてこの置換値を選択し、操作７０３ｃは、利用可能な置換値のセットからの検索に基づいて置換値を識別することを含む。いくつかの実施形態では、コードフローコンポーネント３０５ｃが、検索に基づいて置換値を選択するとき、コードフローコンポーネント３０５ｃは、利用可能な置換値の所定のセットから１つの値を選択し、次いで、その値が、ペイロードデータアイテムの値として使用された場合にコードフローを保存するか否かをチェックする。コードフローを保存する場合、コードフローコンポーネント３０５ｃは、その選択された値を置換値として選択する。コードフローを保存しない場合、コードフローコンポーネント３０５ｃは、コードフローを保存する値が識別されるまで、セットからの他の値を選択しチェックする。特に、いくつかの実施形態では、コードフローコンポーネント３０５ｃは、ペイロードデータアイテムの元の値と同一の値の選択を可能にする。いくつかの実施形態では、利用可能な置換値のセットには、それらの値の多くのインスタンスを含む実行トレースの圧縮性を促進する値（例えば、０×０、０×Ａ、０×Ｆなど）が投入される。一例では、上記のｓｔｒｃｐｙ（）の例で動作するとき、コードフローコンポーネント３０５ｃは、利用可能な値のセットから、文字列の各文字に関して利用可能な１バイト値を生成する。ここで、０×Ａや０×Ｆなど任意の非ヌルバイトはコードフローを保存する。

【0083】

[089]追加または代替実施形態では、コードフローコンポーネント３０５ｃは、少なくともペイロードデータアイテムのハッシュの計算に基づいてこの置換値を選択し、操作７０３ｃは、ペイロードデータアイテムのハッシュの計算に基づいて置換値を生成することを含む。いくつかの実施形態では、コードフローコンポーネント３０５ｃは、生成されたハッシュが、ペイロードデータアイテムの置換値として使用された場合、およびそうであるならばコードフローコンポーネント３０５ｃがそのハッシュを置換値として選択した場合にコードフローを保存するかどうかをチェックする。したがって、操作７０３ｃのいくつかの実施形態では、実行トレース内のペイロードデータアイテムの値を１つまたは複数の制約を維持する情報で置き換えることは、ペイロードデータアイテムの値をハッシュで置き換えることを含む。いくつかの実施形態では、生成されたハッシュが、ペイロードデータアイテムの置換値として使用される場合にコードフローを保存しない場合、コードフローコンポーネント３０５ｃは、本明細書で論じる他の置換値選択技法（例えば、ランダムに生成された値、利用可能な置換値のセットから選択された値など）の１つを使用し、その置換値をハッシュでタグ付けする。したがって、操作７０３ｃのいくつかの実施形態では、実行トレース内のペイロードデータアイテムの値を１つまたは複数の制約を維持する情報で置き換えることは、置換値をハッシュでタグ付けすることを含む。一例では、上記のｓｔｒｃｐｙ（）の例で動作するとき、コードフローコンポーネント３０５ｃは、文字列の各英字のハッシュを生成する。ここで、これらのハッシュは非ヌルであり、したがってコードフローを保存し、文字列の各英字のための置換として使用される。

【0084】

[090]いくつかの実施形態では、コードフローコンポーネント３０５ｃがハッシュに基づいて置換値を選択するとき、コードフローコンポーネント３０５ｃは、単独で、またはソルトと組み合わせて、ペイロードデータアイテムの値をハッシュする。したがって、操作７０３ｃのいくつかの実施形態では、ペイロードデータアイテムのハッシュを計算することは、ペイロードデータアイテムにソルトを適用することを含む。いくつかの実施形態では、コードフローコンポーネント３０５ｃは、特定のバグまたは欠陥を分析するなどの共通の目的に関して分析されているトレースのセット内の値をハッシュするとき、同じソルトを使用する。このようにして、同じ値を有するペイロードは、このトレースのセット全体にわたって同じハッシュで置き換えられ（または少なくともタグ付けされ）、したがって分析中に互いに関連付けることができる。しかし、他のトレースセットに関して異なるソルトが使用される場合、異なるソルトが使用されるときには異なるハッシュを有するので、すべてのトレースにわたるペイロードの全体的な難読化が保たれる。

【0085】

[091]追加または代替実施形態では、コードフローコンポーネント３０５ｃは、（例えばブール充足可能性問題（ＳＡＴ）技法を使用して）制約ソルバの実行に基づいてこの置換値を選択し、操作７０３ｃは、少なくとも特定の実行可能コードに対する制約ソルバの実行に基づいて置換値を識別することを含む。いくつかの実施形態では、コードフローコンポーネント３０５ｃが制約ソルバに基づいて置換値を選択するとき、コードフローコンポーネント３０５ｃは、制約ソルバを使用して、ペイロードデータアイテムと相互作用したコードを分析する。一例では、上記のｓｔｒｃｐｙ（）の例で動作するとき、コードフローコンポーネント３０５ｃは、ｗｈｉｌｅループを構成するコードに対して制約ソルバを実行する。

【0086】

[092]いくつかの実施形態では、コードフローコンポーネント３０５ｃは、ペイロードデータアイテムに関する１つまたは複数の有効な値のセットの仕様の形でコードフローを保存するように構造化されたデータを識別する。したがって、操作７０３ｃのいくつかの実施形態では、コードフローを保存するように構造化されたデータは、ペイロードデータアイテムに関する１つまたは複数の有効な値のセットの仕様を含む。１つまたは複数の有効な値のセットの仕様は、値の範囲（例えば、１～１０）、値のセット（例えば、１、２、４、８、および１０）、フラグ（例えば、ゼロまたは非ゼロ）、境界値（例えば、７未満）など様々な形を取ることができる。一例では、上記のｓｔｒｃｐｙ（）の例で動作するとき、コードフローコンポーネント３０５ｃは、「Ｓａｍｐｌｅ」文字列の各英字を非ヌル文字で置き換えることができることを指定する。

【0087】

[093]いくつかの実施形態では、コードフローコンポーネント３０５ｃは、従うべきコードパスの命令の形式でコードフローを保存するように構造化されたデータを識別する。したがって、操作７０３ｃのいくつかの実施形態では、コードフローを保存するように構造化されたデータは、特定の実行可能コード内で従うべきコードパスの命令を含む。従うべきコードパスの命令は、例えば、制御ステートメントのどの分岐を選択すべきかについての指示や、ステートメントが真または偽と評価されるべきかについての指示などを含むことができる。一例では、上記のｓｔｒｃｐｙ（）の例で動作するとき、「Ｓａｍｐｌｅ」文字列の各英字に関して、コードフローコンポーネント３０５ｃは、ｗｈｉｌｅループを継続すべきであることを示し、ヌル終端文字に関しては、ｗｈｉｌｅループを終了すべきであることを示す。理解されるように、従うべきコードパスの命令を指定することによって、関連するペイロードデータをトレースから完全に省くことができる。

【0088】

[094]ペイロード置換コンポーネント３０６は、操作７０３において制約識別コンポーネント３０５によって識別された制約に基づいて、ペイロードデータ置換を実行する。図７を参照すると、方法７００は、制約を維持する情報でペイロードデータアイテムを置き換える操作７０４を含む。いくつかの実施形態では、操作７０４は、実行トレース内のペイロードデータアイテムの値を、１つまたは複数の制約を維持する情報で置き換えることを含む。

【0089】

[095]論じたように、いくつかの実施形態では、１つまたは複数の制約は、ペイロードデータと相互作用する実際のコード（コードバイトコンポーネント３０５ａ）を含む。それに対応して、いくつかの実施形態では、ペイロード置換コンポーネント３０６は、少なくともペイロードデータと相互作用したコードバイトを実行トレースにログ記録するコードバイトコンポーネント３０６ａを備える。したがって、操作７０４のいくつかの実施形態では、１つまたは複数の制約を維持する情報は、特定の実行可能コードの１つまたは複数のバイトを含む。したがって、図示されているように、いくつかの実施形態では、操作７０４は、コードバイトをログ記録する操作７０４ａを含む。いくつかの実施形態では、操作７０４ａは、実行可能コードへのアクセスを可能にして実行トレース分析を容易にするという技術的効果を有する。

【0090】

[096]論じたように、いくつかの実施形態では、１つまたは複数の制約は、ペイロードデータと相互作用する実際のコード（コードバイトコンポーネント３０５ａ）を含む。それに対応して、いくつかの実施形態では、ペイロード置換コンポーネント３０６は、少なくともペイロードデータに対応するメモリアドレスをログ記録するメモリアドレスコンポーネント３０６ｂを備える。したがって、操作７０４のいくつかの実施形態では、１つまたは複数の制約を維持する情報は、メモリアドレスを含む。したがって、図示されているように、いくつかの実施形態では、操作７０４は、メモリアドレスをログ記録する操作７０４ｂを含む。いくつかの実施形態では、操作７０４ｂは、元のペイロードデータが存在しなくても、メモリ使用量の分析（例えば、コードおよび／またはデータフロー分析、メモリ局所性分析、メモリアクセスパターン分析、キャッシュ使用量分析、競合状態分析、バッファオーバーフロー分析、従来のデバッグなど）を可能にする技術的効果を有する。

【0091】

[097]論じたように、いくつかの実施形態では、１つまたは複数の制約は、ペイロードデータとの相互作用から生じるコードフローを含む（コードフローコンポーネント３０５ｃ）。それに対応して、いくつかの実施形態では、ペイロード置換コンポーネント３０６は、少なくともコードフローを保存するように構造化されたデータをログ記録するコードフローコンポーネント３０６ｃを備える。したがって、操作７０４のいくつかの実施形態では、１つまたは複数の制約を維持する情報は、コードフローを保存するように構造化されたデータを含み、コードフローは、例として、ペイロードデータアイテムに関する置換値、または特定の実行可能コード内で従うべきコードパスの命令を含むことができる。したがって、図示されているように、いくつかの実施形態では、操作７０４は、コードフローを保存するように構造化されたデータをログ記録する操作７０４ｃを含む。いくつかの実施形態では、操作７０４ｃは、実行トレース内の場合によっては機密のデータを、コードフローを保存するように構造化されたデータで置き換えるという技術的効果を有し、これはデータセキュリティを促進する。さらに、置換データが元のペイロードデータよりも小さいとき、および／または置換データが圧縮可能なデータパターンを有するとき、操作７０４は、トレースファイルサイズを減少する技術的効果を有する。したがって、処理、記憶、および転送するデータが少なくなるので、トレース分析、記憶、および転送の効率（必要な処理能力、計算時間、ストレージリソース、およびネットワーク利用率の観点から）が向上される。

【0092】

[098]いくつかの実施形態では、デバッグコンポーネント２０１と同様に、デバッグコンポーネント３０１は、ペイロードデータを再生可能な実行トレース１１３から除去／置き換えるときに過渡的に動作し、そのペイロードデータ（派生物を含む）の複数のインスタンスが再生可能な実行トレース１１３から除去／置換されるようにする。例えば、上述したｓｔｒｃｐｙ（）関数が、以下を含むＴｏＬｏｗｅｒ（）関数であるとする。

【0093】

【数2】

このとき、いくつかの実施形態では、コード相互作用コンポーネント３０４はまた、このＴｏＬｏｗｅｒ（）関数（またはその一部）を、＊ｓｒｃによって指し示される文字列と相互作用するコードとして識別し、制約識別コンポーネント３０５は、（例えば、ここでも大文字である文字「Ｓ」に関する置換値を選択し、任意の他の非ヌルの小文字である「ａ」、「ｍ」、「ｐ」、「ｌ」、および「ｅ」文字に関する置換値を選択することによって）ＴｏＬｏｗｅｒ（）関数内の「ｉｆ」ステートメントへの適切な数のヒットをここでも引き起こす文字列の値に対する制約を識別する。したがって、方法７００のいくつかの実施形態では、方法７００は、実行トレース内のペイロードデータアイテム追加インスタンスまたはその派生物を、１つまたは複数の制約を維持する情報で置き換えるために過渡的に適用される。

【0094】

[099]したがって、本明細書での少なくともいくつかの実施形態は、実行トレースからペイロードデータを除去するように動作し、これは、実行トレースを介して機密データアイテムが不用意に露出されることを防止することによって、データセキュリティを促進する技術的効果を有する。さらに、実行トレースからペイロードデータを除外することで、それらの実行トレースの圧縮率を大幅に増加させることができる。いずれにせよ、ペイロードデータを実行トレースから除外することで、実行トレースのサイズを大幅に減少させることができ、これは、コンピューティングリソースを節約するという追加の技術的効果を有する。例えば、実行トレースのサイズを減少させることで、それらの実行トレースを分析するときに処理リソースが節約され、実行トレースを記憶および転送するときに必要とされるストレージおよびネットワークリソースも節約される。

【0095】

[100]本開示では、コード実行ログデータにペイロードデータが含まれるのを防止するためにエントロピー分析を使用する実施形態、および再生可能な実行トレースからペイロードデータを除去するための実施形態について論じた。これら２つの実施形態は、単独で実施することも、組み合わせて実施することもできることに留意されたい。例えば、エントロピー分析の実施形態について論じたときに、ペイロードデータアイテムがコード実行ログデータに含まれるのを防止することは、ペイロードデータアイテムを、代替データ、ペイロードデータアイテムに対する制約、またはコードフローオーバーライドのうちの１つまたは複数で置き換えることを含むことができると述べた。特に、これらの防止技法は、ペイロードデータ除去の実施形態に関連してさらに開示される。さらに、ペイロードデータ除去の実施形態は、除去すべきペイロードデータアイテムを識別し、いくつかの実装形態では、ペイロードデータアイテムは、少なくとも部分的にエントロピー分析に基づいて識別される。

【0096】

[101]主題を、構造的特徴および／または方法論的操作に特有の言葉で説明してきたが、添付の特許請求の範囲で定義される主題は、上記の特徴もしくは上記の操作、または上記の操作順序に必ずしも限定されないことを理解されたい。むしろ、上記の特徴および操作は、特許請求の範囲を実施する例示的な形態として開示される。

【0097】

[102]本発明は、その本質的な特徴から逸脱することなく、他の特定の形態で具現化することもできる。記載した実施形態は、あらゆる点において、限定としてではなく例示としてのみ考慮されるべきである。したがって、本発明の範囲は、前述の説明ではなく、添付の特許請求の範囲によって示される。特許請求の範囲の均等物の意味および範囲内にあるすべての変更は、その範囲内に包含されるものとする。添付の特許請求の範囲で要素を導入するとき、冠詞「ａ」、「ａｎ」、「ｔｈｅ」、および「ｓａｉｄ」は、要素が１つまたは複数の存在することを意味することを意図されている。「備える」、「含む」、および「有する」という用語は包括的であることを意図されており、列挙された要素以外の追加の要素が存在し得ることを意味する。特に指定のない限り、「セット」、「スーパーセット」、および「サブセット」という用語は空のセットを除外することを意図されており、したがって「セット」は、空でないセットとして定義され、「スーパーセット」は、空でないスーパーセットとして定義され、「サブセット」は、空でないサブセットとして定義される。特に指定のない限り、「サブセット」という用語は、そのスーパーセット全体を除外する（すなわち、スーパーセットは、サブセットに含まれない少なくとも１つのアイテムを含む）。特に指定しない限り、「スーパーセット」は、少なくとも１つの追加要素を含むことができ、「サブセット」は、少なくとも１つの要素を除外することができる。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【国際調査報告】