【手続補正書】
【提出日】平成29年8月1日(2017.8.1)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
コンピューティングデバイスにおいて動作するソフトウェアアプリケーションを分析する方法であって、
前記コンピューティングデバイスのメモリに記憶されている活動のログから挙動情報を収集することによって、前記ソフトウェアアプリケーションの活動を前記コンピューティングデバイスのプロセッサにおいて監視するステップと、
前記収集された挙動情報に基づいて、前記ソフトウェアアプリケーションの前記監視された活動を特徴付ける挙動ベクトルを生成するステップと、
既知のベンダーからのものとして前記コンピューティングデバイスに対する前記ソフトウェアアプリケーションを特定する、前記コンピューティングデバイス内の前記ソフトウェアアプリケーションによる特別な動作の実施に起因する、際立った挙動を前記生成された挙動ベクトルが含むかどうかを判定するステップと
を備える、方法。
【請求項２】
前記生成された挙動ベクトルが前記際立った挙動を含むかどうかを判定するステップが、前記ソフトウェアアプリケーションによる予期されないデバイスの特徴の使用を特定する情報を前記生成された挙動ベクトルが含むかどうかを判定するステップを備える、請求項1に記載の方法。
【請求項３】
前記生成された挙動ベクトルが前記際立った挙動を含むかどうかを判定するステップが、前記ソフトウェアアプリケーションによるデバイスの特徴の異常な使用を特定する情報を前記生成された挙動ベクトルが含むかどうかを判定するステップを備える、請求項1に記載の方法。
【請求項４】
前記生成された挙動ベクトルが前記際立った挙動を含むと判定したことに応答して、前記ソフトウェアアプリケーションを良性であるものとして分類することによって、前記ソフトウェアアプリケーションを認証するステップをさらに備える、請求項1に記載の方法。
【請求項５】
前記生成された挙動ベクトルが前記際立った挙動を含まないと判定したことに応答して、前記生成された挙動ベクトルを専心的な分類器モデルに適用して、前記ソフトウェアアプリケーションが非良性であるかどうかを判定することによって、深い挙動分析動作を実行するステップと、
前記生成された挙動ベクトルが前記際立った挙動を含まないと判定したことに応答して、前記生成された挙動ベクトルを分類器モデルに適用して、前記ソフトウェアアプリケーションが非良性であるかどうかを判定するステップと
をさらに備える、請求項1に記載の方法。
【請求項６】
複数の試験条件を含む完全な分類器モデルを受信するステップと、
前記ソフトウェアアプリケーションによって使用されるデバイスの特徴を特定するステップと、
前記特定されたデバイスの特徴を評価する、前記複数の試験条件の中の試験条件を特定するステップと、
前記特定された試験条件を優先順位付けるアプリケーションベースの分類器モデルを生成するステップとをさらに備え、
前記生成された挙動ベクトルを前記分類器モデルに適用して前記ソフトウェアアプリケーションが非良性であるかどうかを判定するステップが、前記生成された挙動ベクトルを前記生成されたアプリケーションベースの分類器モデルに適用するステップを備える、請求項5に記載の方法。
【請求項７】
前記収集された挙動情報に基づいて前記挙動ベクトルを生成するステップが、前記収集された挙動情報を使用して特徴ベクトルを生成するステップを備え、
前記生成された挙動ベクトルを前記生成されたアプリケーションベースの分類器モデルに適用するステップが、
前記アプリケーションベースの分類器モデルに含まれる各試験条件を評価するために、前記生成された挙動ベクトルを前記アプリケーションベースの分類器モデルに適用するステップと、
前記アプリケーションベースの分類器モデルの中の試験条件を評価した各結果の加重平均を計算するステップと、
前記加重平均に基づいて、前記挙動が非良性であるかどうかを判定するステップと
を備える、請求項6に記載の方法。
【請求項８】
前記複数の試験条件を含む前記完全な分類器モデルを受信するステップが、前記複数の試験条件の1つを各々評価する複数の決定ノードへの変換に適した情報を含む、有限状態機械を受信するステップを備え、
前記特定された試験条件を優先順位付ける前記アプリケーションベースの分類器モデルを生成するステップが、
前記ソフトウェアアプリケーションに関連があるデバイスの特徴、および
前記ソフトウェアアプリケーションのアプリケーション種類に関連があるデバイスの特徴
のうちの1つを評価する決定ノードを含むように、前記アプリケーションベースの分類器モデルを生成するステップを備える、請求項6に記載の方法。
【請求項９】
コンピューティングデバイスであって、
メモリと、
前記メモリに結合されたプロセッサとを備え、前記プロセッサが、
前記メモリに記憶されている活動のログから挙動情報を収集することによって、ソフトウェアアプリケーションの活動を監視するステップと、
前記収集された挙動情報に基づいて、前記ソフトウェアアプリケーションの前記監視された活動を特徴付ける挙動ベクトルを生成するステップと、
既知のベンダーからのものとして前記コンピューティングデバイスに対する前記ソフトウェアアプリケーションを特定する、前記コンピューティングデバイス内の前記ソフトウェアアプリケーションによる特別な動作の実施に起因する、特定する際立った挙動を前記生成された挙動ベクトルが含むかどうかを判定するステップと
を備える動作を実行するように、プロセッサ実行可能命令によって構成される、コンピューティングデバイス。
【請求項１０】
前記生成された挙動ベクトルが前記際立った挙動を含むかどうかを判定するステップが、前記ソフトウェアアプリケーションによるデバイスの特徴の予期されない使用を特定する情報を前記生成された挙動ベクトルが含むかどうかを判定するステップを備えるように、前記プロセッサがプロセッサ実行可能命令によって構成される、請求項9に記載のコンピューティングデバイス。
【請求項１１】
前記プロセッサが、
前記生成された挙動ベクトルが前記際立った挙動を含むかどうかを判定するステップが、前記ソフトウェアアプリケーションによるデバイスの特徴の異常な使用を特定する情報を前記生成された挙動ベクトルが含むかどうかを判定するステップをさらに備える動作を実行するように、プロセッサ実行可能命令によって構成される、請求項9に記載のコンピューティングデバイス。
【請求項１２】
前記プロセッサが、
前記生成された挙動ベクトルが前記際立った挙動を含むと判定したことに応答して、前記ソフトウェアアプリケーションを良性であるものとして分類することによって、前記ソフトウェアアプリケーションを認証するステップをさらに備える動作を実行するように、プロセッサ実行可能命令によって構成される、請求項9に記載のコンピューティングデバイス。
【請求項１３】
前記プロセッサが、
前記生成された挙動ベクトルが前記際立った挙動を含まないと判定したことに応答して、前記生成された挙動ベクトルを専心的な分類器モデルに適用して、前記ソフトウェアアプリケーションが非良性であるかどうかを判定することによって、深い挙動分析動作を実行するステップと、
前記生成された挙動ベクトルが前記際立った挙動を含まないと判定したことに応答して、前記生成された挙動ベクトルを分類器モデルに適用して、前記ソフトウェアアプリケーションが非良性であるかどうかを判定するステップとをさらに備える動作を実行するように、プロセッサ実行可能命令によって構成される、請求項9に記載のコンピューティングデバイス。
【請求項１４】
前記プロセッサが、
複数の試験条件を含む完全な分類器モデルを受信するステップと、
前記ソフトウェアアプリケーションによって使用されるデバイスの特徴を特定するステップと、
前記特定されたデバイスの特徴を評価する、前記複数の試験条件の中の試験条件を特定するステップと、
前記特定された試験条件を優先順位付けるアプリケーションベースの分類器モデルを生成するステップとをさらに備える動作を実行するように、プロセッサ実行可能命令によって構成され、
前記生成された挙動ベクトルを前記分類器モデルに適用して前記ソフトウェアアプリケーションが非良性であるかどうかを判定するステップが、前記生成された挙動ベクトルを前記生成されたアプリケーションベースの分類器モデルに適用するステップを備える、請求項13に記載のコンピューティングデバイス。
【請求項１５】
前記収集された挙動情報に基づいて前記挙動ベクトルを生成するステップが、前記収集された挙動情報を使用して特徴ベクトルを生成するステップを備え、
前記生成された挙動ベクトルを前記生成されたアプリケーションベースの分類器モデルに適用するステップが、
前記アプリケーションベースの分類器モデルに含まれる各試験条件を評価するために、前記生成された挙動ベクトルを前記アプリケーションベースの分類器モデルに適用するステップと、
前記アプリケーションベースの分類器モデルの中の試験条件を評価した各結果の加重平均を計算するステップと、
前記加重平均に基づいて、前記挙動が非良性であるかどうかを判定するステップと
を備えるように、前記プロセッサがプロセッサ実行可能命令によって構成される、請求項14に記載のコンピューティングデバイス。
【請求項１６】
前記複数の試験条件を含む前記完全な分類器モデルを受信するステップが、前記複数の試験条件の1つを各々評価する複数の決定ノードへの変換に適した情報を含む、有限状態機械を受信するステップを備え、
前記特定された試験条件を優先順位付ける前記アプリケーションベースの分類器モデルを生成するステップが、
前記ソフトウェアアプリケーションに関連があるデバイスの特徴、および
前記ソフトウェアアプリケーションのアプリケーション種類に関連があるデバイスの特徴
のうちの1つを評価する決定ノードを含むように、前記アプリケーションベースの分類器モデルを生成するステップを備えるように、前記プロセッサがプロセッサ実行可能命令によって構成される、請求項14に記載のコンピューティングデバイス。
【請求項１７】
コンピューティングデバイスのプロセッサに、前記プロセッサにおいて動作するソフトウェアアプリケーションを分析するための動作を実行させるように構成されるプロセッサ実行可能ソフトウェア命令を記憶した、非一時的コンピュータ可読記憶媒体であって、前記動作が、
前記コンピューティングデバイスのメモリに記憶されている活動のログから挙動情報を収集することによって、前記ソフトウェアアプリケーションの活動を監視するステップと、
前記収集された挙動情報に基づいて、前記ソフトウェアアプリケーションの前記監視された活動を特徴付ける挙動ベクトルを生成するステップと、
既知のベンダーからのものとして前記コンピューティングデバイスに対する前記ソフトウェアアプリケーションを特定する、前記コンピューティングデバイス内の前記ソフトウェアアプリケーションによる特別な動作の実施に起因する、特定する際立った挙動を前記生成された挙動ベクトルが含むかどうかを判定するステップとを備える、非一時的コンピュータ可読記憶媒体。
【請求項１８】
前記記憶されたプロセッサ実行可能ソフトウェア命令が、前記生成された挙動ベクトルが前記際立った挙動を含むかどうかを判定するステップが、前記ソフトウェアアプリケーションによる予期されないデバイスの特徴の使用を特定する情報を前記生成された挙動ベクトルが含むかどうかを判定するステップを備えるように、プロセッサに動作を実行させるように構成される、請求項17に記載の非一時的コンピュータ可読記憶媒体。
【請求項１９】
前記記憶されたプロセッサ実行可能ソフトウェア命令が、前記生成された挙動ベクトルが前記際立った挙動を含むかどうかを判定するステップが、前記ソフトウェアアプリケーションによるデバイスの特徴の異常な使用を特定する情報を前記生成された挙動ベクトルが含むかどうかを判定するステップを備えるように、プロセッサに動作を実行させるように構成される、請求項17に記載の非一時的コンピュータ可読記憶媒体。
【請求項２０】
前記記憶されたプロセッサ実行可能ソフトウェア命令が、
前記生成された挙動ベクトルが前記際立った挙動を含むと判定したことに応答して、前記ソフトウェアアプリケーションを良性であるものとして分類することによって、前記ソフトウェアアプリケーションを認証するステップを備える動作をプロセッサに実行させるように構成される、請求項17に記載の非一時的コンピュータ可読記憶媒体。
【請求項２１】
前記記憶されたプロセッサ実行可能ソフトウェア命令が、
前記生成された挙動ベクトルが前記際立った挙動を含まないと判定したことに応答して、前記生成された挙動ベクトルを専心的な分類器モデルに適用して、前記ソフトウェアアプリケーションが非良性であるかどうかを判定することによって、深い挙動分析動作を実行するステップと、
前記生成された挙動ベクトルが前記際立った挙動を含まないと判定したことに応答して、前記生成された挙動ベクトルを分類器モデルに適用して、前記ソフトウェアアプリケーションが非良性であるかどうかを判定するステップとを備える動作をプロセッサに実行させるように構成される、請求項17に記載の非一時的コンピュータ可読記憶媒体。
【請求項２２】
前記記憶されたプロセッサ実行可能ソフトウェア命令が、
複数の試験条件を含む完全な分類器モデルを受信するステップと、
前記ソフトウェアアプリケーションによって使用されるデバイスの特徴を特定するステップと、
前記特定されたデバイスの特徴を評価する、前記複数の試験条件の中の試験条件を特定するステップと、
前記特定された試験条件を優先順位付けるアプリケーションベースの分類器モデルを生成するステップとを備える動作をプロセッサに実行させるように構成され、
前記生成された挙動ベクトルを前記分類器モデルに適用して前記ソフトウェアアプリケーションが非良性であるかどうかを判定するステップが、前記生成された挙動ベクトルを前記生成されたアプリケーションベースの分類器モデルに適用するステップを備える、請求項21に記載の非一時的コンピュータ可読記憶媒体。
【請求項２３】
前記記憶されたプロセッサ実行可能ソフトウェア命令が、
前記収集された挙動情報に基づいて前記挙動ベクトルを生成するステップが、前記収集された挙動情報を使用して特徴ベクトルを生成するステップを備え、
前記生成された挙動ベクトルを前記生成されたアプリケーションベースの分類器モデルに適用するステップが、
前記アプリケーションベースの分類器モデルに含まれる各試験条件を評価するために、前記生成された挙動ベクトルを前記アプリケーションベースの分類器モデルに適用するステップと、
前記アプリケーションベースの分類器モデルの中の試験条件を評価した各結果の加重平均を計算するステップと、
前記加重平均に基づいて、前記挙動が非良性であるかどうかを判定するステップと
を備えるように、動作をプロセッサに実行させるように構成される、請求項22に記載の非一時的コンピュータ可読記憶媒体。
【請求項２４】
前記記憶されたプロセッサ実行可能ソフトウェア命令が、
前記複数の試験条件を含む前記完全な分類器モデルを受信するステップが、前記複数の試験条件の1つを各々評価する複数の決定ノードへの変換に適した情報を含む、有限状態機械を受信するステップを備え、
前記特定された試験条件を優先順位付ける前記アプリケーションベースの分類器モデルを生成するステップが、
前記ソフトウェアアプリケーションに関連があるデバイスの特徴、および
前記ソフトウェアアプリケーションのアプリケーション種類に関連があるデバイスの特徴
のうちの1つを評価する決定ノードを含むように、前記アプリケーションベースの分類器モデルを生成するステップを備えるように、動作をプロセッサに実行させるように構成される、請求項22に記載の非一時的コンピュータ可読記憶媒体。
【請求項２５】
コンピューティングデバイスであって、
前記コンピューティングデバイスのメモリに記憶されている活動のログから挙動情報を収集することによって、ソフトウェアアプリケーションの活動を監視するための手段と、
前記収集された挙動情報に基づいて、前記ソフトウェアアプリケーションの前記監視された活動を特徴付ける挙動ベクトルを生成するための手段と、
既知のベンダーからのものとして前記コンピューティングデバイスに対する前記ソフトウェアアプリケーションを特定する、前記コンピューティングデバイス内の前記ソフトウェアアプリケーションによる特別な動作の実施に起因する、際立った挙動を前記生成された挙動ベクトルが含むかどうかを判定するための手段とを備える、
コンピューティングデバイス。
【請求項２６】
前記生成された挙動ベクトルが前記際立った挙動を含むかどうかを判定するための手段が、前記ソフトウェアアプリケーションによる予期されないデバイスの特徴の使用を特定する情報を前記生成された挙動ベクトルが含むかどうかを判定するための手段を備える、請求項25に記載のコンピューティングデバイス。
【請求項２７】
前記生成された挙動ベクトルが前記際立った挙動を含むかどうかを判定するための手段が、前記ソフトウェアアプリケーションによるデバイスの特徴の異常な使用を特定する情報を前記生成された挙動ベクトルが含むかどうかを判定するための手段を備える、請求項25に記載のコンピューティングデバイス。
【請求項２８】
前記生成された挙動ベクトルが前記際立った挙動を含むと判定したことに応答して、前記ソフトウェアアプリケーションを良性であるものとして分類することによって、前記ソフトウェアアプリケーションを認証するための手段をさらに備える、請求項25に記載のコンピューティングデバイス。
【請求項２９】
前記生成された挙動ベクトルが前記際立った挙動を含まないと判定したことに応答して、前記生成された挙動ベクトルを専心的な分類器モデルに適用して、前記ソフトウェアアプリケーションが非良性であるかどうかを判定することによって、深い挙動分析動作を実行するための手段と、
前記生成された挙動ベクトルが前記際立った挙動を含まないと判定したことに応答して、前記生成された挙動ベクトルを分類器モデルに適用して、前記ソフトウェアアプリケーションが非良性であるかどうかを判定するための手段とをさらに備える、請求項25に記載のコンピューティングデバイス。
【請求項３０】
複数の試験条件を含む完全な分類器モデルを受信するための手段と、
前記ソフトウェアアプリケーションによって使用されるデバイスの特徴を特定するための手段と、
前記特定されたデバイスの特徴を評価する、前記複数の試験条件の中の試験条件を特定するための手段と、
前記特定された試験条件を優先順位付けるアプリケーションベースの分類器モデルを生成するための手段とをさらに備え、
前記生成された挙動ベクトルを前記分類器モデルに適用して前記ソフトウェアアプリケーションが非良性であるかどうかを判定するための手段が、前記生成された挙動ベクトルを前記生成されたアプリケーションベースの分類器モデルに適用するための手段を備える、請求項29に記載のコンピューティングデバイス。