【手続補正書】
【提出日】平成29年4月21日(2017.4.21)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
メモリと、
該メモリに接続され、アンチマルウェアエンジンを実行するように構成された少なくとも１つのハードウェアプロセッサと
を含むクライアントシステムであって、前記アンチマルウェアエンジンは、対象プロセスの悪意あるアクティビティを監視するように構成され、前記対象プロセスは、前記クライアントシステム上で実行され、前記対象プロセスは、メイン実行可能モジュールのインスタンスと、共有ライブラリのインスタンスとを含み、前記少なくとも１つのハードウェアプロセッサは、
サーバから、前記メイン実行可能モジュールの第１のモジュール評判インジケータ、および、前記共有ライブラリの第２のモジュール評判インジケータを受信することであって、前記第１のモジュール評判インジケータは、前記メイン実行可能モジュールの別のインスタンスの挙動に従って求められ、前記サーバは、アンチマルウェアトランザクションを、前記クライアントシステムを含む複数のクライアントシステムと共に実行するように構成され、前記第１のモジュール評判インジケータは、監視規則の第１の集合のインジケータを含み、前記第２のモジュール評判インジケータは、監視規則の第２の集合のインジケータを含む、受信することと、
前記の第１および第２のモジュール評判インジケータを受信することに応じて、前記対象プロセスが悪意あるものでありそうかを、前記の第１および第２のモジュール評判インジケータに従って判定することと、
前記対象プロセスが悪意あるものでありそうかを判定することに応じて、前記対象プロセスが悪意あるものでありそうでないときに、
監視規則の前記の第１および第２の集合を、監視規則の組み合わされた集合へと組み合わせ、
前記アンチマルウェアエンジンを、監視規則の前記組み合わされた集合に従って前記対象プロセスを監視するように構成する
ことと
を行うようにさらに構成された、クライアントシステム。
【請求項２】
請求項１に記載のクライアントシステムであって、前記少なくとも１つのハードウェアプロセッサは、監視規則の前記組み合わされた集合を、監視規則の前記の第１および第２の集合の和集合に従って求めるように構成された、クライアントシステム。
【請求項３】
請求項１に記載のクライアントシステムであって、前記少なくとも１つのハードウェアプロセッサは、監視規則の前記組み合わされた集合を、監視規則の前記の第１および第２の集合の共通集合に従って求めるように構成された、クライアントシステム。
【請求項４】
請求項１に記載のクライアントシステムであって、監視規則の前記第１の集合のうちの選択された規則は、前記対象プロセスが悪意あるものであるかを判定するために用いられる、選択されたヒューリスティックを含む、クライアントシステム。
【請求項５】
請求項１に記載のクライアントシステムであって、監視規則の前記第１の集合のうちの選択された規則は、前記アンチマルウェアエンジンに、前記対象プロセスが選択されたアクションを実行するかを判定するように命令する、クライアントシステム。
【請求項６】
請求項１に記載のクライアントシステムであって、前記メイン実行可能モジュールの前記別のインスタンスは、前記複数のクライアントシステムのうちの第２のクライアントシステム上で実行される、クライアントシステム。
【請求項７】
請求項１に記載のクライアントシステムであって、前記少なくとも１つのハードウェアプロセッサは、前記アンチマルウェアエンジンを構成することに応じて、
前記対象プロセスが実行するアクションを検出することであって、前記アクションは、別の実行可能モジュールを前記対象プロセス内にロードすることを含み、前記別の実行可能モジュールは、前記メイン実行可能モジュールおよび前記共有ライブラリとは別個である、検出することと、
前記アクションを検出することに応じて、前記対象プロセスを再度調べて、前記対象プロセスが悪意あるものでありそうかを、前記別の実行可能モジュールの第３のモジュール評判インジケータであって、前記サーバから受信した前記第３のモジュール評判インジケータに従って判定することと、
前記アンチマルウェアエンジンを、前記第３のモジュール評判インジケータが示す監視規則の第３の集合に従って再構成することと
を行うようにさらに構成された、クライアントシステム。
【請求項８】
請求項１に記載のクライアントシステムであって、前記対象プロセスが悪意あるものでありそうかを判定することは、
前記対象プロセスによりロードされるすべての実行可能モジュールを識別することと、
前記すべての実行可能モジュールの各モジュールが悪意あるものでありそうかを、前記各モジュールのインスタンスに対して求められるモジュール評判インジケータに従って判定することと、
前記すべての実行可能モジュールの各モジュールが悪意あるものでありそうでないときに、前記対象プロセスは悪意あるものでありそうにないと判定することと
を含む、クライアントシステム。
【請求項９】
請求項８に記載のクライアントシステムであって、前記対象プロセスが悪意あるものでありそうかを判定することは、各モジュールが悪意あるものでありそうかを判定することに応じて、前記すべての実行可能モジュールのうちの少なくとも１つのモジュールが悪意あるものでありそうなときに、前記対象プロセスは悪意あるものでありそうと判定することをさらに含む、クライアントシステム。
【請求項１０】
請求項１に記載のクライアントシステムであって、前記少なくとも１つのハードウェアプロセッサは、前記アンチマルウェアエンジンを構成することに応じて、
前記対象プロセスがマルウェアを示すアクションを実行するかを判定することと、
前記対象プロセスが前記マルウェアを示すアクションを実行するときに、
前記マルウェアを示すアクションを実行する、前記対象プロセスの疑わしいモジュールを識別することと、
前記疑わしいモジュールのモジュール評判インジケータを、前記疑わしいモジュールは悪意のあるものでありそうと示すように更新することと、
前記疑わしいモジュールの前記モジュール評判インジケータを更新することに応じて、前記アンチマルウェアエンジンを、厳格なセキュリティプロトコルに従って前記対象プロセスを監視するように再構成することであって、前記厳格なセキュリティプロトコルは、監視規則の前記組み合わされた集合より計算量が大きい、再構成することと
を行うように構成された、クライアントシステム。
【請求項１１】
請求項１０に記載のクライアントシステムであって、前記少なくとも１つのハードウェアプロセッサは、前記疑わしいモジュールの前記モジュール評判インジケータを更新することに応じて、前記疑わしいモジュールの更新された前記モジュール評判インジケータを前記サーバに送信するようにさらに構成された、クライアントシステム。
【請求項１２】
請求項１０に記載のクライアントシステムであって、前記少なくとも１つのハードウェアプロセッサは、前記疑わしいモジュールの前記モジュール評判インジケータを更新することに応じて、
前記クライアントシステム上で実行される、前記疑わしいモジュールのインスタンスを含む第２のプロセスを識別することと、
前記第２のプロセスを識別することに応じて、前記アンチマルウェアエンジンを、前記厳格なセキュリティプロトコルに従って前記第２のプロセスを監視するように構成することと
を行うようにさらに構成された、クライアントシステム。
【請求項１３】
請求項１に記載のクライアントシステムであって、前記少なくとも１つのハードウェアプロセッサは、前記アンチマルウェアエンジンを構成することに応じて、
前記対象プロセスがマルウェアを示すアクションを実行するかを判定することと、
前記対象プロセスが前記マルウェアを示すアクションを実行するときに、前記アンチマルウェアエンジンを、厳格なセキュリティプロトコルを用いて、前記クライアントシステム上で実行される第２のプロセスを、該第２のプロセスが悪意あるものでありそうかどうかに関わらず監視するように構成することと
を行うようにさらに構成された、クライアントシステム。
【請求項１４】
メモリと、
該メモリに接続された少なくとも１つのハードウェアプロセッサと
を含むサーバであって、前記少なくとも１つのハードウェアプロセッサは、
メイン実行可能モジュールの第１のモジュール評判インジケータ、および、共有ライブラリの第２のモジュール評判インジケータを求めることであって、前記第１のモジュール評判インジケータは、前記メイン実行可能モジュールのインスタンスの挙動に従って求められ、前記第１のモジュール評判インジケータは、監視規則の第１の集合のインジケータを含み、前記第２のモジュール評判インジケータは、監視規則の第２の集合のインジケータを含む、求めることと、
前記の第１および第２のモジュール評判インジケータを求めることに応じて、前記の第１および第２のモジュール評判インジケータを、アンチマルウェアトランザクションを前記サーバと共に実行するように構成された複数のクライアントシステムのうちのクライアントシステムに送信すること
を行うように構成され、前記クライアントシステムは、対象プロセスの悪意あるアクティビティを監視するように構成されたアンチマルウェアエンジンを実行するように構成され、前記対象プロセスは、前記メイン実行可能モジュールの別のインスタンスと、前記共有ライブラリのインスタンスとを含み、前記クライアントシステムは、
前記対象プロセスが悪意あるものでありそうかを、前記の第１および第２のモジュール評判インジケータに従って判定することと、
前記対象プロセスが悪意あるものでありそうかを判定することに応じて、前記対象プロセスが悪意あるものでありそうでないときに、
監視規則の前記の第１および第２の集合を、監視規則の組み合わされた集合へと組み合わせ、
前記アンチマルウェアエンジンを、監視規則の前記組み合わされた集合に従って前記対象プロセスを監視するように構成する
ことと
を行うようにさらに構成された、サーバ。
【請求項１５】
請求項１４に記載のサーバであって、前記クライアントシステムは、監視規則の前記組み合わされた集合を、監視規則の前記の第１および第２の集合の和集合に従って求めるように構成された、サーバ。
【請求項１６】
請求項１４に記載のサーバあって、前記クライアントシステムは、監視規則の前記組み合わされた集合を、監視規則の前記の第１および第２の集合の共通集合に従って求めるように構成された、サーバ。
【請求項１７】
請求項１４に記載のサーバであって、監視規則の前記第１の集合のうちの選択された規則は、前記対象プロセスが悪意あるものであるかを判定するために用いられる、選択されたヒューリスティックを含む、サーバ。
【請求項１８】
請求項１４に記載のサーバであって、監視規則の前記第１の集合のうちの選択された規則は、前記クライアントシステムに、前記対象プロセスが選択されたアクションを実行するかを判定するように命令する、サーバ。
【請求項１９】
請求項１４に記載のサーバであって、前記メイン実行可能モジュールの前記インスタンスは、前記複数のクライアントシステムのうちの第２のクライアントシステム上で実行される、サーバ。
【請求項２０】
請求項１４に記載のサーバであって、前記クライアントシステムは、前記アンチマルウェアエンジンを構成することに応じて、
前記対象プロセスのアクションを検出することであって、前記アクションは、別の実行可能モジュールを前記対象プロセス内にロードすることを含み、前記別の実行可能モジュールは、前記メイン実行可能モジュールおよび前記共有ライブラリとは別個である、検出することと、
前記アクションを検出することに応じて、前記対象プロセスを再度調べて、前記対象プロセスが悪意あるものでありそうかを、前記別の実行可能モジュールの第３のモジュール評判インジケータであって、前記サーバから受信した前記第３のモジュール評判インジケータに従って判定することと、
前記アンチマルウェアエンジンを、前記第３のモジュール評判インジケータが示す監視規則の第３の集合に従って再構成することと
を行うようにさらに構成された、サーバ。
【請求項２１】
請求項１４に記載のサーバであって、前記対象プロセスが悪意あるものでありそうかを判定することは、
前記対象プロセスによりロードされるすべての実行可能モジュールを識別することと、
前記すべての実行可能モジュールの各モジュールが悪意あるものでありそうかを、前記各モジュールのインスタンスに対して求められるモジュール評判インジケータに従って判定することと、
前記すべての実行可能モジュールの各モジュールが悪意あるものでありそうでないときに、前記対象プロセスは悪意あるものでありそうにないと判定することと
を含む、サーバ。
【請求項２２】
請求項２１に記載のサーバであって、前記対象プロセスが悪意あるものでありそうかを判定することは、各モジュールが悪意あるものでありそうかを判定することに応じて、前記すべての実行可能モジュールのうちの少なくとも１つのモジュールが悪意あるものでありそうなときに、前記対象プロセスは悪意あるものでありそうと判定することをさらに含む、サーバ。
【請求項２３】
請求項１４に記載のサーバであって、前記クライアントシステムは、前記アンチマルウェアエンジンを構成することに応じて、
前記対象プロセスがマルウェアを示すアクションを実行するかを判定することと、
前記対象プロセスが前記マルウェアを示すアクションを実行するときに、
前記マルウェアを示すアクションを実行する、前記対象プロセスの疑わしいモジュールを識別することと、
前記疑わしいモジュールのモジュール評判インジケータを、前記疑わしいモジュールは悪意のあるものでありそうと示すように更新することと、
前記疑わしいモジュールの前記モジュール評判インジケータを更新することに応じて、前記アンチマルウェアエンジンを、厳格なセキュリティプロトコルに従って前記対象プロセスを監視するように再構成することであって、前記厳格なセキュリティプロトコルは、監視規則の前記組み合わされた集合より計算量が大きい、再構成することと
を行うようにさらに構成された、サーバ。
【請求項２４】
請求項２３に記載のサーバであって、前記疑わしいモジュールの更新された前記モジュール評判インジケータを前記クライアントシステムから受信するようにさらに構成されたサーバ。
【請求項２５】
請求項２３に記載のサーバであって、前記クライアントシステムは、前記疑わしいモジュールの前記モジュール評判インジケータを更新することに応じて、
前記クライアントシステム上で実行される、前記疑わしいモジュールのインスタンスを含む第２のプロセスを識別することと、
前記第２のプロセスを識別することに応じて、前記アンチマルウェアエンジンを、前記厳格なセキュリティプロトコルに従って前記第２のプロセスを監視するように構成することと
を行うようにさらに構成された、サーバ。
【請求項２６】
請求項１４に記載のサーバであって、前記クライアントシステムは、前記アンチマルウェアエンジンを構成することに応じて、
前記対象プロセスがマルウェアを示すアクションを実行するかを判定することと、
前記対象プロセスが前記マルウェアを示すアクションを実行するときに、前記アンチマルウェアエンジンを、厳格なセキュリティプロトコルを用いて、前記クライアントシステム上で実行される第２のプロセスを、該第２のプロセスが悪意あるものでありそうかどうかに関わらず監視するように構成することと
を行うようにさらに構成された、サーバ。
【請求項２７】
命令を記憶するコンピュータ可読記憶媒体であって、前記命令は、クライアントシステムの少なくとも１つのプロセッサにより実行されると、メイン実行可能モジュールのインスタンスと、共有ライブラリのインスタンスとを含む対象プロセスを実行する前記クライアントシステムを、
サーバから、前記メイン実行可能モジュールの第１のモジュール評判インジケータ、および、前記共有ライブラリの第２のモジュール評判インジケータを受信することであって、前記第１のモジュール評判インジケータは、前記メイン実行可能モジュールの別のインスタンスの挙動に従って求められ、前記サーバは、アンチマルウェアトランザクションを、前記クライアントシステムを含む複数のクライアントシステムと共に実行するように構成され、前記第１のモジュール評判インジケータは、監視規則の第１の集合のインジケータを含み、前記第２のモジュール評判インジケータは、監視規則の第２の集合のインジケータを含む、受信することと、
前記の第１および第２のモジュール評判インジケータを受信することに応じて、前記対象プロセスが悪意あるものでありそうかを、前記の第１および第２のモジュール評判インジケータに従って判定することと、
前記対象プロセスが悪意あるものでありそうかを判定することに応じて、前記対象プロセスが悪意あるものでありそうでないときに、
監視規則の前記の第１および第２の集合を、監視規則の組み合わされた集合へと組み合わせ、
前記クライアントシステム上で実行されるアンチマルウェアエンジンを、監視規則の前記組み合わされた集合に従って前記対象プロセスを監視するように構成する
ことと
を行うように構成する、コンピュータ可読記憶媒体。
【請求項２８】
請求項１に記載のクライアントシステムであって、前記少なくとも１つのハードウェアプロセッサは、前記対象プロセスが悪意あるものでありそうかを判定することに応じて、前記対象プロセスが悪意あるものでありそうなときに、前記アンチマルウェアエンジンを、前記対象プロセスを厳格なセキュリティプロトコルに従って監視するように構成することであって、前記厳格なセキュリティプロトコルは、監視規則の前記組み合わされた集合より計算量が大きい、構成することを行うようにさらに構成された、クライアントシステム。
【請求項２９】
請求項１４に記載のサーバであって、前記クライアントシステムは、前記対象プロセスが悪意あるものでありそうかを判定することに応じて、前記対象プロセスが悪意あるものでありそうなときに、前記アンチマルウェアエンジンを、前記対象プロセスを厳格なセキュリティプロトコルに従って監視するように構成することであって、前記厳格なセキュリティプロトコルは、監視規則の前記組み合わされた集合より計算量が大きい、構成することを行うようにさらに構成された、サーバ。