(57)【要約】【解決手段】    開示される技術は、独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出することに関する。該検出は、時間枠内で更新された独立したデータ・ストアのファイルを識別するためにリストをスキャンすることと、スキャンによって識別されたファイルについて現在のメタデータをアセンブルすることと、ファイルの履歴上メタデータを取得することと、ファイルの現在のメタデータ及び履歴上メタデータを分析して、所定の変化速度を超える変化のパターンを識別することによって、悪意のあるアクティビティが進行中であると判断することとを含む。更に、該検出は、ファイルの現在のメタデータ及び悪意のあるメタデータの既知のパターンを分析して、現在のメタデータと悪意のあるメタデータの既知のパターンとの間の一致を識別することによって悪意のあるアクティビティが進行中であると決定することと、悪意のあるアクティビティを開始したエンティティを判定することと、判定されたエンティティによるファイル修正を制限する応答メカニズムを実施することを含む。【選択図】        図９
2019532388.tif 000002
【特許請求の範囲】
【請求項１】
独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答する方法であって、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
（i）それぞれの前記ファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルされた現在のメタデータ、及び／または（ii）それぞれの前記ファイルの読み取られたペイロードから計算されたそれぞれの前記ファイルの現在のコンテンツ・プロパティを含む、繰り返し識別によって識別されるそれぞれの前記ファイルの現在の特徴的ファイル特性をアセンブルすること、
履歴上特徴的ファイル特性を格納する履歴上データ・ストアにアクセスして、履歴上メタデータ及び／または履歴上コンテンツ・プロパティを含むそれぞれの前記ファイルの前記履歴上特徴的ファイル特性を取得すること、ここで、格納された前記履歴上特徴的ファイル特性は、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及び特徴的ファイル特性が前記ファイル・システム内で更新された後に、以前の世代の特徴的ファイル特性が利用可能なままであるように、前記ファイル・システム内のファイルを記述する特徴的ファイル特性の世代を保存するものであり、
（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性をそれぞれの前記ファイルの前記履歴上特徴的ファイル特性と比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性とそれぞれの前記ファイルの前記履歴上特徴的ファイル特性との間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性とそれぞれの前記ファイルの前記履歴上特徴的ファイル特性との間の識別された前記差を評価して、所定の変化速度を超えるそれぞれの前記ファイルの前記履歴上特徴的ファイル特性から前記現在の特徴的ファイル特性への変化のパターンを識別すること、及び（iv）識別された前記変化のパターンが前記所定の変化速度を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性を、既知の悪意のあるファイル修正を示す悪意のある特徴的ファイル特性の既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、前記悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、含む方法。
【請求項２】
前記履歴上メタデータが、継続的に、内観的または積極的に、前記履歴上データ・ストア上で、コンパイルされ、格納される請求項１に記載の方法。
【請求項３】
前記現在のメタデータ及び前記履歴上メタデータが、それぞれのファイルのファイル名の計算されたエントロピー、それぞれのファイルのファイルタイプを示すマジックナンバー、及び、それぞれのファイルのファイル名の拡張子の少なくとも１つを含む請求項１または２に記載の方法。
【請求項４】
それぞれの前記ファイルの前記現在のメタデータ及びそれぞれの前記ファイルの前記履歴上メタデータを分析して、所定のファイル名の編集距離の変化速度を超える、それぞれのファイルの前記現在のメタデータと履歴上メタデータとの間のファイル名の編集距離の変更のパターンを識別することによって、悪意のあるアクティビティが進行中であると判定することを含む請求項１〜３の何れか１項に記載の方法。
【請求項５】
前記現在のメタデータ及び前記履歴上メタデータが、それぞれのファイルからメタデータを抽出することができないときを示すメタデータ抽出不能インジケータを含む請求項１〜４の何れか１項に記載の方法。
【請求項６】
前記応答メカニズムが、前記悪意のあるアクティビティが検出されたことを、前記マシン及び／またはユーザに通知することと、前記悪意のあるアクティビティの位置を、前記マシン及び／またはユーザに提供することを含む請求項１〜５の何れか１項に記載の方法。
【請求項７】
前記応答メカニズムが、識別された前記マシン及び／またはユーザを前記独立したデータ・ストアから切断することによって、及び、前記独立したデータ・ストアへのアクセスを有する追加のユーザを切断することによって、前記独立したデータ・ストアを分離すること、及び
識別された前記マシン及び／またはユーザが前記独立したデータ・ストアにアクセスすることを防止すること、を含む請求項１〜６の何れか１項に記載の方法。
【請求項８】
前記応答メカニズムが、前記繰り返し識別によって識別されたそれぞれのファイルのバックアップを実行することと、それぞれの前記ファイルが格納されている前記独立したデータ・ストアのバックアップを実行することの内の少なくとも１つを含む請求項１〜７の何れか１項に記載の方法。
【請求項９】
前記応答メカニズムが、
識別された前記マシン及び／またはユーザに、前記悪意のあるアクティビティのローカルスキャンを強制すること、
識別された前記マシン及び／またはユーザがアクセスする他の独立したデータ・ストア上の前記悪意のあるアクティビティのスキャンを強制すること、
前記独立したデータ・ストアにアクセスする追加のユーザに、前記悪意のあるアクティビティのローカルスキャンを強制すること、
前記追加のユーザがアクセスする他の独立したデータ・ストア上の前記悪意のあるアクティビティのスキャンを強制すること、を含む請求項１〜８の何れか１項に記載の方法。
【請求項１０】
前記応答メカニズムが、前記独立したデータ・ストアの以前のバックアップを復元し、
前記以前のバックアップの前記復元は、自動化されるか、またはユーザ対話を用いて実行される請求項１〜９の何れか１項に記載の方法。
【請求項１１】
前記応答メカニズムが、
前記現在のメタデータ及び前記履歴上メタデータに基づいて、識別された前記マシン及び／またはユーザ上で前記悪意のあるアクティビティを開始させたファイルの作成者を判定すること、及び、
前記判定された作成者に基づいて、複数の応答メカニズムの特定の応答メカニズムを識別し、実行すること、を含む請求項１〜１０の何れか１項に記載の方法。
【請求項１２】
前記応答メカニズムが、
それぞれの前記ファイルの前記ペイロードのエントロピーを計算すること、
それぞれの前記ファイルの前記エントロピーを既知のユーザが開始した暗号化手法のエントロピーと比較して、識別された前記マシン及び／またはユーザが、ユーザが開始した暗号化手法を実施したかどうかを判定すること、
識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化手法を実施したそれぞれの前記ファイルのそれぞれを識別すること、
前記ファイルの前記現在のメタデータ及び前記ファイルの履歴上メタデータを分析することによって悪意のあるアクティビティが進行中であると判定することと、識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化手法を実施したそれぞれの前記ファイルを除き、前記所定の変化速度を超える前記ファイルの前記現在のメタデータと前記履歴上メタデータとの間の前記変化のパターンを識別すること、
（ｉ）識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化手法を実施したそれぞれの前記ファイルを除く、前記ファイルの前記現在のメタデータと、（ｉｉ）既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンを分析して、識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化手法を実施したそれぞれの前記ファイルを除く、前記ファイルの前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の一致を識別して、前記悪意のあるアクティビが進行中であると判定すること、を含む請求項１〜１１の何れか１項に記載の方法。
【請求項１３】
前記応答メカニズムが、
前記繰り返し識別によって識別された前記ファイルのそれぞれのファイルについて現在のコンテンツ・プロパティ・パラメータをアセンブルすること、
前記現在のコンテンツ・プロパティ・パラメータのそれぞれのパラメータについて、時間ベースのパラメータ変化統計のバッファを維持し、前記バッファに適用される移動時間ベースのウィンドウ内でそれぞれの前記パラメータについての変化速度の移動平均を計算することによって、識別された前記ファイルの前記現在のコンテンツ・プロパティ・パラメータについての前記変化速度の移動平均を、繰り返し計算すること、
前記現在のコンテンツ・プロパティ・パラメータについての計算された前記変化速度の移動平均に統計的に有意な加速があるときを識別することによって、第２のレベルの悪意のあるアクティビティが進行中であることを検出すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する二次応答メカニズムを実施することによって、検出された前記第２のレベルの悪意のあるアクティビティに応答すること、を含む第２レイヤの検出の実行を含む請求項１〜１２の何れか１項に記載の方法。
【請求項１４】
それぞれの前記ファイルのそれぞれの前記現在のメタデータを、それぞれの前記ファイルのそれぞれの前記履歴上メタデータと比較すること、
それぞれの前記ファイルの前記現在のメタデータとそれぞれの前記ファイルの前記履歴上メタデータとの比較に基づいて、それぞれの前記ファイルのそれぞれの差を判定すること、及び、
それぞれの前記ファイルの何れかについて判定された前記差が所定の変化閾値を超える場合に、前記悪意のあるアクティビティが進行中であると判定すること、を更に含む請求項１〜１３の何れか１項に記載の方法。
【請求項１５】
前記現在のコンテンツ・プロパティ及び前記履歴上コンテンツ・プロパティが、それぞれの前記ファイルの前記ペイロードの計算されたエントロピーまたは計算された階層化エントロピーを含む請求項１〜１４の何れか１項に記載の方法。
【請求項１６】
前記現在のコンテンツ・プロパティと前記履歴上コンテンツ・プロパティが、それぞれの前記ファイルの前記ペイロードのローカリティ−センシティブ・ハッシング（ＬＳＨ）を含むことで、前記現在のコンテンツ・プロパティの前記ＬＳＨと前記履歴上コンテンツ・プロパティの前記ＬＳＨとの間のハミング距離を判定することによって、それぞれの前記ファイルごとの変化が識別できる請求項１〜１５の何れか１項に記載の方法。
【請求項１７】
前記応答メカニズムが、
それぞれの前記ファイルの前記ペイロードのエントロピーを計算すること、
それぞれの前記ファイルの前記エントロピーを既知のユーザが開始した暗号化手法のエントロピーと比較して、識別された前記マシン及び／またはユーザが、ユーザが開始した暗号化手法を実施したかどうかを判定すること、
識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化手法を実施したそれぞれの前記ファイルのそれぞれを識別すること、
前記ファイルの前記現在のコンテンツ・プロパティ及び前記ファイルの前記履歴上コンテンツ・プロパティを分析することによって悪意のあるアクティビティが進行中であると判定することと、識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化手法を実施したそれぞれの前記ファイルを除き、所定の変化速度を超える前記ファイルの前記現在のコンテンツ・プロパティと前記履歴上コンテンツ・プロパティとの間の前記変化のパターンを識別すること、
（ｉ）識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化手法を実施したそれぞれの前記ファイルを除く、前記ファイルの前記現在のコンテンツ・プロパティと、（ｉｉ）既知の悪意のあるファイル修正を示す悪意のあるコンテンツ・プロパティの既知のパターンを分析して、識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化手法を実施したそれぞれの前記ファイルを除く、前記ファイルの前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の一致を識別して、前記悪意のあるアクティビが進行中であると判定すること、を含む請求項１〜１６の何れか１項に記載の方法。
【請求項１８】
独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答する方法であって、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
前記繰り返し識別によって識別された前記ファイルのそれぞれのファイルについて現在のコンテンツ・プロパティ・パラメータをアセンブルすること、
前記現在のコンテンツ・プロパティ・パラメータのそれぞれのパラメータについて、時間ベースのパラメータ変化統計のバッファを維持し、前記バッファに適用される移動時間ベースのウィンドウ内でそれぞれの前記パラメータについての変化速度の移動平均を計算することによって、識別された前記ファイルの前記現在のコンテンツ・プロパティ・パラメータについての前記変化速度の移動平均を、繰り返し計算すること、
前記現在のコンテンツ・プロパティ・パラメータについての計算された前記変化速度の移動平均に統計的に有意な加速があるときを識別することによって、悪意のあるアクティビティが進行中であることを検出すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施すること、を含む方法。
【請求項１９】
独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答する方法であって、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
（i）それぞれの前記ファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルされた現在のメタデータ、及び／または（ii）それぞれの前記ファイルの読み取られたペイロードから計算されたそれぞれの前記ファイルの現在のコンテンツ・プロパティを含む、繰り返し識別によって識別されるそれぞれの前記ファイルの現在の特徴的ファイル特性をアセンブルすること、
履歴上特徴的ファイル特性を格納する履歴上データ・ストアにアクセスして、履歴上メタデータ及び／または履歴上コンテンツ・プロパティを含むそれぞれの前記ファイルの前記履歴上特徴的ファイル特性を取得すること、ここで、格納された前記履歴上特徴的ファイル特性は、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及び特徴的ファイル特性が前記ファイル・システム内で更新された後に、以前の世代の特徴的ファイル特性が利用可能なままであるように、前記ファイル・システム内のファイルを記述する特徴的ファイル特性の世代を保存するものであり、
（ｉ）履歴上特徴的ファイル特性がそれぞれの前記ファイルについて存在しない場合、及び（ｉｉ）それぞれの前記ファイルの前記現在の特徴的ファイル特性のパターンが所定の閾値を超える場合に、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性を、既知の悪意のあるファイル修正を示す悪意のある特徴的ファイル特性の既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、前記悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、含む方法。
【請求項２０】
前記現在のメタデータが、それぞれのファイルのファイル名の計算されたエントロピー、それぞれのファイルのファイルタイプを示すマジックナンバー、それぞれのファイルのファイル名の拡張子、及び、それぞれのファイルからメタデータを抽出することができないときを示すメタデータ抽出不能インジケータの少なくとも１つを含む請求項１９に記載の方法。
【請求項２１】
前記応答メカニズムが、
前記現在のメタデータに基づいて、識別された前記マシン及び／またはユーザ上で前記悪意のあるアクティビティを開始させたファイルの作成者を判定すること、及び、
前記判定された作成者に基づいて、複数の応答メカニズムの特定の応答メカニズムを識別し、実行すること、を含む請求項１９または２０に記載の方法。
【請求項２２】
前記応答メカニズムが、
前記繰り返し識別によって識別された前記ファイルのそれぞれのファイルについて現在のコンテンツ・プロパティ・パラメータをアセンブルすること、
前記現在のコンテンツ・プロパティ・パラメータのそれぞれのパラメータについて、時間ベースのパラメータ変化統計のバッファを維持し、前記バッファに適用される移動時間ベースのウィンドウ内でそれぞれの前記パラメータについての変化速度の移動平均を計算することによって、識別された前記ファイルの前記現在のコンテンツ・プロパティ・パラメータについての前記変化速度の移動平均を、繰り返し計算すること、
前記現在のコンテンツ・プロパティ・パラメータについての計算された前記変化速度の移動平均に統計的に有意な加速があるときを識別することによって、第２のレベルの悪意のあるアクティビティが進行中であることを検出すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する二次応答メカニズムを実施することによって、検出された前記第２のレベルの悪意のあるアクティビティに応答すること、を含む第２レイヤの検出の実行を含む請求項１９〜２１の何れか１項に記載の方法。
【請求項２３】
独立したデータ・ストアのファイル・システムに同期されたローカルデバイスのローカルファイル・システムに対するデータ攻撃を検出し、それに応答する方法であって、
決定された時間枠内に更新された前記独立データ・ストアの前記ローカルファイル・システム内のファイルを繰り返し識別すること、
（i）それぞれの前記ファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルされた現在のメタデータ、及び／または（ii）それぞれの前記ファイルの読み取られたペイロードから計算されたそれぞれの前記ファイルの現在のコンテンツ・プロパティを含む、繰り返し識別によって識別されるそれぞれの前記ファイルの現在の特徴的ファイル特性をアセンブルすること、
履歴上特徴的ファイル特性を格納する履歴上データ・ストアにアクセスして、履歴上メタデータ及び／または履歴上コンテンツ・プロパティを含むそれぞれの前記ファイルの前記履歴上特徴的ファイル特性を取得すること、ここで、格納された前記履歴上特徴的ファイル特性は、前記ローカルファイル・システム及び前記独立したデータ・ストアの前記ファイル・システムの制御下になく独立して維持され、前記履歴上データ・ストアは、ファイル及び特徴的ファイル特性が前記ファイル・システム内で更新された後に、以前の世代の特徴的ファイル特性が利用可能なままであるように、前記ファイル・システム内のファイルを記述する特徴的ファイル特性の世代を保存するものであり、
前記ローカルデバイスによって、（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性をそれぞれの前記ファイルの前記履歴上特徴的ファイル特性と比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性とそれぞれの前記ファイルの前記履歴上特徴的ファイル特性との間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性とそれぞれの前記ファイルの前記履歴上特徴的ファイル特性との間の識別された前記差を評価して、所定の変化速度を超えるそれぞれの前記ファイルの前記履歴上特徴的ファイル特性から前記現在の特徴的ファイル特性への変化のパターンを識別すること、及び（iv）識別された前記変化のパターンが前記所定の変化速度を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性を、既知の悪意のあるファイル修正を示す悪意のある特徴的ファイル特性の既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、前記悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによる、前記ローカルデバイスの前記ローカルファイル・システムと前記独立したデータ・ストアの前記ファイル・システムに対するファイル修正を制限する応答メカニズムを実施することを、含む方法。
【請求項２４】
前記履歴上コンテンツ・プロパティが、継続的に、内観的または積極的に、前記ローカルデバイス上で、コンパイルされ、格納される請求項２３に記載の方法。
【請求項２５】
前記現在のコンテンツ・プロパティ及び前記履歴上コンテンツ・プロパティが、それぞれの前記ファイルの前記ペイロードの計算されたエントロピーまたは計算された階層化エントロピーを含む請求項２３または２４に記載の方法。
【請求項２６】
前記現在のコンテンツ・プロパティと前記履歴上コンテンツ・プロパティが、それぞれの前記ファイルの前記ペイロードのローカリティ−センシティブ・ハッシング（ＬＳＨ）を含むことで、前記現在のコンテンツ・プロパティの前記ＬＳＨと前記履歴上コンテンツ・プロパティの前記ＬＳＨとの間のハミング距離を判定することによって、それぞれの前記ファイルごとの変化が識別できる請求項２３〜２５の何れか１項に記載の方法。
【請求項２７】
前記現在のコンテンツ・プロパティ及び前記履歴上コンテンツ・プロパティが、それぞれの前記ファイルの前記ペイロード内のスタブの発生を含む請求項２３〜２６の何れか１項に記載の方法。
【請求項２８】
前記現在のコンテンツ・プロパティと前記履歴上コンテンツ・プロパティが、それぞれの前記ファイルの前記ペイロードの構造のドキュメントオブジェクト完全性があるか否かを示す完全性インジケータを有する請求項２３〜２７の何れか１項に記載の方法。
【請求項２９】
前記現在のコンテンツ・プロパティ及び前記履歴上コンテンツ・プロパティは、それぞれの前記ファイルの前記ペイロード内に、それぞれの前記ファイルごとの前記悪意のあるアクティビティに関連する既知のキーワードの出現の回数を含む請求項２３〜２８の何れか１項に記載の方法。
【請求項３０】
何れかのそれぞれのファイルの前記現在のコンテンツ・プロパティが攻撃者の既知のランサムノートの存在を示す場合に、前記悪意のあるアクティビティが進行中であると判定することを含む請求項２３〜２９の何れか１項に記載の方法。
【請求項３１】
前記応答メカニズムは、前記悪意のあるアクティビティが検出されたことを前記マシン及び／またはユーザに通知すること、及び、前記悪意のあるアクティビティの位置を前記マシン及び／またはユーザに提供することを請求項２３〜３０の何れか１項に記載の方法。
【請求項３２】
前記応答メカニズムが、識別された前記マシン及び／またはユーザを前記独立したデータ・ストアから切断することによって、及び、前記独立したデータ・ストアへのアクセスを有する追加のユーザを切断することによって、前記独立したデータ・ストアを分離すること、及び
識別された前記マシン及び／またはユーザが前記独立したデータ・ストアにアクセスすることを防止すること、を含む請求項２３〜３１の何れか１項に記載の方法。
【請求項３３】
前記応答メカニズムが、
識別された前記マシン及び／またはユーザがアクセスする他の独立したデータ・ストア上の前記悪意のあるアクティビティのスキャンを強制すること、
前記独立したデータ・ストアにアクセスする追加のユーザに、前記悪意のあるアクティビティのローカルスキャンを強制すること、
前記追加のユーザがアクセスする他の独立したデータ・ストア上の前記悪意のあるアクティビティのスキャンを強制すること、を含む請求項２３〜３２の何れか１項に記載の方法。
【請求項３４】
前記応答メカニズムが、
前記現在のコンテンツ・プロパティ及び前記履歴上コンテンツ・プロパティに基づいて、識別された前記マシン及び／またはユーザ上で前記悪意のあるアクティビティを開始させたファイルの作成者を判定すること、及び、
判定された作成者に基づいて、多数の応答メカニズムの特定の応答メカニズムを識別し、実行することを含む請求項２３〜３３の何れか１項に記載の方法。
【請求項３５】
前記応答メカニズムが、
それぞれの前記ファイルの前記ペイロードのエントロピーを計算すること、
それぞれの前記ファイルの前記エントロピーを、既知のユーザが開始した暗号化手法のエントロピーと比較して、識別された前記マシン及び／またはユーザが、ユーザが開始した暗号化手法を実施したかどうかを判定すること、
識別された前記マシン及び／またはユーザが、前記ユーザが開始した暗号化手法を実施したそれぞれの前記ファイルのそれぞれを識別すること、
前記ファイルの前記現在のコンテンツ・プロパティ及び前記ファイルの前記履歴上コンテンツ・プロパティを分析することによって悪意のあるアクティビティが進行中であると判定することと、識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化手法を実施したそれぞれの前記ファイルを除き、所定の変化速度を超える前記ファイルの前記現在のコンテンツ・プロパティと前記履歴上コンテンツ・プロパティの間の変化のパターンを識別すること、
（ｉ）識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化手法を実施したそれぞれの前記ファイルを除く、前記ファイルの前記現在のコンテンツ・プロパティと（ｉｉ）既知の悪意のあるファイル修正を示す悪意のあるコンテンツ・プロパティの既知のパターンを分析して、識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化手法を実施したそれぞれの前記ファイルを除く、前記ファイルの前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの既知のパターンとの間の一致を識別して、前記悪意のあるアクティビが進行中であると判定することを含む請求項２３〜３４の何れか１項に記載の方法。
【請求項３６】
前記応答メカニズムが、
前記繰り返し識別によって識別された前記ファイルのそれぞれのファイルについて現在のコンテンツ・プロパティ・パラメータをアセンブルすること、
前記現在のコンテンツ・プロパティ・パラメータのそれぞれのパラメータについて、時間ベースのパラメータ変化統計のバッファを維持し、前記バッファに適用される移動時間ベースのウィンドウ内でそれぞれの前記パラメータについての変化速度の移動平均を計算することによって、識別された前記ファイルの前記現在のコンテンツ・プロパティ・パラメータについての前記変化速度の移動平均を、繰り返し計算すること、
前記現在のコンテンツ・プロパティ・パラメータについての計算された前記変化速度の移動平均に統計的に有意な加速があるときを識別することによって、第２のレベルの悪意のあるアクティビティが進行中であることを検出すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する二次応答メカニズムを実施することによって、検出された前記第２のレベルの悪意のあるアクティビティに応答すること、を含む第２レイヤの検出の実行を含む請求項２３〜３５の何れか１項に記載の方法。
【請求項３７】
それぞれの前記ファイルのそれぞれの前記現在のコンテンツ・プロパティを、それぞれの前記ファイルのそれぞれの前記履歴上コンテンツ・プロパティと比較すること、
それぞれの前記ファイルの前記現在のコンテンツ・プロパティとそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティとの比較に基づいて、それぞれの前記ファイルのそれぞれの差を判定すること、及び、
それぞれの前記ファイルの何れかについて判定された前記差が、所定の変化閾値を超える場合に、前記悪意のあるアクティビティが進行中であると判定すること、を更に含む請求項２３〜３６の何れか１項に記載の方法。
【請求項３８】
独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答する方法であって、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
（i）それぞれの前記ファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルされた現在のメタデータ、及び／または（ii）それぞれの前記ファイルの読み取られたペイロードから計算されたそれぞれの前記ファイルの現在のコンテンツ・プロパティを含む、繰り返し識別によって識別されるそれぞれの前記ファイルの現在の特徴的ファイル特性をアセンブルすること、
履歴上特徴的ファイル特性を格納する履歴上データ・ストアにアクセスして、履歴上メタデータ及び／または履歴上コンテンツ・プロパティを含むそれぞれの前記ファイルの前記履歴上特徴的ファイル特性を取得すること、ここで、格納された前記履歴上特徴的ファイル特性は、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及び特徴的ファイル特性が前記ファイル・システム内で更新された後に、以前の世代の特徴的ファイル特性が利用可能なままであるように、前記ファイル・システム内のファイルを記述する特徴的ファイル特性の世代を保存するものであり、
（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性をそれぞれの前記ファイルの前記履歴上特徴的ファイル特性と比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性とそれぞれの前記ファイルの前記履歴上特徴的ファイル特性との間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性とそれぞれの前記ファイルの前記履歴上特徴的ファイル特性との間の識別された前記差を評価して、所定の変化量を超えるそれぞれの前記ファイルの前記履歴上特徴的ファイル特性から前記現在の特徴的ファイル特性への変化量を識別すること、及び（iv）識別された前記変化量が前記所定の変化量を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性を、既知の悪意のあるファイル修正を示す悪意のある特徴的ファイル特性の既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、前記悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、含む方法。
【発明の詳細な説明】
【他の出願の相互参照】
【０００１】
本出願は、「ファイル・システム上のデータ攻撃を検出し応答するシステム及び方法」（代理人事件整理番号：ＮＳＫＯ  １００５−１）、２０１６年８月１０日出願の米国仮特許出願第６２／３７３２８８号の優先権及びその利益を主張する。更に、「ファイル・システム上のマルウェアを検出し応答するシステム及び方法」（代理人事件整理番号：ＮＳＫＯ  １００５−３）、２０１７年６月２０日出願の米国特許出願第１５／６２８５５１、及び、「ファイル・システム上のデータ攻撃を検出し応答するシステム及び方法」（代理人事件整理番号：ＮＳＫＯ  １００５−２）、２０１７年６月２０日出願の米国特許出願第１５／６２８５４７の両方の優先権及びその利益を主張する。該関連出願は、全ての目的において参照として組み込まれる。
[合体資料]
【０００２】
下記の資料は、本出願に参照として組み込まれている。
【０００３】
チェン、イタール、ナラヤナスワミ及びマルムスコグ、「ダミー用クラウドセキュリティ」、ネットスコープ・スペシャル・エディション、ジョン・ワイリーアンドサン，インク発行、２０１５年
【０００４】
「ネットスコープ内観（Ｉｎｔｒｏｓｐｅｃｔｉｏｎ）」、ネットスコープ，インク（netScope, Inc）発行
【０００５】
「Data Loss Prevention and Monitoring in the Cloud」、ネットスコープ，  インク（netScope, Inc）発行
【０００６】
「The 5 Steps to Cloud Confidence」、ネットスコープ，  インク（netScope, Inc）発行
【０００７】
「Netskope Active Cloud DLP」、ネットスコープ，  インク（netScope, Inc）発行
【０００８】
「Repave the Cloud-Data Breach Collision Course」、ネットスコープ，  インク（netScope, Inc）発行
【０００９】
「Netskope Cloud Confidence IndexTM」、ネットスコープ，  インク（netScope, Inc）発行
【００１０】
「クラウド・コンピューティング・サービス（ＣＣＳ）上に保存された企業情報をモニタ及びコントロールするシステム及び方法」、米国特許出願第１４／８３５６４０号、２０１５年８月２５日出願（代理人事件整理番号：ＮＳＫＯ  １００１−２）
【００１１】
「ネットワーク配信されるサービスのためのセキュリティ」、米国特許出願第１４／１９８５０８号、２０１４年３月５日出願（代理人事件整理番号：ＮＳＫＯ  １０００−３）（２０１６年２月２３日発行米国特許第９２７０７６５号）
【技術分野】
【００１２】
開示された技術は、一般に、独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答することに関し、より詳細には、独立したデータ・ストア（例えば、クラウド・ドライブ）上の最近修正されたファイルが、ランサムウェアのような悪意のあるアクティビティの対象であったかどうかを識別し、決定すること、及び応答メカニズムを実施することによって、悪意のあるアクティビティに応答することに関する。
【背景技術】
【００１３】
本項で議論される主題は、本項におけるその言及の結果、単に先行技術であると仮定されるべきではない。同様に、本項で言及される、または背景として提供される主題に関連する問題または欠点は、先行技術において以前に認識されていたと仮定されるべきではない。本項の主題は、単に様々なアプローチを示しているに過ぎず、それ自体もまた、開示された技術の実施態様に対応することができる。
【００１４】
クラウドからコンテンツを共有することは、かつて今ほど容易ではなかった。何が共有され、コンテンツが誰と共有されるかの視認性及び制御がなく、クラウド上に格納されたコンテンツが、マルウェア等の悪意のあるアクティビティの対象になり得るというリスクが増大することが課題である。
【００１５】
現在、多くの企業機能のためのクラウド・サービスの使用が一般的である。したがって、企業データを格納するために、または顧客関係管理（ＣＲＭ）ソフトウェア製品を実行するために、企業ネットワーク内にサーバを設置する代わりに、カスタマイズされた、または既製のクラウド・ストレージソリューション、及び、例えばＳａｌｅｓｆｏｒｃｅ．Ｃｏｍが提供するサービスとしてのソフトウェア（ＳａａＳ）ソリューションを使用することができる。古典的な非クラウド・ベースのソリューションへのアクセスを記録し、保護することができる情報技術（ＩＴ）及びネットワーク・アーキテクチャのアプローチは、制限された制御を提供する。「個人保有デバイスの持ち込み」（ＢＹＯＤ）の無秩序な広がりと、そのトラフィックを企業に引き戻す必要性により、それは魅力の少ないものとなる。例えば、保護された企業ネットワークへのアクセスを制御するために、仮想プライベート・ネットワーク（ＶＰＮ）ソリューションが使用される。プロキシ（トランスペアレントなものとエクスプリシットなものの両方）を使用して、クライアントが企業ネットワーク内からウェブサイトにアクセスしているときに、不適切なウェブサイトへのアクセスをフィルタリングまたは制限することができる。同様のフィルタリング・ソフトウェアを、クライアント・コンピュータ、例えば安全なブラウジング・ソフトウェアにインストールして、マルウェアがクラウド・ベースのストレージに感染する可能性を低減するように、アクセスに対する制限を実施することができる。実行可能な解決策は、例えば、複数の装置、ネットワークサービス、及び企業ネットワークを含むネットワークに亘って同じセキュリティ対策を実施する等、一貫性のある一元的に管理された制御を提供するべきである。
【００１６】
データは、多くの場合、あらゆるビジネスの源泉であり、それが効果的に管理され、保護され、コンプライアンスの必要性を満たすことが重要である。過去のデータ保護は、主に構内状況に集中していたが、現在、クラウド・サービスの普及に伴い、あらゆる規模の企業は、現在、データの作成、編集、及び格納のためにクラウドに依存している。これは、新しい課題を提示する。その利点にもかかわらず、クラウドはまた、マルウェアのような悪意のあるアクティビティの結果として、人々が機密の企業データを簡単に喪失し得る。一つの理由として、複数のデバイスからクラウド・サービスにアクセスしやすい点がある。他の理由として、クラウド・サービスは、組織外の人々を含めて、データ共有が容易に行える点である。これらの理由から、データが組織の制御から容易に逸脱し得る。
【００１７】
クラウド・ベースのサービスの数が指数関数的に増加するにつれて、マルウェア、より具体的にはランサムウェアによるデータ攻撃の可能性が指数関数的に増加する。ランサムウェアは、ユーザのローカルエンドポイントにインストールされ、次いでユーザのファイルを暗号化し、次いでユーザのファイルを暗号解読するためにランサムを要求することによって、ユーザのローカルエンドポイントに対する攻撃を実行するコンピュータマルウェアである。ランサムウェアは、電子媒体及びネットワークを介して伝播する。ランサムウェア感染を運ぶことができるメディアの例は、電子メール、エクスプロイトキット、リムーバブルドライブ、及び外部ネットワークシェアである。ランサムウェアは、しばしば、被害者が暗号解読鍵を得るためにランサムを支払うことを確実にするために、ファイルを暗号化する。
【００１８】
ユーザは、クラウド・ベースのサービスによって提供される同期及び共有メカニズムを介して、無意識にランサムウェアを拡散することができる。ファイル同期、共有、及び共同作業に依存するユーザ間のランサムウェア及び他の感染の受動的な広がりは、増加するリスクを提示する。
【００１９】
Ｖｉｒｌｏｃｋは、ファイルを暗号化し、それらにも感染させるランサムウェア感染であり、それによって、それを多形ファイル感染型ランサムウェアにする。Ｖｉｒｌｏｃｋに感染したファイルを開いたユーザは、クラウド・ベースのサービスを介して同期されたファイルを含めて、感染を広げ、ファイルを暗号化し感染させる。Ｖｉｒｌｏｃｋランサムウェアは、マルウェアをこっそりと配信し、マルウェアのファンアウト効果を実質的に増幅する能力を有する新しい伝播ベクトルを提示する。
【００２０】
ランサムウェアの企業浸透について、ＩＣＩＴ（Ｉｎｓｔｉｔｕｔｅ  ｏｆ  Ｃｒｉｔｉｃａｌ  Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ  Ｔｅｃｈｎｏｌｏｇｙ）は、「２０１６年はアメリカのクリティカル・インフラストラクチャー・コミュニティーに大混乱を引き起こす年である」（ＩＣＩＴ、２０１６年８月ｈｔｔｐ：／／ｉｃｉｔｅｃｈ．ｏｒｇ／ｗｐ−ｃｏｎｔｅｎｔ／ｕｐｌｏａｄｓ／２０１６／０３／ＩＣＩＴ−Ｂｒｉｅｆ−Ｔｈｅ−Ｒａｎｓｏｍｗａｒｅ−Ｒｅｐｏｒｔ２．ｐｄｆ，）と述べている。Ｋａｓｐｅｒｓｋｙ  Ｓｅｃｕｒｉｔｙ  Ｂｕｌｌｅｔｉｎ  ２０１５は、２０１５年に、Ｋａｓｐｅｒｓｋｙ  Ｌａｂソリューションが、２０１４年の２倍以上の企業ネットワークで５万台以上のコンピュータ上でランサムウェアを検出したと報告している（Ｋａｓｐｅｒｓｋｙ    Ｌａｂ、Ｋａｓｐｅｒｓｋｙ  Ｓｅｃｕｒｉｔｙ  Ｂｕｌｌｅｔｉｎ  ２０１５）。同報告書では、インシデントの実数が数倍高いことを説明している。ＣＮＮマネーによると、２０１６年第１四半期に、サイバー犯罪者は、企業や機関がランサムウェアに感染したコンピュータ・サーバーのロックを解除することを強要することにより、２０９００万ドルを集金した。連邦捜査局（ＦＢＩ）は、２０１６年、ランサムウェアは１０億ドルの犯罪であると推定している（ＣＮＮマネー、ｈｔｔｐ：／／ｍｏｎｅｙ．ｃｎｎ．ｃｏｍ／２０１６／０４／１５／ｔｅｃｈｎｏｌｏｇｙ／ｒａｎｓｏｍｗａｒｅ−ｃｙｂｅｒ−ｓｅｃｕｒｉｔｙ／、２０１６年４月１５日）。
【００２１】
したがって、クラウド・サービスの利用、より具体的にはクラウド・ストレージの利用を促進し、人々が生産的であり続け、その仕事に最適なツールを利用できるようにすることが不可欠であるが、個々のユーザ及び企業がランサムウェアに人質となることを防止するために、適切な対応メカニズムを検出し、実装することも同様に重要である。
[開示される技術の概要]
【００２２】
本開示の態様は、少なくとも上述の問題及び／または欠点に対処し、少なくとも以下に説明する利点を提供することである。したがって、本開示の一態様は、独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答するための方法、非一時的なコンピュータ可読記録媒体、及び装置を提供することである。
【００２３】
本開示の一態様によれば、独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答するための方法が提供される。本方法は、決定された時間枠内に更新された独立したデータ・ストアのファイル・システム内のファイルを識別するためにリストを繰り返しスキャンすることと、スキャンによって識別されたそれぞれのファイルについて現在のメタデータをアセンブルすることとを含み、現在のメタデータは、それぞれのファイルについてのファイル・システム・リスト及びそれぞれのファイルのファイル・ヘッダからアセンブルされる。更に、本方法は、履歴上メタデータを格納する履歴上メタデータ・ストアにアクセスして、それぞれのファイルの履歴上メタデータを取得することを含み、格納された履歴上メタデータは、ファイル・システムの制御下ではなくファイル・システムから独立して維持され、履歴上メタデータ・ストアは、ファイル・システム内のファイルを記述するメタデータの世代を、ファイル及びファイルメタデータがファイル・システム内で更新された後に、以前の世代のメタデータが利用可能なままであるように保存する。更に、本方法は、検査エージェントまたはアクティブ・エージェントによって、それぞれのファイルの現在のメタデータ及びそれぞれのファイルの履歴上メタデータを分析して、現在のメタデータから履歴上メタデータへの所定の変化速度を超える変化のパターンを識別することによって、悪意のあるアクティビティが進行中であることを判定することを含む。更に、本方法は、検査エージェントまたはアクティブ・エージェントによって、それぞれのファイルの現在のメタデータと、既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンとを分析して、それぞれのファイルの現在のメタデータと、既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンとの間の一致を識別することによって、悪意のあるアクティビティが進行中であること、悪意のあるアクティビティを開始したマシン及び／またはユーザを判定すること、及び、悪意のあるアクティビティを開始したマシン及び／またはユーザの判定に応答して、判定されたマシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを含む。
【００２４】
本開示の一態様によれば、独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答するための方法が提供される。本方法は、決定された時間枠内で更新された独立したデータ・ストアのファイル・システム内のファイルを識別するためにリストを繰り返しスキャンすることと、スキャンによって識別されたそれぞれのファイルのペイロードを読み取ることと、それぞれのファイルのペイロードからそれぞれのファイルの現在のコンテンツ・プロパティを計算することと、履歴上コンテンツ・プロパティを格納する履歴コンテンツストアにアクセスして、それぞれのファイルの読み取られたペイロードに基づいてアセンブルされた履歴上コンテンツ・プロパティを取得することを含み、格納された履歴上コンテンツ・プロパティは、ファイル・システムの制御下ではなくファイル・システムから独立して、及び維持され、履歴上コンテンツ・プロパティ・ストアは、ファイル・システム内のファイルを記述するコンテンツ・プロパティの世代を、ファイル及びファイル・コンテンツ・プロパティがファイル・システム内で更新された後に、以前の世代のコンテンツ・プロパティ利用可能なままであるように保存する。更に、本方法は、検査エージェントまたはアクティブ・エージェントによって、それぞれのファイルの現在のコンテンツ・プロパティと、それぞれのファイルの履歴上コンテンツ・プロパティとを分析して、それぞれのファイルの現在のコンテンツ・プロパティと履歴上コンテンツ・プロパティとの間の所定の変化速度を超える変化のパターンを識別することによって、悪意のあるアクティビティが進行中であることを判定することを含む。更に、本方法は、検査エージェントまたはアクティブ・エージェントによって、それぞれのファイルの現在のコンテンツ・プロパティと、既知の悪意のあるファイル修正を示す悪意のあるコンテンツ・プロパティの既知のパターンとを分析して、それぞれのファイルの現在のコンテンツ・プロパティと、既知の悪意のあるファイル修正を示す悪意のあるコンテンツ・プロパティの既知のパターンとの間の一致を識別することによって、悪意のあるアクティビティが進行中であると判断することと、悪意のあるアクティビティを開始したマシン及び／またはユーザを判定すること、及び、悪意のあるアクティビティを開始したマシン及び／またはユーザの判定に応答して、判定されたマシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを含む。
【００２５】
本開示の一態様によれば、独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答するための方法が提供される。本方法は、決定された時間枠内に更新された独立したデータ・ストアのファイル・システム内のファイルを識別するためにリストを繰り返しスキャンすることと、スキャンによって識別されたファイルの各ファイルの現在のコンテンツ・プロパティ・パラメータをアセンブルすることと、検査エージェントまたはアクティブ・エージェントによって、現在のコンテンツ・プロパティ・パラメータの各パラメータについて、時間ベースのパラメータ変化統計のバッファを維持することによって、識別されたファイルの現在のコンテンツ・プロパティ・パラメータの変化速度の移動平均を繰り返し計算することと、バッファに適用された移動時間ベースのウィンドウ内で、それぞれのパラメータの変化速度の移動平均を計算することとを含む。更に、本方法は、検査エージェントまたはアクティブ・エージェントによって、悪意のあるアクティビティが進行中であることを、現在のコンテンツ・プロパティ・パラメータの計算された変化速度の移動平均に統計的に有意な加速があるときを識別することによって判定することと、悪意のあるアクティビティを開始したマシン及び／またはユーザを判定することと、悪意のあるアクティビティを開始したマシン及び／またはユーザの判定に応答して、判定されたマシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを含む。
【００２６】
本開示の他の態様によれば、非一時的なコンピュータ可読記録媒体が提供され、非一時的なコンピュータ可読記録媒体は、実行されると、少なくとも１つのプロセッサに上述の３つの方法のそれぞれを実行させる命令が記録されている。更に、本開示の他の態様によれば、上述の３つの方法のそれぞれと同様の機能を実行するための特定のハードウェア構造を含む様々なシステム及び／または装置が提供される。
【００２７】
本開示の他の態様、利点、及び顕著な特徴は、添付の図面と併せて、本開示の様々な実施形態を開示する以下の詳細な説明から当業者に明らかになるであろう。
【図面の簡単な説明】
【００２８】
図面において、同様の参照符号は、一般に、種々の図を通して同様の部分を指す。また、図面は必ずしも均一な縮尺ではなく、それに代えて、一般的には、開示された技術の原理を説明する箇所を強調している。以下の説明では、開示された技術の様々な実施態様が、以下の図面を参照して説明される。
【００２９】
【図１】一実施態様によるシステムのアーキテクチャレベルの概略図を示す。
【００３０】
【図２】独立したデータ・ストアへのデータの転送中に悪意のあるアクティビティを検出するアクティブ・エージェントの一実施態様を示す。
【００３１】
【図３】独立したデータ・ストア上の悪意のあるアクティビティを検出する検査エージェントの一実施態様を示す。
【００３２】
【図４】非ペイロードメタデータ、履歴上メタデータ、所定の変化速度、及び独立したデータ・ストアを使用して悪意のあるアクティビティを検出する検査エージェント及び／またはアクティブ・エージェントの一実施態様を示す。
【００３３】
【図５】ペイロード・コンテンツ・プロパティ、履歴上コンテンツ・プロパティ、所定の変化速度、及び独立したデータ・ストアを使用して悪意のあるアクティビティを検出する検査エージェント及び／またはアクティブ・エージェントの一実施態様を示す。
【００３４】
【図６】コンテンツ・プロパティ・パラメータ、変化速度の移動平均、及び独立したデータ・ストアを使用して悪意のあるアクティビティを検出する検査エージェント及び／またはアクティブ・エージェントの一実施態様を示す。
【００３５】
【図７】非ペイロードメタデータ、履歴上メタデータ、変化量、及び独立したデータ・ストアを使用して悪意のあるアクティビティを検出する検査エージェント及び／またはアクティブ・エージェントの一実施態様を示す。
【００３６】
【図８】ペイロード・コンテンツ・プロパティ、履歴上コンテンツ・プロパティ、変化量、及び独立したデータ・ストアを使用して悪意のあるアクティビティを検出する検査エージェント及び／またはアクティブ・エージェントの一実施態様を示す。
【００３７】
【図９】非ペイロードメタデータ、履歴上メタデータ、所定の変化速度、及びローカル（クライアント）データ・ストアを使用して悪意のあるアクティビティを検出する検査エージェント及び／またはアクティブ・エージェントの一実施態様を示す。
【００３８】
【図１０】ペイロード・コンテンツ・プロパティ、履歴上コンテンツ・プロパティ、所定の変化速度、及びローカル（クライアント）データ・ストアを使用して悪意のあるアクティビティを検出する検査エージェント及び／またはアクティブ・エージェントの一実施態様を示す。
【００３９】
【図１１】非ペイロードメタデータ、履歴上コンテンツ・プロパティなしの識別、所定の閾値、及び独立したデータ・ストアを使用して悪意のあるアクティビティを検出する検査エージェント及び／またはアクティブ・エージェントの一実施態様を示す。
【００４０】
【図１２】ペイロード・コンテンツ・プロパティ、履歴上コンテンツ・プロパティなしの識別、所定の閾値、及び独立したデータ・ストアを使用して悪意のあるアクティビティを検出する検査エージェント及び／またはアクティブ・エージェントの一実施態様を示す。
【発明を実施するための形態】
【００４１】
［序論］
添付の図面を参照した以下の説明は、本開示の様々な実施形態の包括的な理解を助けるために提供される。以下の説明は、その理解を助けるために様々な特定の詳細を含むが、これらは単なる例示とみなされるべきである。したがって、当業者は、本開示の範囲及び精神から逸脱することなく、本明細書で説明される様々な実施形態の様々な変更及び修正を行うことができることを認識するであろう。更に、明確さ及び簡潔さのために、周知の機能及び構成の説明を省略することがある。
【００４２】
以下の説明で使用される用語及び単語は、書誌的な意味に限定されるものではなく、本開示の明確且つ一貫した理解を可能にするために、単に本発明者によって使用されるものである。したがって、本開示の様々な実施形態の以下の説明は、例示目的のためだけに提供され、本開示を限定する目的のために提供されないことが、当業者には明らかであるはずである。
【００４３】
コンテンツ検査は、過去の間に長い道のりを歩んできた。様々なファイルタイプ（ビデオから最も分かり難いバイナリファイルまで）の知識及び理解、或いは、近接マッチングによる誤検知の低減であれ、業界は、多くのコードをクラックさせ、ＩＴ及びビジネスは、結果として向上している。しかし、依然として真の変わらない技術的な問題の一つは、見ることのできないコンテンツを検査できないということである。例えば、今日では１５３以上のクラウド・ストレージ・プロバイダが存在し、Ｎｅｔｓｋｏｐｅ  Ｃｌｏｕｄ  Ｒｅｐｏｒｔによると、平均的な組織は、それらのうちの３４のみを使用している。ＩＴが、通常、その環境で実行されているクラウド・アプリケーションの９０％を認識していないことを考慮すると、これは、３０以上のクラウド・アプリケーション及び関連するクラウド・ベースのストレージに、ＩＴが知識を有していないコンテンツが存在することを意味する。
【００４４】
クラウドに格納された大量のファイルのために、ランサムウェアを検出する目的で各ファイルをスキャンすることは現実的ではなく、マルウェアに感染したクラウドに格納されたファイルを識別するための合理的な解決策がまだ存在していない。開示された技術は、クラウド・ドライブ（例えば、独立したデータ・ストア）上のクラウドに格納された最近更新されたコンテンツを検査する検査エージェントを使用することによって、この技術的問題を解決する。更に、開示された技術は、コンテンツがクラウド・ドライブ上に格納及び／または更新されているときにリアルタイムトランザクションを検査するアクティブ・エージェントを使用することによって、この技術的問題を解決する。開示された技術は、クラウド・ドライブと通信するデバイスにローカルにインストールされたクライアント・エージェントを使用して、ローカルに格納されたファイルがクラウド・ドライブに送信される前にそれらを検査することができるようにすることによって、この技術的問題を解決する。検査エージェント、アクティブ・エージェント、及びクライアント・エージェントは、スタンドアロンで、または互いに並んで配備することができる。
［用語］
【００４５】
独立したデータ・ストア：本明細書では、ホストされたサービスまたはクラウド・サービスまたはクラウド・アプリケーションまたはクラウド・ストレージ・プロバイダまたはクラウド・ストレージ・アプリケーションまたはクラウド・コンピューティング・サービス（ＣＣＳ）は、「独立したデータ・ストア」と呼ばれ、その逆も同様である。今日の一般的なクラウド・サービスの実施例としては、Ｓａｌｅｓｆｏｒｃｅ．ｃｏｍ（商標）、Ｂｏｘ（商標）、Ｄｒｏｐｂｏｘ（商標）、Ｇｏｏｇｌｅ  Ａｐｐｓ（商標）、Ａｍａｚｏｎ  Ｗｅｂ  Ｓｅｒｖｉｃｅｓ  （ＡＷＳ（商標））、Ｍｉｃｒｏｓｏｆｔ  Ｏｆｆｉｃｅ  ３６５（商標）、Ｗｏｒｋｄａｙ（商標）Ｏｒａｃｌｅ  ｏｎ  Ｄｅｍａｎｄ（商標）、Ｔａｌｅｏ（商標）、Ｙａｍｍｅｒ（商標）、Ｃｏｎｃｅｒ（商標）等がある。クラウド・サービスは、単純なウェブサイトや電子商取引サイトの提供とは対照的に、クラウド内に実装され、ポリシーの対象であるユーザに、ログイン、ドキュメントの編集、大量データのダウンロード、得意先情報の読み取り、支払勘定への入力、ドキュメントの削除等の機能を提供する。ここで留意すべきは、Ｆａｃｅｂｏｏｋ（商標）及びＹａｍｍｅｒ（商標）等のソーシャルネットワークを提供する幾つかの消費者対応ウェブサイトは、ここで考慮されるクラウド・サービスのタイプである点である。グーグルのＧｍａｉｌ等の幾つかのサービスは、幾つかの自由なユーザが該アプリケーションを一般的に使用すると同時に、他の企業がそれをクラウド・サービスとして使用するハイブリッドなものも可能である。ここで留意すべきは、実施態様は、ＵＲＬベースのアプリケーション・プログラミング・インタフェース（ＡＰＩ）を使用するウェブ・ブラウザ・クライアント及びアプリケーション・クライアントの両方をサポートすることができる点である。したがって、例としてＤｒｏｐｂｏｘ（商標）を使用して、Ｄｒｏｐｂｏｘ（商標）ウェブサイト上のユーザ活動、並びにコンピュータ上のＤｒｏｐｂｏｘ（商標）クライアントの活動を監視することができる。
【００４６】
アプリケーション・プログラミング・インターフェース：「アプリケーション・プログラミング・インターフェース（ＡＰＩ）」は、そのインターフェース・タイプを含む一連のクラスに属するコード・ライブラリ、ルーチン、プロトコル・メソッド、及びフィールドのパッケージ化された集合として定義される。ＡＰＩは、関連するクラスをインポートし、クラスをインスタンス化し、それらのメソッドとフィールドを呼び出す命令文を記述するだけで、開発者とプログラマが、独自のソフトウェア開発にクラスを使用できる方法を規定する。別の実施態様実施態様では、ＡＰＩは、ソフトウェアコンポーネントが互いに通信するためのインターフェースとして使用されることを意図したソースコードベースの仕様である。ＡＰＩは、ルーチン、データ構造、オブジェクトクラス、及び変数の仕様を含むことができる。基本的に、ＡＰＩは、開発者及びプログラマが、オンラインソーシャルネットワークの基盤となるプラットフォーム機能及び特徴にアクセスするためのインターフェースを提供する。開示された技術の実施態様には、シンプル・オブジェクト・アクセス・プロトコル（ＳＯＡＰ）、Ｂｕｌｋ、拡張マークアップ言語（ＸＭＬ）−リモート・プロシージャ・コール（ＲＰＣ）、及び、ジャバ・スクリプト・オブジェクト・表記（ＪＳＯＮ）−ＲＰＣ等のハイパーテキスト転送プロトコル（ＨＴＴＰ）またはＨＴＴＰベースのＡＰＩ、リプレゼンテーショナル・ステート・トランスファ（ＲＥＳＴ）  ＡＰＩ  （例えば、Ｆｌｉｃｋｒ（商標）、Ｇｏｏｇｌｅ  Ｓｔａｔｉｃ  Ｍａｐｓ（商標）、Ｇｏｏｇｌｅ  Ｇｅｏｌｏｃａｔｉｏｎ  （商標））等のＷｅｂサービスＡＰＩ、ＷｅｂソケットＡＰＩ、ＪａｖａＳｃｒｉｐｔ（登録商標）及びＴＷＡＩＮ（例えば、Ｇｏｏｇｌｅ  Ｍａｐｓ（商標）ＪａｖａＳｃｒｉｐｔ（商標）  ＡＰＩ、Ｄｒｏｐｂｏｘ（商標）、ＪａｖａＳｃｒｉｐｔデータ・ストアＡＰＩ、Ｔｗｉｌｉｏ（商標）  ＡＰＩ、Ｏｒａｃｌｅ  Ｃａｌｌ  Ｉｎｔｅｒｆａｃｅ（ＯＣＩ）等のライブラリベースのＡＰＩ、Ｊａｖａ  ＡＰＩやＡｎｄｒｏｉｄ  ＡＰＩ（例えば、Ｇｏｏｇｌｅ  Ｍａｐｓ（商標）、Ａｎｄｒｏｉｄ  ＡＰＩ、．ＮＥＴ  Ｆｒａｍｅｗｏｒｋ用マイクロソフト・デヴェロッパ・ネットワーク（ＭＳＤＮ）、ＪａｖａとＣ＃用Ｔｗｉｌｉｏ（商標）ＡＰＩ）等のクラスベースのＡＰＩ（オブジェクト指向）、ファイル・システムへのアクセスやユーザインターフェイスへのアクセス等のＯＳ関数とルーチン、共通オブジェクト・リクエスト・ブローカ・アーキテクチャ（ＣＯＲＢＡ）や．ＮＥＴ  Ｒｅｍｏｔｉｎｇ等のオブジェクトリモーティングＡＰＩ（、及び、ビデオ・アクセラレーション、ハード・ディスク・ドライブ、及びペリフェラル・コンポーネント・インターコネクト（ＰＣＩ）バス等のリモーティング及びハードウェアＡＰＩを含む様々ＡＰＩが含まれる。開示される技術によって使用されるＡＰＩの他の例には、Ｂｏｘ  Ｃｏｎｔｅｎｔ  ＡＰＩ（商標）、Ｍｉｃｒｏｓｏｆｔ  Ｇｒａｐｈ（商標）、Ｄｒｏｐｂｏｘ  ＡＰＩ  ｖ２（商標）、Ｄｒｏｐｂｏｘ  Ｃｏｒｅ  ＡＰＩ（商標）、Ｄｒｏｐｂｏｘ  Ｃｏｒｅ  ＡＰＩ  ｖ２（商標）、Ｆａｃｅｂｏｏｋ  Ｇｒａｐｈ  ＡＰＩ（商標）、Ｆｏｕｒｓｑｕａｒｅ  ＡＰＩ（商標）、Ｇｅｏｎａｍｅｓ  ＡＰＩ（商標）、Ｆｏｒｃｅ．ｃｏｍ  ＡＰＩ（商標）、Ｆｏｒｃｅ．ｃｏｍ  ＡＰＩ（商標）、Ｆｏｒｃｅ．ｃｏｍ  Ｍｅｔａｄａｔａ  ＡＰＩ（商標）、Ａｐｅｘ  ＡＰＩ（商標）（商標）、Ｖｉｓｕａｌｆｏｒｃｅ  ＡＰＩ（商標）、Ｆｏｒｃｅ．ｃｏｍ  Ｅｎｔｅｒｐｒｉｓｅ  ＷＳＤＬ（商標）、Ｓａｌｅｓｆｏｒｃｅ．ｃｏｍ  Ｓｔｒｅａｍｉｎｇ  ＡＰＩ（商標）、Ｓａｌｅｓｆｏｒｃｅ．ｃｏｍ  Ｔｏｏｌｉｎｇ  ＡＰＩ（商標）、Ｇｏｏｇｌｅ  Ｄｒｉｖｅ  ＡＰＩ（商標）、Ｄｒｉｖｅ  ＲＥＳＴ  ＡＰＩ（商標）、ＡｃｃｕＷｅａｔｈｅｒ  ＡＰＩ（商標）、ＣｌｏｕｄＲａｉｌ（商標）ＡＰＩ等の集約型単一ＡＰＩ等がある。
【００４７】
モバイル及びタブレット対コンピュータ：明細書の一部では、クラウド・サービスにアクセスするためにユーザによって使用される２つのタイプのクライアント・デバイスを区別する。主な区別は、クライアント・デバイスをネットワーク・セキュリティ・システムに接続するためのメカニズムの違いである。クライアント・デバイスに関して、「コンピュータ」という用語は、ネットワーク・セキュリティ・システムがソフトウェアをより直接的にインストールし、ネットワーキングスタックを変更できる、よりオープンなシステムを指す。同様に、クライアント・デバイスに関して、「モバイル」または「タブレット」という用語は、ネットワークスタックを変更するためのネットワーク・セキュリティ・システムオプションがより限定されている、より閉じたシステムを指す。この用語は、Ｍａｃ  ＯＳ  Ｘ、Ｗｉｎｄｏｗｓデスクトップバージョン、Ａｎｄｒｏｉｄ、及び／またはＬｉｎｕｘ（登録商標）上で動作するコンピュータクライアント・デバイスを、ｉＯＳ及び／またはＷｉｎｄｏｗｓ  Ｍｏｂｉｌｅ上で動作するモバイル・デバイスまたはタブレットデバイスよりも簡単に変更できる今日の状況を反映している。従って、この用語は、クライアント・デバイスのタイプ間の基本的な技術的な違いとは対照的に、ネットワーク・セキュリティ・システムへのアクセスを提供するためにサードパーティのオペレーティング・システムベンダーの制限がどのように対処されるかを参考にする。更に、モバイルＯＳベンダーがシステムを更にオープンにした場合、コンピュータとクライアントの議論で説明されている実施態様を使用して、クライアント・デバイスのより多くクラスにおいて、当該区別をなくせる可能性がある。更に、組織内の特定のサーバコンピュータ及び他のコンピューティングデバイスが、マシン間通信をカバーするためにクライアントをインストールできる場合があり得る。
【００４８】
密接に関連する点は、一部のクライアントがネットワーク・セキュリティ・システムに異なる方法でインターフェースすることである。例えば、ブラウザアドオン・クライアントは、ブラウザを明示的なプロキシにリダイレクトする。ポリシーを適用するために必要なトラフィックのみがルート変更され、アプリケーション内でトラフィックがルート変更される。ネットワーク・セキュリティ・システムに到着するトラフィックは、データ内にまたは安全なトンネルヘッダ内に埋め込まれたユーザＩＤ、例えば、幾つかの実施態様では、追加のヘッダまたはセキュア・ソケット層（ＳＳＬ）クライアント側の証明書を有することができる。他のクライアントは、透明なプロキシを通じて選択されたネットワークトラフィックをリダイレクトする。これらの接続では、ポリシーで必要とされる要求を超えるトラフィックがネットワーク・セキュリティ・システムにルーティングされる可能性がある。更に、ユーザＩＤは、一般にデータそのもの中にはなく、ネットワーク・セキュリティ・システムへの安全なトンネルを設定する際にクライアントによって確立される。
【００４９】
ユーザＩＤ：この明細書の文脈におけるユーザＩＤ（ｉｄｅｎｔｉｔｙ）またはユーザ識別（ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）は、ネットワーク・セキュリティ・システムによってクライアント・デバイスに提供されるインジケータを指す。これは、トークン、ＵＵＩＤ（ユニヴァーサリ・ユニーク識別子）等の一意の識別子、公開鍵証明書等の形式を取り得る。幾つかの実施態様では、ユーザＩＤを特定のユーザ及び特定のデバイスにリンクすることができる。従って、同じ個人は、自分の携帯電話とコンピュータとで異なるユーザＩＤを持つことができる。ユーザＩＤは、エントリーまたはユーザＩＤのコーポレートＩＤディレクトリにリンクできるが、それとは区別されます。一実施態様では、ネットワーク・セキュリティによって署名された暗号証明書がユーザＩＤとして使用される。他の実施態様では、ユーザＩＤは、ユーザにのみ固有であり、デバイス間で同一とすることもできる。
【００５０】
暗号鍵：本明細書で使用される暗号鍵または鍵は、暗号化アルゴリズムとともに使用されるときに、データを暗号化または復号化するために使用される固有の変換を定義するコードまたは番号を指す。
［システム概要］
【００５１】
クラウド・ベースの配信サービス及びストレージのためのセキュリティを提供するためのシステム及び様々な実施態様が開示される。システム及び実装実施態様は、システムのアーキテクチャレベルの概略図を示す図１を参照して説明される。図１はアーキテクチャ図であるので、説明をより明確にするために、特定の細部は意図的に省略される。図１の説明は、以下のように編成される。最初に、図の要素を説明し、続いてそれらの相互接続を説明する。次に、システムにおける要素の使用について、より詳細に説明する。
【００５２】
図１は、システム１００を含む。システム１００は、ネットワーク・セキュリティ・システム１２０、管理クライアント１３０、独立したデータ・ストア上のクラウド・ストレージ１４２、１４４を含むクラウド・サービス１４０、クライアント・デバイス１５０、及びネットワーク１６０を含む。ネットワーク・セキュリティ・システム１２０は、アクティブ・エージェント１９２、検査エージェント１９４、モニタ１２１、及びストレージ１２２を含む。ストレージ１２２は、とりわけ、コンテンツ・ポリシー１８１、コンテンツ・プロファイル１８２、コンテンツ検査ルール１８３、企業データ１８４、クライアント１８５、及びユーザＩＤ１８６を格納する。幾つかの実施態様では、ストレージ１２２は、１または複数のテナントからの情報を共通データベースイメージのテーブルに格納して、マルチテナントデータベースシステム（ＭＴＤＳ）等の多くの方法で実装することができるオンデマンドデータベースサービス（ＯＤＤＳ）を形成することができる。データベース画像は、１または複数のデータベースオブジェクトを含むことができる。他の実施態様では、データベースは、リレーショナルデータベース管理システム（ＲＤＢＭＳ）、オブジェクト指向データベース管理システム（ＯＯＤＢＭＳ）、分散ファイル・システム（ＤＦＳ）、ノースキーマデータベース、または任意の他のデータ記憶システムもしくはコンピューティングデバイスとすることができる。
【００５３】
企業データ１８４は、知的財産、非公開の財務情報、戦略的計画、顧客リスト、個人を特定可能な顧客または従業員に属する情報、患者健康データ、ソースコード、営業秘密、予約情報、提携契約、企業プラン、合併及び買収文書、並びに他の機密データを含むが、これらに限定されない組織データを含むことができる。特に、「企業データ」という用語は、文書、ファイル、フォルダ、ウェブページ、ウェブページの集合、画像、または他のテキストベースの文書を指す。
【００５４】
ネットワーク・セキュリティ・システム１２０は、幾つかの機能１２５を提供すると見なすことができ、それらの間のキーは、アクティブ・エージェント１９２、検査エージェント１９４、抽出エンジン１２６、分類エンジン１２７、セキュリティ・エンジン１２８、管理プレーン１２９、及びデータ・プレーン１３１である。管理クライアント１３０は、タブレット１３２及びモバイル・デバイス１３４を含む。
【００５５】
次に、システム１００の要素の相互接続について説明する。ネットワーク１６０は、タブレット１３２、モバイル・デバイス１３４、モバイル・デバイス１５２、コンピュータ１５４、クラウド・ストレージ１４２、クラウド・ストレージ１４４、及びネットワーク・セキュリティ・システム１２０を通信可能に結合する（実線で示す）。クラウド・ストレージ１４２及び１４４は、独立したデータ・ストアとして説明することもできる。実際の通信経路は、公衆及び／またはプライベート・ネットワーク上のポイントツーポイントであり得る。通信の全ては、様々なネットワーク、例えば、プライベート・ネットワーク、ＶＰＮ、マルチ・プロトコル・ラベル・スイッチング（ＭＰＬＳ）回路、またはインターネットを介して行うことができ、適切なＡＰＩ及びデータ交換フォーマット、例えば、ＲＥＳＴ、ＪＳＯＮ、ＸＭＬ、ＳＯＡＰ及び／またはＪａｖａメッセージサービス（ＪＭＳ）を使用することができる。全ての通信を暗号化することができる。この通信は、一般に、ＬＡＮ  （ローカルエリアネットワーク）、ＷＡＮ  （ワイドエリアネットワーク）、電話ネットワーク（公衆交換電話ネットワーク（ＰＳＴＮ））、セッション開始プロトコル（ＳＩＰ）、無線ネットワーク、ポイントツーポイントネットワーク、星型ネットワーク、トークンリング型ネットワーク、ハブ型ネットワーク、インターネット等のネットワークを通して行われる。尚、インターネットは、モバイルインターネットのためのモバイルコミュニケーション用グローバルシステム（ＧＳＭ）エボリューション（ＥＤＧＥ）、３Ｇ、４Ｇロングタームエボリューション（ＬＴＥ）、Ｗｉ−Ｆｉ、及びマイクロ波アクセス用全世界相互運用（ＷｉＭＡＸ）等のプロトコルを介するモバイルインターネットを含む。更に、ユーザ名／パスワード、ＯＡｕｔｈ、Ｋｅｒｂｅｒｏｓ、ＳｅｃｕｒｅＩＤ、デジタル証明書等の様々な承認及び認証技術を使用して、通信を保護することができる。
【００５６】
モニタ１２１及びストレージ１２２は、互いに通信によって接続した１または複数のコンピュータ及びコンピュータ・システムを含むことができる。また、それらは、１以上の仮想コンピューティング及び／または記憶リソースであってもよい。たとえば、モニタ１２１は、１または複数のＡｍａｚｏｎエラスティック・コンピューティング・クラウド（ＥＣ２）インスタンスとすることができ、ストレージ１２２は、Ａｍａｚｏｎシンプル・ストレージ・サービス（Ｓ３）ストレージとすることができる。直接物理コンピュータまたは従来の仮想マシン上でネットワーク・セキュリティ・システム１２０を実装するのではなく、Ｓａｌｅｓｆｏｒｃｅ、Ｒａｃｋｓｐａｃｅ、またはＨｅｒｏｋｕのＦｏｒｃｅ．Ｃｏｍ等の他のコンピューティング・アズ・サービス・プラットフォームを、使用することができる。更に、機能１２５を実装するために、１または複数のエンジンを使用することができ、１または複数のポイント・オブ・プレゼンス（ＰＯＰ）を確立することができる。該エンジンは、ワークステーション、サーバ、コンピューティングクラスタ、ブレードサーバ、サーバファーム、または任意の他のデータ処理システムもしくはコンピューティングデバイスを含む様々なタイプがあり得る。該エンジンは、異なるネットワーク接続を介してデータベースに通信可能に接続し得る。例えば、抽出エンジン１２６は、ネットワーク１６０（例えば、インターネット）を介して接続することができ、分類エンジン１２７は、直接ネットワークリンクを介して接続することができ、セキュリティ・エンジン１２８は、更に異なるネットワーク接続によって接続することができる。他の例では、データ・プレーン１３１のＰＯＰは、地理的に分散されることができ、及び／または特定のクラウド・サービスと共同ホストされることができる。同様に、管理プレーン１２９のＰＯＰは、地理的に分散することができる。２つのタイプのＰＯＰは、別々にホストすることも、共同ホストすることもできる。
【００５７】
図１の要素及びそれらの相互接続を説明したので、図の要素をここでより詳細に説明する。ネットワーク・セキュリティ・システム１２０は、管理プレーン１２９及びデータ・プレーン１３１を介して様々な機能１２５を提供する。データ・プレーン１３１は、一実施態様によれば、抽出エンジン１２６、分類エンジン１２７、及びセキュリティ・エンジン１２８を含む。他の機能、例えば制御プレーンを提供することもできる。これらの機能１２５は、集合的に、クライアント・デバイス１５０によるクラウド・サービス１４０との安全なインターフェースを提供する。ネットワーク・セキュリティ・システム１２０を説明するために、ネットワーク・セキュリティ・システムという用語を使用するが、より一般的には、システムは、セキュリティのみならず、アプリケーションの視認性及び制御機能を提供する。
【００５８】
管理クライアント１３０は、一実施態様によれば、コンテンツ・ポリシー１８１を規定し管理するためにネットワーク・セキュリティ・システム１２０によって提供される安全なウェブ配信インターフェースを有するウェブ・ブラウザを有するコンピューティングデバイスである。幾つかの実施態様によれば、ネットワーク・セキュリティ・システム１２０は、管理クライアントのユーザがその組織と関連するコンテンツ・ポリシーを変更することだけができるマルチ・テナント・システムである。幾つかの実施態様では、ポリシーをプログラムで規定及び／または更新するためにＡＰＩを提供することができる。斯かる実施態様では、管理クライアント１３０は、コンテンツ・ポリシー１８１の更新を推し進める、及び／または、コンテンツ・ポリシー１８１の更新のためのプルリクエストに応答する、例えば、マイクロソフトのアクティブディレクトリ等の企業ＩＤディレクトリ等の１以上のサービスを含むことができる。両システムは共存できる。例えば、幾つかの会社は、組織内のユーザの要求に対してポリシーを調整するためのウェブインターフェースを用いるとともに、組織内のユーザの識別を自動化する企業ＩＤディレクトリを用いることもできる。管理クライアント１３０は、役割が割り当てられており、ネットワーク・セキュリティ・システム１２０のデータへのアクセスは、読み出し専用、対、読み出し書き込み等の役割に基づいて制御される。
【００５９】
システム１００は、本明細書では、特定のブロックを参照して説明されるが、該ブロックは、説明の便宜のために規定され、構成部品の特定の物理的配置を必要とするものではないことを理解されたい。更に、該ブロックは、物理的に別個の部品に対応している必要はない。物理的に別個の部品が使用される限り、（例えば、データ通信のための）部品間の接続は、必要に応じて有線及び／または無線とすることができる。異なる要素または部品は、単一のソフトウェアモジュールに合体することができ、複数のソフトウェアモジュールは、同じハードウェア上で実行することができる。
［システムアーキテクチャ］
【００６０】
上述のように、ネットワーク・セキュリティ・システム１２０の機能１２５は、アクティブ・エージェント１９２、検査エージェント１９４、抽出エンジン１２６、分類エンジン１２７、セキュリティ・エンジン１２８等の異なるグループに分けられる。更に、管理プレーン１２９及びデータ・プレーン１３１と共に、またはそれらに代えて、制御プレーンを使用することができる。当該グループ間の機能の特定の分割は、実施態様上の選択である。同様に、機能は、局所性、性能、及び／またはセキュリティを改善するために、幾つものポイント・オブ・プレゼンス（ＰＯＰｓ）に亘って高度に分散される。例えば、ネットワーク・セキュリティ・システム１２０の何れの部品も、クラウド・サービスまたは企業ネットワークと同じ場所に設置することができる。
【００６１】
検査エージェント１９４は、何時コンテンツがアップロードされたか、または何時コンテンツが作成されたかに拘わらず、ＡＰＩ接続を利用して、クラウド・ストレージ１４２、１４４に既に存在するコンテンツを検査する。特に、クラウド・ストレージ１４２、１４４は、クラウド・ストレージ１４２、１４４からのコンテンツ及びコンテンツに関するメタデータが観察され、聴取され、監視され、追跡され、収集され、集約され、組み立てられ、検索される等のＡＰＩを介して、ネットワーク１６０と通信可能に接続される。斯かるコンテンツは、例えば、ファイル、フォルダ、文書、画像、及びビデオであり、コンテンツ・メタデータは、例えば、ファイルまたはフォルダ所有者が誰であるか、どのクラウド・アプリケーションがファイルまたはフォルダをホストしているか、ファイルまたはフォルダがいつ作成、投稿、編集、修正されたか、ユーザ活動の追跡記録、バージョン履歴、ファイルタイプ等のファイルまたはフォルダレベルの詳細である。他の実施態様では、収集されたコンテンツ・メタデータは、ファイルがプライベートであるか、内部で共有されているか、特定の人々と外部で共有されているか、またはリンクを介して公に共有されているかを含む、ファイル公開に関する詳細を提供する。このメタデータは、それぞれのファイル及び／またはコンテンツのファイル・システム・リストから、及びそれぞれのファイル及び／またはコンテンツのファイル・ヘッダからアセンブルされた情報に基づいて、クラウド・ストレージ１４２、１４４上のそれぞれのファイル及び／またはコンテンツについて取得することができる。更に、それぞれのファイル及び／またはコンテンツについて、それぞれのファイルのペイロードのコンテンツ・プロパティを取得することができる。取得されたメタデータ及びクラウド・ストレージ１４２、１４４に格納されたそれぞれのファイルの取得されたコンテンツ・プロパティは、履歴上メタデータ及び履歴上コンテンツ・プロパティとして、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６に格納することができる。集合的に、メタデータ、コンテンツ・プロパティ、ペイロード・コンテンツ・プロパティ、並びにコンテンツ・プロパティ・パラメータは、「識別ファイル特性」と呼ぶことができ、「識別ファイル特性」と呼ばれる。ファイル特性を区別することは、（ｉ）メタデータ、（ｉｉ）コンテンツ・プロパティ、（ｉｉｉ）ペイロード・コンテンツ・プロパティ、及び（ｉｖ）コンテンツ・プロパティ・パラメータの内の１または複数を含むことができる。
【００６２】
履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６は、それぞれのファイルの履歴上メタデータを格納し、それぞれのファイルの履歴上コンテンツ・プロパティを格納する。一実施態様では、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６は、ファイル・システムの制御下ではなくファイル・システムから独立して、維持され、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６は、ファイル・システム内のファイルを記述するメタデータの世代を保存し、その結果、ファイル及びファイルメタデータがファイル・システム内で更新された後に、以前の世代のメタデータが利用可能なままであり、及び／またはファイル・システム内のファイルを記述するコンテンツ・プロパティの世代を保存し、その結果、ファイル及びファイル・コンテンツ・プロパティがファイル・システム内で更新された後に、以前の世代のコンテンツ・プロパティが利用可能なままである。したがって、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６は、クラウド・ストレージ１４２、１４４に格納されたファイルのそれぞれについての履歴上メタデータ及び／または履歴上コンテンツ・プロパティを含む。
【００６３】
更に、管理クライアント１３０及びクライアント・デバイス１５０からネットワーク１６０を介してクラウド・ストレージ１４２、１４４へのファイル及び／またはコンテンツの送信中または送信後に、検査エージェント１９４は、ファイル及び／またはコンテンツを（繰り返し）スキャンし、及び／またはファイル及び／またはコンテンツのリストをスキャンして、決定された時間枠内に更新されたクラウド・ストレージ１４２、１４４のファイル・システム内のファイル及び／またはコンテンツを識別することができる。検査エージェント１９４はまた、ファイル・システム・リスト、ファイル・ヘッダ、及びペイロードからのスキャンによって識別されたファイルのメタデータ及び／またはコンテンツ・プロパティをアセンブルすることができる。決定された時間枠内に更新されたファイル及び／またはコンテンツのアセンブルされたメタデータ及び／またはコンテンツ・プロパティは、現在のメタデータ及び現在のコンテンツ・プロパティとして識別することができる。現在のメタデータ及び現在のコンテンツ・プロパティは、マルウェア（例えば、悪意のあるアクティビティ）がクラウド・ストレージ１４２、１４４上に存在するか否かを決定するために、履歴上メタデータ及び履歴上コンテンツ・プロパティと比較され得る。
【００６４】
具体的には、検査エージェント１９４は、それぞれのファイルの現在のメタデータ及び／またはコンテンツ・プロパティと、それぞれのファイルの履歴上メタデータ及び／またはコンテンツ・プロパティとを分析して、履歴上メタデータ及び／またはコンテンツ・プロパティから現在のメタデータ及び／またはコンテンツ・プロパティへの、所定の変化速度を超える変化のパターンを識別することによって、悪意のあるアクティビティが進行中であるかどうかを判定することができる。所定の変化速度は、例えば、コンテンツ・プロパティ及び／またはメタデータのエントロピーの５％の増加と、例えば、ファイル名の編集距離の変化及び／または例えば、ＬＳＨのハミング距離が４０より大きいこととを組み合わせることができる。更に、所定の変化速度は、他の要因に基づいて発展することができ、幾つかのタイプのメタデータ及び／またはコンテンツ・プロパティが、他のタイプのメタデータ及び／またはコンテンツ・プロパティに対して、より高いまたはより低い重み付け値を有する場合、変化のパーセンテージに基づくことができる。また、所定の変化速度は、パーセンテージと、生の値または重み付けされた値との組み合わせであってもよい。所定の変化速度を超える変化のパターンを識別する代わりに、所定の変化量を超える変化のパターン／量を識別して、悪意のあるアクティビティが進行中であるか否かを判定することができる。所定の変化量は、例えば、変化を有するファイルの数、または各ファイル及び／またはファイルのグループ全体に対する変化の累積数に基づくことができ、幾つかのタイプの変化は、他のタイプの変化よりも変化のパターン／量に対してより高い影響を有する。
【００６５】
更に、検査エージェント１９４は、それぞれのファイルの現在のメタデータ及び／またはコンテンツ・プロパティと、既知の悪意のあるファイル修正を示す悪意のあるメタデータ及び／またはコンテンツ・プロパティとの間の一致を識別するために、それぞれのファイルの現在のメタデータ及び／または現在のコンテンツ・プロパティと、既知の悪意のあるファイル修正を示す悪意のあるメタデータ及び／または悪意のあるコンテンツ・プロパティの既知のパターンとを分析することによって、悪意のあるアクティビティが進行中であるか否かを判定することができる。
【００６６】
悪意のあるアクティビティが進行中であると判定した後、検査エージェント１９４は、悪意のあるアクティビティを開始したマシン及び／またはユーザの判定を呼び出すか、または促進することができる。更に、悪意のあるアクティビティを開始したマシン及び／またはユーザを判定した後、検査エージェント１９４は、判定されたマシン及び／またはユーザによるファイル修正を制限する応答メカニズムの実施態様を呼び出すか、または促進することができる。
【００６７】
一実施態様では、検査エージェント１９４は、データ・アグリゲータ（明確性向上のため省略）を含む。データ・アグリゲータは、公衆インターネットを介してＡＰＩと接続することによって、クラウド・ストレージ１４２、１４４で発生するストリーム及びデータ・フローを聴取することができるリスナを含む。幾つかの実施態様では、リスナは、クラウド・ストレージ１４２、１４４からのコンテンツ（たとえば、コンテンツ・プロパティ）及びコンテンツ・メタデータの取り込みを担う異種インスタンスを含む。リスナは、ＡＰＩから返された値及びキーワード等の構造化データの両方を聴取し、ログ内のテキスト等の非構造化データも聴取する。幾つかの実施態様では、リスナは、ＡＰＩからのプルを実行するマイナ（ｍｉｎｅｒ）と、パブリックＡＰＩを公開しない他のクラウド・ストレージのクローラ（ｃｒａｗｌｅｒ）とを含む。一実施態様では、ＡＰＩからデータを消費するために、リスナは、プッシュＡＰＩに有効なエンドポイントを提供する。このエンドポイントは、ＨＴＴＰ／ＨＴＴＰＳサーバ、ユーザデータグラムプロトコル（ＵＤＰ）ソケット、またはメッセージキューリスナ（例えば、Ａｐａｃｈｅ  Ｋａｆｋａ（商標）、ＲａｂｂｉｔＭＱ（商標）、ＡｃｔｉｖｅＭＱ（商標）等）の形態をとることができる。リスナはまた、メッセージがドロップされないことを確実にするために、必要に応じてメッセージを抑制することができる。
【００６８】
一実施態様によれば、検査エージェント１９４は、ネットワーク１６０、及び、多くの可能性のある標準及び独自のプロトコル層の中のアプリケーションプロトコル層、またはＨＴＴＰプロトコル層等の他のより高いプロトコル層を介してコンテンツ及びコンテンツ・メタデータを受信するように構成されるハンドラコンポーネント（明確性の向上のために省略）を含む。これらのより高いプロトコル層は、インターネットプロトコル（ＩＰ）等のネットワーク層、及び／または伝送制御プロトコル（ＴＣＰ）及び／または（ＵＤＰ）等のトランスポート層を介してメッセージを送受信するために、データを符号化、パッケージ化、及び／または再フォーマットすることができる。
【００６９】
幾つかの実施態様では、収集されたコンテンツ・プロパティ及び／またはコンテンツ・メタデータは、処理及び／または正規化される。場合によっては、メタデータは、構造化データを含み、クラウド・ストレージ１４２、１４４によって提供される特定のデータ構造をターゲットとする機能を含む。フリーテキスト等の非構造化データは、クラウド・ストレージ１４２、１４４によって提供され、クラウド・ストレージ１４２、１４４に戻す対象ともなる。構造化データ及び非構造化データの両方は、検査エージェント１９４によって集約され得る。例えば、アセンブルされたメタデータは、ＪＳＯＮ  （ＪａｖａＳｃｒｉｐｔ  Ｏｐｔｉｏｎ  Ｎｏｔａｔｉｏｎ）、ＢＳＯＮ  （Ｂｉｎａｒｙ  ＪＳＯＮ）、ＸＭＬ、Ｐｒｏｔｏｂｕｆ、Ａｖｒｏ、またはＴｈｒｉｆｔオブジェクトのような半構造化データフォーマットで格納され、半構造化データフォーマットは、文字列フィールド（または列）と、数字、文字列、配列、オブジェクト等の潜在的に異なるタイプの対応する値を備える。他の実施態様では、ＪＳＯＮオブジェクトは、入れ子にすることができ、フィールドは、例えば、配列、ネストされた配列等の多値化が可能である。これらのＪＳＯＮオブジェクトは、Ａｐａｃｈｅ  Ｃａｓｓａｎｄｒａ（商標）１９８、ＧｏｏｇｌｅのＢｉｇＴａｂｌｅ（商標）、ＨＢａｓｅ（商標）、Ｖｏｌｄｅｍｏｒｔ（商標）、ＣｏｕｃｈＤＢ（商標）、ＭｏｎｇｏＤＢ（商標）、Ｒｅｄｉｓ（商標）、Ｒｉａｋ（商標）、Ｎｅｏ４ｊ（商標）等の履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６のような、ＳＱＬのデータベースと同等のキースペースを使用して構文解析されたＪＳＯＮオブジェクトを格納するスキーマレスまたはＮｏＳＱＬのキー値メタデータ・ストアに格納される。各キースペースは、テーブルに類似し、行及び列のセットを含む列ファミリに分割される。
【００７０】
システム１００に示される一実施態様では、コンテンツ・プロパティまたはコンテンツ・メタデータが集約されると、それらは、Ｃａｓｓａｎｄｒａ（商標）１９８等の履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６等のＮｏＳＱＬのキー値列ストア分散ストレージシステムに格納される。Ｃａｓｓａｎｄｒａ（商標）１９８に送信されたメタデータまたはコンテンツのプロパティは、多くのノード、或いは、コモディティ・サーバＣ１〜Ｃ３を横断して拡散され、当該多くのノード、或いは、コモディティ・サーバへの接続は、Ｊａｖａ、Ｓｃａｌａ、Ｒｕｂｙ、ＣｌｏｊｕｒｅまたはＰｙｔｈｏｎベースのＡＰＩ（例えば、Ｈｅｃｔｏｒ、Ｐｅｌｏｐｓ、ｃａｓｓａｎｄｒａクエリ言語（ＣＱＬ）、Ｔｈｒｉｆｔ、Ｐｈｐｃａｓｓａ、ＰｙＣａｓｓｓａ等）を使用して形成される。Ｃａｓｓａｎｄｒａ（商標）１９８は、列と呼ばれる単位でメタデータまたはコンテンツ・プロパティを格納する。各列は、関連するデータ要素のリストであるタプルである。基本的な列フォーマットは、（名前、値、タイムスタンプ）として表すことができる。簡潔にするために、タイムスタンプは、列の必須要素であるが、しばしば書き込まれない。したがって、列の一例を（ＵｓｅｒＮａｍｅ、Ｕｓｅｒ−１）と書くことができる。スーパー列と呼ばれる任意のレベルの階層には、任意の数の列が組み込まれている。レベルを移動すると、キー（行と呼ばれることもある）は、名前及び１または複数の列またはスーパー列からなるタプルである。キーの例は、（Ｓｔａｔｕｓ＿Ｋｅｙ、（ＵｓｅｒＮａｍｅ、Ｕｓｅｒ−１）、（Ｌｏｇｇｅｄ＿Ｉｎ、Ｙ）と書かれる。任意の数のキーが列ファミリにグループ化される。同様に、列ファミリのグループは、階層の最終レベルであるキースペースと呼ばれる。関係の２つの擬似コード表現は、以下のように構成される。
●  ［キースペース］  ［列ファミリ］  ［キー］  ［列］
●  ［キースペース］  ［列ファミリ］  ［キー］  ［スーパー列］  ［列］
【００７１】
分散キー値ストレージシステムのより詳細な説明は、以下の論文に見られる：  「Ｃａｓｓａｎｄｒａ−Ａ  Ｄｉｓｔｒｉｂｕｔｅｄ  Ｓｔｒｕｃｔｕｒｅｄ  Ｓｔｏｒａｇｅ  Ｓｙｓｔｅｍ」、Ａｖｉｎａｓｈ  Ｌａｋｓｈｍａｎ  ａｎｄ  Ｐｒａｓｈａｎｔ  Ｍａｌｉｋ、２００９；  Ｄｙｎａｍｏ：「Ａｍａｚｏｎ’ｓ  Ｈｉｇｈｌｙ  Ａｖａｉｌａｂｌｅ  Ｋｅｙ‐ｖａｌｕｅ  Ｓｔｏｒｅ」、Ｇｉｕｓｅｐｐｅ  ＤｅＣａｎｄｉａ、Ｄｅｎｉｚ  Ｈａｓｔｏｒｕｎ、Ｍａｄａｎ  Ｊａｍｐａｎｉ、Ｇｕｎａｖａｒｄｈａｎ  Ｋａｋｕｌａｐａｔｉ、Ａｖｉｎａｓｈ  Ｌａｋｓｈｍａｎ、Ａｌｅｘ  Ｐｉｌｃｈｉｎ、Ｓｗａｍｉｎａｔｈａｎ  Ｓｉｖａｓｕｂｒａｍａｎｉａｎ、Ｐｅｔｅｒ  Ｖｏｓｓｈａｌｌ、Ｗｅｒｎｅｒ  Ｖｏｇｅｌｓ、ＳＯＳＰ’０７、Ｏｃｔ．１４−１７、２００８；及び  Ｂｉｇｔａｂｌｅ：「Ａ  Ｄｉｓｔｒｉｂｕｔｅｄ  Ｓｔｏｒａｇｅ  Ｓｙｓｔｅｍ  ｆｏｒ  Ｓｔｒｕｃｔｕｒｅｄ  Ｄａｔａ」、Ｆａｙ  Ｃｈａｎｇ、Ｊｅｆｆｒｅｙ  Ｄｅａｎ、Ｓａｎｊａｙ  Ｇｈｅｍａｗａｔ、Ｗｉｌｓｏｎ  Ｃ．Ｈｓｉｅ、Ｄｅｐｏｒａｈ  ａ．  Ｗａｌｌａｃｈ、Ｍｉｋｅ  Ｂｕｒｒｏｗｓ、Ｔｕｓｈａｒ  Ｃｈａｎｄｒａ、Ａｎｄｒｅｗ  Ｆｉｋｅｓ、Ｒｏｂｅｒｔ  Ｅ．Ｇｒｕｂｅｒ、Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍｓ  Ｄｅｓｉｇｎ  ａｎｄ  Ｉｍｐｌｅｍｅｎｔａｔｉｏｎ（ＯＳＤＩ）、２００６；  これらの全ては参照により本明細書に組み込まれる。
【００７２】
他の実施態様では、コンテンツ・メタデータ及びコンテンツ・プロパティは、Ｈａｄｏｏｐクラスタ１９９のようなＨａｄｏｏｐ分散ファイル・システム（ＨＤＦＳ）に格納される。
【００７３】
一実施態様では、検査エージェント１９４は、受信したメタデータ及びコンテンツ・プロパティを分析し、受信したデータ内のキーワード、イベント、ユーザＩＤ、位置、人口統計、ファイルタイプ、タイムスタンプ等を識別するメタデータ及びコンテンツ・プロパティパーサ（明確性向上のため省略）を含む。構文解析とは、テキストのストリームをキーワード、または「対象に設定可能パラメータ」と呼ばれる他の意味のある要素に分割し、分析するプロセスである。一実施態様では、対象パラメータのリストは、例えばマッチングエンジン（図示せず）による分離またはテキストマイニング等の更なる処理のための入力となる。構文解析により、使用可能なメタデータから意味が抽出される。一実施態様では、トークン化は、メタデータのストリーム内の細かい要素（例えば、トークン）を識別するための構文解析の第１のステップとして動作するが、その後、構文解析は、トークンが見つかったコンテキストを使用して、参照される情報の意味及び／または種類を決定する。検査エージェント１９４によって分析されるメタデータ及びコンテンツ・プロパティは同質ではない（例えば、多くの異なるフォーマットに多くの異なるソースが存在する）ので、特定の実施態様では、クラウド・サービス当たり少なくとも１つのメタデータパーサを使用し、場合によっては複数を使用する。
【００７４】
他の実施態様では、検査エージェント１９４は、モニタ１２１を使用して、クラウド・ストレージ１４２、１４４を検査し、上述のように、履歴上メタデータ及び／またはコンテンツ・プロパティ、並びに現在のメタデータ及び／または現在のコンテンツ・プロパティをアセンブルする。
【００７５】
アクティブ・エージェント１９２は、コンテンツがネットワーク１６０をインラインで横断するとき、モニタ１２１を使用してリアルタイムでメタデータ及びコンテンツ・プロパティを監視する。モニタ１２１は、組織のネットワークとインターフェースを取る各クラウド・ストレージ１４２、１４４を識別することによって、アプリケーション・プログラミング・インターフェース（ＡＰＩ）を介して、クラウド・ストレージのトランザクション及びトラフィック上のコンテンツ検査（ＣＩ）を実行する。
【００７６】
モニタ１２１は、ＣＩを実行するために異なる技法を使用することができる。一実施態様では、それは、パケット内の何処かの文字列またはジェネリックなビット及びバイトパターンに対するスキャニングを含むパターンマッチングを使用できる。別の実施態様では、それは、絶対的または相対的パケットサイズ、フロー毎のデータ及びパケット速度（ｒａｔｅ）、フローの数、クラウド・サービス当たりの新規フロー比率を含む、クラウド・サービスの通信行動内のパターンに対するスキャニングを含む行動解析を使用できる。更に別の実施態様では、それは、該行動分析の一部として収集された値の平均、メジアン、及び偏差を含む、送信タイプ（例えば、メディアファイル、インスタントメッセージ、またはコンテンツ転送）を識別する統計指標の計算を含む統計解析を使用できる。
【００７７】
メタデータ及び／またはコンテンツ・プロパティが抽出された後、メタデータ及び／またはコンテンツ・プロパティは、一実施態様によれば、データセット内に整理され、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６内に、リスト、タプル、辞書、テーブル、及び／またはセットとして格納される。
【００７８】
次いで、分類エンジン１２７は、データを検索して閲覧するために、コマンド（例えば、構造化クエリ言語（ＳＱＬ）ステートメント、バッカス・ナウア記法（ＢＮＦ）ステートメント）をデータベースに発行することができる。追加のプログラム及びコマンドを実行して、リレーショナルデータベースのテーブル内のデータ要素間の関係を導出することができる。一実施態様によれば、リレーショナルデータベース内の他のテーブルに含まれる補足データが、抽出されたコンテンツと結合され得る。
【００７９】
分類エンジン１２７は、適用可能なコンテンツ・ポリシー１８１、コンテンツ・プロファイル１８２、及びコンテンツ検査ルール１８３に従って、抽出されたコンテンツ、コンテンツ・メタデータ、及び／またはコンテンツ・プロパティを評価する。一実施態様では、パケットの特性がコンテンツ検査ルールの条件を満たし、コンテンツ制御の対象となるコンテンツとして適格である場合、パケットはコンテンツ検査ルールとマッチすることができる。具体的には、分類エンジン１２７は、複数の類似性尺度を使用することによって、抽出されたコンテンツを、適用可能な標準検索パターンまたはカスタム検索パターン（後述する）で規定されている引数（ａｒｇｕｍｅｎｔ）と比較する。
【００８０】
以下の説明は、抽出されたコンテンツ内の文字列が適用可能なコンテンツ検査ルールの１つとマッチするかどうかを判定するために分類エンジン１２７によって使用される類似性尺度の幾つかの例を概説する。類似性尺度の一例は、ユニグラム（ｕｎｉｇｒａｍ）オーバラップである。基本的ユニグラムアプローチは、２つの文字列が閾値よりも高いＪａｃｃａｒｄ類似性を有する場合、２つの文字列が類似していると判断する。ユニグラム間のＪａｃｃａｒｄ係数は、該文字列対の類似性を測るために使用される。幾つかの実施態様では、２つの文字列間のＪａｃｃａｒｄ類似性は、特定の必須トークンの存在を条件とすることができる。別の実施態様では、編集距離技術を使用して、文字列間の類似性を判断することができる。２つの文字列間の編集距離が考慮される、すなわち、一方の文字列を他方の文字列に変換する編集回数がある閾値よりも少ない場合、２つの文字列がマッチしていると判断される。幾つかの実施態様では、レーベンシュタイン距離を、２つの文字列間の相違量を測定するための測定基準として使用できる。該距離は、一方の文字列を他方の文字列に変換するために必要な編集回数の最小数である。
【００８１】
他の実施形態では、類似性を判断するのに、ユークリッド距離、コサイン類似性、Ｔａｎｉｍｏｔｏ係数、Ｄｉｃｅ係数、ハミング距離、Ｎｅｅｄｌｅｍａｎ−Ｗｕｎｃｈ距離またはＳｅｌｌｅｒｓアルゴリズム、Ｓｍｉｔｈ−Ｗａｔｅｒｍａｎ距離、Ｇｏｔｏｈ距離またはＮｅｅｄｌｅｍａｎ−Ｗｕｎｃｈ−Ｇｏｔｏｈ距離、区間距離またはＬ１距離または街区距離、Ｍｏｎｇｅ−Ｅｌｋａｎ距離、Ｊａｒｏ距離測定基準、Ｊａｒｏ−Ｗｉｎｋｌｅｒ、ＳｏｕｎｄＥｘ距離測定基準、マッチング係数、Ｄｉｃｅ係数、オーバラップ係数、ヴァリエーショナル距離、Ｈｅｌｌｉｎｇｅｒ距離またはＢｈａｔｔａｃｈａｒｙｙａ距離、情報半径（Ｊｅｎｓｅｎ−Ｓｈａｎｎｏｎダイバージェンス）調和平均、スキュー（ｓｋｅｗ）ダイバージェンス、コンフュージョン・プロバビリティ、Ｔａｕ，Ｆｅｌｌｅｇｉ及びＳｕｎｔｅｒｓ（ＳＦＳ）測定基準、ＦａｓｔＡ、ＢｌａｓｔＰ、マキシマルマッチ、ｑ−グラム、Ｕｋｋｏｎｅｎアルゴリズム、及び、Ｓｏｅｒｇｅｌ距離等の様々な類似性尺度が使用できる。
【００８２】
セキュリティ・エンジン１２８は、実行されるべきセキュリティ処置を識別するためにコンテンツ・ポリシー１８１にアクセスする。幾つかの実施態様では、セキュリティ・エンジン１２８は、複数のサブエンジンを含む。
【００８３】
モニタ１２１は、本明細書では、特定のブロックを参照して説明されているが、当該ブロックは、説明の便宜のために規定されており、構成部品の特定の物理的配置を要求すること意図していないことを理解されたい。更に、該ブロックは、物理的に別個部品に対応している必要はない。物理的に別個の部品が使用されている限りにおいて、（例えば、データ通信のための）部品間の接続は、必要に応じて有線及び／または無線とすることができる。異なる要素または部品は、単一のソフトウェアモジュールに合体することができ、複数のソフトウェアモジュールは、同じハードウェア上で実行することができる。
【００８４】
検査エージェント１９４に関して上述したように、メタデータは、それぞれのファイル及び／またはコンテンツのファイル・システム・リストから、及びそれぞれのファイル及び／またはコンテンツのファイル・ヘッダからアセンブルされた情報に基づいて、クラウド・ストレージ１４２、１４４上のそれぞれのファイル及び／またはコンテンツについて取得することができる。更に、それぞれのファイル及び／またはコンテンツについて、それぞれのファイルのペイロードのコンテンツ・プロパティを取得することができる。取得されたメタデータ及びクラウド・ストレージ１４２、１４４に格納されたそれぞれのファイルの取得されたコンテンツ・プロパティは、履歴上メタデータ及び履歴上コンテンツ・プロパティとして、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６に格納することができる。
【００８５】
履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６は、それぞれのファイルの履歴上メタデータを格納し、それぞれのファイルの履歴上コンテンツ・プロパティを格納する。一実施態様では、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６は、ファイル・システムの制御下ではなくファイル・システムから独立して、維持され、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６は、ファイル・システム内のファイルを記述するメタデータの世代を保存し、その結果、ファイル及びファイルメタデータがファイル・システム内で更新された後に、以前の世代のメタデータが利用可能なままであり、及び／またはファイル・システム内のファイルを記述するコンテンツ・プロパティの世代を保存し、その結果、ファイル及びファイル・コンテンツ・プロパティがファイル・システム内で更新された後に、以前の世代のコンテンツ・プロパティが利用可能なままである。したがって、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６は、クラウド・ストレージ１４２、１４４に格納されたファイルのそれぞれについての履歴上メタデータ及び／または履歴上コンテンツ・プロパティを含む。
【００８６】
更に、管理クライアント１３０及びクライアント・デバイス１５０からネットワーク１６０を介してクラウド・ストレージ１４２、１４４へのファイル及び／またはコンテンツの送信中に、アクティブ・エージェント１９２は、ファイル及び／またはコンテンツをインラインでスキャンして、決定された時間枠内に更新されたファイル及び／またはコンテンツを識別することができる。アクティブ・エージェント１９２は、ファイル・システム・リスト、ファイル・ヘッダ、及びコンテンツ・プロパティからのスキャンによって識別されたファイルのメタデータ及び／またはコンテンツ・プロパティをアセンブルすることもできる。これは、転送後にこのアセンブルを実行する検査エージェント１９４とは対照的に、ファイル及び／またはコンテンツの送信中にインラインで行うことができる。決定された時間枠内に更新されたファイル及び／またはコンテンツのアセンブルされたメタデータ及び／またはコンテンツ・プロパティは、現在のメタデータ及び現在のコンテンツ・プロパティとして識別することができる。現在のメタデータ及び現在のコンテンツ・プロパティは、マルウェア（例えば、悪意のあるアクティビティ）がクラウド・ストレージ１４２、１４４上に存在するか否かを決定するために、履歴上メタデータ及び履歴上コンテンツ・プロパティと比較され得る。
【００８７】
具体的には、アクティブ・エージェント１９２は、それぞれのファイルの現在のメタデータ及び／またはコンテンツ・プロパティと、それぞれのファイルの履歴上メタデータ及び／またはコンテンツ・プロパティとを分析して、履歴上メタデータ及び／またはコンテンツ・プロパティから現在のメタデータ及び／またはコンテンツ・プロパティへの、所定の変化速度を超える変化のパターンを識別することによって、悪意のあるアクティビティが進行中であるかどうかを判定することができる。所定の変化速度は、例えば、コンテンツ・プロパティ及び／またはメタデータのエントロピーの５％の増加と、例えば、ファイル名の編集距離の変化及び／または例えば、ＬＳＨのハミング距離が４０より大きいこととを組み合わせることができる。更に、所定の変化速度は、他の要因に基づいて発展することができ、幾つかのタイプのメタデータ及び／またはコンテンツ・プロパティが、他のタイプのメタデータ及び／またはコンテンツ・プロパティに対して、より高いまたはより低い重み付け値を有する場合、変化のパーセンテージに基づくことができる。また、所定の変化速度は、パーセンテージと、生の値または重み付けされた値との組み合わせであってもよい。所定の変化速度を超える変化のパターンを識別する代わりに、所定の変化体積を超える変化のパターン／量を識別して、悪意のあるアクティビティが進行中であるか否かを判定することができる。所定の変化量は、例えば、変化を有するファイルの数、または各ファイル及び／またはファイルのグループ全体に対する変化の累積数に基づくことができ、いくつかのタイプの変化は、他のタイプの変化よりも変化のパターン／量に対してより高い影響を有する。
【００８８】
更に、アクティブ・エージェント１９２は、それぞれのファイルの現在のメタデータ及び／またはコンテンツ・プロパティと、既知の悪意のあるファイル修正を示す悪意のあるメタデータ及び／またはコンテンツ・プロパティとの間の一致を識別するために、それぞれのファイルの現在のメタデータ及び／または現在のコンテンツ・プロパティと、既知の悪意のあるファイル修正を示す悪意のあるメタデータ及び／または悪意のあるコンテンツ・プロパティの既知のパターンとを分析することによって、悪意のあるアクティビティが進行中であるか否かを判定することができる。
【００８９】
悪意のあるアクティビティが進行中であると判定した後、アクティブ・エージェント１９２は、悪意のあるアクティビティを開始したマシン及び／またはユーザの判定を呼び出すか、または促進することができる。更に、悪意のあるアクティビティを開始したマシン及び／またはユーザを判定した後、アクティブ・エージェント１９２は、判定されたマシン及び／またはユーザによるファイル修正を制限する応答メカニズムの実施態様を呼び出すか、または促進することができる。
【００９０】
更に、アクティブ・エージェント１９２及び検査エージェント１９４の上述の動作は、ローカルにインストールされ、且つ／または管理クライアント１３０及び／またはクライアント・デバイス１５０にアクセスするクライアント・エージェント（図示せず）によって同様に実行することができる。クライアント・エージェントは、これらの動作を単独で、またはアクティブ・エージェント１９２及び／または検査エージェント１９４と共に実行することができる。上述したアクティブ・エージェント１９２、検査エージェント１９４、及びクライアント・エージェントの動作は、３つのエージェントのそれぞれによって、またはそれらの任意の組合せによって同時に実行することができる。更に、上述の様々なメタデータ及びコンテンツ・プロパティは、３つのエージェント間で、及び３つのエージェントのそれぞれによって共有することができる。例えば、検査エージェント１９４によって収集された情報は、動作を同時にまたは異なる時間に実行しながら、アクティブ・エージェント１９２及びクライアント・エージェントによって共有することができ、以下同様である。
［アクティブ分析の例］
【００９１】
図２は、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６上に格納された履歴上メタデータ及び／または履歴上コンテンツ・プロパティを使用して、ネットワーク１６０を介した独立したデータ・ストアへのデータの転送中に悪意のあるアクティビティを検出するネットワーク・セキュリティ・システム１２０のアクティブ・エージェント１９２の一実施態様を示す。図２において、コンピュータ１５４等のクライアントは、クラウド・ストレージ１４２（例えば、独立したデータ・ストア）上のファイル１８７をアップロード／更新することによって、送信２０２を実行しようと試みる。ファイル１８７がクラウド・ストレージ１４２上で送信／更新される前に、アクティブ・エージェント１９２は、ファイル１８７のヘッダ及び／またはペイロードから、ファイル１８７の現在のメタデータ及び／または現在のコンテンツ・プロパティを取得する。
【００９２】
履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６は、ファイルの履歴上メタデータ及び／または履歴上コンテンツ・プロパティ２０６を格納する。一実施態様では、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６は、ファイル・システムの制御下ではなくファイル・システムから独立して、維持され、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６は、ファイル・システム内のファイルを記述するメタデータの世代を保存し、その結果、ファイル及びファイルメタデータがファイル・システム内で更新された後に、以前の世代のメタデータが利用可能なままであり、及び／またはファイル・システム内のファイルを記述するコンテンツ・プロパティの世代を保存し、その結果、ファイル及びファイル・コンテンツ・プロパティがファイル・システム内で更新された後に、以前の世代のコンテンツ・プロパティが利用可能なままである。したがって、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６は、クラウド・ストレージ１４２に格納されたファイルのそれぞれについての履歴上メタデータ及び／または履歴上コンテンツ・プロパティ２０６を含む。
【００９３】
次に、アクティブ・エージェント１９２は、現在のメタデータ及び／または現在のコンテンツ・プロパティを、履歴上メタデータ及び／または履歴上コンテンツ・プロパティ２０６と比較して、マルウェア（例えば、悪意のあるアクティビティ）がファイル１８７上に存在するかどうかを判定する。
【００９４】
具体的には、アクティブ・エージェント１９２は、ファイル１８７の現在のメタデータ及び／またはコンテンツ・プロパティと、ファイル１８７の履歴上メタデータ及び／または履歴上コンテンツ・プロパティ２０６とを分析して、履歴上メタデータ及び／または履歴上コンテンツ・プロパティ２０６から現在のメタデータ及び／またはコンテンツ・プロパティへの、所定の変化速度を超える変化のパターンを識別することによって、悪意のあるアクティビティが進行中であるかどうかを判定することができる。ファイル１８７の履歴上メタデータ及び／または履歴上コンテンツ・プロパティ２０６の幾つかは、検査エージェント１９４によって以前に収集された情報、及び／またはアクティブ・エージェント１９２と同時に実行され検査エージェント１９４によって収集された情報とすることができる。換言すれば、メタデータ及び／またはコンテンツ・プロパティは、アクティブ・エージェント１９２と検査エージェント１９４との間で共有され得る。
【００９５】
更に、アクティブ・エージェント１９２は、ファイル１８７の現在のメタデータ及び／または現在のコンテンツ・プロパティと、既知の悪意のあるファイル修正を示す悪意のあるメタデータ及び／または悪意のあるコンテンツ・プロパティとを分析して、ファイル１８７の現在のメタデータ及び／またはコンテンツ・プロパティと、既知の悪意のあるファイル修正を示す悪意のあるメタデータ及び／またはコンテンツ・プロパティとの間の一致を識別することによって、悪意のあるアクティビティが進行中であるかどうかを判定することができる。
【００９６】
悪意のあるアクティビティが進行中であると判定した後、アクティブ・エージェント１９２は、悪意のあるアクティビティを開始したマシン（例えば、コンピュータ１５４）及び／またはユーザの判定を呼び出すか、または促進することができる。更に、悪意のあるアクティビティを開始したマシン及び／またはユーザを判定した後、アクティブ・エージェント１９２は、判定されたマシン及び／またはユーザによるファイル修正を制限する応答メカニズムの実施態様を呼び出すか、または促進することができる。
［検査分析の例］
【００９７】
図３は、クラウド・ストレージ１４２等の独立したデータ・ストアに格納されたファイルの検査分析を実行するネットワーク・セキュリティ・システム１２０の検査エージェント１９４の一実施態様を示す。上述したように、検査エージェント１９４は、コンテンツがクラウド・ストレージ１４２にアップロード／更新された後、クラウド・ストレージ１４２に存在するコンテンツを検査する。具体的には、検査エージェント１９４は、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６に格納された履歴上メタデータ及び／または履歴上コンテンツ・プロパティ３０６を使用し、クラウド・ストレージ１４２に格納されたファイルから取得された現在のメタデータ及び／または現在のコンテンツ・プロパティ３０８を使用して、悪意のあるアクティビティを検出する。図３では、コンピュータ１５４等のクライアントは、ネットワーク１６０を介してクラウド・ストレージ１４２にファイルを更新／転送することができ、モバイル・デバイス１３４は、ネットワーク１６０以外のネットワークを介してクラウド・ストレージ１４２にファイルを更新／転送することができる。検査エージェント１９４の利点の１つは、ネットワーク１６０の外部のクラウド・ストレージ１４２に更新及び／または転送されたファイルを分析することによって、悪意のあるアクティビティを検出できることである。
【００９８】
履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６は、それぞれのファイルの履歴上メタデータ及び／または履歴上コンテンツ・プロパティ３０６を格納する。履歴上コンテンツ・プロパティは、それぞれのファイルのペイロードから取得することができる。一実施形態では、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６は、ファイル・システムの制御下ではなくファイル・システムから独立して、維持され、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６は、ファイル・システム内のファイルを記述するメタデータ及び／またはコンテンツ・プロパティの世代を保存し、その結果、ファイル及びファイルメタデータ及び／またはコンテンツ・プロパティがファイル・システム内で更新された後に、以前の世代のメタデータ及び／またはコンテンツ・プロパティが利用可能なままであるようにする。したがって、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６は、クラウド・ストレージ１４２に格納されたファイルのそれぞれについての履歴上メタデータ及び／または履歴上コンテンツ・プロパティ３０６を含む。
【００９９】
更に、コンピュータ１５４及びモバイル・デバイス１３４からクラウド・ストレージ１４２へのファイルの送信中または送信後に、検査エージェント１９４は、決定された時間枠内に更新されたクラウド・ストレージ１４２のファイル・システム内のファイルを識別するために、ファイルを（繰り返し）スキャンするか、またはファイルのリストをスキャンすることができる。検査エージェント１９４はまた、ファイル・システム・リスト、ファイル・ヘッダ、及びペイロードからのスキャンによって識別されたファイルの現在のメタデータ及び／または現在のコンテンツ・プロパティ３０８をアセンブルすることができる。現在のメタデータ及び／または現在のコンテンツ・プロパティ３０８は、マルウェア（例えば、悪意のあるアクティビティ）がクラウド・ストレージ１４２上に存在するか否かを決定するために、履歴上メタデータ及び履歴上コンテンツ・プロパティ３０６と比較され得る。
【０１００】
具体的には、検査エージェント１９４は、それぞれのファイルの現在のメタデータ及び／または現在のコンテンツ・プロパティ３０８と、それぞれのファイルの履歴上メタデータ及び／または履歴上コンテンツ・プロパティ３０６とを分析して、履歴上メタデータ及び／または履歴上コンテンツ・プロパティ３０６から現在のメタデータ及び／または現在のコンテンツ・プロパティ３０８への、所定の変化速度を超える変化のパターンを識別することによって、悪意のあるアクティビティが進行中であるかどうかを判定することができる。
【０１０１】
ファイルの履歴上メタデータ及び／または履歴上コンテンツ・プロパティ３０６の幾つかは、以前にアクティブ・エージェント１９２によって収集された、及び／または検査エージェント１９４と同時に実行されアクティブ・エージェント１９２によって収集された情報とすることができる。換言すれば、メタデータ及び／またはコンテンツ・プロパティは、アクティブ・エージェント１９２と検査エージェント１９４との間で共有され得る。
【０１０２】
更に、検査エージェント１９４は、それぞれのファイルの現在のメタデータ及び／または現在のコンテンツ・プロパティ３０８と、それぞれのファイルの現在のメタデータ及び／または現在のコンテンツ・プロパティ３０８と、既知の悪意のあるファイル修正を示す悪意のあるメタデータ及び／またはコンテンツ・プロパティの既知のパターンとの間の一致を識別するために、既知の悪意のあるファイル修正を示す悪意のあるメタデータ及び／または悪意のあるコンテンツ・プロパティの既知のパターンとを分析することによって、悪意のあるアクティビティが進行中であるかどうかを判定することができる。
【０１０３】
悪意のあるアクティビティが進行中であると判定した後、検査エージェント１９４は、悪意のあるアクティビティを開始したマシン（例えば、コンピュータ１５４またはモバイル・デバイス１３４）及び／またはユーザの判定を呼び出すか、または促進することができる。更に、悪意のあるアクティビティを開始したマシン及び／またはユーザを判定した後、検査エージェント１９４は、判定されたマシン及び／またはユーザによるファイル修正を制限する応答メカニズムの実施態様を呼び出すか、または促進することができる。
［非ペイロードメタデータ、履歴上メタデータ、所定の変化速度、及び独立したデータ・ストアの例］
【０１０４】
図４は、クラウド・ストレージ（すなわち、独立したデータ・ストア）１４２上に格納されたファイル・システム４０２（ファイルを含む）に対するデータ攻撃（例えば、悪意のあるアクティビティ）を、独立したデータ・ストア１４２上に格納されたファイルの分析を実行することによって検出し、それに応答するネットワーク・セキュリティ・システム１２０の一実施態様を示す。上述のように、ネットワーク・セキュリティ・システム１２０の検査エージェント１９４は、コンテンツがクラウド・ストレージ１４２にアップロード／更新された後、クラウド・ストレージ１４２に存在するコンテンツを検査し、アクティブ・エージェント１９２は、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６に格納された履歴上メタデータ及び／または履歴上コンテンツ・プロパティを使用して、ネットワーク１６０を介した独立したデータ・ストア１４２へのデータの転送中に悪意のあるアクティビティを検出する。検査エージェント１９４の利点の１つは、ネットワーク１６０の外部のクラウド・ストレージ１４２に更新及び／または転送されたファイルを分析することによって、悪意のあるアクティビティを検出できることである。
【０１０５】
具体的には、図４の例によれば、検査エージェント１９４またはアクティブ・エージェント１９２は、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６に格納された履歴上メタデータ４０９を使用して悪意のあるアクティビティを検出する。この例では、リスト４０６は、ネットワーク・セキュリティ・システム１２０及び／またはコンピュータ１５４によってスキャンされ、決定された時間枠内に更新されたクラウド・ストレージ１４２のファイル・システム４０２内のファイルを識別する。ネットワーク・セキュリティ・システム１２０及び／またはコンピュータ１５４の検査エージェント１９４またはアクティブ・エージェント１９２は、リスト４０６のスキャンによって識別されたそれぞれのファイルの現在のメタデータ４０８をアセンブルし、現在のメタデータ４０８は、それぞれのファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルすることができる。
【０１０６】
検査エージェント１９４、アクティブ・エージェント１９２、及び／またはコンピュータ１５４はまた、履歴上メタデータを格納する履歴上メタデータまたはプロパティストア１９６にアクセスして、リスト４０６上で識別された（ファイル・システム４０２の）ファイルのそれぞれの履歴上メタデータ４０９を取得する。履歴上メタデータ４０９は、ファイル・システム４０２の制御下ではなくファイル・システム４０２から独立して維持され、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６は、ファイル・システム４０２内のファイルを記述するメタデータの世代を保存し、ファイル及びファイルメタデータがファイル・システム４０２内で更新された後に、以前の世代のメタデータが利用可能なままであるようにする。ファイルの履歴上メタデータ４０９の幾つかは、以前にアクティブ・エージェント１９２によって収集された、及び／または検査エージェント１９４と同時に実行されアクティブ・エージェント１９２によって収集された情報とすることができる。換言すれば、メタデータは、アクティブ・エージェント１９２と検査エージェント１９４との間で共有され得る。
【０１０７】
また、検査エージェント１９４またはアクティブ・エージェント１９２は、それぞれのファイルの現在のメタデータ４０８及びそれぞれのファイルの履歴上メタデータ４０９を分析して、それぞれのファイルの履歴上メタデータ４０９から現在のメタデータ４０８への、所定の変化速度を超える変化のパターンを識別することによって、悪意のあるアクティビティが進行中であると判定する。所定の変化速度を超えたかどうかを決定する様々な方法の例を以下に説明する。
【０１０８】
検査エージェント１９４またはアクティブ・エージェント１９２は、更に、それぞれのファイルの現在のメタデータ４０８と、既知の悪意のあるファイル修正を示す悪意のあるメタデータ４１０の既知のパターンとの間の一致を識別するために、それぞれのファイルの現在のメタデータ４０８と、既知の悪意のあるファイル修正を示す悪意のあるメタデータ４１０の既知のパターンとを分析することによって、悪意のあるアクティビティが進行中であると判定する。悪意のあるメタデータ４１０の既知のパターンの例を以下に説明する。
【０１０９】
悪意のあるアクティビティが進行中であると判定されると、ネットワーク・セキュリティ・システム１２０は、悪意のあるアクティビティを開始したマシン（例えば、コンピュータ１５４またはモバイル・デバイス１３４）及び／またはユーザを判定する。更に、悪意のあるアクティビティを開始したマシン及び／またはユーザを判定した後、検査エージェント１９４またはアクティブ・エージェント１９２は、判定されたマシン及び／またはユーザによるファイル修正を制限する応答メカニズムの実施態様を呼び出すか、または促進することができる。応答メカニズムの例は、以下に更に詳細に説明される。
［ペイロード・コンテンツ・プロパティ、履歴上コンテンツ・プロパティ、所定の変化速度、及び独立したデータ・ストアの例］
【０１１０】
図５は、クラウド・ストレージ（すなわち、独立したデータ・ストア）１４２上に格納されたファイル・システム４０２（ファイルを含む）に対するデータ攻撃（例えば、悪意のあるアクティビティ）を、独立したデータ・ストア１４２上に格納されたファイルの分析を実行することによって検出し、それに応答するネットワーク・セキュリティ・システム１２０の一実施態様を示す。上述のように、ネットワーク・セキュリティ・システム１２０の検査エージェント１９４は、コンテンツがクラウド・ストレージ１４２にアップロード／更新された後、クラウド・ストレージ１４２に存在するコンテンツを検査し、アクティブ・エージェント１９２は、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６に格納された履歴上メタデータ及び／または履歴上コンテンツ・プロパティを使用して、ネットワーク１６０を介した独立したデータ・ストア１４２へのデータの転送中に悪意のあるアクティビティを検出する。検査エージェント１９４の利点の１つは、ネットワーク１６０の外部のクラウド・ストレージ１４２に更新及び／または転送されたファイルを分析することによって、悪意のあるアクティビティを検出できることである。
【０１１１】
具体的には、図５の例によれば、検査エージェント１９４またはアクティブ・エージェント１９２は、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６に格納された履歴上コンテンツ・プロパティ５０９を使用して悪意のあるアクティビティを検出する。この例では、リスト４０６は、ネットワーク・セキュリティ・システム１２０及び／またはコンピュータ１５４によってスキャンされ、決定された時間枠内に更新されたクラウド・ストレージ１４２のファイル・システム４０２内のファイルを識別する。ネットワーク・セキュリティ・システム１２０及び／またはコンピュータ１５４の検査エージェント１９４またはアクティブ・エージェント１９２は、リスト４０６のスキャンによって識別されたそれぞれのファイルのペイロード５０８を読み取り、それぞれのファイルの読み取られたペイロード５０８からそれぞれのファイルの現在のコンテンツ・プロパティを計算する。
【０１１２】
検査エージェント１９４、アクティブ・エージェント１９２、及び／またはコンピュータ１５４はまた、履歴上コンテンツ・プロパティを格納している履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６にアクセスし、リスト４０６上で識別された（ファイル・システム４０２の）各ファイルの読み取られたペイロード５０８に基づいて履歴上コンテンツ・プロパティ５０９を取得する。履歴上コンテンツ・プロパティ５０９は、ファイル・システム４０２の制御下ではなくファイル・システム４０２から独立して維持され、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６は、ファイル・システム４０２内のファイルを記述するコンテンツ・プロパティの世代を保存し、ファイル及びファイル・コンテンツ・プロパティがファイル・システム４０２内で更新された後に、以前の世代のメタデータが利用可能なままであるようにする。ファイルの履歴上コンテンツ・プロパティ５０９の幾つかは、以前にアクティブ・エージェント１９２によって収集された、及び／または検査エージェント１９４と同時に実行されアクティブ・エージェント１９２によって収集された情報であり得る。換言すれば、コンテンツ・プロパティは、アクティブ・エージェント１９２と検査エージェント１９４との間で共有され得る。
【０１１３】
検査エージェント１９４またはアクティブ・エージェント１９２は、それぞれのファイルのペイロード５０８及びそれぞれのファイルの履歴上コンテンツ・プロパティ５０９から計算された現在のコンテンツ・プロパティを分析して、所定の変化速度を超える現在のコンテンツ・プロパティと履歴上コンテンツ・プロパティ５０９との間の変化のパターンを識別することによって、悪意のあるアクティビティが進行中であると判定する。所定の変化速度を超えたかどうかを決定する様々な方法の例を以下に説明する。
【０１１４】
検査エージェント１９４またはアクティブ・エージェント１９２は、更に、それぞれのファイルの現在のコンテンツ・プロパティと、既知の悪意のあるファイル修正を示す悪意のあるメタデータ４１０の既知のパターンとの間の一致を識別するために、それぞれのファイルの現在のコンテンツ・プロパティと、既知の悪意のあるファイル修正を示す悪意のあるメタデータ４１０の既知のパターンとを分析することによって、悪意のあるアクティビティが進行中であると判定する。悪意のあるメタデータ４１０の既知のパターンの例を以下に説明する。
【０１１５】
悪意のあるアクティビティが進行中であると判定されると、ネットワーク・セキュリティ・システム１２０は、悪意のあるアクティビティを開始したマシン（例えば、コンピュータ１５４またはモバイル・デバイス１３４）及び／またはユーザを判定する。更に、悪意のあるアクティビティを開始したマシン及び／またはユーザを判定した後、検査エージェント１９４またはアクティブ・エージェント１９２は、判定されたマシン及び／またはユーザによるファイル修正を制限する応答メカニズムの実施態様を呼び出すか、または促進することができる。応答メカニズムの例は、以下に更に詳細に記載される。
［コンテンツ・プロパティ・パラメータ、変化速度の移動平均、及び独立したデータ・ストアの例］
【０１１６】
図６は、クラウド・ストレージ（すなわち、独立したデータ・ストア）１４２上に格納されたファイル・システム４０２（ファイルを含む）に対するデータ攻撃（例えば、悪意のあるアクティビティ）を、独立したデータ・ストア１４２上に格納されたファイルの分析を実行することによって検出し、それに応答するネットワーク・セキュリティ・システム１２０の一実施態様を示す。上述のように、ネットワーク・セキュリティ・システム１２０の検査エージェント１９４は、コンテンツがクラウド・ストレージ１４２にアップロード／更新された後にクラウド・ストレージ１４２に存在するコンテンツを検査し、アクティブ・エージェント１９２は、ネットワーク１６０を介して独立したデータ・ストア１４２にデータを転送する間に悪意のあるアクティビティを検出する。検査エージェント１９４の利点の１つは、ネットワーク１６０の外部のクラウド・ストレージ１４２に更新及び／または転送されたファイルを分析することによって、悪意のあるアクティビティを検出できることである。
【０１１７】
具体的には、図６の例によれば、検査エージェント１９４またはアクティブ・エージェント１９２は、現在のコンテンツ・プロパティ・パラメータ６０８を使用して悪意のあるアクティビティを検出する。この例では、リスト４０６は、ネットワーク・セキュリティ・システム１２０及び／またはコンピュータ１５４によってスキャンされ、決定された時間枠内に更新されたクラウド・ストレージ１４２のファイル・システム４０２内のファイルを識別する。ネットワーク・セキュリティ・システム１２０及び／またはコンピュータ１５４の検査エージェント１９４またはアクティブ・エージェント１９２は、リスト４０６のスキャンによって識別されたそれぞれのファイルのそれぞれについて、現在のコンテンツ・プロパティ・パラメータ６０８をアセンブルする。
【０１１８】
また、検査エージェント１９４または活性エージェント１９２は、識別されたファイルの現在のコンテンツ・プロパティ・パラメータ６０８の変化速度の移動平均を繰り返し計算した。変化速度の移動平均は、（ｉ）現在のコンテンツ・プロパティ・パラメータのそれぞれのパラメータについて、時間ベースのパラメータ変化統計のバッファ６０９を維持し、（ｉｉ）バッファ６０９に適用される移動時間ベースのウィンドウ６１０において、それぞれのパラメータについての変化速度の移動平均を計算することによって計算される。変化速度の移動平均のより詳細な例は、図６の全体が説明された後に以下に提供される。
【０１１９】
検査エージェント１９４または活性エージェント１９２はまた、現在のコンテンツ・プロパティ・パラメータ６０８について計算された変化速度の移動平均に統計的に有意な加速が何時存在するかを識別することによって、悪意のあるアクティビティが進行中であると判定する。
【０１２０】
悪意のあるアクティビティが進行中であると判定されると、ネットワーク・セキュリティ・システム１２０は、悪意のあるアクティビティを開始したマシン（例えば、コンピュータ１５４またはモバイル・デバイス１３４）及び／またはユーザを判定する。更に、悪意のあるアクティビティを開始したマシン及び／またはユーザを判定した後、検査エージェント１９４またはアクティブ・エージェント１９２は、判定されたマシン及び／またはユーザによるファイル修正を制限する応答メカニズムの実施態様を呼び出すか、または促進することができる。応答メカニズムの例は、以下に更に詳細に記載される。
【０１２１】
変化速度の移動平均のより詳細な例が提供され、一実施態様では、アクティブ・エージェント１９２、検査エージェント１９４、及び／またはクライアント・エージェント（たとえば、コンピュータ１５４またはその上で実行されるソフトウェア）（「エージェント」とも呼ばれる）は、現在のコンテンツ・プロパティ・パラメータについて繰り返し計算される変化速度の移動平均を使用して、悪意のあるアクティビティを検出することができる。具体的には、エージェントは、決定された時間枠内に更新されたクラウド・ストレージ１４２のファイル・システム内のファイルを識別するためにリストを繰り返しスキャンし、次いで、スキャンによって識別されたファイルのそれぞれのファイルごとに現在のコンテンツ・プロパティ・パラメータをアセンブルすることができる。更に、エージェントは、（ｉ）現在のコンテンツ・プロパティ・パラメータのそれぞれのパラメータについて、時間ベースのパラメータ変化統計のバッファを維持し、（ｉｉ）バッファに適用される移動時間ベースのウィンドウ内で、それぞれのパラメータについての変化速度の移動平均を計算することによって、識別されたファイルの現在のコンテンツ・プロパティ・パラメータについての変化速度の移動平均を計算することができる。
【０１２２】
次いで、エージェントは、現在のコンテンツ・プロパティ・パラメータについて計算された変化速度の移動平均に統計的に有意な加速が何時存在するかを識別することによって、悪意のあるアクティビティが進行中であると判定することができる。統計的に有意な加速は、パーセンテージ基準、生データ基準、またはパーセンテージと生データとの重み付けされた組合せとすることができる。更に、統計的に有意な加速は、他の要因に基づいて発展することができ、幾つかのタイプのメタデータ及び／またはコンテンツ・プロパティが、他のタイプのメタデータ及び／またはコンテンツ・プロパティに対して、より高いまたはより低い重み付け値を有する場合、変化のパーセンテージに基づくことができる。
【０１２３】
更に、エージェントは、計算された変化速度の移動平均（例えば、時間ベースのウィンドウ内）を変化速度の移動平均のｎ−標準偏差と比較することによって、悪意のあるアクティビティが進行中であると判断することができる。ｎ−標準偏差は、変化速度の移動平均と同じ時間ベースのウィンドウから計算することができ、または、変化速度の移動平均を決定し、ｎ−標準偏差を決定するための時間ベースのウィンドウが互いに僅かにまたは著しく異なるように、より長いまたはより短い時間ベースのウィンドウから計算することができる。例えば、変化速度の移動平均の時間ベースのウィンドウは、１０日とすることができ、ｎ標準偏差を計算する時間ベースのウィンドウは、１日とすることができ、逆もまた同様である。ｎ標準偏差は、上限及び下限閾値を設定するために使用することができ、その結果、例えば、計算された変化速度の移動平均、または本明細書で説明される任意の他の基準によって、閾値を超えたときに、悪意のあるアクティビティが進行中であると判定することができる。これらの上限及び下限閾値は、ボリンジャーバンド（Ｂｏｌｌｉｎｇｅｒ  ｂａｎｄｓ）と同様の方法で、または当業者に自明なその任意の他の変形で、計算し、実施することができる。例えば、Ｍ−トップ及びＷ−ボトムは、ボリンジャーバンドから導出することができ、悪意のあるアクティビティを識別するために実装することができる。
【０１２４】
エージェントは、悪意のあるアクティビティを開始したマシン及び／またはユーザを判定することができ、悪意のあるアクティビティを開始したマシン及び／またはユーザの判定に応答して、判定されたマシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することができる。
［非ペイロードメタデータ、履歴上メタデータ、変化量、及び独立したデータ・ストアの例］
【０１２５】
図７は、クラウド・ストレージ（すなわち、独立したデータ・ストア）１４２上に格納されたファイル・システム４０２（ファイルを含む）に対するデータ攻撃（例えば、悪意のあるアクティビティ）を、独立したデータ・ストア１４２上に格納されたファイルの分析を実行することによって検出し、それに応答するネットワーク・セキュリティ・システム１２０の一実施態様を示す。上述のように、ネットワーク・セキュリティ・システム１２０の検査エージェント１９４は、コンテンツがクラウド・ストレージ１４２にアップロード／更新された後、クラウド・ストレージ１４２に存在するコンテンツを検査し、アクティブ・エージェント１９２は、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６に格納された履歴上メタデータ及び／または履歴上コンテンツ・プロパティを使用して、ネットワーク１６０を介した独立したデータ・ストア１４２へのデータの転送中に悪意のあるアクティビティを検出する。検査エージェント１９４の利点の１つは、ネットワーク１６０の外部のクラウド・ストレージ１４２に更新及び／または転送されたファイルを分析することによって、悪意のあるアクティビティを検出できることである。
【０１２６】
具体的には、図７の例によれば、検査エージェント１９４またはアクティブ・エージェント１９２は、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６に格納された履歴上メタデータ４０９を使用して悪意のあるアクティビティを検出する。この例では、リスト４０６は、ネットワーク・セキュリティ・システム１２０及び／またはコンピュータ１５４によってスキャンされ、決定された時間枠内に更新されたクラウド・ストレージ１４２のファイル・システム４０２内のファイルを識別する。ネットワーク・セキュリティ・システム１２０及び／またはコンピュータ１５４の検査エージェント１９４またはアクティブ・エージェント１９２は、リスト４０６のスキャンによって識別されたそれぞれのファイルの現在のメタデータ４０８をアセンブルし、現在のメタデータ４０８は、それぞれのファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルすることができる。
【０１２７】
検査エージェント１９４、アクティブ・エージェント１９２、及び／またはコンピュータ１５４はまた、履歴上メタデータを格納する履歴上メタデータまたはプロパティストア１９６にアクセスして、リスト４０６上で識別された（ファイル・システム４０２の）ファイルのそれぞれの履歴上メタデータ４０９を取得する。履歴上メタデータ４０９は、ファイル・システム４０２の制御下ではなくファイル・システム４０２から独立して維持され、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６は、ファイル・システム４０２内のファイルを記述するメタデータの世代を保存し、ファイル及びファイルメタデータがファイル・システム４０２内で更新された後に、以前の世代のメタデータが利用可能なままであるようにする。ファイルの履歴上メタデータ４０９の幾つかは、以前にアクティブ・エージェント１９２によって収集された、及び／または検査エージェント１９４と同時に実行されアクティブ・エージェント１９２によって収集された情報とすることができる。換言すれば、メタデータは、アクティブ・エージェント１９２と検査エージェント１９４との間で共有され得る。
【０１２８】
検査エージェント１９４またはアクティブ・エージェント１９２はまた、それぞれのファイルの現在のメタデータ４０８及びそれぞれのファイルの履歴上メタデータ４０９を分析して、所定の変化量を超える履歴上メタデータ４０９からそれぞれのファイルの現在のメタデータ４０８への変化量を識別することによって、悪意のあるアクティビティが進行中であると判断する。上述した変化速度の移動平均の代替として、所定の変化量を識別して、悪意のあるアクティビティが進行中であるか否かを判定することができる。所定の変化量は、例えば、変化を有するファイルの数、または各ファイル（またはファイルの各タイプまたはファイルのグループ）に対する変化の累積数に基づくことができ、幾つかのタイプの変化は、他のタイプの変化よりも変化のパターン／量に対してより高い影響を有する。
【０１２９】
検査エージェント１９４またはアクティブ・エージェント１９２は、更に、それぞれのファイルの現在のメタデータ４０８と、既知の悪意のあるファイル修正を示す悪意のあるメタデータ４１０の既知のパターンとの間の一致を識別するために、それぞれのファイルの現在のメタデータ４０８と、既知の悪意のあるファイル修正を示す悪意のあるメタデータ４１０の既知のパターンとを分析することによって、悪意のあるアクティビティが進行中であると判定する。悪意のあるメタデータ４１０の既知のパターンの例を以下に説明する。
【０１３０】
悪意のあるアクティビティが進行中であると判定されると、ネットワーク・セキュリティ・システム１２０は、悪意のあるアクティビティを開始したマシン（例えば、コンピュータ１５４またはモバイル・デバイス１３４）及び／またはユーザを判定する。更に、悪意のあるアクティビティを開始したマシン及び／またはユーザを判定した後、検査エージェント１９４またはアクティブ・エージェント１９２は、判定されたマシン及び／またはユーザによるファイル修正を制限する応答メカニズムの実施態様を呼び出すか、または促進することができる。応答メカニズムの例は、以下に更に詳細に記載される。
［ペイロード・コンテンツ・プロパティ、履歴上コンテンツ・プロパティ、変化量、及び独立したデータ・ストアの例］
【０１３１】
図８は、クラウド・ストレージ（すなわち、独立したデータ・ストア）１４２上に格納されたファイル・システム４０２（ファイルを含む）に対するデータ攻撃（例えば、悪意のあるアクティビティ）を、独立したデータ・ストア１４２上に格納されたファイルの分析を実行することによって検出し、それに応答するネットワーク・セキュリティ・システム１２０の一実施態様を示す。上述のように、ネットワーク・セキュリティ・システム１２０の検査エージェント１９４は、コンテンツがクラウド・ストレージ１４２にアップロード／更新された後、クラウド・ストレージ１４２に存在するコンテンツを検査し、アクティブ・エージェント１９２は、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６に格納された履歴上メタデータ及び／または履歴上コンテンツ・プロパティを使用して、ネットワーク１６０を介した独立したデータ・ストア１４２へのデータの転送中に悪意のあるアクティビティを検出する。検査エージェント１９４の利点の１つは、ネットワーク１６０の外部のクラウド・ストレージ１４２に更新及び／または転送されたファイルを分析することによって、悪意のあるアクティビティを検出できることである。
【０１３２】
具体的には、図８の例によれば、検査エージェント１９４またはアクティブ・エージェント１９２は、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６に格納された履歴上コンテンツ・プロパティ５０９を使用して悪意のあるアクティビティを検出する。この例では、リスト４０６は、ネットワーク・セキュリティ・システム１２０及び／またはコンピュータ１５４によってスキャンされ、決定された時間枠内に更新されたクラウド・ストレージ１４２のファイル・システム４０２内のファイルを識別する。ネットワーク・セキュリティ・システム１２０及び／またはコンピュータ１５４の検査エージェント１９４またはアクティブ・エージェント１９２は、リスト４０６のスキャンによって識別されたそれぞれのファイルのペイロード５０８を読み取る。
【０１３３】
検査エージェント１９４、アクティブ・エージェント１９２、及び／またはコンピュータ１５４はまた、履歴上コンテンツ・プロパティを格納している履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６にアクセスし、リスト４０６上で識別された（ファイル・システム４０２の）各ファイルの読み取られたペイロード５０８に基づいて履歴上コンテンツ・プロパティ５０９を取得する。履歴上コンテンツ・プロパティ５０９は、ファイル・システム４０２の制御下ではなくファイル・システム４０２から独立して維持され、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６は、ファイル・システム４０２内のファイルを記述するコンテンツ・プロパティの世代を保存し、ファイル及びファイル・コンテンツ・プロパティがファイル・システム４０２内で更新された後に、以前の世代のメタデータが利用可能なままであるようにする。ファイルの履歴上コンテンツ・プロパティ５０９の幾つかは、以前にアクティブ・エージェント１９２によって収集された、及び／または検査エージェント１９４と同時に実行されアクティブ・エージェント１９２によって収集された情報であり得る。換言すれば、コンテンツ・プロパティは、アクティブ・エージェント１９２と検査エージェント１９４との間で共有され得る。
【０１３４】
検査エージェント１９４またはアクティブ・エージェント１９２は、それぞれのファイルのペイロード５０８及びそれぞれのファイルの履歴上コンテンツ・プロパティ５０９から計算された現在のコンテンツ・プロパティを分析して、所定の変化量を超えるそれぞれのファイルの現在のコンテンツ・プロパティと履歴上コンテンツ・プロパティとの間の変化量を識別することによって、悪意のあるアクティビティが進行中であると判定する。上述した変化速度の移動平均の代替として、所定の変化量を識別して、悪意のあるアクティビティが進行中であるか否かを判定することができる。所定の変化量は、例えば、変化を有するファイルの数、または各ファイル（またはファイルの各タイプまたはファイルのグループ）に対する変化の累積数に基づくことができ、幾つかのタイプの変化は、他のタイプの変化よりも変化のパターン／量に対してより高い影響を有する。
【０１３５】
検査エージェント１９４またはアクティブ・エージェント１９２は、更に、それぞれのファイルの現在のコンテンツ・プロパティと、既知の悪意のあるファイル修正を示す悪意のあるメタデータ４１０の既知のパターンとの間の一致を識別するために、それぞれのファイルの現在のコンテンツ・プロパティと、既知の悪意のあるファイル修正を示す悪意のあるメタデータ４１０の既知のパターンとを分析することによって、悪意のあるアクティビティが進行中であると判定する。悪意のあるメタデータ４１０の既知のパターンの例を以下に説明する。
【０１３６】
悪意のあるアクティビティが進行中であると判定されると、ネットワーク・セキュリティ・システム１２０は、悪意のあるアクティビティを開始したマシン（例えば、コンピュータ１５４またはモバイル・デバイス１３４）及び／またはユーザを判定する。更に、悪意のあるアクティビティを開始したマシン及び／またはユーザを判定した後、検査エージェント１９４またはアクティブ・エージェント１９２は、判定されたマシン及び／またはユーザによるファイル修正を制限する応答メカニズムの実施態様を呼び出すか、または促進することができる。応答メカニズムの例は、以下に更に詳細に記載される。
［非ペイロードメタデータ、履歴上メタデータ、所定の変化速度、及びローカル（クライアント）の例］
【０１３７】
図９は、クラウド・ストレージ（すなわち、独立したデータ・ストア）１４２のファイル・システム４０２に同期されたローカルデバイス（例えば、コンピュータ１５４）のローカルファイル・システム９０２（ファイル９０４を含む）に対するデータ攻撃（例えば、悪意のあるアクティビティ）を、独立したデータ・ストア１４２に格納されたファイルの分析を実行することによって検出し、それに応答するネットワーク・セキュリティ・システム１２０の一実施態様を示す。上述のように、ネットワーク・セキュリティ・システム１２０の検査エージェント１９４は、コンテンツがクラウド・ストレージ１４２にアップロード／更新された後、クラウド・ストレージ１４２に存在するコンテンツを検査し、アクティブ・エージェント１９２は、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６に格納された履歴上メタデータ及び／または履歴上コンテンツ・プロパティを使用して、ネットワーク１６０を介した独立したデータ・ストア１４２へのデータの転送中に悪意のあるアクティビティを検出する。検査エージェント１９４の利点の１つは、ネットワーク１６０の外部のクラウド・ストレージ１４２に更新及び／または転送されたファイルを分析することによって、悪意のあるアクティビティを検出できることである。
【０１３８】
具体的には、図９の例によれば、検査エージェント１９４またはアクティブ・エージェント１９２は、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６に格納された履歴上メタデータ４０９を使用して悪意のあるアクティビティを検出する。この例では、リスト９０６は、ネットワーク・セキュリティ・システム１２０及び／またはコンピュータ１５４によってスキャンされ、決定された時間枠内に更新されたコンピュータ１５４のファイル・システム９０２内のファイルを識別する。ネットワーク・セキュリティ・システム１２０及び／またはコンピュータ１５４の検査エージェント１９４またはアクティブ・エージェント１９２は、リスト９０６のスキャンによって識別されたそれぞれのファイルの現在のメタデータ９０８をアセンブルし、現在のメタデータ９０８は、それぞれのファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルすることができる。
【０１３９】
検査エージェント１９４、アクティブ・エージェント１９２、及び／またはコンピュータ１５４はまた、履歴上メタデータを格納する履歴上メタデータまたはプロパティストア１９６にアクセスして、リスト４０６上で識別された（ファイル・システム４０２の）ファイルのそれぞれの履歴上メタデータ４０９を取得する。履歴上メタデータ４０９は、ファイル・システム４０２の制御下ではなくファイル・システム４０２から独立して維持され、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６は、ファイル・システム４０２内のファイルを記述するメタデータの世代を保存し、ファイル及びファイルメタデータがファイル・システム４０２内で更新された後に、以前の世代のメタデータが利用可能なままであるようにする。ファイルの履歴上メタデータ４０９の幾つかは、以前にアクティブ・エージェント１９２によって収集された、及び／または検査エージェント１９４と同時に実行されアクティブ・エージェント１９２によって収集された情報とすることができる。換言すれば、メタデータは、アクティブ・エージェント１９２と検査エージェント１９４との間で共有され得る。
【０１４０】
また、検査エージェント１９４またはアクティブ・エージェント１９２は、それぞれのファイルの現在のメタデータ９０８及びそれぞれのファイルの履歴上メタデータ４０９を分析して、それぞれのファイルの履歴上メタデータ４０９から現在のメタデータ９０８への、所定の変化速度を超える変化のパターンを識別することによって、悪意のあるアクティビティが進行中であると判定する。所定の変化速度を超えたかどうかを決定する様々な方法の例を以下に説明する。
【０１４１】
検査エージェント１９４またはアクティブ・エージェント１９２は、更に、それぞれのファイルの現在のメタデータ９０８と、既知の悪意のあるファイル修正を示す悪意のあるメタデータ４１０の既知のパターンとの間の一致を識別するために、それぞれのファイルの現在のメタデータ４０８と、既知の悪意のあるファイル修正を示す悪意のあるメタデータ４１０の既知のパターンとを分析することによって、悪意のあるアクティビティが進行中であると判定する。悪意のあるメタデータ４１０の既知のパターンの例を以下に説明する。
【０１４２】
悪意のあるアクティビティが進行中であると判定されると、ネットワーク・セキュリティ・システム１２０は、悪意のあるアクティビティを開始したマシン（例えば、コンピュータ１５４またはモバイル・デバイス１３４）及び／またはユーザを判定する。更に、悪意のあるアクティビティを開始したマシン及び／またはユーザを判定した後、検査エージェント１９４またはアクティブ・エージェント１９２は、判定されたマシン及び／またはユーザによるファイル修正を制限する応答メカニズムの実施態様を呼び出すか、または促進することができる。応答メカニズムの例は、以下に更に詳細に記載される。
［ペイロード・コンテンツ・プロパティ、履歴上コンテンツ・プロパティ、事前に決定された変化速度、及びローカル（クライアント）データ・ストアの例］
【０１４３】
図１０は、クラウド・ストレージ（すなわち、独立したデータ・ストア）１４２のファイル・システム４０２に同期されたローカルデバイス（例えば、コンピュータ１５４）のローカルファイル・システム９０２（ファイル９０４を含む）に対するデータ攻撃（例えば、悪意のあるアクティビティ）を、独立したデータ・ストア１４２に格納されたファイルの分析を実行することによって検出し、それに応答するネットワーク・セキュリティ・システム１２０の一実施態様を示す。上述のように、ネットワーク・セキュリティ・システム１２０の検査エージェント１９４は、コンテンツがクラウド・ストレージ１４２にアップロード／更新された後、クラウド・ストレージ１４２に存在するコンテンツを検査し、アクティブ・エージェント１９２は、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６に格納された履歴上メタデータ及び／または履歴上コンテンツ・プロパティを使用して、ネットワーク１６０を介した独立したデータ・ストア１４２へのデータの転送中に悪意のあるアクティビティを検出する。検査エージェント１９４の利点の１つは、ネットワーク１６０の外部のクラウド・ストレージ１４２に更新及び／または転送されたファイルを分析することによって悪意のあるアクティビティを検出できることである。
【０１４４】
具体的には、図８の例によれば、検査エージェント１９４またはアクティブ・エージェント１９２は、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６に格納された履歴上コンテンツ・プロパティ５０９を使用して悪意のあるアクティビティを検出する。この実施態様では、リスト９０６が、ネットワーク・セキュリティ・システム１２０及び／またはコンピュータ１５４によってスキャンされ、決定された時間枠内で更新されたローカルファイル・システム９０２内のファイルを識別する。ネットワーク・セキュリティ・システム１２０及び／またはコンピュータ１５４の検査エージェント１９４またはアクティブ・エージェント１９２は、リスト９０６のスキャンによって識別されたそれぞれのファイルのペイロード１００８を読み取り、それぞれのファイルのペイロード１００８からそれぞれのファイルの現在のコンテンツ・プロパティを計算する。
【０１４５】
検査エージェント１９４、アクティブ・エージェント１９２、及び／またはコンピュータ１５４はまた、履歴上コンテンツ・プロパティを格納する履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６にアクセスして、リスト９０６上で識別された（ファイル・システム９０２の）ファイルの各読み取られたペイロード１００８に基づいて履歴上コンテンツ・プロパティ５０９を取得する。履歴上コンテンツ・プロパティ５０９は、ファイル・システム４０２の制御下ではなくファイル・システム４０２から独立して維持され、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６は、ファイル・システム４０２内のファイルを記述するコンテンツ・プロパティの世代を保存し、ファイル及びファイル・コンテンツ・プロパティがファイル・システム４０２内で更新された後に、以前の世代のメタデータが利用可能なままであるようにする。ファイルの履歴上コンテンツ・プロパティ５０９の幾つかは、以前にアクティブ・エージェント１９２によって収集された、及び／または検査エージェント１９４と同時に実行されアクティブ・エージェント１９２によって収集された情報であり得る。換言すれば、コンテンツ・プロパティは、アクティブ・エージェント１９２と検査エージェント１９４との間で共有され得る。
【０１４６】
また、検査エージェント１９４またはアクティブ・エージェント１９２は、それぞれのファイルのペイロード１００８及びそれぞれのファイルの履歴上コンテンツ・プロパティ５０９から計算された現在のコンテンツ・プロパティを分析して、所定の変化速度を超える現在のコンテンツ・プロパティと履歴上コンテンツ・プロパティ５０９との間の変化のパターンを識別することによって、悪意のあるアクティビティが進行中であると判定する。所定の変化速度を超えたかどうかを決定する様々な方法の例を以下に説明する。
【０１４７】
検査エージェント１９４またはアクティブ・エージェント１９２は、更に、それぞれのファイルの現在のコンテンツ・プロパティと、既知の悪意のあるファイル修正を示す悪意のあるメタデータ４１０の既知のパターンとの間の一致を識別するために、それぞれのファイルの現在のコンテンツ・プロパティと、既知の悪意のあるファイル修正を示す悪意のあるメタデータ４１０の既知のパターンとを分析することによって、悪意のあるアクティビティが進行中であると判定する。悪意のあるメタデータ４１０の既知のパターンの例を以下に説明する。
【０１４８】
悪意のあるアクティビティが進行中であると判定されると、ネットワーク・セキュリティ・システム１２０は、悪意のあるアクティビティを開始したマシン（例えば、コンピュータ１５４またはモバイル・デバイス１３４）及び／またはユーザを判定する。更に、悪意のあるアクティビティを開始したマシン及び／またはユーザを判定した後、検査エージェント１９４またはアクティブ・エージェント１９２は、判定されたマシン及び／またはユーザによるファイル修正を制限する応答メカニズムの実施態様を呼び出すか、または促進することができる。応答メカニズムの例は、以下に更に詳細に記載される。
［非ペイロードメタデータ、履歴上メタデータなし、所定の閾値、及び独立したデータ・ストアの例］
【０１４９】
図１１は、クラウド・ストレージ（すなわち、独立したデータ・ストア）１４２上に格納されたファイル・システム４０２（ファイルを含む）に対するデータ攻撃（例えば、悪意のあるアクティビティ）を、独立したデータ・ストア１４２上に格納されたファイルの分析を実行することによって検出し、それに応答するネットワーク・セキュリティ・システム１２０の一実施態様を示す。上述のように、ネットワーク・セキュリティ・システム１２０の検査エージェント１９４は、コンテンツがクラウド・ストレージ１４２にアップロード／更新された後にクラウド・ストレージ１４２に存在するコンテンツを検査し、アクティブ・エージェント１９２は、ネットワーク１６０を介して独立したデータ・ストア１４２にデータを転送する間に悪意のあるアクティビティを検出する。検査エージェント１９４の利点の１つは、ネットワーク１６０の外部のクラウド・ストレージ１４２に更新及び／または転送されたファイルを分析することによって、悪意のあるアクティビティを検出できることである。
【０１５０】
具体的には、図１１の例によれば、リスト４０６は、ネットワーク・セキュリティ・システム１２０及び／またはコンピュータ１５４によってスキャンされ、クラウド・ストレージ１４２のファイル・システム４０２内の、所定の時間枠内に更新されたファイルを識別する。ネットワーク・セキュリティ・システム１２０及び／またはコンピュータ１５４の検査エージェント１９４またはアクティブ・エージェント１９２は、リスト４０６のスキャンによって識別されたそれぞれのファイルの現在のメタデータ４０８をアセンブルし、現在のメタデータ４０８は、それぞれのファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルすることができる。
【０１５１】
検査エージェント１９４、アクティブ・エージェント１９２、及び／またはコンピュータ１５４はまた、履歴上メタデータを格納する履歴上メタデータまたはプロパティストア１９６にアクセスして、リスト４０６上で識別された（ファイル・システム４０２の）ファイルのそれぞれの履歴上メタデータ４０９を取得する。履歴上メタデータ４０９は、ファイル・システム４０２の制御下ではなくファイル・システム４０２から独立して維持され、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６は、ファイル・システム４０２内のファイルを記述するメタデータの世代を保存し、ファイル及びファイルメタデータがファイル・システム４０２内で更新された後に、以前の世代のメタデータが利用可能なままであるようにする。ファイルの履歴上メタデータ４０９の幾つかは、以前にアクティブ・エージェント１９２によって収集された、及び／または検査エージェント１９４と同時に実行されアクティブ・エージェント１９２によって収集された情報とすることができる。換言すれば、メタデータは、アクティブ・エージェント１９２と検査エージェント１９４との間で共有され得る。
【０１５２】
検査エージェント１９４またはアクティブ・エージェント１９２はまた、（ｉ）履歴上メタデータ４０９がそれぞれのファイルについて存在しない場合、及び（ｉｉ）それぞれのファイルの現在のメタデータパターンが所定の閾値１１１２を超える場合、悪意のあるアクティビティが進行中であると判定する。所定の閾値１１１２を超える現在のメタデータ４０８のパターンの様々な方法の例は、上述されている。他の閾値は、本明細書に記載された任意の基準に基づいて設定することができ、追加の閾値は当業者にとって自明である。
【０１５３】
検査エージェント１９４またはアクティブ・エージェント１９２は、更に、それぞれのファイルの現在のメタデータ４０８と、既知の悪意のあるファイル修正を示す悪意のあるメタデータ４１０の既知のパターンとの間の一致を識別するために、それぞれのファイルの現在のメタデータ４０８と、既知の悪意のあるファイル修正を示す悪意のあるメタデータ４１０の既知のパターンとを分析することによって、悪意のあるアクティビティが進行中であると判定する。悪意のあるメタデータ４１０の既知のパターンの例を以下に説明する。
【０１５４】
悪意のあるアクティビティが進行中であると判定されると、ネットワーク・セキュリティ・システム１２０は、悪意のあるアクティビティを開始したマシン（例えば、コンピュータ１５４またはモバイル・デバイス１３４）及び／またはユーザを判定する。更に、悪意のあるアクティビティを開始したマシン及び／またはユーザを判定した後、検査エージェント１９４またはアクティブ・エージェント１９２は、判定されたマシン及び／またはユーザによるファイル修正を制限する応答メカニズムの実施態様を呼び出すか、または促進することができる。応答メカニズムの例は、以下に更に詳細に記載される。
［ペイロード・コンテンツ・プロパティ、履歴上コンテンツ・プロパティなし、事前に決定された閾値、及び独立したデータ・ストアの例］
【０１５５】
図１２は、クラウド・ストレージ（すなわち、独立したデータ・ストア）１４２上に格納されたファイル・システム４０２（ファイルを含む）に対するデータ攻撃（例えば、悪意のあるアクティビティ）を、独立したデータ・ストア１４２上に格納されたファイルの分析を実行することによって検出し、それに応答するネットワーク・セキュリティ・システム１２０の一実施態様を示す。上述のように、ネットワーク・セキュリティ・システム１２０の検査エージェント１９４は、コンテンツがクラウド・ストレージ１４２にアップロード／更新された後、クラウド・ストレージ１４２に存在するコンテンツを検査し、アクティブ・エージェント１９２は、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６に格納された履歴上メタデータ及び／または履歴上コンテンツ・プロパティを使用して、ネットワーク１６０を介した独立したデータ・ストア１４２へのデータの転送中に悪意のあるアクティビティを検出する。検査エージェント１９４の利点の１つは、ネットワーク１６０の外部のクラウド・ストレージ１４２に更新及び／または転送されたファイルを分析することによって、悪意のあるアクティビティを検出できることである。
【０１５６】
具体的には、図１０の例によれば、検査エージェント１９４またはアクティブ・エージェント１９２は、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６に格納された履歴上コンテンツ・プロパティ５０９を使用して悪意のあるアクティビティを検出する。この例では、リスト４０６は、ネットワーク・セキュリティ・システム１２０及び／またはコンピュータ１５４によってスキャンされ、決定された時間枠内に更新されたクラウド・ストレージ１４２のファイル・システム４０２内のファイルを識別する。ネットワーク・セキュリティ・システム１２０及び／またはコンピュータ１５４の検査エージェント１９４またはアクティブ・エージェント１９２は、リスト４０６のスキャンによって識別されたそれぞれのファイルのペイロード５０８を読み取り、それぞれのファイルの読み取られたペイロード５０８からそれぞれのファイルの現在のコンテンツ・プロパティを計算する。
【０１５７】
検査エージェント１９４、アクティブ・エージェント１９２、及び／またはコンピュータ１５４はまた、履歴上コンテンツ・プロパティを格納している履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６にアクセスし、リスト４０６上で識別された（ファイル・システム４０２の）各ファイルの読み取られたペイロード５０８に基づいて履歴上コンテンツ・プロパティ５０９を取得する。履歴上コンテンツ・プロパティ５０９は、ファイル・システム４０２の制御下ではなくファイル・システム４０２から独立して維持され、履歴上メタデータまたはコンテンツ・プロパティ・ストア１９６は、ファイル・システム４０２内のファイルを記述するコンテンツ・プロパティの世代を保存し、ファイル及びファイル・コンテンツ・プロパティがファイル・システム４０２内で更新された後に、以前の世代のメタデータが利用可能なままであるようにする。ファイルの履歴上コンテンツ・プロパティ５０９の幾つかは、以前にアクティブ・エージェント１９２によって収集された、及び／または検査エージェント１９４と同時に実行されアクティブ・エージェント１９２によって収集された情報であり得る。換言すれば、コンテンツ・プロパティは、アクティブ・エージェント１９２と検査エージェント１９４との間で共有され得る。
【０１５８】
検査エージェント１９４またはアクティブ・エージェント１９２はまた、（ｉ）履歴上メタデータ４０９がそれぞれのファイルについて存在しない場合、及び（ｉｉ）それぞれのファイルの現在のメタデータのパターンが所定の閾値１１１２を超える場合、悪意のあるアクティビティが進行中であると判定する。所定の閾値１１１２を超える現在のメタデータ４０８のパターンの様々な方法の例は、上述されている。他の閾値は、本明細書に記載された任意の基準に基づいて設定することができ、追加の閾値は当業者にとって自明である。
【０１５９】
検査エージェント１９４またはアクティブ・エージェント１９２は、更に、それぞれのファイルの現在のコンテンツ・プロパティと、既知の悪意のあるファイル修正を示す悪意のあるメタデータ４１０の既知のパターンとの間の一致を識別するために、それぞれのファイルの現在のコンテンツ・プロパティと、既知の悪意のあるファイル修正を示す悪意のあるメタデータ４１０の既知のパターンとを分析することによって、悪意のあるアクティビティが進行中であると判定する。悪意のあるメタデータ４１０の既知のパターンの例を以下に説明する。
【０１６０】
悪意のあるアクティビティが進行中であると判定されると、ネットワーク・セキュリティ・システム１２０は、悪意のあるアクティビティを開始したマシン（例えば、コンピュータ１５４またはモバイル・デバイス１３４）及び／またはユーザを判定する。更に、悪意のあるアクティビティを開始したマシン及び／またはユーザを判定した後、検査エージェント１９４またはアクティブ・エージェント１９２は、判定されたマシン及び／またはユーザによるファイル修正を制限する応答メカニズムの実施態様を呼び出すか、または促進することができる。応答メカニズムの例は、以下に更に詳細に記載される。
［機能リスト］
【０１６１】
開示された技術の一実施態様は、クラウド・ドライブ（独立したデータ・ストア）またはローカルドライブに格納されたファイル／オブジェクトの無許可の暗号化を検出し、それから回復することを含む。これは、検査分析（検査エージェント）、アクティブ分析（アクティブエージェント）及びクライアント分析（クライアント・エージェント）、またはそれらの任意の組合せを使用して行うことができる。検査分析は、ファイルがクラウド・ドライブに転送された後、ファイルを分析する。アクティブ分析は、ファイルがクラウド・ドライブに転送されている間に（すなわちインラインで）ファイルを分析する。クライアント分析は、クラウド・ドライブに転送される前に、クライアントのデバイス上にあるファイルを分析する。開示される技術は、「攻撃」を、特定の動作主体に関連するものとして分類することができる（すなわち、誰が攻撃を開始したか、または誰が攻撃の責任を負うかを決定したい）。
［検査］
【０１６２】
ファイルの検出／検査は、異なる場所で行うことができ、及び／または異なる手法を用いて行うことができる。例えば、検査分析は、ファイルがクラウド・ドライブに保存及び／または更新された後にファイルを分析することを含む。これは、ファイル自体を分析することによって、及び／または格納されたメタデータを分析することによって実行される。メタデータは、ローカルに格納されてもよいし、クラウドに格納されてもよい。攻撃が検出された場合、独立したデータ・ストアは、更なる拡散を防止するために分離することができる。
【０１６３】
検査分析に加えて、インラインアクティブ分析を実行することができ、これは、ファイルがクラウドに転送されている間に分析する。これは、ファイルがクラウド・ドライブに保存されている間にファイルを分析することを含む。これは、ファイル自体を分析することによって、または格納されたメタデータを分析することによって実行される。メタデータは、ローカルに格納されてもよいし、クラウドに格納されてもよい。これは、ランサムウェアの拡散を阻止できる。
【０１６４】
インラインアクティブ分析に加えて、エンドポイントアクティブ分析を実行することができる。これは、ファイルがユーザ／クライアントからクラウド・ドライブに転送される前にファイルを分析することを含む。これは、ファイル自体を分析することによって、または格納されたメタデータを分析することによって実行される。メタデータは、ローカルに格納されてもよいし、クラウドに格納されてもよい。これは、ランサムウェアの拡散を阻止できる。
［回復］
【０１６５】
攻撃が識別された後、幾つかの異なる処置を、様々な異なる順序及び／または組み合わせで実施することができる。一実施態様では、システムは、攻撃されたファイルの以前のバージョンを復帰／復元することができる。これは、バックアップからリストアすることによって行うことができる。バックアップから復元されているファイルが攻撃を受けていないことを確認することが重要である。
【０１６６】
一実施態様では、システムは、ドライブ（ローカルドライブ及びクラウド・ドライブ）のユーザに、攻撃があったことを警告することができる。クラウド・ドライブは多くの個人や組織間で共有できるため、共有クラウド・ドライブのすべてのユーザに警告することが重要である。一実施態様では、ユーザがクラウド・ドライブにファイルを保存することを防止することができる。これは、ドライブから誰かを「切り離す」ことを含むことができる。これは、ユーザが、潜在的に感染したファイルをそれ以上保存することを防止し、潜在的に感染したファイルがクラウド・ドライブからユーザのローカルドライブに転送されることを防止する。
【０１６７】
一実施態様では、システムは、ドライブの一部分、または、ドライブ全体のバックアップを強制できる。システムは、まだバックアップされていないファイルをバックアップする。一実施態様では、システムは初期スキャンを拡大できる。例えば、システムは、各ユーザ（エンドポイント）に自分のファイルのローカルスキャンを強制することができる。これは、クラウド・ドライブのすべての共有ユーザに拡張することができる。ローカルドライブ上で脅威が発見された場合、クラウド・ドライブのスキャンを実行することができる。スキャンは、ユーザが共有または使用している他のクラウド・ドライブに拡張することができる（例えば、１人の人が１０の異なるクラウド・ドライブを使用する場合、ローカル脅威が見つかった場合、または１つのクラウド・ドライブに脅威が見つかった場合、スキャンは他のクラウド・ドライブに拡張されるべきである）。
【０１６８】
一実施態様では、システムは、ユーザ／エンドポイントを分離することができる。ユーザ／エンドポイントは、感染したファイルの意図しないまたは意図した保存を防止するために分離することができる。これは、ローカルドライブの完全性、並びにクラウド・ドライブの完全性を維持するのに役立つ。一実施態様では、攻撃を分類することができる。これは、検査の結果に基づいて、攻撃の原因（誰がそれを行ったか）を決定することによって行うことができる。これは、ルックアップテーブルを使用し、ファイルから抽出された情報を比較して、攻撃が行われたこと、及び誰が攻撃を行ったかを判定することによって達成することができる。一実施態様では、システムは、任意の識別された暗号化ファイルを、ビットロッカー、ファイルヴォールト、及びボックスクリプター等の既知の暗号化方法と比較することができる。これは、エントロピーまたは他の方法を使用して潜在的に行うことができる。これが、ユーザが単に意図的にファイルを暗号化しているという結論につながる場合、暗号化が検出されたことを知らせるためだけに、ユーザに警告が送信されるべきである。
【０１６９】
別の実施態様では、アクティブ・エージェントが攻撃を識別する場合、ファイルに対する任意の修正をブロックすることができ、攻撃が実際であるかどうかを判定するために更なる処置を行うことができる。このアプローチは、アクティブ・エージェントが、損害が引き起こされる前に攻撃を識別することができるので、攻撃からの如何なる損害も防止できる。検査エージェントが攻撃を識別した場合、損害の発生を防止するには遅すぎる可能性がある。したがって、バックアップからのリストアは、そのような攻撃から回復するための適切な方法である可能性が最も高い。
［攻撃を検出するための様々な手法］
【０１７０】
攻撃を検出する実施態様は、ファイルのヘッダに関連するメタデータの変化のパターンに基づくことができる。これは、最近更新／変更されたファイルの現在のメタデータを履歴上メタデータと比較することによって行うことができる。履歴上メタデータと比較した場合、単一のファイルに対する現在のメタデータの変更は、攻撃の検出をトリガすべきではない。しかし、現在のメタデータと幾つかのファイルの履歴上メタデータとの間に、所定の変化速度を超える変化のパターンが存在する場合、攻撃が発生した可能性が高い。更に、ファイルのヘッダに関連するメタデータを、既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンと比較することができる。現在のメタデータと悪意のあるメタデータの既知のパターンとの間に、単一のファイルについてのみ一致がある場合、攻撃が発生したと判定されるべきである。
【０１７１】
攻撃を検出する別の実施態様は、最近更新／修正されたファイルのペイロードに関連する最新のコンテンツ・プロパティである変化のパターンに基づくことができる。ファイルの現在のコンテンツ・プロパティは、ファイルの履歴上コンテンツ・プロパティと比較することができる。この場合も、履歴上コンテンツ・プロパティと比較したときに、単一ファイルの現在のコンテンツ・プロパティの変更は、攻撃の検知をトリガすべきではない。しかし、現在のコンテンツ・プロパティと、幾つかのファイルの履歴上コンテンツ・プロパティとの間に所定の変化速度を超える変化のパターンがある場合、攻撃が発生した可能性が高い。更に、ファイルのペイロードに関連するコンテンツ・プロパティを、既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンと比較することができる。現在のコンテンツ・プロパティと悪意のあるメタデータの既知のパターンとの間に、単に単一のファイルについてのマッチが存在する場合、攻撃が発生したと判定されるべきである。
【０１７２】
攻撃を検出する更なる実施態様は、最近更新／修正されたファイルの現在のコンテンツ・プロパティ・パラメータの変化速度の移動平均の繰り返し計算に基づくことができる。ファイルの現在のコンテンツ・プロパティ・パラメータについて、計算された変化速度の移動平均に統計的に有意な加速が存在する場合、攻撃は検出されるべきである。
［悪意のあるアクティビティを検出するために使用されるパラメータ及び特性］
【０１７３】
独立したデータ・ストアのすべてのファイルを暗号化するのにかなりの時間がかかる可能性があることを考慮すると、システムは、あるＮ個のファイルがＭ分以内に同じ新しい機能を与えられたかどうかを考慮することができる。これは、ファイル自体を見ることによって、または現在／履歴上ヘッダベースのメタデータ及び／またはペイロードベースのコンテンツ・プロパティを見ることによって行うことができる。「同じ新しい特徴」は、ファイルから収集することができる任意のタイプの情報とすることができる。これは、サイズ、拡張子、名前、時間／日付、ファイルタイプ、プロパティ（読み取り専用  読み取り／書き込み）等を含むことができる。ファイルを変更する頻度も検討事項となり得る。何らかの方法（とりわけ、拡張された大きさやファイル名、エントロピーの増加）で変更されたスタンドアロンファイルが、ある時間枠内に多数存在しているか？繰り返し特性も考慮される。ファイル名の部分やファイルサイズ等が多くの新しいファイルに伝播しているか？
【０１７４】
１または複数のファイルのコンテンツのエントロピーは、検討事項となり得る。あるレベルのエントロピーは、暗号化及び／または圧縮を示し得る。例えば、ＭＩＭＥファイルは、一般に、エントロピーの０．７３〜０．７５の範囲にある。十分に暗号化されたファイルは、一般に０．９７以上のエントロピーの範囲にある。シャノンエントロピーは、ファイルのエントロピーを計算する方法である。シャノンエントロピーは、０〜８のスケールであり、これは、シャノンエントロピーを単に８で割ることによって、典型的な０〜１スケールに変換することができる。例えば、シャノンエントロピーは、ローシャルアーカイブ（ＲＡＲ）圧縮に、エントロピー５．０５（０−１スケールで０．６）、プリティ・グッド・プライバシー（ＰＧＰ）暗号化にエントロピー７．８（０−１スケールで０．９７）、及びＴｒｕｅＣｒｙｐｔにエントロピー７．９９（０−１スケールで０．９９８）を与える。したがって、単純な圧縮と暗号化との間にエントロピー閾値を実施して、ランサムウェアによって意図せずに暗号化されたファイルを識別することができる。一例として、０−１スケール上の閾値は、０．８とすることができる。ユーザのローカルドライブのクラウド・ドライブが既知の（意図的な）暗号化技術を使用する場合、システムは、意図的に暗号化されたファイルがエントロピーに基づいて攻撃されたファイルとして識別されないように、意図的に暗号化されたファイルを識別または無視するように設定することができる。
【０１７５】
例えば、暗号化が意図的に実施される場合、ランサムウェア計算は、使用されている暗号化の平均エントロピーに基づいて調整される必要がある。クラウドに入れられる前にファイルを暗号化する様々なアプリケーションがある。例えば、Ｂｏｘｃｒｙｐｔｏｒボックスクリプターは、これを行うための一般的なアプリケーションである。ウインドウズはビットロッカーを使用し、マック（Ｍａｃ）はファイルヴォールトを使用する。これらの暗号化タイプは、ランサムウェア暗号化と区別することができなければならない。
【０１７６】
これは、ヘッダ情報の現在及び履歴上メタデータ、及び／またはファイルのペイロードの現在及び履歴上コンテンツ・プロパティを使用して、スタンドアロンファイル上で実施することができる。上述したように、スタンドアロンファイルの場合、特定のエントロピーは攻撃を示すことができる。更に、ある数のファイルのエントロピーが、所定の変化速度を超える変化のパターンを確立するために、ファイルの現在のバージョンと履歴上バージョンとの間で十分に大きく変化する場合、攻撃が存在し得る。
【０１７７】
一実施態様では、階層化エントロピー手法も使用することができる。階層化エントロピーは、ファイルのコンテンツをｎバイトのセグメントに分割し、セグメント毎にエントロピーを計算する。これは、ランサムウェアが（ａ）ヌル等のスタティックバイトまたは（ｂ）ランサムウェアの既知のセグメントでファイルをプリペンドまたは追加する場合に役立ち得る。これはまた、ファイルの特定のセグメントのエントロピーレベルがファイルの他のセグメントのエントロピーレベルから著しく逸脱するかどうかを決定するために使用され得る。これは、スタンドアロンファイル上で、またはヘッダ情報の現在及び履歴上メタデータ、及び／またはファイルのペイロードの現在及び履歴上コンテンツ・プロパティを使用して実施することができる。現在の情報と履歴情報とを比較するとき、所定の変化速度を超える現在の情報と履歴情報との間の変化のパターンは、攻撃の存在を示し得る。
【０１７８】
一実施態様では、ファイル名のエントロピーを考慮することができる。ランサムウェアは、ファイルネームを変更することができる。更に、ランサムウェアが使用する既知のファイル名の特定エントロピーを計算することもできる。これは、スタンドアロンファイル上で、またはヘッダ情報の現在及び履歴上メタデータ、及び／またはファイルのペイロードの現在及び履歴上コンテンツ・プロパティを使用して実施することができる。現在の情報と履歴情報とを比較するとき、所定の変化速度を超える現在の情報と履歴情報との間の変化のパターンは、攻撃の存在を示し得る。
【０１７９】
一実施態様では、ファイル名内のキーワードを考慮することができる。例えば、ランサムウェアを示すキーワードがある場合、攻撃が存在する可能性がある。これは、スタンドアロンファイル上で、またはヘッダ情報の現在及び履歴上メタデータ、及び／またはファイルのペイロードの現在及び履歴上コンテンツ・プロパティを使用して実施することができる。現在の情報と履歴情報とを比較するとき、所定の変化速度を超える現在の情報と履歴情報との間の変化のパターンは、攻撃の存在を示し得る。
【０１８０】
一実施態様では、ファイル名及び／または拡張子の長さを考慮することができる。例えば、ファイル名または拡張子が、ランサムウェアに知られている特定の長さであるかどうかについて考慮することができる。これは、より徹底的なスキャン／検出を実施する前に、信頼性のある予備的チェックであり得る。これは、スタンドアロンファイル上で、またはヘッダ情報の現在及び履歴上メタデータ、及び／またはファイルのペイロードの現在及び履歴上コンテンツ・プロパティを使用して実施することができる。現在の情報と履歴情報とを比較するとき、所定の変化速度を超える現在の情報と履歴情報との間の変化のパターンは、攻撃の存在を示し得る。
【０１８１】
一実施態様では、１または複数のファイルの真のファイルタイプは検討事項である。真のファイルタイプは、拡張子によって示されるものだけでなく、ファイルのコンテンツに基づく。殆どのファイルは、それらがどのタイプのファイルであるかを示す何らかのタイプの署名を含む。これらの異なる署名は、「魔法の数」と呼ばれる。例えば、ｊｐｅｇファイルは特定の「マジックナンバー」を有し、ｇｉｆファイルは異なる「マジックナンバー」を有する。ランサムウェアはしばしば「魔法の数」を取り除く。この「魔法数」の有無を検出することにより、ランサムウェアを検出することができる。システムはまた、マジック数がファイルの実際のタイプと一致するかどうかを決定することができる。これは、例えばルックアップテーブル等の履歴上データを使用して行うことができる。また、マジックナンバーは、ファイルが暗号化されていても、暗号化されないままであってもよい。これは、スタンドアロンファイル上で、またはヘッダ情報の現在及び履歴上メタデータ、及び／またはファイルのペイロードの現在及び履歴上コンテンツ・プロパティを使用して実施することができる。現在の情報と履歴情報とを比較するとき、所定の変化速度を超える現在の情報と履歴情報との間の変化のパターンは、攻撃の存在を示し得る。
【０１８２】
一実施態様では、１または複数のファイルがスタブを含むか否かを検討することができる。スタブ・ファイルは、ユーザがスタブ・ファイルを開こうとするときに開かれる別のファイルを指し示す。スタブ・ファイルの存在は、ランサムウェアを示し得る。これは、スタンドアロンファイル上で、またはヘッダ情報の現在及び履歴上メタデータ、及び／またはファイルのペイロードの現在及び履歴上コンテンツ・プロパティを使用して実施することができる。現在の情報と履歴情報とを比較するとき、所定の変化速度を超える現在の情報と履歴情報との間の変化のパターンは、攻撃の存在を示し得る。
【０１８３】
一実施態様では、１または複数のファイルを分解することができるかどうかが検討事項である。殆どのファイルは、多くのサブエレメントに分解することができる。ファイルを分解できない場合は、ランサムウェアである可能性がある。ファイルのタイプが分解可能であることが知られており、そうでない場合、これはランサムウェアのより強力な表示である。これは、スタンドアロンファイル上で、またはヘッダ情報の現在及び履歴上メタデータ、及び／またはファイルのペイロードの現在及び履歴上コンテンツ・プロパティを使用して実施することができる。現在の情報と履歴情報とを比較するとき、所定の変化速度を超える現在の情報と履歴情報との間の変化のパターンは、攻撃の存在を示し得る。
【０１８４】
一実施態様では、抽出されたテキストが検討事項である。ファイルのヘッダからメタデータを抽出することができ、ファイルのペイロードからテキストを含むコンテンツ・プロパティを抽出することができる。抽出されたメタデータ及び／またはテストをキーワード、キーフレーズ、または既知のランサムノートと比較して、攻撃の可能性が高いかどうかを判定することができる場合。しばしば、ランサムウェアは、例えば、ｈｔｍｌ、テキストまたはイメージファイルのどこかにランサムノートを保存する。通常、ランサムノートは、ランサムの支払い方法に関する情報を提供する。ランサムノートは、上述したように、キーワード／フレーズを使用して検出することができる。これは、上述したように、既知のファイル名を用いて検出することもできる。これは、上述した他の方法に結びつく。幾つかのフレーズは、「ビットコインゲートウェイ」、「秘密鍵」、「無料で１ファイルを復号化」等の暗号情報、及び既知のランサムウェアの文体に特有の他の文字列であり得る。これは、スタンドアロンファイル上で、またはヘッダ情報の現在及び履歴上メタデータ、及び／またはファイルのペイロードの現在及び履歴上コンテンツ・プロパティを使用して実施することができる。現在の情報と履歴情報とを比較するとき、所定の変化速度を超える現在の情報と履歴情報との間の変化のパターンは、攻撃の存在を示し得る。
【０１８５】
一実施態様では、ファイルから抽出されたテキストを含むコンテンツ・プロパティに対して、ローカリティ−センシティブ・ハッシング  （ＬＳＨ）を実行することができる。ＬＳＨの結果が既知のランサムノートに類似している場合、攻撃が行われた可能性がある。我々は、検査されたファイルのＬＳＨ及び既知のランサムノートのＬＳＨとの「衝突」を探している。これは、スタンドアロンファイル上で、またはヘッダ情報の現在及び履歴上メタデータ、及び／またはファイルのペイロードの現在及び履歴上コンテンツ・プロパティを使用して実施することができる。現在の情報と履歴情報とを比較するとき、所定の変化速度を超える現在の情報と履歴情報との間の変化のパターンは、攻撃の存在を示し得る。例えば、変化は、現在のメタデータ（またはコンテンツ・プロパティ）のＬＳＨと、履歴上メタデータ（またはコンテンツ・プロパティ）のＬＳＨとの間のハミング距離を決定することによって、それぞれのファイルごとに識別することができる。
【０１８６】
一実施態様では、既知のスクリプトの識別子を考慮することができる。例えば、マルウェアに類似するスクリプトを識別することができる。これは、通常のテキストまたはＬＳＨを使用して行うことができる。これは、特定の画像を検出することにも適用することができる。これは、スタンドアロンファイル上で、またはヘッダ情報の現在及び履歴上メタデータ、及び／またはファイルのペイロードの現在及び履歴上コンテンツ・プロパティを使用して実施することができる。現在の情報と履歴情報とを比較するとき、所定の変化速度を超える現在の情報と履歴情報との間の変化のパターンは、攻撃の存在を示し得る。
【０１８７】
一実施態様では、テキストやメタデータを抽出できるか否かを考慮することができる。テキストまたはメタデータをファイルから抽出できない場合、暗号化が行われている可能性がある。これは、スタンドアロンファイル上で、またはヘッダ情報の現在及び履歴上メタデータ、及び／またはファイルのペイロードの現在及び履歴上コンテンツ・プロパティを使用して実施することができる。現在の情報と履歴情報とを比較するとき、所定の変化速度を超える現在の情報と履歴情報との間の変化のパターンは、攻撃の存在を示し得る。
【０１８８】
一実施態様では、既知のブロックサイズの倍数であるファイルサイズの存在が検討事項となり得る。暗号化は、既知のファイルサイズの倍数であるファイルをもたらすことができる。ファイルのブロックサイズを計算し、次いで既知のファイルサイズの倍数と比較することができる。これは、既存のファイルが頻繁に使用される暗号化のブロックサイズの倍数であるかどうかをチェックすることによっても行うことができる。これは、ヘッダ情報の現在及び履歴上メタデータ、及び／またはファイルのペイロードの現在及び履歴上コンテンツ・プロパティを使用して、スタンドアロンファイル上で実施することができる。これは、スタンドアロンファイル上で、またはヘッダ情報の現在及び履歴上メタデータ、及び／またはファイルのペイロードの現在及び履歴上コンテンツ・プロパティを使用して実施することができる。現在の情報と履歴情報とを比較するとき、所定の変化速度を超える現在の情報と履歴情報との間の変化のパターンは、攻撃の存在を示し得る。
【０１８９】
一実施態様では、現行ファイル名と履歴上ファイル名との間の編集距離を考慮することができる。編集距離の計算には様々な方法がある。（編集距離を計算するための様々な方法に基づいて）編集距離閾値を設定することができる。これを行うと、ファイル名がどのくらい変更されたか、または拡張子がどのくらい変更されたかを判断することができる。これは、．ｄｏｃが．ｄｕｃｋｓ  （攻撃なし）に変更され、．ｄｏｃが．ｌｏｃｋｙに変更される場合をカバーする。
【０１９０】
一実施態様では、悪意のある動作が検出された場合、反応は、悪意のある動作が検出されたファイルのいずれかを隔離することであり得る。ファイルの各々は、別のファイルから個別に隔離することができ、またはファイルのすべてを同じ場所で隔離することができる。ファイルが隔離されると、悪意のある動作を検出し、各ファイルが感染しているかどうかを更に判定するために、追加の措置をとることができる。ファイルが、悪意のあるアクティビティの誤検知な最初の検知によって感染されなかった場合、隔離されたファイルは、それらの元の位置に戻すことができる。ファイルが実際に感染した場合、ファイルの最近のバックアップを復元することができる。
［新しいファイルの処理、及び履歴上メタデータ及び／または過去のコンテンツ・プロパティの不足］
【０１９１】
一実施態様では、履歴上メタデータ及び／またはコンテンツ・プロパティが特定のファイルについて存在するか否かが判定される。履歴上メタデータ及び／またはコンテンツ・プロパティが存在しない場合、履歴上メタデータ及び／または履歴上コンテンツ・プロパティが存在するファイルとは別の方法でファイルを分析することができる。履歴情報がないファイルのより徹底した検査（例えば、エントロピー、ファイル名、コンテンツ等）を、履歴情報があるファイルとは対照的に実行することができる。このより徹底した検査は、閾値を超えるパターン、または閾値を超える任意の基準に基づくことができる。パターンまたは判定基準は、本出願に記載される任意のパターン及び／または判定基準に基づくことができる。例えば、履歴情報が存在しないファイルを検査して、エントロピーが低いかどうか、ファイルタイプが無傷であるかどうか等を調べることができる。更に、履歴上メタデータ及び／または履歴上コンテンツ・プロパティが存在しない場合、変化のパターンはそれに応じて影響される。
［ピアグループの形成］
【０１９２】
ピアグループは、同様のタイプのユーザから形成することができる。これらのグループを形成するための基礎は、本明細書で言及される任意の基準、または会社、部門、プロジェクトグループ、以前の活動等、個人を評価するために使用できる任意の他の基準に基づくことができる。ピアグループが識別されると、（ｉ）平均変化速度、（ｉｉ）変化速度の移動平均、及び（ｉｉｉ）所定の閾値の１または複数が、ピアグループ全体の基準として、任意の種類のデータ（例えば、非ペイロードメタデータ、ペイロード・コンテンツ・プロパティ、コンテンツ・プロパティ・パラメータ、履歴上メタデータ、履歴上コンテンツ・プロパティ等）について決定され得る。換言すれば、ピアグループは、その特定のグループに対するベースライン標準を形成するように収束する。ベースラインは、グループの活動に基づいて経時的に変化することができる。しかし、ピアグループのメンバの内の１人が（何らかの統計分析に基づいて）グループ全体のベースラインから逸脱した場合、悪意のあるアクティビティが行われた可能性が高く、更なる措置を講じることができる。メンバの内の１人がベースラインから逸脱するかどうかの判定は、本明細書に記載される修飾子（ｑｕａｌｉｆｉｅｒ）のいずれかに基づいて行うことができ、本明細書に記載される任意の動作は、それに応じて実施することができる。更なる変形は、当業者には自明であろう。
＜特定の実施態様＞
【０１９３】
クラウド・サービスのセキュリティを提供するための様々な実施態様について説明した。説明したように、これは、コンテンツタイプ及びアプリケーションレベルの意味と関連するきめ細かいフィルタリングを備えたクライアントとクラウド・サービス間のある種の仮想ネットワークを提供する。
【０１９４】
開示された技術の本項及び他の項に記載された方法は、以下の特徴及び／または開示された追加の方法に関連して記載された特徴の１または複数を含むことができる。簡潔にするために、本願に開示される特徴の組み合わせは、個々に列挙されず、特徴の各基本セットで繰り返されない。読者は、システム概要、システムアーキテクチャ、ディープＡＰＩ検査、コンテンツ監視、セキュリティアクション、結論及び特定の実施態様等の実施態様として識別された基本特徴のセットと、この方法で識別された特徴をどのように容易に組み合わせることができるかを理解するであろう。
【０１９５】
これらの方法は、少なくとも部分的に、例えば、情報を受信または検索し、情報を処理し、結果を保存し、該結果を送信するように構成された１以上のプロセッサ等によるデータベースシステムにより実施できる。他の実施態様では、説明した方法と異なる順序で、及び／または、異なるまたは少ないまたは追加の処置とともに、該処置を実施してもよい。幾つかの実施態様では、複数の処置を合体することができる。便宜上、これらの方法は、方法を実行するシステムを参照して説明される。該システムは、必ずしも、該方法の一部ではない。
【０１９６】
本項で説明した方法の他の実施態様は、上述の方法の何れかを実行するためにプロセッサによって実行可能な命令を格納する非一時的なコンピュータ可読記憶媒体を含むことができる。本項で説明される方法の更に別の実施態様は、上述の方法の何れかを実行するために、メモリ内に格納された命令を実行するように動作可能なメモリ及び１または複数のプロセッサを含むシステムを含むことができる。
【０１９７】
幾つかの例示的な実施態様を、それらが言及する実施態様に依存する特定の実施態様と共に、以下に列挙する。各実施態様の簡単な説明は、各実施態様のヘッダとして提供される。
［方法：非ペイロード（すなわち、ヘッダ）メタデータ、履歴上メタデータ、所定の変化速度、及び独立したデータ・ストア（例えば、クラウド・ストレージ装置）］
【０１９８】
一実施態様では、独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答する方法が提供される。該方法は、決定された時間枠内に更新された独立したデータ・ストアのファイル・システム内のファイルを識別するためにリストを繰り返しスキャンすることと、スキャンによって識別されたそれぞれのファイルについて現在のメタデータをアセンブルすることとを含むことができ、現在のメタデータは、それぞれのファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルされる。該方法は、更に、履歴上メタデータを記憶する履歴上メタデータ・ストアにアクセスして各ファイルの履歴上メタデータを取得することを含んでもよく、ここで記憶された履歴上メタデータは、ファイル・システムの制御下ではなく独立して維持され、履歴上メタデータ・ストアは、ファイル・システム内でファイル及びファイルメタデータが更新された後に、以前の世代のメタデータが利用可能なままであるように、ファイル・システム内のファイルを記述すメタデータの世代を保存する。そして、該方法は、更に、検査エージェントまたはアクティブ・エージェントによって、各ファイルの現在のメタデータ及び各ファイルの履歴上メタデータを分析して、所定の変化速度を超える各ファイルの履歴上メタデータから現在のメタデータへの変化のパターンを識別することによって、悪意あるアクティビティが進行中であると判定することを含んでもよい。更に、該方法は、検査エージェントまたはアクティブ・エージェントによって、それぞれのファイルの現在のメタデータと、既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンとを分析して、それぞれのファイルの現在のメタデータと、既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンとの間の一致を識別することによって、悪意のあるアクティビティが進行中であると判定することと、悪意のあるアクティビティを開始したマシン及び／またはユーザを判定することと、悪意のあるアクティビティを開始したマシン及び／またはユーザの判定に応答して、判定されたマシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを含む。
［内観的な履歴上メタデータのコンパイル／保存］
【０１９９】
別の実施態様では、履歴上メタデータは、履歴上メタデータ・ストア上で、内観的に、継続的にコンパイルし、格納することができる。
［積極的な履歴上メタデータのコンパイル／保存］
【０２００】
一実施態様では、履歴上メタデータは、継続的に、積極的に、履歴上メタデータ・ストア上で、コンパイルされ、格納されてもよい。
［各ファイルのファイル名の計算されたエントロピーを含むメタデータ］
【０２０１】
更なる実施態様では、現在のメタデータ及び履歴上メタデータは、それぞれのファイルのファイル名の計算されたエントロピーを含むことができる。
［各ファイルのマジックナンバーを含むメタデータ］
【０２０２】
一実施態様では、現在のメタデータ及び履歴上メタデータは、それぞれのファイルのファイル種類を示すマジックナンバーを含むことができる。
［各ファイルのファイル名の拡張子を含むメタデータ］
【０２０３】
更に、一実施態様では、現在のメタデータ及び履歴上メタデータは、それぞれのファイルのファイル名の拡張子を含むことができる。
［各ファイルのファイル名の編集距離］
【０２０４】
別の実施態様は、検査エージェントまたはアクティブ・エージェントによって、それぞれのファイルの現在のメタデータ及びそれぞれのファイルの履歴上メタデータを分析して、所定のファイル名の編集距離変化速度を超えるそれぞれのファイルの現在のメタデータと、履歴上メタデータとの間のファイル名の編集距離の変化のパターンを識別することによって、悪意のあるアクティビティが進行中であると判定することを含むことができる。
［メタデータ抽出不能インジケータ］
【０２０５】
一実施態様では、現在のメタデータ及び履歴上メタデータは、それぞれのファイルからメタデータを抽出することができないときを示すメタデータ抽出不能インジケータを含む。
［所有者に通知する応答メカニズム］
【０２０６】
一実施態様によれば、応答メカニズムは、悪意のあるアクティビティが検出されたことをマシン及び／またはユーザに通知することと、悪意のあるアクティビティの位置をマシン及び／またはユーザに提供することとを含む。
［独立したデータ・ストアを分離する応答メカニズム］
【０２０７】
別の実施態様によれば、応答メカニズムは、判定されたマシン及び／またはユーザを独立したデータ・ストアから切断することによって、及び独立したデータ・ストアへのアクセスを有する追加のユーザを切断することによって、独立したデータ・ストアを分離すること、及び判定されたマシン及び／またはユーザが独立したデータ・ストアにアクセスすることを防止することを含む。
［ファイルのバックアップを実行する応答メカニズム］
【０２０８】
一実施態様では、応答メカニズムは、スキャンによって識別されたそれぞれのファイルのバックアップを実行することと、それぞれのファイルが格納されている独立したデータ・ストアのバックアップを実行することとの内の少なくとも１つを含む。
［より多くのドライバを含むようにスキャンを広げる応答メカニズム］
【０２０９】
更なる実施態様は、応答メカニズムが、判定されたマシン及び／またはユーザに、悪意のあるアクティビティのローカルスキャンを強制し、判定されたマシン及び／またはユーザがアクセスする他の独立したデータ・ストア上の悪意のあるアクティビティのスキャンを強制し、独立したデータ・ストアにアクセスする追加のユーザに、悪意のあるアクティビティのローカルスキャンを強制し、追加のユーザがアクセスする他の独立したデータ・ストア上の悪意のあるアクティビティのスキャンを強制する。
［独立したデータ・ストアのバックアップを復元する応答メカニズム］
【０２１０】
別の実施態様では、応答メカニズムは、独立したデータ・ストアの以前のバックアップを復元し、以前のバックアップの復元は、自動化されるか、またはユーザ対話を用いて実行される。
［攻撃を分類する応答メカニズム］
【０２１１】
一実施態様によれば、応答メカニズムは、現在のメタデータ及び履歴上メタデータに基づいて、判定されたマシン及び／またはユーザ上で悪意のあるアクティビティを開始させたファイルの作成者／起草者を判定し、判定された作成者／起草者に基づいて、複数の応答メカニズムの特定の応答メカニズムを識別し、実行する。
［ユーザ暗号化ファイル及び再実行検出を排除する第２レイヤの検出］
【０２１２】
一実施態様では、応答メカニズムは、それぞれのファイルのペイロードのエントロピーを計算することと、それぞれのファイルのエントロピーを既知のユーザが開始した暗号化手法のエントロピーと比較して、判定されたマシン及び／またはユーザが開始した暗号化手法を実施したかどうかを判定することと、判定されたマシン及び／またはユーザが開始した暗号化手法を実施したそれぞれのファイルのそれぞれを識別することと、ファイルの現在のメタデータ及びファイルの履歴上メタデータを分析することによって悪意のあるアクティビティが進行中であると判定することと、判定されたマシン及び／またはユーザが開始した暗号化手法を実施したそれぞれのファイルを除き、所定の変化速度を超えるファイルの現在のメタデータと履歴上メタデータとの間の変化のパターンを識別することと、（ｉ）判定されたマシン及び／またはユーザが開始した暗号化手法を実施したそれぞれのファイルを除く、ファイルの現在のメタデータと、（ｉｉ）既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンを分析して、判定されたマシン及び／またはユーザが開始した暗号化手法を実施したそれぞれのファイルを除く、ファイルの現在のメタデータと悪意のあるメタデータの既知のパターンとの間の一致を識別して、悪意のあるアクティビが進行中であると判定することを含む。
［速度ベースの第２レイヤの検出］。
【０２１３】
一実施態様によれば、応答メカニズムは、スキャンによって識別されたファイルのそれぞれのファイルについて現在のコンテンツ・プロパティ・パラメータをアセンブルすることと、現在のコンテンツ・プロパティ・パラメータのそれぞれのパラメータについて、時間ベースのパラメータ変化統計のバッファを維持し、バッファに適用される移動時間ベースのウィンドウ内でそれぞれのパラメータについての変化速度の移動平均を計算することによって、識別されたファイルの現在のコンテンツ・プロパティ・パラメータについての変化速度の移動平均を、繰り返し計算することと、現在のコンテンツ・プロパティ・パラメータについての計算された変化速度の移動平均に統計的に有意な加速があるときを識別することによって、悪意のあるアクティビティの第２のレベルが進行中であることを検出することと、判定されたマシン及び／またはユーザによるファイル修正を制限する二次応答メカニズムを実施することによって、検出された第２のレベルの悪意のあるアクティビティに応答することを含む。
［コンテンツ（すなわち、ペイロード）ベースの第２の検知層］
【０２１４】
一実施態様では、応答メカニズムは、スキャンによって識別されたそれぞれのファイルのペイロードを読み取ることと、それぞれのファイルのペイロードからそれぞれのファイルのペイロード・コンテンツ・プロパティを計算することと、履歴上ペイロード・コンテンツ・プロパティを記憶する履歴上コンテンツ・プロパティ・ストアにアクセスして、それぞれのファイルの読み取られたペイロードに基づいてアセンブルされた履歴上ペイロード・コンテンツ・プロパティを取得することを含む第２レベルの検出の実行を含む。ここで、記憶された履歴上ペイロード・コンテンツ・プロパティは、ファイル・システムの制御下ではなくファイル・システムから独立して維持され、履歴上コンテンツ・プロパティ・ストアは、ファイル及びファイルのペイロード・コンテンツ・プロパティがファイル・システム内で更新された後、以前の世代のペイロード・コンテンツ・プロパティが利用可能なままであるように、ファイル・システム内のファイルを記述するペイロード・コンテンツ・プロパティの世代を保存する。第２レベルの検出は、更に、それぞれのファイルの現在のペイロード・コンテンツ・プロパティ及びそれぞれのファイルの履歴上ペイロード・コンテンツ・プロパティを分析して、所定の変化速度を超えるそれぞれのファイルの現在のペイロード・コンテンツ・プロパティと、履歴上ペイロード・コンテンツ・プロパティとの間の変化のパターンを識別し、第２のレベルの悪意のあるアクティビティが進行中であることを検出すること、及び、判定されたマシン及び／またはユーザによるファイル修正を制限する二次応答メカニズムを実施することによって、検出された第２のレベルの悪意のあるアクティビティに応答することを含む。
［閾値超過の単一ファイル］
【０２１５】
一実施態様は、それぞれのファイルのそれぞれの現在のメタデータを、それぞれのファイルのそれぞれの履歴上メタデータと比較することと、それぞれのファイルの現在のメタデータとそれぞれのファイルの履歴上メタデータとの比較に基づいて、それぞれのファイルのそれぞれの差を判定することと、それぞれのファイルの何れかについて判定された差が所定の変化閾値を超える場合に、悪意のあるアクティビティが進行中であると判定することを更に含む。
［方法：ペイロード・コンテンツ・プロパティ、履歴上コンテンツ・プロパティ、所定の変化速度、及び独立したデータ・ストア（例えば、クラウド・ストレージ）］
【０２１６】
一実施態様では、独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答する方法が提供される。該方法は、決定された時間枠内に更新された独立したデータ・ストアのファイル・システム内のファイルを識別するためにリストを繰り返しスキャンすることと、該スキャンによって識別されたそれぞれのファイルのペイロードを読み取ることと、それぞれのファイルのペイロードからそれぞれのファイルの現在のコンテンツ・プロパティを計算することと、履歴上コンテンツ・プロパティを記憶する履歴上コンテンツ・プロパティ・ストアにアクセスして、それぞれのファイルの読み取られたペイロードに基づいてアセンブルされた履歴上コンテンツ・プロパティを取得することを含むことができ、格納された履歴上コンテンツ・プロパティは、ファイル・システムの制御下になくファイル・システムから独立して維持され、履歴上コンテンツ・プロパティ・ストアは、ファイル及びファイルのペイロード・コンテンツ・プロパティがファイル・システム内で更新された後、以前の世代のペイロード・コンテンツ・プロパティが利用可能なままであるように、ファイル・システム内のファイルを記述するコンテンツ・プロパティの世代を保存する。該方法は、検査エージェントまたはアクティブ・エージェントによって、それぞれのファイルの現在のコンテンツ・プロパティと、それぞれのファイルの履歴上コンテンツ・プロパティとを分析して、所定の変化速度を超えるそれぞれのファイルの現在のコンテンツ・プロパティと履歴上コンテンツ・プロパティとの間の変化のパターンを識別することによって、悪意のあるアクティビティが進行中であると判定することと、検査エージェントまたはアクティブ・エージェントによって、それぞれのファイルの現在のコンテンツ・プロパティと、既知の悪意のあるファイル修正を示す悪意のあるコンテンツ・プロパティの既知のパターンとの間の一致を識別するために、それぞれのファイルの現在のコンテンツ・プロパティと、既知の悪意のあるファイル修正を示す悪意のあるコンテンツ・プロパティの既知のパターンとを分析することによって、悪意のあるアクティビティが進行中であると判定することと、悪意のあるアクティビティを開始したマシン及び／またはユーザを判定することと、悪意のあるアクティビティを開始したマシン及び／またはユーザの判定に応答して、判定されたマシン及び／またはユーザによる修正を制限する応答メカニズムを実施することを含む。
［履歴上コンテンツ・プロパティの内観的なコンパイル／格納］
【０２１７】
別の実施態様では、履歴上コンテンツ・プロパティは、履歴上コンテンツ・プロパティ・ストア上で、内観的に、継続的にコンパイルし、格納することができる。
［履歴上コンテンツ・プロパティの積極的なコンパイル／格納］
【０２１８】
更なる実施態様では、履歴上コンテンツ・プロパティは、継続的に、積極的に、履歴上コンテンツ・プロパティ・ストアにコンパイルされ、格納されてもよい。
［各ファイルのペイロードの計算されたエントロピー］
【０２１９】
一実施態様では、現在のコンテンツ・プロパティ及び履歴上コンテンツ・プロパティは、それぞれのファイルのペイロードの計算されたエントロピーを含むことができる。
［各ファイルのペイロードの階層化エントロピー］
【０２２０】
一実施態様では、更に、現在のコンテンツ・プロパティ及び履歴上コンテンツ・プロパティは、それぞれのファイルのペイロードの計算された階層化エントロピーを含んでもよい。
［各ファイルのペイロードのローカリティ−センシティブ・ハッシング］
【０２２１】
更に、一実施態様では、現在のコンテンツ・プロパティと履歴上コンテンツ・プロパティは、それぞれのファイルのペイロードのローカリティ−センシティブ・ハッシング（ＬＳＨ）を含むことで、現在のコンテンツ・プロパティのＬＳＨと履歴上コンテンツ・プロパティのＬＳＨとの間のハミング距離を判定することによって、それぞれのファイルごとの変化を識別することができるようにしてもよい。
［各ファイルのペイロードのスタブ］
【０２２２】
一実施態様では、現在のコンテンツ・プロパティ及び履歴上コンテンツ・プロパティは、それぞれのファイルのペイロード内のスタブの発生を含む。
［各ファイルのペイロードの完全性インジケータ］
【０２２３】
一実施態様では、また、現在のコンテンツ・プロパティと履歴上コンテンツ・プロパティは、それぞれのファイルのペイロードの構造のドキュメントオブジェクト完全性があるか否かを示す完全性インジケータを有する。
［各ファイルのペイロード内のキーワードの存在］
【０２２４】
別の実施態様によれば、現在のコンテンツ・プロパティ及び履歴上コンテンツ・プロパティは、それぞれのファイルのペイロード内に、それぞれのファイルごとの悪意のあるアクティビティに関連する既知のキーワードの出現の回数を含む。
［既知のランサムノートの存在］
【０２２５】
別の実施態様は、検査エージェントまたはアクティブ・エージェントによって、いずれかのそれぞれのファイルの現在のコンテンツ・プロパティが攻撃者の既知のランサムノートの存在を示す場合に、悪意のあるアクティビティが進行中であると判定することを含む。
［応答メカニズムによる所有者への通知］
【０２２６】
一実施態様では、応答メカニズムは、悪意のあるアクティビティが検出されたことをマシン及び／またはユーザに通知することと、悪意のあるアクティビティの位置をマシン及び／またはユーザに提供することとを含む。
［応答メカニズムによる独立したデータ・ストアの分離］
【０２２７】
一実施態様によれば、応答メカニズムは、判定されたマシン及び／またはユーザを独立したデータ・ストアから切断することによって、及び独立したデータ・ストアへのアクセスを有する追加のユーザを切断することによって、独立したデータ・ストアを分離することと、判定されたマシン及び／またはユーザが独立したデータ・ストアにアクセスすることを防止することとを含む。
［応答メカニズムによるファイルバックアップの復元］
【０２２８】
更なる実施態様は、独立したデータ・ストアの以前のバックアップを復元する応答メカニズムを含み、以前のバックアップの復元は、自動化されるか、またはユーザ対話を用いて実行される。
［応答メカニズムによるファイルバックアップの実行］
【０２２９】
一実施態様では、応答メカニズムは、スキャンによって識別されたそれぞれのファイルのバックアップを実行することと、それぞれのファイルが格納されている独立したデータ・ストアのバックアップを実行することの内の少なくとも１つを含む。
［応答メカニズムによる、より多くのドライバを含むスキャンの拡張］
【０２３０】
一実施態様では、応答メカニズムは、判定されたマシン及び／またはユーザに、悪意のあるアクティビティのローカルスキャンを強制させ、判定されたマシン及び／またはユーザがアクセスする他の独立したデータ・ストア上の悪意のあるアクティビティのスキャンを強制し、独立したデータ・ストアにアクセスする追加のユーザに、悪意のあるアクティビティのローカルスキャンを強制し、追加のユーザがアクセスする他の独立したデータ・ストア上の悪意のあるアクティビティのスキャンを強制する。
［攻撃を分類する応答メカニズム］
【０２３１】
一実施態様は、現在のコンテンツ・プロパティ及び履歴上コンテンツ・プロパティに基づいて、判定されたマシン及び／またはユーザ上で悪意のあるアクティビティを開始させたファイルの作成者を決定する応答メカニズムと、決定された作成者に基づいて、多数の応答メカニズムの特定の応答メカニズムを識別し、実行することとを含む。
［ユーザ暗号化ファイル及び再実行検出を排除する第２レイヤの検出］
【０２３２】
更なる実施態様では、応答メカニズムは、それぞれのファイルのペイロードのエントロピーを計算することと、それぞれのファイルのエントロピーを既知のユーザが開始した暗号化手法のエントロピーと比較して、判定されたマシン及び／またはユーザが開始した暗号化手法を実施したかどうかを判定することと、判定されたマシン及び／またはユーザが開始した暗号化手法を実施したそれぞれのファイルのそれぞれを識別することと、ファイルの現在のコンテンツ・プロパティ及びファイルの履歴上コンテンツ・プロパティを分析することによって悪意のあるアクティビティが進行中であると判定することと、判定されたマシン及び／またはユーザが開始した暗号化手法を実施したそれぞれのファイルを除き、所定の変化速度を超えるファイルの現在のコンテンツ・プロパティと履歴上コンテンツ・プロパティの間の変化のパターンを識別することと、（ｉ）判定されたマシン及び／またはユーザが開始した暗号化手法を実施したそれぞれのファイルを除く、ファイルの現在のコンテンツ・プロパティと（ｉｉ）既知の悪意のあるファイル修正を示す悪意のあるコンテンツ・プロパティの既知のパターンを分析して、判定されたマシン及び／またはユーザが開始した暗号化手法を実施したそれぞれのファイルを除く、ファイルの現在のコンテンツ・プロパティと悪意のあるコンテンツ・プロパティの既知のパターンとの間の一致を識別して、悪意のあるアクティビが進行中であると判定することを含む。
［速度ベースの第２レイヤの検出］
【０２３３】
一実施態様では、応答メカニズムは、第２レイヤの検出を実行することを含む。第レイヤ２の検出は、スキャンによって識別されたファイルのそれぞれのファイルについて現在のコンテンツ・プロパティ・パラメータをアセンブルすることと、現在のコンテンツ・プロパティ・パラメータのそれぞれのパラメータについて、時間ベースのパラメータ変化統計のバッファを維持し、バッファに適用される移動時間ベースのウィンドウ内で、それぞれのパラメータについての変化速度の移動平均を計算することによって、識別されたファイルの現在のコンテンツ・プロパティ・パラメータについての変化速度の移動平均を、繰り返し計算することと、現在のコンテンツ・プロパティ・パラメータについての計算された変化速度の移動平均に統計的に有意な加速があるときを識別することによって、悪意のあるアクティビティの第２のレベルが進行中であることを検出することと、判定されたマシン及び／またはユーザによるファイル変更を制限する二次応答メカニズムを実施することによって検出された第２のレベルの悪意のあるアクティビティに応答することを含む。
［閾値超過の単一ファイル］
【０２３４】
別の実施態様は、それぞれのファイルのそれぞれの現在のコンテンツ・プロパティを、それぞれのファイルのそれぞれの履歴上コンテンツ・プロパティと比較することと、それぞれのファイルの現在のコンテンツ・プロパティとそれぞれのファイルの履歴上コンテンツ・プロパティとの比較に基づいて、それぞれのファイルのそれぞれの差を判定することと、それぞれのファイルの何れかについて判定された差が、所定変化閾値を超える場合に、悪意のあるアクティビティが進行中であると判定することとを含む。
［方法：  コンテンツ・プロパティ・パラメータ、履歴情報なし、変化速度の移動平均、及び独立したデータ・ストア（例えば、クラウド・ストレージ）］
【０２３５】
一実施態様では、独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答する方法が提供される。この方法は、決定された時間枠内で更新された独立したデータ・ストアのファイル・システム内のファイルを識別するためにリストを繰り返しスキャンすることと、該スキャンによって識別されたファイルのそれぞれの現在のコンテンツ・プロパティ・パラメータをアセンブルすることと、検査エージェントまたはアクティブ・エージェントによって、現在のコンテンツ・プロパティ・パラメータのそれぞれのパラメータについて、時間ベースのパラメータ変化統計のバッファを維持し、バッファに適用される移動時間ベースのウィンドウ内で、それぞれのパラメータの変化速度の移動平均を計算することによって、識別されたファイルの現在のコンテンツ・プロパティ・パラメータについての変化速度の移動平均を、繰り返し計算することと、検査エージェントまたはアクティブ・エージェントによって、現在のコンテンツ・プロパティ・パラメータについての計算された変化速度の移動平均に統計的に有意な加速があるときを識別することによって、悪意のあるアクティビティが進行中であると判定することと、悪意のあるアクティビティを開始したマシン及び／またはユーザを判定することと、悪意のあるアクティビティを開始したマシン及び／またはユーザの判定に応答して、判定されたマシン及び／またはユーザによるファイル変更を制限する応答メカニズムを実施することを含む。
［変化速度の移動平均の内観的格納］
【０２３６】
別の実施態様では、計算された変化速度の移動平均は、変化速度の移動平均ストアに、内観的に継続的に格納される。
［変化速度の移動平均の積極的格納］
【０２３７】
別の実施態様では、計算された変化速度の移動平均は、変化速度の移動平均ストアに、継続的に積極的に格納される。
［ファイル名の計算されたエントロピーを含むコンテンツ・プロパティ・パラメータ］
【０２３８】
一実施態様では、現在のコンテンツ・プロパティ・パラメータは、それぞれのファイルのファイル名の計算されたエントロピーを含む。
［各ファイルのマジックナンバーを含むコンテンツ・プロパティ・パラメータ］
【０２３９】
一実施態様によれば、現在のコンテンツ・プロパティ・パラメータは、それぞれのファイルのファイルタイプを示すマジックナンバーを含む。
［各ファイルの拡張子を含むコンテンツ・プロパティ・パラメータ］
【０２４０】
別の実施態様では、現在のコンテンツ・プロパティ・パラメータは、それぞれのファイルのファイル名の拡張子を含む。
［各ファイル名の編集距離を含むコンテンツ・プロパティ・パラメータ］
【０２４１】
一実施態様では、現在のコンテンツ・プロパティ・パラメータは、それぞれのファイルのファイル名の編集距離を含む。
［メタデータを抽出できるかどうかのインジケータを含むコンテンツ・プロパティ・パラメータ］
【０２４２】
一実施態様では、現コンテンツ・プロパティ・パラメータは、それぞれのファイルからメタデータを抽出することができるかどうかを含む。
［応答メカニズムによる所有者への通知］
【０２４３】
更なる実施態様では、応答メカニズムは、悪意のあるアクティビティが検出されたことをマシン及び／またはユーザに通知することと、悪意のあるアクティビティの位置をマシン及び／またはユーザに提供することとを含む。
［応答メカニズムによる独立したデータ・ストアの分離］
【０２４４】
一実施態様では、応答メカニズムは、判定されたマシン及び／またはユーザを独立したデータ・ストアから切断することによって、及び独立したデータ・ストアにアクセスする追加のユーザを切断することによって、独立したデータ・ストアを分離することと、判定されたマシン及び／またはユーザが独立したデータ・ストアにアクセスすることを防止することとを含む。
［応答メカニズムによる独立したデータ・ストアのバックアップの復元］
【０２４５】
追加の実施態様では、応答メカニズムは、独立したデータ・ストアの以前のバックアップを復元することを含み、以前のバックアップの復元は、自動化されるか、またはユーザ対話を用いて実行される。
［応答メカニズムによるファイルバックアップの実行］
【０２４６】
一実施態様によれば、応答メカニズムは、スキャンによって識別されたそれぞれのファイルのバックアップを実行することと、それぞれのファイルが格納されている独立したデータ・ストアのバックアップを実行することとのうちの少なくとも１つを含む。
［応答メカニズムによるより多くのドライバを含むスキャンの拡張］
【０２４７】
一実施態様では、応答メカニズムは、判定されたマシン及び／またはユーザに悪意のあるアクティビティのローカルスキャンを強制させ、判定されたマシン及び／またはユーザがアクセスする他の独立したデータ・ストア上の悪意のあるアクティビティのスキャンを強制し、独立したデータ・ストアにアクセスする追加のユーザに悪意のあるアクティビティのローカルスキャンを強制し、追加のユーザがアクセスする他の独立したデータ・ストア上の悪意のあるアクティビティのスキャンを強制する。
［攻撃を分類する応答メカニズム］
【０２４８】
別の実施態様では、応答メカニズムは、現在のコンテンツ・プロパティに基づいて、判定されたマシン及び／またはユーザ上で悪意のあるアクティビティを開始させたファイルの作成者を決定することと、決定された作成者に基づいて、多数の応答メカニズムの特定の応答メカニズムを識別し、実行することとを含む。
［システム：非ペイロード（すなわち、ヘッダ）メタデータ、履歴上メタデータ、所定の変化速度、及び独立したデータ・ストア（例えば、クラウド・ストレージ装置）］
【０２４９】
独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答するためのシステムが提供される。該システムは、１または複数のプロセッサと、命令を含むメモリを備える。該命令は、１または複数のプロセッサによって実行されると、（ｉ）決定された時間枠内で更新された独立したデータ・ストアのファイル・システム内のファイルを識別するためにリストを繰り返しスキャンすること、（ｉｉ）スキャンによって識別されたそれぞれのファイルについて現在のメタデータをアセンブルすること、現在のメタデータはそれぞれのファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルされる、（ｉｉｉ）履歴上メタデータを格納する履歴上メタデータ・ストアにアクセスして、それぞれのファイルの履歴上メタデータを取得すること、ここで、格納された履歴上メタデータは、ファイル・システムの制御下ではなく独立して維持され、履歴上メタデータ・ストアは、ファイル及びファイルメタデータがファイル・システム内で更新された後に、以前の世代のメタデータが利用可能なままであるように、ファイル・システム内のファイルを記述するメタデータの世代を保存する、（ｉｖ）検査エージェントまたはアクティブ・エージェントによって、それぞれのファイルの現在のメタデータ及びそれぞれのファイルの履歴上メタデータを分析して、所定の変化速度を超えるそれぞれのファイルの履歴上メタデータから現在のメタデータへの変化のパターンを識別することによって、悪意のあるアクティビティが進行中であると判定すること（ｖ）検査エージェントまたはアクティブ・エージェントによって、それぞれのファイルの現在のメタデータと、既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンとを分析して、それぞれのファイルの現在のメタデータと、既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンとの間の一致を識別することによって、悪意のあるアクティビティが進行中であることを判定すること、（ｖｉ）悪意のあるアクティビティを開始したマシン及び／またはユーザを判定すること、及び、（ｖｉｉ）悪意のあるアクティビティを開始したマシン及び／またはユーザの判定に応答して、判定されたマシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、１または複数のプロセッサに、実施させる。
［システム：ペイロード・コンテンツ・プロパティ、履歴上コンテンツ・プロパティ、所定の変化速度、及び独立したデータ・ストア（例えば、クラウド・ストレージ）］
【０２５０】
一実施態様では、独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答するためのシステムが提供される。該システムは、１または複数のプロセッサと、命令を含むメモリを備える。該命令は、１または複数のプロセッサによって実行されると、決定された時間枠内で更新された独立したデータ・ストアのファイル・システム内のファイルを識別するためにリストを繰り返しスキャンすること、スキャンによって識別されたそれぞれのファイルのペイロードを読み取ること、それぞれのファイルのペイロードからそれぞれのファイルの現在のコンテンツ・プロパティを計算すること、履歴上コンテンツ・プロパティを格納する履歴上コンテンツ・プロパティにアクセスして、それぞれのファイルの読み取られたペイロードに基づいてアセンブルされた履歴上コンテンツ・プロパティを取得すること、ここで、格納された履歴上コンテンツ・プロパティは、ファイル・システムの制御下ではなく独立して維持され、履歴上コンテンツ・プロパティ・ストアは、ファイル及びファイル・コンテンツ・プロパティがファイル・システム内で更新された後に、以前の世代のコンテンツ・プロパティが利用可能なままであるように、ファイル・システム内のファイルを記述するコンテンツ・プロパティの世代を保存する、検査エージェントまたはアクティブ・エージェントによって、それぞれのファイルの現在のコンテンツ・プロパティと、それぞれのファイルの履歴上コンテンツ・プロパティを分析して、所定の変化速度を超えるそれぞれのファイルの現在のコンテンツ・プロパティと履歴上コンテンツ・プロパティとの間の変化のパターンを識別することによって、悪意のあるアクティビティが進行中であると判定すること、検査エージェントまたはアクティブ・エージェントによって、それぞれのファイルの現在のコンテンツ・プロパティと、既知の悪意のあるファイル修正を示す悪意のあるコンテンツ・プロパティの既知のパターンとを分析して、それぞれのファイルの現在のコンテンツ・プロパティと、既知の悪意のあるファイル修正を示す悪意のあるコンテンツ・プロパティの既知のパターンとの間の一致を識別することによって悪意のあるアクティビティが進行中であることを判定すること、悪意のあるアクティビティを開始したマシン及び／またはユーザを判定すること、及び、悪意のあるアクティビティを開始したマシン及び／またはユーザの判定に応答して、判定されたマシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、１または複数のプロセッサに、実施させる。
［システム：  コンテンツ・プロパティ・パラメータ、履歴情報なし、変化速度の移動平均、及び独立したデータ・ストア（例えば、クラウド・ストレージ）］
【０２５１】
一実施態様では、独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答するためのシステムが提供される。このシステムは、１または複数のプロセッサと、命令を含むメモリを備える。該命令は、１または複数のプロセッサによって実行されると、決定された時間枠内に更新された独立したデータ・ストアのファイル・システム内のファイルを識別するために、リストを繰り返しスキャンすること、スキャンによって識別されたファイルの各ファイル毎に現在のコンテンツ・プロパティ・パラメータをアセンブルすること、検査エージェントまたはアクティブ・エージェントによって、現在のコンテンツ・プロパティ・パラメータの各パラメータについて、時間ベースのパラメータ変化統計のバッファを維持し、バッファに適用される移動時間ベースのウィンドウ内で、それぞれのパラメータの変化速度の移動平均を計算することによって、識別されたファイルの現在のコンテンツ・プロパティ・パラメータの変化速度の移動平均を繰り返し計算することと、検査エージェントまたはアクティブ・エージェントによって、現在のコンテンツ・プロパティ・パラメータについての計算された変化速度の移動平均に統計的に有意な加速があるときを識別することによって、悪意のあるアクティビティが進行中であると判定することを、１または複数のプロセッサに、実施させる。む。該命令は、更に、１または複数のプロセッサに、悪意のあるアクティビティを開始したマシン及び／またはユーザを判定させ、悪意のあるアクティビティを開始したマシン及び／またはユーザの判定に応答して、判定されたマシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施させる。
［記録媒体：非ペイロード（すなわち、ヘッダ）メタデータ、履歴上メタデータ、所定の変化速度、及び独立したデータ・ストア（例えば、クラウド・ストレージ装置）］
【０２５２】
別の実施態様では、命令が記録された非一時的なコンピュータ可読記録媒体が提供される。該命令は、実行されると、決定された時間枠内で更新された独立したデータ・ストアのファイル・システム内のファイルを識別するためにリストを繰り返しスキャンすることと、スキャンによって識別されたそれぞれのファイルについて現在のメタデータをアセンブルすることと、現在のメタデータはそれぞれのファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルされる、履歴上メタデータを格納する履歴上メタデータ・ストアにアクセスして、それぞれのファイルの履歴上メタデータを取得することと、ここで、格納された履歴上メタデータは、ファイル・システムの制御下ではなく独立して維持され、履歴上メタデータ・ストアは、ファイル及びファイルメタデータがファイル・システム内で更新された後に、以前の世代のメタデータが利用可能なままであるように、ファイル・システム内のファイルを記述するメタデータの世代を保存する、検査エージェントまたはアクティブ・エージェントによって、悪意のあるアクティビティが、それぞれのファイルの現在のメタデータ及びそれぞれのファイルの履歴上メタデータを分析して、所定の変化速度を超える、それぞれのファイルの履歴上メタデータから現在のメタデータへの変化のパターンを識別することによって、悪意のあるアクティビティが進行中であると判定することと、  検査エージェントまたはアクティブ・エージェントによって、それぞれのファイルの現在のメタデータと、既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンとを分析して、それぞれのファイルの現在のメタデータと、既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンとの間の一致を識別することによって、悪意のあるアクティビティが進行中であることを判定することと、検査エージェントまたはアクティブ・エージェントによって、悪意のあるアクティビティを開始したマシン及び／またはユーザを判定することと、悪意のあるアクティビティを開始したマシン及び／またはユーザの判定に応答して、判定されたマシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、含む方法を、少なくとも１つのプロセッサに実施させる。
［記録媒体：  コンテンツ・プロパティ・パラメータ、履歴上コンテンツ・プロパティ、所定の変化速度、及び独立したデータ・ストア（例えば、クラウド・ストレージ）］
【０２５３】
更なる実施態様では、命令が記録された非一時的なコンピュータ可読記録媒体が提供される。該命令は、実行されると、決定された時間枠内で更新された独立したデータ・ストアのファイル・システム内のファイルを識別するためにリストを繰り返しスキャンすることと、スキャンによって識別されたそれぞれのファイルのペイロードを読み取ることと、それぞれのファイルのペイロードからそれぞれのファイルの現在のコンテンツ・プロパティを計算することと、履歴上コンテンツ・プロパティを格納する履歴上コンテンツ・プロパティにアクセスして、それぞれのファイルの読み取られたペイロードに基づいてアセンブルされた履歴上コンテンツ・プロパティを取得することと、ここで、格納された履歴上コンテンツ・プロパティは、ファイル・システムの制御下ではなく独立して維持され、履歴上コンテンツ・プロパティ・ストアは、ファイル及びファイル・コンテンツ・プロパティがファイル・システム内で更新された後、以前の世代のコンテンツ・プロパティが利用可能なままであるように、ファイル・システム内のファイルを記述するコンテンツ・プロパティの世代を保存する、検査エージェントまたはアクティブ・エージェントによって、それぞれのファイルの現在のコンテンツ・プロパティと、それぞれのファイルの履歴上コンテンツ・プロパティを分析して、所定の変化速度を超えるそれぞれのファイルの現在のコンテンツ・プロパティとの間の変化のパターンを識別することによって、悪意のあるアクティビティが進行中であると判定することと、検査エージェントまたはアクティブ・エージェントによって、それぞれのファイルの現在のコンテンツ・プロパティと、既知の悪意のあるファイル修正を示す悪意のあるコンテンツ・プロパティの既知のパターンとを分析して、それぞれのファイルの現在のコンテンツ・プロパティと、既知の悪意のあるファイル修正を示す悪意のあるコンテンツ・プロパティの既知のパターンとの間の一致を識別することによって、悪意のあるアクティビティが進行中であると判定することと、悪意のあるアクティビティを開始したマシン及び／またはユーザを判定することと、悪意のあるアクティビティを開始したマシン及び／またはユーザの判定に応答して、判定されたマシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、含む方法を、少なくとも１つのプロセッサに、実施させる。
［コンピュータ可読記録媒体：  コンテンツ・プロパティ・パラメータ、履歴情報なし、変化速度の移動平均、及び独立したデータ・ストア（例えば、クラウド・ストレージ）］
【０２５４】
別の実施態様では、命令が記録された非一時的なコンピュータ可読記録媒体が提供される。該命令は、実行されると、決定された時間枠内で更新された独立したデータ・ストアのファイル・システム内のファイルを識別するためにリストを繰り返しスキャンすることと、スキャンによって識別されたファイルのそれぞれのファイルについて現在のコンテンツ・プロパティ・パラメータをアセンブルすることと、検査エージェントまたはアクティブ・エージェントによって、現在のコンテンツ・プロパティ・パラメータの各パラメータについて、時間ベースのパラメータ変化統計のバッファを維持し、バッファに適用される移動時間ベースのウィンドウ内で、それぞれのパラメータの変化速度の移動平均を計算することによって、識別されたファイルの現在のコンテンツ・プロパティ・パラメータの変化速度の移動平均を繰り返し計算することと、検査エージェントまたはアクティブ・エージェントによって、現在のコンテンツ・プロパティ・パラメータについての計算された変化速度の移動平均に統計的に有意な加速があるときを識別することによって、悪意のあるアクティビティが進行中であると判定することと  悪意のあるアクティビティを開始したマシン及び／またはユーザを判定することと、悪意のあるアクティビティを開始したマシン及び／またはユーザの判定に応答して、判定されたマシン及び／またはユーザによるファイル変更を制限する応答メカニズムを実施することを、含む方法を、少なくとも１つのプロセッサに、実施させる。
［方法：非ペイロード（すなわち、ヘッダ）メタデータ、履歴上メタデータ、変化量、及び独立したデータ・ストア（例えば、クラウド・ストレージ装置）］
【０２５５】
一実施態様では、独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答する方法が提供される。該方法は、決定された時間枠内で更新された独立したデータ・ストアのファイル・システム内のファイルを識別するためにリストを繰り返しスキャンすることと、スキャンによって識別されたそれぞれのファイルについて現在のメタデータをアセンブルすることと、現在のメタデータは、それぞれのファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルされる、履歴上メタデータを格納する履歴上メタデータ・ストアにアクセスして、それぞれのファイルの履歴上メタデータを取得することと、ここで、格納された履歴上メタデータは、ファイル・システムの制御下ではなく独立して維持され、履歴上メタデータ・ストアは、ファイル及びファイルメタデータがファイル・システム内で更新された後に、以前の世代のメタデータが利用可能なままであるように、ファイル・システム内のファイルを記述するメタデータの世代を保存する、検査エージェントまたはアクティブ・エージェントによって、それぞれのファイルの現在のメタデータ及びそれぞれのファイルの履歴上メタデータを分析して、所定の変化量を超えるそれぞれのファイルの履歴上メタデータから現在のメタデータへの変化量を識別することによって、  悪意のあるアクティビティが進行中であると判定することと、検査エージェントまたはアクティブ・エージェントによって、それぞれのファイルの現在のメタデータと、既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンとを分析して、それぞれのファイルの現在のメタデータと、既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンとの間の一致を識別することによって、悪意のあるアクティビティが進行中であると判定することと、悪意のあるアクティビティを開始したマシン及び／またはユーザを判定することと、悪意のあるアクティビティを開始したマシン及び／またはユーザの判定に応答して、判定されたマシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを含む。
［方法：ペイロード・コンテンツ・プロパティ、履歴上コンテンツ・プロパティ、変化量、及び独立したデータ・ストア（例えば、クラウド・ストレージ）］
【０２５６】
更なる実施態様では、独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答する方法が提供される。該方法は、決定された時間枠内で更新された独立したデータ・ストアのファイル・システム内のファイルを識別するためにリストを繰り返しスキャンすることと、スキャンによって識別されたそれぞれのファイルのペイロードを読み取ることと、それぞれのファイルのペイロードからそれぞれのファイルの現在のコンテンツ・プロパティを計算することと、履歴上コンテンツ・プロパティを格納する履歴上コンテンツ・プロパティにアクセスして、それぞれのファイルの読み取られたペイロードに基づいてアセンブルされた履歴上コンテンツ・プロパティを取得することと、ここで、格納された履歴上コンテンツ・プロパティは、ファイル・システムの制御下ではなく独立して維持され、履歴上コンテンツ・プロパティ・ストアは、ファイル及びファイル・コンテンツ・プロパティがファイル・システム内で更新された後、以前の世代のコンテンツ・プロパティが利用可能なままであるように、ファイル・システム内のファイルを記述するコンテンツ・プロパティの世代を保存する、検査エージェントまたはアクティブ・エージェントによって、それぞれのファイルの現在のコンテンツ・プロパティ及びそれぞれのファイルの履歴上コンテンツ・プロパティを分析して、  所定の変化量を超えるそれぞれのファイルの履歴上メタデータから現在のメタデータへの変化量を識別することによって、悪意のあるアクティビティが進行中であると判定することと、検査エージェントまたはアクティブ・エージェントによって、それぞれのファイルの現在のコンテンツ・プロパティと、既知の悪意のあるファイル修正を示す悪意のあるコンテンツ・プロパティの既知のパターンとを分析して、それぞれのファイルの現在のコンテンツ・プロパティと、既知の悪意のあるファイル修正を示す悪意のあるコンテンツ・プロパティの既知のパターンとの間の一致を識別することによって、悪意のあるアクティビティが進行中であることと判定することと、悪意のあるアクティビティを開始したマシン及び／またはユーザを判定することと、悪意のあるアクティビティを開始したマシン及び／またはユーザの判定に応答して、判定されたマシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを含む。
［方法：非ペイロード（すなわち、ヘッダ）メタデータ、履歴上メタデータ、所定の変化速度、及びローカル（クライアント）］
【０２５７】
別の実施態様では、独立したデータ・ストアのファイル・システムに同期されたローカルデバイスのローカルファイル・システムに対するデータ攻撃を検出し、それに応答する方法が提供される。該方法は、決定された時間枠内で更新されたローカルファイル・システム内のファイルを識別するためにリストを繰り返しスキャンすることと、スキャンによって識別されたそれぞれのファイルについて現在のメタデータをアセンブルすることと、現在のメタデータは、それぞれのファイルのローカルファイル・システム・リスト及びファイル・ヘッダからアセンブルされる、履歴上メタデータを格納する履歴上メタデータ・ストアにアクセスして、それぞれのファイルの履歴上メタデータを取得することと、ここで、格納された履歴上メタデータは、ローカルファイル・システム及び独立したデータ・ストアのファイル・システムの制御下ではなく、独立して維持され、履歴上メタデータ・ストアは、ファイル及びファイルメタデータがファイル・システム内で更新された後に、以前の世代のメタデータが利用可能なままであるように、ファイル・システム内のファイルを記述するメタデータの世代を保存する、ローカルデバイス上のクライアント・エージェントによって、それぞれのファイルの現在のメタデータ及びそれぞれのファイルの履歴上メタデータを分析して、所定の変化速度を超えるそれぞれのファイルの履歴上メタデータから現在のメタデータへの変化のパターンを識別することによって、悪意のあるアクティビティが進行中であると判定することと、クライアント・エージェントによって、それぞれのファイルの現在のメタデータと、既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンとを分析して、それぞれのファイルの現在のメタデータと、既知の悪意のあるファイル修正を示す悪意のある既知のパターンとの間の一致を識別することによって、悪意のあるアクティビティが進行中であると判定することと、悪意のあるアクティビティを開始したマシン及び／またはユーザを判定することと、悪意のあるアクティビティを開始したマシン及び／またはユーザの判定に応答して、判定されたマシン及び／またはユーザによるローカルデバイスのローカルファイル・システムと独立したデータ・ストアのファイル・システムに対するファイル修正を制限する応答メカニズムを実施することを含む。
［方法：  ペイロード・コンテンツ・プロパティ、履歴上コンテンツ・プロパティ、所定の変化速度、及びローカル（クライアント）］
【０２５８】
一実施態様では、独立したデータ・ストアのファイル・システムに同期されたローカルデバイスのローカルファイル・システムに対するデータ攻撃を検出し、それに応答する方法が提供される。該方法は、決定された時間枠内で更新された独立したデータ・ストアのローカルファイル・システム内のファイルを識別するためにリストを繰り返しスキャンすることと、スキャンによって識別されたそれぞれのファイルのペイロードを読み取ることと、それぞれのファイルのペイロードからそれぞれのファイルの現在のコンテンツ・プロパティを計算することと、履歴上コンテンツ・プロパティを格納する履歴上コンテンツ・プロパティにアクセスして、それぞれのファイルの読み取られたペイロードに基づいてアセンブルされた履歴上コンテンツ・プロパティを取得することと、ここで、格納された履歴上コンテンツ・プロパティは、ローカルファイル・システム及び独立したデータ・ストアのファイル・システムの制御下ではなく独立して維持され、履歴上コンテンツ・プロパティ・ストアは、ファイル及びファイル・コンテンツ・プロパティがファイル・システム内で更新された後に、以前の世代のコンテンツ・プロパティが利用可能なままであるように、ファイル・システム内のファイルを記述するコンテンツ・プロパティの世代を保存する、ローカルデバイス上のクライアント・エージェントによって、それぞれのファイルの現在のコンテンツ・プロパティと、それぞれのファイルの履歴上コンテンツ・プロパティを分析して、所定の変化速度を超えるそれぞれのファイルの現在のコンテンツ・プロパティと履歴上コンテンツ・プロパティとの間の変化のパターンを識別することによって、悪意のあるアクティビティが進行中であると判定することと、クライアント・エージェントによって、それぞれのファイルの現在のコンテンツ・プロパティと、既知の悪意のあるファイル変更を示す悪意のあるコンテンツ・プロパティの既知のパターンとを分析して、それぞれのファイルの現在のコンテンツ・プロパティと、既知の悪意のあるファイル変更を示す悪意のあるコンテンツ・プロパティとの間の一致を識別することによって、悪意のあるアクティビティが進行中であると判定することと、悪意のあるアクティビティを開始したマシン及び／またはユーザを判定することと、悪意のあるアクティビティを開始したマシン及び／またはユーザの判定に応答して、判定されたマシン及び／またはユーザによるローカルデバイスのローカルファイル・システムと独立したデータ・ストアのファイル・システムに対するファイル修正を制限する応答メカニズムを実施することを含む。
［方法：非ペイロード（すなわち、ヘッダ）メタデータ、履歴上メタデータなし、所定の閾値及び独立したデータ・ストア（例えば、クラウド・ストレージ装置）］
【０２５９】
更なる実施態様では、独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答する方法が提供される。該方法は、決定された時間枠内で更新された独立したデータ・ストアのファイルを識別するためにリストを繰り返しスキャンすることと、スキャニングによって識別されたそれぞれのファイルについて現在のメタデータをアセンブルすることと、現在のメタデータは、それぞれのファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルされる、履歴上メタデータを格納する履歴上メタデータ・ストアにアクセスして、それぞれのファイルの履歴上メタデータを取得することと、ここで、格納された履歴上メタデータは、ファイル・システムの制御下ではなく独立して維持され、履歴上メタデータ・ストアは、ファイル及びファイルメタデータがファイル・システム内で更新された後に、以前の世代のメタデータが利用可能なままであるように、ファイル・システム内のファイルを記述するメタデータの世代を保存する、検査エージェントまたはアクティブ・エージェントによって、（ｉ）履歴上メタデータがそれぞれのファイルについて存在しない場合、及び（ｉｉ）それぞれのファイルの現在のメタデータのパターンが所定の閾値を超える場合に、悪意のあるアクティビティが進行中であると判定することと、検査エージェントまたはアクティブ・エージェントによって、それぞれのファイルの現在のメタデータと、既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンとを分析して、それぞれのファイルの現在のメタデータと、既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンとの間の一致を識別することによって、悪意のあるアクティビティが進行中であると判定することと、悪意のあるアクティビティを開始したマシン及び／またはユーザを判定することと、悪意のあるアクティビティを開始したマシン及び／またはユーザの判定に応答して、判定されたマシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを含む。
［方法：ペイロード・コンテンツ・プロパティ、履歴上コンテンツ・プロパティなし、所定の閾値及び独立したデータ・ストア（例えば、クラウド・ストレージ）］
【０２６０】
別の実施態様は、独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答する方式を提供する。該方法は、決定された時間枠内に更新された独立したデータ・ストアのファイル・システム内のファイルを識別するためにリストを繰り返しスキャンすることと、スキャンによって識別されたそれぞれのファイルのペイロードを読み取ることと、それぞれのファイルのペイロードからそれぞれのファイルの現在のコンテンツ・プロパティを計算することと、履歴上コンテンツ・プロパティを格納する履歴上コンテンツ・プロパティにアクセスして、それぞれのファイルの読み取られたペイロードに基づいてアセンブルされた履歴上コンテンツ・プロパティを取得することと、ここで、格納された履歴上コンテンツ・プロパティは、ファイル・システムの制御下ではなく独立して維持され、履歴上コンテンツ・プロパティ・ストアは、ファイル及びファイル・コンテンツ・プロパティがファイル・システム内で更新された後、以前の世代のコンテンツ・プロパティが利用可能なままであるように、ファイル・システム内のファイルを記述するコンテンツ・プロパティの世代を保存する、検査エージェントまたはアクティブ・エージェントによって、（ｉ）履歴上メタデータがそれぞれのファイルについて存在しない場合、及び（ｉｉ）それぞれのファイルの現在のメタデータのパターンが所定の閾値を超える場合に、悪意のあるアクティビティが進行中であると判定することと、検査エージェントまたはアクティブ・エージェントによって、それぞれのファイルの現在のコンテンツ・プロパティと、既知の悪意のあるファイル変更を示す悪意のあるコンテンツ・プロパティの既知のパターンとを分析して、それぞれのファイルの現在のコンテンツ・プロパティと、既知の悪意のあるファイル変更を示す悪意のあるコンテンツ・プロパティの既知のパターンとの間の一致を識別することによって、悪意のあるアクティビティが進行中であると判定することと、悪意のあるアクティビティを開始したマシン及び／またはユーザを判定することと、悪意のあるアクティビティを開始したマシン及び／またはユーザの判定に応答して、判定されたマシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを含む。
【０２６１】
上述の様々な特徴の組み合わせ（例えば、実施態様Ａ〜Ｉ）の例を以下の表に提供する。これらは単なる例であり、特徴の多くの他の可能な組み合わせが、存在することができ、当業者にはその点は自明であろう。
2019532388.tif 000003
【０２６２】
上記で説明または参照した任意のデータ構造及びコードは、多くの実施態様に従って、コンピュータ可読記憶媒体に格納され、コンピュータ可読記憶媒体は、コンピュータ・システムによって使用するためのコード及び／またはデータを格納することができる任意のデバイスまたは媒体であり得る。これには、揮発性メモリ、不揮発性メモリ、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、ディスクドライブ、磁気テープ、ＣＤ（コンパクトディスク）、ＤＶＤ（デジタル多用途ディスクまたはデジタルビデオディスク）等の磁気及び光記憶装置、または現在知られているかまたは今後開発されるコンピュータ可読媒体を記憶することができる他の媒体が含まれるが、これらに限定されない。更に、上述の方法の実施態様のような実施態様のいずれも、命令が記録された非一時的なコンピュータ読み取り可能な記録媒体だけでなく、システムにおいても実施することができる。
【０２６３】
前述の説明は、開示された技術の作製及び使用を可能にするために提示されている。開示された実施態様に対する様々な修正が明らかになり、本明細書で定義された原理は、開示された技術の趣旨及び範囲から逸脱することなく、他の実施態様及びアプリケーションに適用され得る。したがって、開示された技術は、開示した実施態様に限定されることを意図するものではなく、本明細書に開示される原理及び特徴と一致する最も広い範囲が与えられるべきである。開示された技術の範囲は、以下の条項及びそれらの均等物によって定義される。
［条項］
【０２６４】
１．  独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答する方法であって、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
（i）それぞれの前記ファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルされた現在のメタデータ、及び／または（ii）それぞれの前記ファイルの読み取られたペイロードから計算されたそれぞれの前記ファイルの現在のコンテンツ・プロパティを含む、繰り返し識別によって識別されるそれぞれの前記ファイルの現在の特徴的ファイル特性をアセンブルすること、
履歴上特徴的ファイル特性を格納する履歴上データ・ストアにアクセスして、履歴上メタデータ及び／または履歴上コンテンツ・プロパティを含むそれぞれの前記ファイルの前記履歴上特徴的ファイル特性を取得すること、ここで、格納された前記履歴上特徴的ファイル特性は、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及び特徴的ファイル特性が前記ファイル・システム内で更新された後に、以前の世代の特徴的ファイル特性が利用可能なままであるように、前記ファイル・システム内のファイルを記述する特徴的ファイル特性の世代を保存するものであり、
（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性をそれぞれの前記ファイルの前記履歴上特徴的ファイル特性と比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性とそれぞれの前記ファイルの前記履歴上特徴的ファイル特性との間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性とそれぞれの前記ファイルの前記履歴上特徴的ファイル特性との間の識別された前記差を評価して、所定の変化速度を超えるそれぞれの前記ファイルの前記履歴上特徴的ファイル特性から前記現在の特徴的ファイル特性への変化のパターンを識別すること、及び（iv）識別された前記変化のパターンが前記所定の変化速度を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性を、既知の悪意のあるファイル修正を示す悪意のある特徴的ファイル特性の既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、含む方法。
【０２６５】
２．  独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答する方法であって、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
それぞれの前記ファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルされた現在のメタデータであって、繰り返し識別によって識別されるそれぞれの前記ファイルの現在のメタデータをアセンブルすること、
履歴上メタデータを格納する履歴上データ・ストアにアクセスして、それぞれの前記ファイルの前記履歴上メタデータを取得すること、ここで、格納された前記履歴上メタデータは、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及びファイルメタデータが前記ファイル・システム内で更新された後に、以前の世代のメタデータが利用可能なままであるように、前記ファイル・システム内のファイルを記述するメタデータの世代を保存するものであり、
（i）それぞれの前記ファイルの前記現在のメタデータをそれぞれの前記ファイルの前記履歴上メタデータと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のメタデータとそれぞれの前記ファイルの前記履歴上メタデータとの間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のメタデータとそれぞれの前記ファイルの前記履歴上メタデータとの間の識別された前記差を評価して、所定の変化速度を超えるそれぞれの前記ファイルの前記履歴上メタデータから前記現在のメタデータへの変化のパターンを識別すること、及び（iv）識別された前記変化のパターンが前記所定の変化速度を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在のメタデータを、既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、含む方法。
【０２６６】
３．  前記履歴上メタデータが、継続的に、内観的または積極的に、前記履歴上メタデータ・ストア上で、コンパイルされ、格納される条項２の方法。
【０２６７】
４．  前記現在のメタデータ及び前記履歴上メタデータが、それぞれのファイルのファイル名の計算されたエントロピー、それぞれのファイルのファイルタイプを示すマジックナンバー、及び、それぞれのファイルのファイル名の拡張子の少なくとも１つを含む条項２の方法。
【０２６８】
５．  それぞれの前記ファイルの前記現在のメタデータ及びそれぞれの前記ファイルの前記履歴上メタデータを分析して、所定のファイル名の編集距離の変化速度を超える、それぞれのファイルの前記現在のメタデータと履歴上メタデータとの間のファイル名の編集距離の変更のパターンを識別することによって、悪意のあるアクティビティが進行中であると判定することを含む条項２の方法。
【０２６９】
６．  前記現在のメタデータ及び前記履歴上メタデータが、それぞれのファイルからメタデータを抽出することができないときを示すメタデータ抽出不能インジケータを含む条項２の方法。
【０２７０】
７．  前記応答メカニズムが、前記悪意のあるアクティビティが検出されたことを、前記マシン及び／またはユーザに通知することと、前記悪意のあるアクティビティの位置を、前記マシン及び／またはユーザに提供することを含む条項２の方法。
【０２７１】
８．  前記応答メカニズムが、識別された前記マシン及び／またはユーザを前記独立したデータ・ストアから切断することによって、及び、前記独立したデータ・ストアへのアクセスを有する追加のユーザを切断することによって、前記独立したデータ・ストアを分離すること、及び
識別された前記マシン及び／またはユーザが前記独立したデータ・ストアにアクセスすることを防止すること、を含む条項２の方法。
【０２７２】
９．  前記応答メカニズムが、前記繰り返し識別によって識別されたそれぞれのファイルのバックアップを実行することと、それぞれの前記ファイルが格納されている前記独立したデータ・ストアのバックアップを実行することの内の少なくとも１つを含む条項２の方法。
１０．  前記応答メカニズムが、
識別された前記マシン及び／またはユーザに、前記悪意のあるアクティビティのローカルスキャンを強制すること、
識別された前記マシン及び／またはユーザがアクセスする他の独立したデータ・ストア上の前記悪意のあるアクティビティのスキャンを強制すること、
前記独立したデータ・ストアにアクセスする追加のユーザに、前記悪意のあるアクティビティのローカルスキャンを強制すること、
前記追加のユーザがアクセスする他の独立したデータ・ストア上の前記悪意のあるアクティビティのスキャンを強制すること、を含む条項２の方法。
【０２７３】
１１．  前記応答メカニズムが、前記独立したデータ・ストアの以前のバックアップを復元し、
前記以前のバックアップの前記復元は、自動化されるか、またはユーザ対話を用いて実行される条項２の方法。
【０２７４】
１２．  前記応答メカニズムが、
前記現在のメタデータ及び前記履歴上メタデータに基づいて、識別された前記マシン及び／またはユーザ上で前記悪意のあるアクティビティを開始させたファイルの作成者を判定すること、及び、
前記判定された作成者に基づいて、複数の応答メカニズムの特定の応答メカニズムを識別し、実行すること、を含む条項２の方法。
【０２７５】
１３．  前記応答メカニズムが、
それぞれの前記ファイルのペイロードのエントロピーを計算すること、
それぞれの前記ファイルの前記エントロピーを既知のユーザが開始した暗号化手法のエントロピーと比較して、識別された前記マシン及び／またはユーザが、ユーザが開始した暗号化手法を実施したかどうかを判定すること、
識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化手法を実施したそれぞれの前記ファイルのそれぞれを識別すること、
前記ファイルの前記現在のメタデータ及び前記ファイルの履歴上メタデータを分析することによって悪意のあるアクティビティが進行中であると判定することと、識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化手法を実施したそれぞれの前記ファイルを除き、前記所定の変化速度を超える前記ファイルの前記現在のメタデータと前記履歴上メタデータとの間の前記変化のパターンを識別すること、
（ｉ）識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化手法を実施したそれぞれの前記ファイルを除く、前記ファイルの前記現在のメタデータと、（ｉｉ）既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンを分析して、識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化手法を実施したそれぞれの前記ファイルを除く、前記ファイルの前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の一致を識別して、前記悪意のあるアクティビが進行中であると判定すること、を含む条項２の方法。
【０２７６】
１４．  前記応答メカニズムが、
前記繰り返し識別によって識別された前記ファイルのそれぞれのファイルについて現在のコンテンツ・プロパティ・パラメータをアセンブルすること、
前記現在のコンテンツ・プロパティ・パラメータのそれぞれのパラメータについて、時間ベースのパラメータ変化統計のバッファを維持し、前記バッファに適用される移動時間ベースのウィンドウ内でそれぞれの前記パラメータについての変化速度の移動平均を計算することによって、識別された前記ファイルの前記現在のコンテンツ・プロパティ・パラメータについての前記変化速度の移動平均を、繰り返し計算すること、
前記現在のコンテンツ・プロパティ・パラメータについての計算された前記変化速度の移動平均に統計的に有意な加速があるときを識別することによって、第２のレベルの悪意のあるアクティビティが進行中であることを検出すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する二次応答メカニズムを実施することによって、検出された前記第２のレベルの悪意のあるアクティビティに応答すること、を含む第２レイヤの検出の実行を含む条項２の方法。
【０２７７】
１５．  前記応答メカニズムが、
それぞれの前記ファイルのペイロードを読み取ること、
それぞれの前記ファイルの前記ペイロードからそれぞれの前記ファイルのペイロード・コンテンツ・プロパティを計算すること、
履歴上ペイロード・コンテンツ・プロパティを記憶する履歴上コンテンツ・プロパティ・ストアにアクセスして、それぞれの前記ファイルの読み取られた前記ペイロードに基づいてアセンブルされた前記履歴上ペイロード・コンテンツ・プロパティを取得すること、ここで、記憶された前記履歴上ペイロード・コンテンツ・プロパティは、前記ファイル・システムの制御下ではなく前記ファイル・システムから独立して維持され、前記履歴上コンテンツ・プロパティ・ストアは、ファイル及びファイルのペイロード・コンテンツ・プロパティが前記ファイル・システム内で更新された後、以前の世代のペイロード・コンテンツ・プロパティが利用可能であるように、前記ファイル・システム内のファイルを記述するペイロード・コンテンツ・プロパティの世代を保存する、
それぞれの前記ファイルの前記現在のペイロード・コンテンツ・プロパティ及びそれぞれの前記ファイルの前記履歴上ペイロード・コンテンツ・プロパティを分析して、前記所定の変化速度を超えるそれぞれの前記ファイルの前記現在のペイロード・コンテンツ・プロパティと、前記履歴上ペイロード・コンテンツ・プロパティとの間の変化のパターンを識別し、第２のレベルの悪意のあるアクティビティが進行中であることを検出すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する二次応答メカニズムを実施することによって、検出された第２のレベルの悪意のあるアクティビティに応答すること、を含む第２レベルの検出の実行を含む条項２の方法。
【０２７８】
１６．  それぞれの前記ファイルのそれぞれの前記現在のメタデータを、それぞれの前記ファイルのそれぞれの前記履歴上メタデータと比較すること、
それぞれの前記ファイルの前記現在のメタデータとそれぞれの前記ファイルの前記履歴上メタデータとの比較に基づいて、それぞれの前記ファイルのそれぞれの差を判定すること、及び、
それぞれの前記ファイルの何れかについて判定された前記差が所定の変化閾値を超える場合に、前記悪意のあるアクティビティが進行中であると判定すること、を更に含む条項２の方法。
【０２７９】
１７．  独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答する方法であって、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
繰り返し識別によって識別されたそれぞれの前記ファイルのペイロードを読み取ること、
それぞれの前記ファイルのペイロードからそれぞれの前記ファイルの現在のコンテンツ・プロパティを計算すること、
履歴上コンテンツ・プロパティを格納する履歴上データ・ストアにアクセスして、それぞれの前記ファイルの読み取られたペイロードに基づいてアセンブルされた前記履歴上コンテンツ・プロパティを取得すること、ここで、格納された前記履歴上コンテンツ・プロパティは、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及びファイル・コンテンツ・プロパティが前記ファイル・システム内で更新された後に、以前の世代のコンテンツ・プロパティが利用可能なままであるように、前記ファイル・システム内のファイルを記述するコンテンツ・プロパティの世代を保存するものであり、
（i）それぞれの前記ファイルの前記現在のコンテンツ・プロパティをそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティとそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティとの間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティとそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティとの間の識別された前記差を評価して、所定の変化速度を超えるそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティから前記現在のコンテンツ・プロパティへの変化のパターンを識別すること、及び（iv）識別された前記変化のパターンが前記所定の変化速度を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在のコンテンツ・プロパティを、既知の悪意のあるファイル修正を示す悪意のあるコンテンツ・プロパティの既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、含む方法。
【０２８０】
１８．  前記現在のコンテンツ・プロパティ及び前記履歴上コンテンツ・プロパティが、それぞれの前記ファイルの前記ペイロードの計算されたエントロピーまたは計算された階層化エントロピーを含む条項１７の方法。
【０２８１】
１９．  前記現在のコンテンツ・プロパティと前記履歴上コンテンツ・プロパティが、それぞれの前記ファイルの前記ペイロードのローカリティ−センシティブ・ハッシング（ＬＳＨ）を含むことで、前記現在のコンテンツ・プロパティの前記ＬＳＨと前記履歴上コンテンツ・プロパティの前記ＬＳＨとの間のハミング距離を判定することによって、それぞれの前記ファイルごとの変化が識別できる条項１７の方法。
【０２８２】
２０．  前記応答メカニズムが、
それぞれの前記ファイルの前記ペイロードのエントロピーを計算すること、
それぞれの前記ファイルの前記エントロピーを既知のユーザが開始した暗号化手法のエントロピーと比較して、識別された前記マシン及び／またはユーザが、ユーザが開始した暗号化手法を実施したかどうかを判定すること、
識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化手法を実施したそれぞれの前記ファイルのそれぞれを識別すること、
前記ファイルの前記現在のコンテンツ・プロパティ及び前記ファイルの前記履歴上コンテンツ・プロパティを分析することによって悪意のあるアクティビティが進行中であると判定することと、識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化手法を実施したそれぞれの前記ファイルを除き、所定の変化速度を超える前記ファイルの前記現在のコンテンツ・プロパティと前記履歴上コンテンツ・プロパティとの間の前記変化のパターンを識別すること、
（ｉ）識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化手法を実施したそれぞれの前記ファイルを除く、前記ファイルの前記現在のコンテンツ・プロパティと、（ｉｉ）既知の悪意のあるファイル修正を示す悪意のあるコンテンツ・プロパティの既知のパターンを分析して、識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化手法を実施したそれぞれの前記ファイルを除く、前記ファイルの前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の一致を識別して、前記悪意のあるアクティビが進行中であると判定すること、を含む条項１７の方法。
【０２８３】
２１．  独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答する方法であって、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
前記繰り返し識別によって識別された前記ファイルのそれぞれのファイルについて現在のコンテンツ・プロパティ・パラメータをアセンブルすること、
前記現在のコンテンツ・プロパティ・パラメータのそれぞれのパラメータについて、時間ベースのパラメータ変化統計のバッファを維持し、前記バッファに適用される移動時間ベースのウィンドウ内でそれぞれの前記パラメータについての変化速度の移動平均を計算することによって、識別された前記ファイルの前記現在のコンテンツ・プロパティ・パラメータについての前記変化速度の移動平均を、繰り返し計算すること、
前記現在のコンテンツ・プロパティ・パラメータについての計算された前記変化速度の移動平均に統計的に有意な加速があるときを識別することによって、悪意のあるアクティビティが進行中であることを検出すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施すること、を含む方法。
【０２８４】
２２．  独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答する方法であって、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
（i）それぞれの前記ファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルされた現在のメタデータ、及び／または（ii）それぞれの前記ファイルの読み取られたペイロードから計算されたそれぞれの前記ファイルの現在のコンテンツ・プロパティを含む、繰り返し識別によって識別されるそれぞれの前記ファイルの現在の特徴的ファイル特性をアセンブルすること、
履歴上特徴的ファイル特性を格納する履歴上データ・ストアにアクセスして、履歴上メタデータ及び／または履歴上コンテンツ・プロパティを含むそれぞれの前記ファイルの前記履歴上特徴的ファイル特性を取得すること、ここで、格納された前記履歴上特徴的ファイル特性は、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及び特徴的ファイル特性が前記ファイル・システム内で更新された後に、以前の世代の特徴的ファイル特性が利用可能なままであるように、前記ファイル・システム内のファイルを記述する特徴的ファイル特性の世代を保存するものであり、
（ｉ）履歴上特徴的ファイル特性がそれぞれの前記ファイルについて存在しない場合、及び（ｉｉ）それぞれの前記ファイルの前記現在の特徴的ファイル特性のパターンが所定の閾値を超える場合に、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性を、既知の悪意のあるファイル修正を示す悪意のある特徴的ファイル特性の既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、含む方法。
【０２８５】
２３．  独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答する方法であって、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
それぞれの前記ファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルされた現在のメタデータであって、繰り返し識別によって識別されるそれぞれの前記ファイルの現在のメタデータをアセンブルすること、
履歴上メタデータを格納する履歴上データ・ストアにアクセスして、それぞれの前記ファイルの前記履歴上メタデータを取得すること、ここで、格納された前記履歴上メタデータは、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及びファイルメタデータが前記ファイル・システム内で更新された後に、以前の世代のメタデータが利用可能なままであるように、前記ファイル・システム内のファイルを記述するメタデータの世代を保存するものであり、
（ｉ）履歴上メタデータがそれぞれの前記ファイルについて存在しない場合、及び（ｉｉ）それぞれの前記ファイルの前記現在のメタデータのパターンが所定の閾値を超える場合に、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在のメタデータを、既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、含む方法。
【０２８６】
２４．  前記現在のメタデータが、それぞれのファイルのファイル名の計算されたエントロピー、それぞれのファイルのファイルタイプを示すマジックナンバー、それぞれのファイルのファイル名の拡張子、及び、それぞれのファイルからメタデータを抽出することができないときを示すメタデータ抽出不能インジケータの少なくとも１つを含む条項２３の方法。
【０２８７】
２５．  前記応答メカニズムが、
前記現在のメタデータに基づいて、識別された前記マシン及び／またはユーザ上で前記悪意のあるアクティビティを開始させたファイルの作成者を判定すること、及び、
前記判定された作成者に基づいて、複数の応答メカニズムの特定の応答メカニズムを識別し、実行すること、を含む条項２３の方法。
【０２８８】
２６．  前記応答メカニズムが、
前記繰り返し識別によって識別された前記ファイルのそれぞれのファイルについて現在のコンテンツ・プロパティ・パラメータをアセンブルすること、
前記現在のコンテンツ・プロパティ・パラメータのそれぞれのパラメータについて、時間ベースのパラメータ変化統計のバッファを維持し、前記バッファに適用される移動時間ベースのウィンドウ内でそれぞれの前記パラメータについての変化速度の移動平均を計算することによって、識別された前記ファイルの前記現在のコンテンツ・プロパティ・パラメータについての前記変化速度の移動平均を、繰り返し計算すること、
前記現在のコンテンツ・プロパティ・パラメータについての計算された前記変化速度の移動平均に統計的に有意な加速があるときを識別することによって、第２のレベルの悪意のあるアクティビティが進行中であることを検出すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する二次応答メカニズムを実施することによって、検出された前記第２のレベルの悪意のあるアクティビティに応答すること、を含む第２レイヤの検出の実行を含む条項２３の方法。
【０２８９】
２７．  独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答する方法であって、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
繰り返し識別によって識別されたそれぞれの前記ファイルのペイロードを読み取ること、
それぞれの前記ファイルのペイロードからそれぞれの前記ファイルの現在のコンテンツ・プロパティを計算すること、
履歴上コンテンツ・プロパティを格納する履歴上データ・ストアにアクセスして、それぞれの前記ファイルの読み取られたペイロードに基づいてアセンブルされた前記履歴上コンテンツ・プロパティを取得すること、ここで、格納された前記履歴上コンテンツ・プロパティは、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及びファイル・コンテンツ・プロパティが前記ファイル・システム内で更新された後に、以前の世代のコンテンツ・プロパティが利用可能なままであるように、前記ファイル・システム内のファイルを記述するコンテンツ・プロパティの世代を保存するものであり、
（ｉ）履歴上コンテンツ・プロパティがそれぞれの前記ファイルについて存在しない場合、及び（ｉｉ）それぞれの前記ファイルの前記現在のコンテンツ・プロパティのパターンが所定の閾値を超える場合に、
前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在のコンテンツ・プロパティを、既知の悪意のあるファイル修正を示す悪意のあるコンテンツ・プロパティの既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、含む方法。
【０２９０】
２８．  独立したデータ・ストアのファイル・システムに同期されたローカルデバイスのローカルファイル・システムに対するデータ攻撃を検出し、それに応答する方法であって、
決定された時間枠内に更新された前記独立データ・ストアの前記ローカルファイル・システム内のファイルを繰り返し識別すること、
（i）それぞれの前記ファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルされた現在のメタデータ、及び／または（ii）それぞれの前記ファイルの読み取られたペイロードから計算されたそれぞれの前記ファイルの現在のコンテンツ・プロパティを含む、繰り返し識別によって識別されるそれぞれの前記ファイルの現在の特徴的ファイル特性をアセンブルすること、
履歴上特徴的ファイル特性を格納する履歴上データ・ストアにアクセスして、履歴上メタデータ及び／または履歴上コンテンツ・プロパティを含むそれぞれの前記ファイルの前記履歴上特徴的ファイル特性を取得すること、ここで、格納された前記履歴上特徴的ファイル特性は、前記ローカルファイル・システム及び前記独立したデータ・ストアの前記ファイル・システムの制御下になく独立して維持され、前記履歴上データ・ストアは、ファイル及び特徴的ファイル特性が前記ファイル・システム内で更新された後に、以前の世代の特徴的ファイル特性が利用可能なままであるように、前記ファイル・システム内のファイルを記述する特徴的ファイル特性の世代を保存するものであり、
前記ローカルデバイスによって、（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性をそれぞれの前記ファイルの前記履歴上特徴的ファイル特性と比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性とそれぞれの前記ファイルの前記履歴上特徴的ファイル特性との間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性とそれぞれの前記ファイルの前記履歴上特徴的ファイル特性との間の識別された前記差を評価して、所定の変化速度を超えるそれぞれの前記ファイルの前記履歴上特徴的ファイル特性から前記現在の特徴的ファイル特性への変化のパターンを識別すること、及び（iv）識別された前記変化のパターンが前記所定の変化速度を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性を、既知の悪意のあるファイル修正を示す悪意のある特徴的ファイル特性の既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによる、前記ローカルデバイスの前記ローカルファイル・システムと前記独立したデータ・ストアの前記ファイル・システムに対するファイル修正を制限する応答メカニズムを実施することを、含む方法。
【０２９１】
２９．  独立したデータ・ストアのファイル・システムに同期されたローカルデバイスのローカルファイル・システムに対するデータ攻撃を検出し、それに応答する方法であって、
決定された時間枠内に更新された前記独立データ・ストアの前記ローカルファイル・システム内のファイルを繰り返し識別すること、
それぞれの前記ファイルのローカルファイル・システム・リスト及びファイル・ヘッダからアセンブルされた現在のメタデータであって、繰り返し識別によって識別されるそれぞれの前記ファイルの現在のメタデータをアセンブルすること、
履歴上メタデータを格納する履歴上メタデータ・ストアにアクセスして、それぞれの前記ファイルの前記履歴上メタデータを取得すること、ここで、格納された前記履歴上メタデータは、前記ローカルファイル・システム及び前記独立したデータ・ストアの前記ファイル・システムの制御下になく独立して維持され、前記履歴上データ・ストアは、ファイル及びファイルメタデータが前記ファイル・システム内で更新された後に、以前の世代のメタデータが利用可能なままであるように、前記ファイル・システム内のファイルを記述するメタデータの世代を保存するものであり、
前記ローカルデバイスによって、（i）それぞれの前記ファイルの前記現在のメタデータをそれぞれの前記ファイルの前記履歴上メタデータと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のメタデータとそれぞれの前記ファイルの前記履歴上メタデータとの間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のメタデータとそれぞれの前記ファイルの前記履歴上メタデータとの間の識別された前記差を評価して、所定の変化速度を超えるそれぞれの前記ファイルの前記履歴上メタデータから前記現在のメタデータへの変化のパターンを識別すること、及び（iv）識別された前記変化のパターンが前記所定の変化速度を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記ローカルデバイスによって、（i）それぞれの前記ファイルの前記現在のメタデータを、既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによる、前記ローカルデバイスの前記ローカルファイル・システムと前記独立したデータ・ストアの前記ファイル・システムに対するファイル修正を制限する応答メカニズムを実施することを、含む方法。
【０２９２】
３０．  独立したデータ・ストアのファイル・システムに同期されたローカルデバイスのローカルファイル・システムに対するデータ攻撃を検出し、それに応答する方法であって、
決定された時間枠内に更新された前記独立データ・ストアの前記ローカルファイル・システム内のファイルを繰り返し識別すること、
繰り返し識別によって識別されたそれぞれの前記ファイルのペイロードを読み取ること、
それぞれの前記ファイルのペイロードからそれぞれの前記ファイルの現在のコンテンツ・プロパティを計算すること、
履歴上コンテンツ・プロパティを格納する履歴上コンテンツ・プロパティ・ストアにアクセスして、それぞれの前記ファイルの前記履歴上コンテンツ・プロパティを取得すること、ここで、格納された前記履歴上コンテンツ・プロパティは、前記ローカルファイル・システム及び前記独立したデータ・ストアの前記ファイル・システムの制御下になく独立して維持され、前記履歴上データ・ストアは、ファイル及びファイル・コンテンツ・プロパティが前記ファイル・システム内で更新された後に、以前の世代のコンテンツ・プロパティが利用可能なままであるように、前記ファイル・システム内のファイルを記述するコンテンツ・プロパティの世代を保存するものであり、
（i）それぞれの前記ファイルの前記現在のコンテンツ・プロパティをそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティとそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティとの間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティとそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティとの間の識別された前記差を評価して、所定の変化速度を超えるそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティから前記現在のコンテンツ・プロパティへの変化のパターンを識別すること、及び（iv）識別された前記変化のパターンが前記所定の変化速度を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在のコンテンツ・プロパティを、既知の悪意のあるファイル修正を示す悪意のあるコンテンツ・プロパティの既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによる、前記ローカルデバイスの前記ローカルファイル・システムと前記独立したデータ・ストアの前記ファイル・システムに対するファイル修正を制限する応答メカニズムを実施することを、含む方法。
【０２９３】
３１．  前記履歴上コンテンツ・プロパティが、継続的に、内観的または積極的に、前記ローカルデバイス上で、コンパイルされ、格納される条項３０の方法。
【０２９４】
３２．  前記現在のコンテンツ・プロパティ及び前記履歴上コンテンツ・プロパティが、それぞれの前記ファイルの前記ペイロードの計算されたエントロピーまたは計算された階層化エントロピーを含む条項３０の方法。
【０２９５】
３３．  前記現在のコンテンツ・プロパティと前記履歴上コンテンツ・プロパティが、それぞれの前記ファイルの前記ペイロードのローカリティ−センシティブ・ハッシング（ＬＳＨ）を含むことで、前記現在のコンテンツ・プロパティの前記ＬＳＨと前記履歴上コンテンツ・プロパティの前記ＬＳＨとの間のハミング距離を判定することによって、それぞれの前記ファイルごとの変化が識別できる条項３０の方法。
【０２９６】
３４．  前記現在のコンテンツ・プロパティ及び前記履歴上コンテンツ・プロパティが、それぞれの前記ファイルの前記ペイロード内のスタブの発生を含む条項３０の方法。
【０２９７】
３５．  前記現在のコンテンツ・プロパティと前記履歴上コンテンツ・プロパティが、それぞれの前記ファイルの前記ペイロードの構造のドキュメントオブジェクト完全性があるか否かを示す完全性インジケータを有する条項３０の方法。
【０２９８】
３６．  前記現在のコンテンツ・プロパティ及び前記履歴上コンテンツ・プロパティは、それぞれの前記ファイルの前記ペイロード内に、それぞれの前記ファイルごとの前記悪意のあるアクティビティに関連する既知のキーワードの出現の回数を含む条項３０の方法。
【０２９９】
３７．  何れかのそれぞれのファイルの前記現在のコンテンツ・プロパティが攻撃者の既知のランサムノートの存在を示す場合に、前記悪意のあるアクティビティが進行中であると判定することを含む条項３０の方法。
【０３００】
３８．  前記応答メカニズムは、前記悪意のあるアクティビティが検出されたことを前記マシン及び／またはユーザに通知すること、及び、前記悪意のあるアクティビティの位置を前記マシン及び／またはユーザに提供することを含む条項３０の方法。
【０３０１】
３９．  前記応答メカニズムが、識別された前記マシン及び／またはユーザを前記独立したデータ・ストアから切断することによって、及び、前記独立したデータ・ストアへのアクセスを有する追加のユーザを切断することによって、前記独立したデータ・ストアを分離すること、及び
識別された前記マシン及び／またはユーザが前記独立したデータ・ストアにアクセスすることを防止すること、を含む条項３０の方法。
【０３０２】
４０．  前記応答メカニズムが、
識別された前記マシン及び／またはユーザがアクセスする他の独立したデータ・ストア上の前記悪意のあるアクティビティのスキャンを強制すること、
前記独立したデータ・ストアにアクセスする追加のユーザに、前記悪意のあるアクティビティのローカルスキャンを強制すること、
前記追加のユーザがアクセスする他の独立したデータ・ストア上の前記悪意のあるアクティビティのスキャンを強制すること、を含む条項３０の方法。
【０３０３】
４１．  前記応答メカニズムが、
前記現在のコンテンツ・プロパティ及び前記履歴上コンテンツ・プロパティに基づいて、識別された前記マシン及び／またはユーザ上で前記悪意のあるアクティビティを開始させたファイルの作成者を判定すること、及び、
判定された作成者に基づいて、多数の応答メカニズムの特定の応答メカニズムを識別し、実行することとを含む条項３０の方法。
【０３０４】
４２．  前記応答メカニズムが、
それぞれの前記ファイルの前記ペイロードのエントロピーを計算すること、
それぞれの前記ファイルの前記エントロピーを、既知のユーザが開始した暗号化手法のエントロピーと比較して、識別された前記マシン及び／またはユーザが、ユーザが開始した暗号化手法を実施したかどうかを判定すること、
識別された前記マシン及び／またはユーザが、前記ユーザが開始した暗号化手法を実施したそれぞれの前記ファイルのそれぞれを識別すること、
前記ファイルの前記現在のコンテンツ・プロパティ及び前記ファイルの前記履歴上コンテンツ・プロパティを分析することによって悪意のあるアクティビティが進行中であると判定することと、識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化手法を実施したそれぞれの前記ファイルを除き、所定の変化速度を超える前記ファイルの前記現在のコンテンツ・プロパティと前記履歴上コンテンツ・プロパティの間の変化のパターンを識別すること、
（ｉ）識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化手法を実施したそれぞれの前記ファイルを除く、前記ファイルの前記現在のコンテンツ・プロパティと（ｉｉ）既知の悪意のあるファイル修正を示す悪意のあるコンテンツ・プロパティの既知のパターンを分析して、識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化手法を実施したそれぞれの前記ファイルを除く、前記ファイルの前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの既知のパターンとの間の一致を識別して、前記悪意のあるアクティビが進行中であると判定することを含む条項３０の方法。
【０３０５】
４３．  前記応答メカニズムが、
前記繰り返し識別によって識別された前記ファイルのそれぞれのファイルについて現在のコンテンツ・プロパティ・パラメータをアセンブルすること、
前記現在のコンテンツ・プロパティ・パラメータのそれぞれのパラメータについて、時間ベースのパラメータ変化統計のバッファを維持し、前記バッファに適用される移動時間ベースのウィンドウ内でそれぞれの前記パラメータについての変化速度の移動平均を計算することによって、識別された前記ファイルの前記現在のコンテンツ・プロパティ・パラメータについての前記変化速度の移動平均を、繰り返し計算すること、
前記現在のコンテンツ・プロパティ・パラメータについての計算された前記変化速度の移動平均に統計的に有意な加速があるときを識別することによって、第２のレベルの悪意のあるアクティビティが進行中であることを検出すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する二次応答メカニズムを実施することによって、検出された前記第２のレベルの悪意のあるアクティビティに応答すること、を含む第２レイヤの検出の実行を含む条項３０の方法。
【０３０６】
４４．  それぞれの前記ファイルのそれぞれの前記現在のコンテンツ・プロパティを、それぞれの前記ファイルのそれぞれの前記履歴上コンテンツ・プロパティと比較すること、
それぞれの前記ファイルの前記現在のコンテンツ・プロパティとそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティとの比較に基づいて、それぞれの前記ファイルのそれぞれの差を判定すること、及び、
それぞれの前記ファイルの何れかについて判定された前記差が、所定の変化閾値を超える場合に、前記悪意のあるアクティビティが進行中であると判定すること、を更に含む条項３０の方法。
【０３０７】
４５．  独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答する方法であって、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
（i）それぞれの前記ファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルされた現在のメタデータ、及び／または（ii）それぞれの前記ファイルの読み取られたペイロードから計算されたそれぞれの前記ファイルの現在のコンテンツ・プロパティを含む、繰り返し識別によって識別されるそれぞれの前記ファイルの現在の特徴的ファイル特性をアセンブルすること、
履歴上特徴的ファイル特性を格納する履歴上データ・ストアにアクセスして、履歴上メタデータ及び／または履歴上コンテンツ・プロパティを含むそれぞれの前記ファイルの前記履歴上特徴的ファイル特性を取得すること、ここで、格納された前記履歴上特徴的ファイル特性は、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及び特徴的ファイル特性が前記ファイル・システム内で更新された後に、以前の世代の特徴的ファイル特性が利用可能なままであるように、前記ファイル・システム内のファイルを記述する特徴的ファイル特性の世代を保存するものであり、
（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性をそれぞれの前記ファイルの前記履歴上特徴的ファイル特性と比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性とそれぞれの前記ファイルの前記履歴上特徴的ファイル特性との間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性とそれぞれの前記ファイルの前記履歴上特徴的ファイル特性との間の識別された前記差を評価して、所定の変化量を超えるそれぞれの前記ファイルの前記履歴上特徴的ファイル特性から前記現在の特徴的ファイル特性への変化量を識別すること、及び（iv）識別された前記変化量が前記所定の変化量を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性を、既知の悪意のあるファイル修正を示す悪意のある特徴的ファイル特性の既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、前記悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、含む方法。
【０３０８】
４６．  独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答する方法であって、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
それぞれの前記ファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルされた現在のメタデータであって、繰り返し識別によって識別されるそれぞれの前記ファイルの現在のメタデータをアセンブルすること、
履歴上メタデータを格納する履歴上データ・ストアにアクセスして、それぞれの前記ファイルの前記履歴上メタデータを取得すること、ここで、格納された前記履歴上メタデータは、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及びファイルメタデータが前記ファイル・システム内で更新された後に、以前の世代のメタデータが利用可能なままであるように、前記ファイル・システム内のファイルを記述するメタデータの世代を保存するものであり、
（i）それぞれの前記ファイルの前記現在のメタデータをそれぞれの前記ファイルの前記履歴上メタデータと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のメタデータとそれぞれの前記ファイルの前記履歴上メタデータとの間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のメタデータとそれぞれの前記ファイルの前記履歴上メタデータとの間の識別された前記差を評価して、所定の変化量を超えるそれぞれの前記ファイルの前記履歴上メタデータから前記現在のメタデータへの変化量を識別すること、及び（iv）識別された前記変化量が前記所定の変化量を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在のメタデータを、既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、含む方法。
【０３０９】
４７．  独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答する方法であって、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
繰り返し識別によって識別されたそれぞれの前記ファイルのペイロードを読み取ること、
それぞれの前記ファイルのペイロードからそれぞれの前記ファイルの現在のコンテンツ・プロパティを計算すること、
履歴上コンテンツ・プロパティを格納する履歴上データ・ストアにアクセスして、それぞれの前記ファイルの読み取られたペイロードに基づいてアセンブルされた前記履歴上コンテンツ・プロパティを取得すること、ここで、格納された前記履歴上コンテンツ・プロパティは、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及びファイル・コンテンツ・プロパティが前記ファイル・システム内で更新された後に、以前の世代のコンテンツ・プロパティが利用可能なままであるように、前記ファイル・システム内のファイルを記述するコンテンツ・プロパティの世代を保存するものであり、
（i）それぞれの前記ファイルの前記現在のコンテンツ・プロパティをそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティとそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティとの間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティとそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティとの間の識別された前記差を評価して、所定の変化量を超えるそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティから前記現在のコンテンツ・プロパティへの変化量を識別すること、及び（iv）識別された前記変化量が前記所定の変化量を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在のコンテンツ・プロパティを、既知の悪意のあるファイル修正を示す悪意のあるコンテンツ・プロパティの既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、含む方法。
【０３１０】
４８．  命令が記録された非一時的なコンピュータ可読記録媒体であって、
前記命令は、実行されると、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
（i）それぞれの前記ファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルされた現在のメタデータ、及び／または（ii）それぞれの前記ファイルの読み取られたペイロードから計算されたそれぞれの前記ファイルの現在のコンテンツ・プロパティを含む、繰り返し識別によって識別されるそれぞれの前記ファイルの現在の特徴的ファイル特性をアセンブルすること、
履歴上特徴的ファイル特性を格納する履歴上データ・ストアにアクセスして、履歴上メタデータ及び／または履歴上コンテンツ・プロパティを含むそれぞれの前記ファイルの前記履歴上特徴的ファイル特性を取得すること、ここで、格納された前記履歴上特徴的ファイル特性は、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及び特徴的ファイル特性が前記ファイル・システム内で更新された後に、以前の世代の特徴的ファイル特性が利用可能なままであるように、前記ファイル・システム内のファイルを記述する特徴的ファイル特性の世代を保存するものであり、
（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性をそれぞれの前記ファイルの前記履歴上特徴的ファイル特性と比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性とそれぞれの前記ファイルの前記履歴上特徴的ファイル特性との間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性とそれぞれの前記ファイルの前記履歴上特徴的ファイル特性との間の識別された前記差を評価して、所定の変化速度を超えるそれぞれの前記ファイルの前記履歴上特徴的ファイル特性から前記現在の特徴的ファイル特性への変化のパターンを識別すること、及び（iv）識別された前記変化のパターンが前記所定の変化速度を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性を、既知の悪意のあるファイル修正を示す悪意のある特徴的ファイル特性の既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、含む方法を、少なくとも１つのプロセッサに実施させる非一時的なコンピュータ可読記録媒体。
【０３１１】
４９．  命令が記録された非一時的なコンピュータ可読記録媒体であって、
前記命令は、実行されると、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
それぞれの前記ファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルされた現在のメタデータであって、繰り返し識別によって識別されるそれぞれの前記ファイルの現在のメタデータをアセンブルすること、
履歴上メタデータを格納する履歴上データ・ストアにアクセスして、それぞれの前記ファイルの前記履歴上メタデータを取得すること、ここで、格納された前記履歴上メタデータは、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及びファイルメタデータが前記ファイル・システム内で更新された後に、以前の世代のメタデータが利用可能なままであるように、前記ファイル・システム内のファイルを記述するメタデータの世代を保存するものであり、
（i）それぞれの前記ファイルの前記現在のメタデータをそれぞれの前記ファイルの前記履歴上メタデータと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のメタデータとそれぞれの前記ファイルの前記履歴上メタデータとの間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のメタデータとそれぞれの前記ファイルの前記履歴上メタデータとの間の識別された前記差を評価して、所定の変化速度を超えるそれぞれの前記ファイルの前記履歴上メタデータから前記現在のメタデータへの変化のパターンを識別すること、及び（iv）識別された前記変化のパターンが前記所定の変化速度を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在のメタデータを、既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、含む方法を、少なくとも１つのプロセッサに実施させる非一時的なコンピュータ可読記録媒体。
【０３１２】
５０．  命令が記録された非一時的なコンピュータ可読記録媒体であって、
前記命令は、実行されると、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
繰り返し識別によって識別されたそれぞれの前記ファイルのペイロードを読み取ること、
それぞれの前記ファイルのペイロードからそれぞれの前記ファイルの現在のコンテンツ・プロパティを計算すること、
履歴上コンテンツ・プロパティを格納する履歴上データ・ストアにアクセスして、それぞれの前記ファイルの読み取られたペイロードに基づいてアセンブルされた前記履歴上コンテンツ・プロパティを取得すること、ここで、格納された前記履歴上コンテンツ・プロパティは、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及びファイル・コンテンツ・プロパティが前記ファイル・システム内で更新された後に、以前の世代のコンテンツ・プロパティが利用可能なままであるように、前記ファイル・システム内のファイルを記述するコンテンツ・プロパティの世代を保存するものであり、
（i）それぞれの前記ファイルの前記現在のコンテンツ・プロパティをそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティとそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティとの間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティとそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティとの間の識別された前記差を評価して、所定の変化速度を超えるそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティから前記現在のコンテンツ・プロパティへの変化のパターンを識別すること、及び（iv）識別された前記変化のパターンが前記所定の変化速度を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在のコンテンツ・プロパティを、既知の悪意のあるファイル修正を示す悪意のあるコンテンツ・プロパティの既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、含む方法を、少なくとも１つのプロセッサに実施させる非一時的なコンピュータ可読記録媒体。
【０３１３】
５１．  独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答するシステムであって、
１または複数のプロセッサと、命令を含むメモリを備え、
前記命令は、前記１または複数のプロセッサによって実行されると、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
（i）それぞれの前記ファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルされた現在のメタデータ、及び／または（ii）それぞれの前記ファイルの読み取られたペイロードから計算されたそれぞれの前記ファイルの現在のコンテンツ・プロパティを含む、繰り返し識別によって識別されるそれぞれの前記ファイルの現在の特徴的ファイル特性をアセンブルすること、
履歴上特徴的ファイル特性を格納する履歴上データ・ストアにアクセスして、履歴上メタデータ及び／または履歴上コンテンツ・プロパティを含むそれぞれの前記ファイルの前記履歴上特徴的ファイル特性を取得すること、ここで、格納された前記履歴上特徴的ファイル特性は、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及び特徴的ファイル特性が前記ファイル・システム内で更新された後に、以前の世代の特徴的ファイル特性が利用可能なままであるように、前記ファイル・システム内のファイルを記述する特徴的ファイル特性の世代を保存するものであり、
（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性をそれぞれの前記ファイルの前記履歴上特徴的ファイル特性と比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性とそれぞれの前記ファイルの前記履歴上特徴的ファイル特性との間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性とそれぞれの前記ファイルの前記履歴上特徴的ファイル特性との間の識別された前記差を評価して、所定の変化速度を超えるそれぞれの前記ファイルの前記履歴上特徴的ファイル特性から前記現在の特徴的ファイル特性への変化のパターンを識別すること、及び（iv）識別された前記変化のパターンが前記所定の変化速度を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性を、既知の悪意のあるファイル修正を示す悪意のある特徴的ファイル特性の既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、
前記１または複数のプロセッサに実施させるシステム。
【０３１４】
５２．  独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答するシステムであって、
１または複数のプロセッサと、命令を含むメモリを備え、
前記命令は、前記１または複数のプロセッサによって実行されると、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
それぞれの前記ファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルされた現在のメタデータであって、繰り返し識別によって識別されるそれぞれの前記ファイルの現在のメタデータをアセンブルすること、
履歴上メタデータを格納する履歴上データ・ストアにアクセスして、それぞれの前記ファイルの前記履歴上メタデータを取得すること、ここで、格納された前記履歴上メタデータは、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及びファイルメタデータが前記ファイル・システム内で更新された後に、以前の世代のメタデータが利用可能なままであるように、前記ファイル・システム内のファイルを記述するメタデータの世代を保存するものであり、
（i）それぞれの前記ファイルの前記現在のメタデータをそれぞれの前記ファイルの前記履歴上メタデータと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のメタデータとそれぞれの前記ファイルの前記履歴上メタデータとの間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のメタデータとそれぞれの前記ファイルの前記履歴上メタデータとの間の識別された前記差を評価して、所定の変化速度を超えるそれぞれの前記ファイルの前記履歴上メタデータから前記現在のメタデータへの変化のパターンを識別すること、及び（iv）識別された前記変化のパターンが前記所定の変化速度を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在のメタデータを、既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、
前記１または複数のプロセッサに実施させるシステム。
【０３１５】
５３．  独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答するシステムであって、
１または複数のプロセッサと、命令を含むメモリを備え、
前記命令は、前記１または複数のプロセッサによって実行されると、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
繰り返し識別によって識別されたそれぞれの前記ファイルのペイロードを読み取ること、
それぞれの前記ファイルのペイロードからそれぞれの前記ファイルの現在のコンテンツ・プロパティを計算すること、
履歴上コンテンツ・プロパティを格納する履歴上データ・ストアにアクセスして、それぞれの前記ファイルの読み取られたペイロードに基づいてアセンブルされた前記履歴上コンテンツ・プロパティを取得すること、ここで、格納された前記履歴上コンテンツ・プロパティは、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及びファイル・コンテンツ・プロパティが前記ファイル・システム内で更新された後に、以前の世代のコンテンツ・プロパティが利用可能なままであるように、前記ファイル・システム内のファイルを記述するコンテンツ・プロパティの世代を保存するものであり、
（i）それぞれの前記ファイルの前記現在のコンテンツ・プロパティをそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティとそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティとの間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティとそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティとの間の識別された前記差を評価して、所定の変化速度を超えるそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティから前記現在のコンテンツ・プロパティへの変化のパターンを識別すること、及び（iv）識別された前記変化のパターンが前記所定の変化速度を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在のコンテンツ・プロパティを、既知の悪意のあるファイル修正を示す悪意のあるコンテンツ・プロパティの既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、
前記１または複数のプロセッサに実施させるシステム。
【０３１６】
５４．  命令が記録された非一時的なコンピュータ可読記録媒体であって、
前記命令は、実行されると、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
前記繰り返し識別によって識別された前記ファイルのそれぞれのファイルについて現在のコンテンツ・プロパティ・パラメータをアセンブルすること、
前記現在のコンテンツ・プロパティ・パラメータのそれぞれのパラメータについて、時間ベースのパラメータ変化統計のバッファを維持し、前記バッファに適用される移動時間ベースのウィンドウ内でそれぞれの前記パラメータについての変化速度の移動平均を計算することによって、識別された前記ファイルの前記現在のコンテンツ・プロパティ・パラメータについての前記変化速度の移動平均を、繰り返し計算すること、
前記現在のコンテンツ・プロパティ・パラメータについての計算された前記変化速度の移動平均に統計的に有意な加速があるときを識別することによって、悪意のあるアクティビティが進行中であることを検出すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施すること、を含む方法を、少なくとも１つのプロセッサに実施させる非一時的なコンピュータ可読記録媒体。
【０３１７】
５５．  独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答するシステムであって、
１または複数のプロセッサと、命令を含むメモリを備え、
前記命令は、前記１または複数のプロセッサによって実行されると、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
前記繰り返し識別によって識別された前記ファイルのそれぞれのファイルについて現在のコンテンツ・プロパティ・パラメータをアセンブルすること、
前記現在のコンテンツ・プロパティ・パラメータのそれぞれのパラメータについて、時間ベースのパラメータ変化統計のバッファを維持し、前記バッファに適用される移動時間ベースのウィンドウ内でそれぞれの前記パラメータについての変化速度の移動平均を計算することによって、識別された前記ファイルの前記現在のコンテンツ・プロパティ・パラメータについての前記変化速度の移動平均を、繰り返し計算すること、
前記現在のコンテンツ・プロパティ・パラメータについての計算された前記変化速度の移動平均に統計的に有意な加速があるときを識別することによって、悪意のあるアクティビティが進行中であることを検出すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、
前記１または複数のプロセッサに実施させるシステム。
【０３１８】
５６．  命令が記録された非一時的なコンピュータ可読記録媒体であって、
前記命令は、実行されると、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
（i）それぞれの前記ファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルされた現在のメタデータ、及び／または（ii）それぞれの前記ファイルの読み取られたペイロードから計算されたそれぞれの前記ファイルの現在のコンテンツ・プロパティを含む、繰り返し識別によって識別されるそれぞれの前記ファイルの現在の特徴的ファイル特性をアセンブルすること、
履歴上特徴的ファイル特性を格納する履歴上データ・ストアにアクセスして、履歴上メタデータ及び／または履歴上コンテンツ・プロパティを含むそれぞれの前記ファイルの前記履歴上特徴的ファイル特性を取得すること、ここで、格納された前記履歴上特徴的ファイル特性は、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及び特徴的ファイル特性が前記ファイル・システム内で更新された後に、以前の世代の特徴的ファイル特性が利用可能なままであるように、前記ファイル・システム内のファイルを記述する特徴的ファイル特性の世代を保存するものであり、
（ｉ）履歴上特徴的ファイル特性がそれぞれの前記ファイルについて存在しない場合、及び（ｉｉ）それぞれの前記ファイルの前記現在の特徴的ファイル特性のパターンが所定の閾値を超える場合に、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性を、既知の悪意のあるファイル修正を示す悪意のある特徴的ファイル特性の既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、含む方法を、少なくとも１つのプロセッサに実施させる非一時的なコンピュータ可読記録媒体。
【０３１９】
５７．  命令が記録された非一時的なコンピュータ可読記録媒体であって、
前記命令は、実行されると、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
それぞれの前記ファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルされた現在のメタデータであって、繰り返し識別によって識別されるそれぞれの前記ファイルの現在のメタデータをアセンブルすること、
履歴上メタデータを格納する履歴上データ・ストアにアクセスして、それぞれの前記ファイルの前記履歴上メタデータを取得すること、ここで、格納された前記履歴上メタデータは、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及びファイルメタデータが前記ファイル・システム内で更新された後に、以前の世代のメタデータが利用可能なままであるように、前記ファイル・システム内のファイルを記述するメタデータの世代を保存するものであり、
（ｉ）履歴上メタデータがそれぞれの前記ファイルについて存在しない場合、及び（ｉｉ）それぞれの前記ファイルの前記現在のメタデータのパターンが所定の閾値を超える場合に、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在のメタデータを、既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、含む方法を、少なくとも１つのプロセッサに実施させる非一時的なコンピュータ可読記録媒体。
【０３２０】
５８．  命令が記録された非一時的なコンピュータ可読記録媒体であって、
前記命令は、実行されると、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
繰り返し識別によって識別されたそれぞれの前記ファイルのペイロードを読み取ること、
それぞれの前記ファイルのペイロードからそれぞれの前記ファイルの現在のコンテンツ・プロパティを計算すること、
履歴上コンテンツ・プロパティを格納する履歴上データ・ストアにアクセスして、それぞれの前記ファイルの読み取られたペイロードに基づいてアセンブルされた前記履歴上コンテンツ・プロパティを取得すること、ここで、格納された前記履歴上コンテンツ・プロパティは、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及びファイル・コンテンツ・プロパティが前記ファイル・システム内で更新された後に、以前の世代のコンテンツ・プロパティが利用可能なままであるように、前記ファイル・システム内のファイルを記述するコンテンツ・プロパティの世代を保存するものであり、
（ｉ）履歴上コンテンツ・プロパティがそれぞれの前記ファイルについて存在しない場合、及び（ｉｉ）それぞれの前記ファイルの前記現在のコンテンツ・プロパティのパターンが所定の閾値を超える場合に、
前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在のコンテンツ・プロパティを、既知の悪意のあるファイル修正を示す悪意のあるコンテンツ・プロパティの既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、含む方法を、少なくとも１つのプロセッサに実施させる非一時的なコンピュータ可読記録媒体。
【０３２１】
５９．  独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答するシステムであって、
１または複数のプロセッサと、命令を含むメモリを備え、
前記命令は、前記１または複数のプロセッサによって実行されると、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
（i）それぞれの前記ファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルされた現在のメタデータ、及び／または（ii）それぞれの前記ファイルの読み取られたペイロードから計算されたそれぞれの前記ファイルの現在のコンテンツ・プロパティを含む、繰り返し識別によって識別されるそれぞれの前記ファイルの現在の特徴的ファイル特性をアセンブルすること、
履歴上特徴的ファイル特性を格納する履歴上データ・ストアにアクセスして、履歴上メタデータ及び／または履歴上コンテンツ・プロパティを含むそれぞれの前記ファイルの前記履歴上特徴的ファイル特性を取得すること、ここで、格納された前記履歴上特徴的ファイル特性は、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及び特徴的ファイル特性が前記ファイル・システム内で更新された後に、以前の世代の特徴的ファイル特性が利用可能なままであるように、前記ファイル・システム内のファイルを記述する特徴的ファイル特性の世代を保存するものであり、
（ｉ）履歴上特徴的ファイル特性がそれぞれの前記ファイルについて存在しない場合、及び（ｉｉ）それぞれの前記ファイルの前記現在の特徴的ファイル特性のパターンが所定の閾値を超える場合に、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性を、既知の悪意のあるファイル修正を示す悪意のある特徴的ファイル特性の既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、
前記１または複数のプロセッサに実施させるシステム。
【０３２２】
６０．  独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答するシステムであって、
１または複数のプロセッサと、命令を含むメモリを備え、
前記命令は、前記１または複数のプロセッサによって実行されると、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
それぞれの前記ファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルされた現在のメタデータであって、繰り返し識別によって識別されるそれぞれの前記ファイルの現在のメタデータをアセンブルすること、
履歴上メタデータを格納する履歴上データ・ストアにアクセスして、それぞれの前記ファイルの前記履歴上メタデータを取得すること、ここで、格納された前記履歴上メタデータは、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及びファイルメタデータが前記ファイル・システム内で更新された後に、以前の世代のメタデータが利用可能なままであるように、前記ファイル・システム内のファイルを記述するメタデータの世代を保存するものであり、
（ｉ）履歴上メタデータがそれぞれの前記ファイルについて存在しない場合、及び（ｉｉ）それぞれの前記ファイルの前記現在のメタデータのパターンが所定の閾値を超える場合に、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在のメタデータを、既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、
前記１または複数のプロセッサに実施させるシステム。
【０３２３】
６１．  独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答するシステムであって、
１または複数のプロセッサと、命令を含むメモリを備え、
前記命令は、前記１または複数のプロセッサによって実行されると、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
繰り返し識別によって識別されたそれぞれの前記ファイルのペイロードを読み取ること、
それぞれの前記ファイルのペイロードからそれぞれの前記ファイルの現在のコンテンツ・プロパティを計算すること、
履歴上コンテンツ・プロパティを格納する履歴上データ・ストアにアクセスして、それぞれの前記ファイルの読み取られたペイロードに基づいてアセンブルされた前記履歴上コンテンツ・プロパティを取得すること、ここで、格納された前記履歴上コンテンツ・プロパティは、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及びファイル・コンテンツ・プロパティが前記ファイル・システム内で更新された後に、以前の世代のコンテンツ・プロパティが利用可能なままであるように、前記ファイル・システム内のファイルを記述するコンテンツ・プロパティの世代を保存するものであり、
（ｉ）履歴上コンテンツ・プロパティがそれぞれの前記ファイルについて存在しない場合、及び（ｉｉ）それぞれの前記ファイルの前記現在のコンテンツ・プロパティのパターンが所定の閾値を超える場合に、
前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在のコンテンツ・プロパティを、既知の悪意のあるファイル修正を示す悪意のあるコンテンツ・プロパティの既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、
前記１または複数のプロセッサに実施させるシステム。
【０３２４】
６２．  命令が記録された非一時的なコンピュータ可読記録媒体であって、
前記命令は、実行されると、
決定された時間枠内に更新された前記独立データ・ストアの前記ローカルファイル・システム内のファイルを繰り返し識別すること、
（i）それぞれの前記ファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルされた現在のメタデータ、及び／または（ii）それぞれの前記ファイルの読み取られたペイロードから計算されたそれぞれの前記ファイルの現在のコンテンツ・プロパティを含む、繰り返し識別によって識別されるそれぞれの前記ファイルの現在の特徴的ファイル特性をアセンブルすること、
履歴上特徴的ファイル特性を格納する履歴上データ・ストアにアクセスして、履歴上メタデータ及び／または履歴上コンテンツ・プロパティを含むそれぞれの前記ファイルの前記履歴上特徴的ファイル特性を取得すること、ここで、格納された前記履歴上特徴的ファイル特性は、前記ローカルファイル・システム及び前記独立したデータ・ストアの前記ファイル・システムの制御下になく独立して維持され、前記履歴上データ・ストアは、ファイル及び特徴的ファイル特性が前記ファイル・システム内で更新された後に、以前の世代の特徴的ファイル特性が利用可能なままであるように、前記ファイル・システム内のファイルを記述する特徴的ファイル特性の世代を保存するものであり、
前記ローカルデバイスによって、（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性をそれぞれの前記ファイルの前記履歴上特徴的ファイル特性と比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性とそれぞれの前記ファイルの前記履歴上特徴的ファイル特性との間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性とそれぞれの前記ファイルの前記履歴上特徴的ファイル特性との間の識別された前記差を評価して、所定の変化速度を超えるそれぞれの前記ファイルの前記履歴上特徴的ファイル特性から前記現在の特徴的ファイル特性への変化のパターンを識別すること、及び（iv）識別された前記変化のパターンが前記所定の変化速度を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性を、既知の悪意のあるファイル修正を示す悪意のある特徴的ファイル特性の既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによる、前記ローカルデバイスの前記ローカルファイル・システムと前記独立したデータ・ストアの前記ファイル・システムに対するファイル修正を制限する応答メカニズムを実施することを、含む方法を、少なくとも１つのプロセッサに実施させる非一時的なコンピュータ可読記録媒体。
【０３２５】
６３．  命令が記録された非一時的なコンピュータ可読記録媒体であって、
前記命令は、実行されると、
決定された時間枠内に更新された前記独立データ・ストアの前記ローカルファイル・システム内のファイルを繰り返し識別すること、
それぞれの前記ファイルのローカルファイル・システム・リスト及びファイル・ヘッダからアセンブルされた現在のメタデータであって、繰り返し識別によって識別されるそれぞれの前記ファイルの現在のメタデータをアセンブルすること、
履歴上メタデータを格納する履歴上メタデータ・ストアにアクセスして、それぞれの前記ファイルの前記履歴上メタデータを取得すること、ここで、格納された前記履歴上メタデータは、前記ローカルファイル・システム及び前記独立したデータ・ストアの前記ファイル・システムの制御下になく独立して維持され、前記履歴上データ・ストアは、ファイル及びファイルメタデータが前記ファイル・システム内で更新された後に、以前の世代のメタデータが利用可能なままであるように、前記ファイル・システム内のファイルを記述するメタデータの世代を保存するものであり、
前記ローカルデバイスによって、（i）それぞれの前記ファイルの前記現在のメタデータをそれぞれの前記ファイルの前記履歴上メタデータと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のメタデータとそれぞれの前記ファイルの前記履歴上メタデータとの間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のメタデータとそれぞれの前記ファイルの前記履歴上メタデータとの間の識別された前記差を評価して、所定の変化速度を超えるそれぞれの前記ファイルの前記履歴上メタデータから前記現在のメタデータへの変化のパターンを識別すること、及び（iv）識別された前記変化のパターンが前記所定の変化速度を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記ローカルデバイスによって、（i）それぞれの前記ファイルの前記現在のメタデータを、既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによる、前記ローカルデバイスの前記ローカルファイル・システムと前記独立したデータ・ストアの前記ファイル・システムに対するファイル修正を制限する応答メカニズムを実施することを、含む方法を、少なくとも１つのプロセッサに実施させる非一時的なコンピュータ可読記録媒体。
【０３２６】
６４．  命令が記録された非一時的なコンピュータ可読記録媒体であって、
前記命令は、実行されると、
決定された時間枠内に更新された前記独立データ・ストアの前記ローカルファイル・システム内のファイルを繰り返し識別すること、
繰り返し識別によって識別されたそれぞれの前記ファイルのペイロードを読み取ること、
それぞれの前記ファイルのペイロードからそれぞれの前記ファイルの現在のコンテンツ・プロパティを計算すること、
履歴上コンテンツ・プロパティを格納する履歴上コンテンツ・プロパティ・ストアにアクセスして、それぞれの前記ファイルの前記履歴上コンテンツ・プロパティを取得すること、ここで、格納された前記履歴上コンテンツ・プロパティは、前記ローカルファイル・システム及び前記独立したデータ・ストアの前記ファイル・システムの制御下になく独立して維持され、前記履歴上データ・ストアは、ファイル及びファイル・コンテンツ・プロパティが前記ファイル・システム内で更新された後に、以前の世代のコンテンツ・プロパティが利用可能なままであるように、前記ファイル・システム内のファイルを記述するコンテンツ・プロパティの世代を保存するものであり、
（i）それぞれの前記ファイルの前記現在のコンテンツ・プロパティをそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティとそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティとの間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティとそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティとの間の識別された前記差を評価して、所定の変化速度を超えるそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティから前記現在のコンテンツ・プロパティへの変化のパターンを識別すること、及び（iv）識別された前記変化のパターンが前記所定の変化速度を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在のコンテンツ・プロパティを、既知の悪意のあるファイル修正を示す悪意のあるコンテンツ・プロパティの既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによる、前記ローカルデバイスの前記ローカルファイル・システムと前記独立したデータ・ストアの前記ファイル・システムに対するファイル修正を制限する応答メカニズムを実施することを、含む方法を、少なくとも１つのプロセッサに実施させる非一時的なコンピュータ可読記録媒体。
【０３２７】
６５．  独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答するシステムであって、
１または複数のプロセッサと、命令を含むメモリを備え、
前記命令は、前記１または複数のプロセッサによって実行されると、
決定された時間枠内に更新された前記独立データ・ストアの前記ローカルファイル・システム内のファイルを繰り返し識別すること、
（i）それぞれの前記ファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルされた現在のメタデータ、及び／または（ii）それぞれの前記ファイルの読み取られたペイロードから計算されたそれぞれの前記ファイルの現在のコンテンツ・プロパティを含む、繰り返し識別によって識別されるそれぞれの前記ファイルの現在の特徴的ファイル特性をアセンブルすること、
履歴上特徴的ファイル特性を格納する履歴上データ・ストアにアクセスして、履歴上メタデータ及び／または履歴上コンテンツ・プロパティを含むそれぞれの前記ファイルの前記履歴上特徴的ファイル特性を取得すること、ここで、格納された前記履歴上特徴的ファイル特性は、前記ローカルファイル・システム及び前記独立したデータ・ストアの前記ファイル・システムの制御下になく独立して維持され、前記履歴上データ・ストアは、ファイル及び特徴的ファイル特性が前記ファイル・システム内で更新された後に、以前の世代の特徴的ファイル特性が利用可能なままであるように、前記ファイル・システム内のファイルを記述する特徴的ファイル特性の世代を保存するものであり、
前記ローカルデバイスによって、（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性をそれぞれの前記ファイルの前記履歴上特徴的ファイル特性と比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性とそれぞれの前記ファイルの前記履歴上特徴的ファイル特性との間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性とそれぞれの前記ファイルの前記履歴上特徴的ファイル特性との間の識別された前記差を評価して、所定の変化速度を超えるそれぞれの前記ファイルの前記履歴上特徴的ファイル特性から前記現在の特徴的ファイル特性への変化のパターンを識別すること、及び（iv）識別された前記変化のパターンが前記所定の変化速度を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性を、既知の悪意のあるファイル修正を示す悪意のある特徴的ファイル特性の既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによる、前記ローカルデバイスの前記ローカルファイル・システムと前記独立したデータ・ストアの前記ファイル・システムに対するファイル修正を制限する応答メカニズムを実施することを、
前記１または複数のプロセッサに実施させるシステム。
【０３２８】
６６．  独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答するシステムであって、
１または複数のプロセッサと、命令を含むメモリを備え、
前記命令は、前記１または複数のプロセッサによって実行されると、
決定された時間枠内に更新された前記独立データ・ストアの前記ローカルファイル・システム内のファイルを繰り返し識別すること、
それぞれの前記ファイルのローカルファイル・システム・リスト及びファイル・ヘッダからアセンブルされた現在のメタデータであって、繰り返し識別によって識別されるそれぞれの前記ファイルの現在のメタデータをアセンブルすること、
履歴上メタデータを格納する履歴上メタデータ・ストアにアクセスして、それぞれの前記ファイルの前記履歴上メタデータを取得すること、ここで、格納された前記履歴上メタデータは、前記ローカルファイル・システム及び前記独立したデータ・ストアの前記ファイル・システムの制御下になく独立して維持され、前記履歴上データ・ストアは、ファイル及びファイルメタデータが前記ファイル・システム内で更新された後に、以前の世代のメタデータが利用可能なままであるように、前記ファイル・システム内のファイルを記述するメタデータの世代を保存するものであり、
前記ローカルデバイスによって、（i）それぞれの前記ファイルの前記現在のメタデータをそれぞれの前記ファイルの前記履歴上メタデータと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のメタデータとそれぞれの前記ファイルの前記履歴上メタデータとの間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のメタデータとそれぞれの前記ファイルの前記履歴上メタデータとの間の識別された前記差を評価して、所定の変化速度を超えるそれぞれの前記ファイルの前記履歴上メタデータから前記現在のメタデータへの変化のパターンを識別すること、及び（iv）識別された前記変化のパターンが前記所定の変化速度を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記ローカルデバイスによって、（i）それぞれの前記ファイルの前記現在のメタデータを、既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによる、前記ローカルデバイスの前記ローカルファイル・システムと前記独立したデータ・ストアの前記ファイル・システムに対するファイル修正を制限する応答メカニズムを実施することを、
前記１または複数のプロセッサに実施させるシステム。
【０３２９】
６７．  独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答するシステムであって、
１または複数のプロセッサと、命令を含むメモリを備え、
前記命令は、前記１または複数のプロセッサによって実行されると、
決定された時間枠内に更新された前記独立データ・ストアの前記ローカルファイル・システム内のファイルを繰り返し識別すること、
繰り返し識別によって識別されたそれぞれの前記ファイルのペイロードを読み取ること、
それぞれの前記ファイルのペイロードからそれぞれの前記ファイルの現在のコンテンツ・プロパティを計算すること、
履歴上コンテンツ・プロパティを格納する履歴上コンテンツ・プロパティ・ストアにアクセスして、それぞれの前記ファイルの前記履歴上コンテンツ・プロパティを取得すること、ここで、格納された前記履歴上コンテンツ・プロパティは、前記ローカルファイル・システム及び前記独立したデータ・ストアの前記ファイル・システムの制御下になく独立して維持され、前記履歴上データ・ストアは、ファイル及びファイル・コンテンツ・プロパティが前記ファイル・システム内で更新された後に、以前の世代のコンテンツ・プロパティが利用可能なままであるように、前記ファイル・システム内のファイルを記述するコンテンツ・プロパティの世代を保存するものであり、
（i）それぞれの前記ファイルの前記現在のコンテンツ・プロパティをそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティとそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティとの間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティとそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティとの間の識別された前記差を評価して、所定の変化速度を超えるそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティから前記現在のコンテンツ・プロパティへの変化のパターンを識別すること、及び（iv）識別された前記変化のパターンが前記所定の変化速度を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在のコンテンツ・プロパティを、既知の悪意のあるファイル修正を示す悪意のあるコンテンツ・プロパティの既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによる、前記ローカルデバイスの前記ローカルファイル・システムと前記独立したデータ・ストアの前記ファイル・システムに対するファイル修正を制限する応答メカニズムを実施することを、
前記１または複数のプロセッサに実施させるシステム。
【０３３０】
６８．  命令が記録された非一時的なコンピュータ可読記録媒体であって、
前記命令は、実行されると、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
（i）それぞれの前記ファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルされた現在のメタデータ、及び／または（ii）それぞれの前記ファイルの読み取られたペイロードから計算されたそれぞれの前記ファイルの現在のコンテンツ・プロパティを含む、繰り返し識別によって識別されるそれぞれの前記ファイルの現在の特徴的ファイル特性をアセンブルすること、
履歴上特徴的ファイル特性を格納する履歴上データ・ストアにアクセスして、履歴上メタデータ及び／または履歴上コンテンツ・プロパティを含むそれぞれの前記ファイルの前記履歴上特徴的ファイル特性を取得すること、ここで、格納された前記履歴上特徴的ファイル特性は、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及び特徴的ファイル特性が前記ファイル・システム内で更新された後に、以前の世代の特徴的ファイル特性が利用可能なままであるように、前記ファイル・システム内のファイルを記述する特徴的ファイル特性の世代を保存するものであり、
（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性をそれぞれの前記ファイルの前記履歴上特徴的ファイル特性と比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性とそれぞれの前記ファイルの前記履歴上特徴的ファイル特性との間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性とそれぞれの前記ファイルの前記履歴上特徴的ファイル特性との間の識別された前記差を評価して、所定の変化量を超えるそれぞれの前記ファイルの前記履歴上特徴的ファイル特性から前記現在の特徴的ファイル特性への変化量を識別すること、及び（iv）識別された前記変化量が前記所定の変化量を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性を、既知の悪意のあるファイル修正を示す悪意のある特徴的ファイル特性の既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、前記悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、含む方法を、少なくとも１つのプロセッサに実施させる非一時的なコンピュータ可読記録媒体。
【０３３１】
６９．  命令が記録された非一時的なコンピュータ可読記録媒体であって、
前記命令は、実行されると、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
それぞれの前記ファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルされた現在のメタデータであって、繰り返し識別によって識別されるそれぞれの前記ファイルの現在のメタデータをアセンブルすること、
履歴上メタデータを格納する履歴上データ・ストアにアクセスして、それぞれの前記ファイルの前記履歴上メタデータを取得すること、ここで、格納された前記履歴上メタデータは、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及びファイルメタデータが前記ファイル・システム内で更新された後に、以前の世代のメタデータが利用可能なままであるように、前記ファイル・システム内のファイルを記述するメタデータの世代を保存するものであり、
（i）それぞれの前記ファイルの前記現在のメタデータをそれぞれの前記ファイルの前記履歴上メタデータと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のメタデータとそれぞれの前記ファイルの前記履歴上メタデータとの間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のメタデータとそれぞれの前記ファイルの前記履歴上メタデータとの間の識別された前記差を評価して、所定の変化量を超えるそれぞれの前記ファイルの前記履歴上メタデータから前記現在のメタデータへの変化量を識別すること、及び（iv）識別された前記変化量が前記所定の変化量を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在のメタデータを、既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、含む方法を、少なくとも１つのプロセッサに実施させる非一時的なコンピュータ可読記録媒体。
【０３３２】
７０．  命令が記録された非一時的なコンピュータ可読記録媒体であって、
前記命令は、実行されると、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
繰り返し識別によって識別されたそれぞれの前記ファイルのペイロードを読み取ること、
それぞれの前記ファイルのペイロードからそれぞれの前記ファイルの現在のコンテンツ・プロパティを計算すること、
履歴上コンテンツ・プロパティを格納する履歴上データ・ストアにアクセスして、それぞれの前記ファイルの読み取られたペイロードに基づいてアセンブルされた前記履歴上コンテンツ・プロパティを取得すること、ここで、格納された前記履歴上コンテンツ・プロパティは、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及びファイル・コンテンツ・プロパティが前記ファイル・システム内で更新された後に、以前の世代のコンテンツ・プロパティが利用可能なままであるように、前記ファイル・システム内のファイルを記述するコンテンツ・プロパティの世代を保存するものであり、
（i）それぞれの前記ファイルの前記現在のコンテンツ・プロパティをそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティとそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティとの間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティとそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティとの間の識別された前記差を評価して、所定の変化量を超えるそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティから前記現在のコンテンツ・プロパティへの変化量を識別すること、及び（iv）識別された前記変化量が前記所定の変化量を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在のコンテンツ・プロパティを、既知の悪意のあるファイル修正を示す悪意のあるコンテンツ・プロパティの既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、含む方法を、少なくとも１つのプロセッサに実施させる非一時的なコンピュータ可読記録媒体。
【０３３３】
７１．  独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答するシステムであって、
１または複数のプロセッサと、命令を含むメモリを備え、
前記命令は、前記１または複数のプロセッサによって実行されると、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
（i）それぞれの前記ファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルされた現在のメタデータ、及び／または（ii）それぞれの前記ファイルの読み取られたペイロードから計算されたそれぞれの前記ファイルの現在のコンテンツ・プロパティを含む、繰り返し識別によって識別されるそれぞれの前記ファイルの現在の特徴的ファイル特性をアセンブルすること、
履歴上特徴的ファイル特性を格納する履歴上データ・ストアにアクセスして、履歴上メタデータ及び／または履歴上コンテンツ・プロパティを含むそれぞれの前記ファイルの前記履歴上特徴的ファイル特性を取得すること、ここで、格納された前記履歴上特徴的ファイル特性は、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及び特徴的ファイル特性が前記ファイル・システム内で更新された後に、以前の世代の特徴的ファイル特性が利用可能なままであるように、前記ファイル・システム内のファイルを記述する特徴的ファイル特性の世代を保存するものであり、
（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性をそれぞれの前記ファイルの前記履歴上特徴的ファイル特性と比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性とそれぞれの前記ファイルの前記履歴上特徴的ファイル特性との間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性とそれぞれの前記ファイルの前記履歴上特徴的ファイル特性との間の識別された前記差を評価して、所定の変化量を超えるそれぞれの前記ファイルの前記履歴上特徴的ファイル特性から前記現在の特徴的ファイル特性への変化量を識別すること、及び（iv）識別された前記変化量が前記所定の変化量を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性を、既知の悪意のあるファイル修正を示す悪意のある特徴的ファイル特性の既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、前記悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、
前記１または複数のプロセッサに実施させるシステム。
【０３３４】
７２．  独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答するシステムであって、
１または複数のプロセッサと、命令を含むメモリを備え、
前記命令は、前記１または複数のプロセッサによって実行されると、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
それぞれの前記ファイルのファイル・システム・リスト及びファイル・ヘッダからアセンブルされた現在のメタデータであって、繰り返し識別によって識別されるそれぞれの前記ファイルの現在のメタデータをアセンブルすること、
履歴上メタデータを格納する履歴上データ・ストアにアクセスして、それぞれの前記ファイルの前記履歴上メタデータを取得すること、ここで、格納された前記履歴上メタデータは、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及びファイルメタデータが前記ファイル・システム内で更新された後に、以前の世代のメタデータが利用可能なままであるように、前記ファイル・システム内のファイルを記述するメタデータの世代を保存するものであり、
（i）それぞれの前記ファイルの前記現在のメタデータをそれぞれの前記ファイルの前記履歴上メタデータと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のメタデータとそれぞれの前記ファイルの前記履歴上メタデータとの間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のメタデータとそれぞれの前記ファイルの前記履歴上メタデータとの間の識別された前記差を評価して、所定の変化量を超えるそれぞれの前記ファイルの前記履歴上メタデータから前記現在のメタデータへの変化量を識別すること、及び（iv）識別された前記変化量が前記所定の変化量を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在のメタデータを、既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、
前記１または複数のプロセッサに実施させるシステム。
【０３３５】
７３．  独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答するシステムであって、
１または複数のプロセッサと、命令を含むメモリを備え、
前記命令は、前記１または複数のプロセッサによって実行されると、
決定された時間枠内に更新された前記独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
繰り返し識別によって識別されたそれぞれの前記ファイルのペイロードを読み取ること、
それぞれの前記ファイルのペイロードからそれぞれの前記ファイルの現在のコンテンツ・プロパティを計算すること、
履歴上コンテンツ・プロパティを格納する履歴上データ・ストアにアクセスして、それぞれの前記ファイルの読み取られたペイロードに基づいてアセンブルされた前記履歴上コンテンツ・プロパティを取得すること、ここで、格納された前記履歴上コンテンツ・プロパティは、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及びファイル・コンテンツ・プロパティが前記ファイル・システム内で更新された後に、以前の世代のコンテンツ・プロパティが利用可能なままであるように、前記ファイル・システム内のファイルを記述するコンテンツ・プロパティの世代を保存するものであり、
（i）それぞれの前記ファイルの前記現在のコンテンツ・プロパティをそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティとそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティとの間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティとそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティとの間の識別された前記差を評価して、所定の変化量を超えるそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティから前記現在のコンテンツ・プロパティへの変化量を識別すること、及び（iv）識別された前記変化量が前記所定の変化量を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在のコンテンツ・プロパティを、既知の悪意のあるファイル修正を示す悪意のあるコンテンツ・プロパティの既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、他の悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、
前記１または複数のプロセッサに実施させるシステム。
【図１】
2019532388.tif 000004
【図２】
2019532388.tif 000005
【図３】
2019532388.tif 000006
【図４】
2019532388.tif 000007
【図５】
2019532388.tif 000008
【図６】
2019532388.tif 000009
【図７】
2019532388.tif 000010
【図８】
2019532388.tif 000011
【図９】
2019532388.tif 000012
【図１０】
2019532388.tif 000013
【図１１】
2019532388.tif 000014
【図１２】
2019532388.tif 000015
【手続補正書】
【提出日】平成30年10月17日(2018.10.17)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
クラウドベースの独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答する方法であって、
前記ファイル・システムのファイルを暗号化処理中である悪意のあるアクティビティを検出するために、決定された時間枠内に更新された前記クラウドベースの独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
（i）それぞれの前記ファイルのファイル・システム・リスト及びそれぞれの前記ファイルのファイル・ヘッダからアセンブルされた現在のメタデータ、及び／または（ii）それぞれの前記ファイルの読み取られたペイロードから計算されたそれぞれの前記ファイルの現在のコンテンツ・プロパティを含む、繰り返し識別によって識別されるそれぞれの前記ファイルの現在の特徴的ファイル特性をアセンブルすること、
履歴上特徴的ファイル特性を格納する履歴上データ・ストアにアクセスして、履歴上メタデータ及び／または履歴上コンテンツ・プロパティを含むそれぞれの前記ファイルの前記履歴上特徴的ファイル特性を取得すること、ここで、格納された前記履歴上特徴的ファイル特性は、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及び特徴的ファイル特性が前記ファイル・システム内で更新された後に、以前の世代の特徴的ファイル特性が利用可能なままであるように、前記ファイル・システム内のファイルを記述する特徴的ファイル特性の世代を保存するものであり、
（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性をそれぞれの前記ファイルの前記履歴上特徴的ファイル特性と比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性とそれぞれの前記ファイルの前記履歴上特徴的ファイル特性との間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性とそれぞれの前記ファイルの前記履歴上特徴的ファイル特性との間の識別された前記差を評価して、所定の変化速度を超えるそれぞれの前記ファイルの前記履歴上特徴的ファイル特性から前記現在の特徴的ファイル特性への変化のパターンを識別すること、及び（iv）識別された前記変化のパターンが前記所定の変化速度を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性を、既知の悪意のあるファイル修正を示す悪意のある特徴的ファイル特性の既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、前記悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを、前記悪意のあるアクティビティを開始した特定のユーザ及び特定のマシンとリンクし、転送されたペイロードまたはヘッダに埋め込まれた固有の識別子を用いて、識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、含む方法。
【請求項２】
前記履歴上メタデータが、継続的に、内観的または積極的に、前記履歴上データ・ストア上で、コンパイルされ、格納される請求項１に記載の方法。
【請求項３】
前記現在のメタデータ及び前記履歴上メタデータが、それぞれのファイルのファイル名の計算されたエントロピー、それぞれのファイルのファイルタイプを示すマジックナンバー、及び、それぞれのファイルのファイル名の拡張子の少なくとも１つを含む請求項１または２に記載の方法。
【請求項４】
それぞれの前記ファイルの前記現在のメタデータ及びそれぞれの前記ファイルの前記履歴上メタデータを分析して、所定のファイル名の編集距離の変化速度を超える、それぞれのファイルの前記現在のメタデータと履歴上メタデータとの間のファイル名の編集距離の変更のパターンを識別することによって、悪意のあるアクティビティが進行中であると判定することを含む請求項１〜３の何れか１項に記載の方法。
【請求項５】
前記現在のメタデータ及び前記履歴上メタデータが、それぞれのファイルからメタデータを抽出することができないときを示すメタデータ抽出不能インジケータを含む請求項１〜４の何れか１項に記載の方法。
【請求項６】
前記応答メカニズムが、前記悪意のあるアクティビティが検出されたことを、前記マシン及び／またはユーザに通知することと、前記悪意のあるアクティビティの位置を、前記マシン及び／またはユーザに提供することを含む請求項１〜５の何れか１項に記載の方法。
【請求項７】
前記応答メカニズムが、識別された前記マシン及び／またはユーザを前記独立したデータ・ストアから切断することによって、及び、前記独立したデータ・ストアへのアクセスを有する追加のユーザを切断することによって、前記独立したデータ・ストアを分離すること、及び
識別された前記マシン及び／またはユーザが前記独立したデータ・ストアにアクセスすることを防止すること、を含む請求項１〜６の何れか１項に記載の方法。
【請求項８】
前記応答メカニズムが、前記繰り返し識別によって識別されたそれぞれのファイルのバックアップを実行することと、それぞれの前記ファイルが格納されている前記独立したデータ・ストアのバックアップを実行することの内の少なくとも１つを含む請求項１〜７の何れか１項に記載の方法。
【請求項９】
前記応答メカニズムが、
識別された前記マシン及び／またはユーザに、前記悪意のあるアクティビティのローカルスキャンを強制すること、
識別された前記マシン及び／またはユーザがアクセスする他の独立したデータ・ストア上の前記悪意のあるアクティビティのスキャンを強制すること、
前記独立したデータ・ストアにアクセスする追加のユーザに、前記悪意のあるアクティビティのローカルスキャンを強制すること、
前記追加のユーザがアクセスする他の独立したデータ・ストア上の前記悪意のあるアクティビティのスキャンを強制すること、を含む請求項１〜８の何れか１項に記載の方法。
【請求項１０】
前記応答メカニズムが、前記独立したデータ・ストアの以前のバックアップを復元し、
前記以前のバックアップの前記復元は、自動化されるか、またはユーザ対話を用いて実行される請求項１〜９の何れか１項に記載の方法。
【請求項１１】
前記応答メカニズムが、
前記現在のメタデータ及び前記履歴上メタデータに基づいて、識別された前記マシン及び／またはユーザ上で前記悪意のあるアクティビティを開始させたファイルの作成者を判定すること、及び、
前記判定された作成者に基づいて、複数の応答メカニズムの特定の応答メカニズムを識別し、実行すること、を含む請求項１〜１０の何れか１項に記載の方法。
【請求項１２】
前記応答メカニズムが、
それぞれの前記ファイルの前記ペイロードのエントロピーを計算すること、
それぞれの前記ファイルの前記エントロピーを既知のユーザが開始した暗号化手法のエントロピーと比較して、識別された前記マシン及び／またはユーザが、ユーザが開始した暗号化手法を実施したかどうかを判定すること、
識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化手法を実施したそれぞれの前記ファイルのそれぞれを識別すること、
前記ファイルの前記現在のメタデータ及び前記ファイルの履歴上メタデータを分析することによって悪意のあるアクティビティが進行中であると判定することと、識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化手法を実施したそれぞれの前記ファイルを除き、前記所定の変化速度を超える前記ファイルの前記現在のメタデータと前記履歴上メタデータとの間の前記変化のパターンを識別すること、
（ｉ）識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化手法を実施したそれぞれの前記ファイルを除く、前記ファイルの前記現在のメタデータと、（ｉｉ）既知の悪意のあるファイル修正を示す悪意のあるメタデータの既知のパターンを分析して、識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化手法を実施したそれぞれの前記ファイルを除く、前記ファイルの前記現在のメタデータと前記悪意のあるメタデータの前記既知のパターンとの間の一致を識別して、前記悪意のあるアクティビが進行中であると判定すること、を含む請求項１〜１１の何れか１項に記載の方法。
【請求項１３】
前記応答メカニズムが、
前記繰り返し識別によって識別された前記ファイルのそれぞれのファイルについて現在のコンテンツ・プロパティ・パラメータをアセンブルすること、
前記現在のコンテンツ・プロパティ・パラメータのそれぞれのパラメータについて、時間ベースのパラメータ変化統計のバッファを維持し、前記バッファに適用される移動時間ベースのウィンドウ内でそれぞれの前記パラメータについての変化速度の移動平均を計算することによって、識別された前記ファイルの前記現在のコンテンツ・プロパティ・パラメータについての前記変化速度の移動平均を、繰り返し計算すること、
前記現在のコンテンツ・プロパティ・パラメータについての計算された前記変化速度の移動平均に統計的に有意な加速があるときを識別することによって、第２のレベルの悪意のあるアクティビティが進行中であることを検出すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する二次応答メカニズムを実施することによって、検出された前記第２のレベルの悪意のあるアクティビティに応答すること、を含む第２レイヤの検出の実行を含む請求項１〜１２の何れか１項に記載の方法。
【請求項１４】
それぞれの前記ファイルのそれぞれの前記現在のメタデータを、それぞれの前記ファイルのそれぞれの前記履歴上メタデータと比較すること、
それぞれの前記ファイルの前記現在のメタデータとそれぞれの前記ファイルの前記履歴上メタデータとの比較に基づいて、それぞれの前記ファイルのそれぞれの差を判定すること、及び、
それぞれの前記ファイルの何れかについて判定された前記差が所定の変化閾値を超える場合に、前記悪意のあるアクティビティが進行中であると判定すること、を更に含む請求項１〜１３の何れか１項に記載の方法。
【請求項１５】
前記現在のコンテンツ・プロパティ及び前記履歴上コンテンツ・プロパティが、それぞれの前記ファイルの前記ペイロードの計算されたエントロピーまたは計算された階層化エントロピーを含む請求項１〜１４の何れか１項に記載の方法。
【請求項１６】
前記現在のコンテンツ・プロパティと前記履歴上コンテンツ・プロパティが、それぞれの前記ファイルの前記ペイロードのローカリティ−センシティブ・ハッシング（ＬＳＨ）を含むことで、前記現在のコンテンツ・プロパティの前記ＬＳＨと前記履歴上コンテンツ・プロパティの前記ＬＳＨとの間のハミング距離を判定することによって、それぞれの前記ファイルごとの変化が識別できる請求項１〜１５の何れか１項に記載の方法。
【請求項１７】
前記応答メカニズムが、
それぞれの前記ファイルの前記ペイロードのエントロピーを計算すること、
それぞれの前記ファイルの前記エントロピーを既知のユーザが開始した暗号化プログラムに関連する実施されたエントロピー閾値と比較して、識別された前記マシン及び／またはユーザが、前記実施されたエントロピー閾値を超えるユーザが開始した暗号化プログラムを実施したかどうかを判定すること、
識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化プログラムを実施したそれぞれの前記ファイルのそれぞれを識別すること、
前記ファイルの前記現在のコンテンツ・プロパティ及び前記ファイルの前記履歴上コンテンツ・プロパティを分析することによって悪意のあるアクティビティが進行中であると判定することと、識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化プログラムを実施したそれぞれの前記ファイルを除き、所定の変化速度を超える前記ファイルの前記現在のコンテンツ・プロパティと前記履歴上コンテンツ・プロパティとの間の前記変化のパターンを識別すること、
（ｉ）識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化プログラムを実施したそれぞれの前記ファイルを除く、前記ファイルの前記現在のコンテンツ・プロパティと、（ｉｉ）既知の悪意のあるファイル修正を示す悪意のあるコンテンツ・プロパティの既知のパターンを分析して、識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化プログラムを実施したそれぞれの前記ファイルを除く、前記ファイルの前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの前記既知のパターンとの間の一致を識別して、前記悪意のあるアクティビが進行中であると判定すること、を含む請求項１〜１６の何れか１項に記載の方法。
【請求項１８】
クラウドベースの独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答する方法であって、
前記ファイル・システムのファイルを暗号化処理中である悪意のあるアクティビティを検出するために、決定された時間枠内に更新された前記クラウドベースの独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
前記繰り返し識別によって識別された前記ファイルのそれぞれのファイルについて現在のコンテンツ・プロパティ・パラメータをアセンブルすること、
前記現在のコンテンツ・プロパティ・パラメータのそれぞれのパラメータについて、時間ベースのパラメータ変化統計のバッファを維持し、前記バッファに適用される移動時間ベースのウィンドウ内でそれぞれの前記パラメータについての変化速度の移動平均を計算することによって、識別された前記ファイルの前記現在のコンテンツ・プロパティ・パラメータについての前記変化速度の移動平均を、繰り返し計算すること、
前記現在のコンテンツ・プロパティ・パラメータについての計算された前記変化速度の移動平均に統計的に有意な加速があるときを識別することによって、悪意のあるアクティビティが進行中であることを検出すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを、前記悪意のあるアクティビティを開始した特定のユーザ及び特定のマシンとリンクし、転送されたペイロードまたはヘッダに埋め込まれた固有の識別子を用いて、識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施すること、を含む方法。
【請求項１９】
クラウドベースの独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答する方法であって、
前記ファイル・システムのファイルを暗号化処理中である悪意のあるアクティビティを検出するために、決定された時間枠内に更新された前記クラウドベースの独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
（i）それぞれの前記ファイルのファイル・システム・リスト及びそれぞれの前記ファイルのファイル・ヘッダからアセンブルされた現在のメタデータ、及び／または（ii）それぞれの前記ファイルの読み取られたペイロードから計算されたそれぞれの前記ファイルの現在のコンテンツ・プロパティを含む、繰り返し識別によって識別されるそれぞれの前記ファイルの現在の特徴的ファイル特性をアセンブルすること、
履歴上特徴的ファイル特性を格納する履歴上データ・ストアにアクセスして、履歴上メタデータ及び／または履歴上コンテンツ・プロパティを含むそれぞれの前記ファイルの前記履歴上特徴的ファイル特性を取得すること、ここで、格納された前記履歴上特徴的ファイル特性は、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及び特徴的ファイル特性が前記ファイル・システム内で更新された後に、以前の世代の特徴的ファイル特性が利用可能なままであるように、前記ファイル・システム内のファイルを記述する特徴的ファイル特性の世代を保存するものであり、
（ｉ）履歴上特徴的ファイル特性がそれぞれの前記ファイルについて存在しない場合、及び（ｉｉ）それぞれの前記ファイルの前記現在の特徴的ファイル特性のパターンが所定の閾値を超える場合に、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性を、既知の悪意のあるファイル修正を示す悪意のある特徴的ファイル特性の既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、前記悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを、前記悪意のあるアクティビティを開始した特定のユーザ及び特定のマシンとリンクし、転送されたペイロードまたはヘッダに埋め込まれた固有の識別子を用いて、識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、含む方法。
【請求項２０】
前記現在のメタデータが、それぞれのファイルのファイル名の計算されたエントロピー、それぞれのファイルのファイルタイプを示すマジックナンバー、それぞれのファイルのファイル名の拡張子、及び、それぞれのファイルからメタデータを抽出することができないときを示すメタデータ抽出不能インジケータの少なくとも１つを含む請求項１９に記載の方法。
【請求項２１】
前記応答メカニズムが、
前記現在のメタデータに基づいて、識別された前記マシン及び／またはユーザ上で前記悪意のあるアクティビティを開始させたファイルの作成者を判定すること、及び、
前記判定された作成者に基づいて、複数の応答メカニズムの特定の応答メカニズムを識別し、実行すること、を含む請求項１９または２０に記載の方法。
【請求項２２】
前記応答メカニズムが、
前記繰り返し識別によって識別された前記ファイルのそれぞれのファイルについて現在のコンテンツ・プロパティ・パラメータをアセンブルすること、
前記現在のコンテンツ・プロパティ・パラメータのそれぞれのパラメータについて、時間ベースのパラメータ変化統計のバッファを維持し、前記バッファに適用される移動時間ベースのウィンドウ内でそれぞれの前記パラメータについての変化速度の移動平均を計算することによって、識別された前記ファイルの前記現在のコンテンツ・プロパティ・パラメータについての前記変化速度の移動平均を、繰り返し計算すること、
前記現在のコンテンツ・プロパティ・パラメータについての計算された前記変化速度の移動平均に統計的に有意な加速があるときを識別することによって、第２のレベルの悪意のあるアクティビティが進行中であることを検出すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する二次応答メカニズムを実施することによって、検出された前記第２のレベルの悪意のあるアクティビティに応答すること、を含む第２レイヤの検出の実行を含む請求項１９〜２１の何れか１項に記載の方法。
【請求項２３】
クラウドベースの独立したデータ・ストアのファイル・システムに同期されたローカルデバイスのローカルファイル・システムに対するデータ攻撃を検出し、それに応答する方法であって、
前記ファイル・システムのファイルを暗号化処理中である悪意のあるアクティビティを検出するために、決定された時間枠内に更新された前記クラウドベースの独立データ・ストアの前記ローカルファイル・システム内のファイルを繰り返し識別すること、
（i）それぞれの前記ファイルのファイル・システム・リスト及びそれぞれの前記ファイルのファイル・ヘッダからアセンブルされた現在のメタデータ、及び／または（ii）それぞれの前記ファイルの読み取られたペイロードから計算されたそれぞれの前記ファイルの現在のコンテンツ・プロパティを含む、繰り返し識別によって識別されるそれぞれの前記ファイルの現在の特徴的ファイル特性をアセンブルすること、
履歴上特徴的ファイル特性を格納する履歴上データ・ストアにアクセスして、履歴上メタデータ及び／または履歴上コンテンツ・プロパティを含むそれぞれの前記ファイルの前記履歴上特徴的ファイル特性を取得すること、ここで、格納された前記履歴上特徴的ファイル特性は、前記ローカルファイル・システム及び前記独立したデータ・ストアの前記ファイル・システムの制御下になく独立して維持され、前記履歴上データ・ストアは、ファイル及び特徴的ファイル特性が前記ファイル・システム内で更新された後に、以前の世代の特徴的ファイル特性が利用可能なままであるように、前記ファイル・システム内のファイルを記述する特徴的ファイル特性の世代を保存するものであり、
前記ローカルデバイスによって、（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性をそれぞれの前記ファイルの前記履歴上特徴的ファイル特性と比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性とそれぞれの前記ファイルの前記履歴上特徴的ファイル特性との間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性とそれぞれの前記ファイルの前記履歴上特徴的ファイル特性との間の識別された前記差を評価して、所定の変化速度を超えるそれぞれの前記ファイルの前記履歴上特徴的ファイル特性から前記現在の特徴的ファイル特性への変化のパターンを識別すること、及び（iv）識別された前記変化のパターンが前記所定の変化速度を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性を、既知の悪意のあるファイル修正を示す悪意のある特徴的ファイル特性の既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、前記悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを、前記悪意のあるアクティビティを開始した特定のユーザ及び特定のマシンとリンクし、転送されたペイロードまたはヘッダに埋め込まれた固有の識別子を用いて、識別すること、及び、
識別された前記マシン及び／またはユーザによる、前記ローカルデバイスの前記ローカルファイル・システムと前記独立したデータ・ストアの前記ファイル・システムに対するファイル修正を制限する応答メカニズムを実施することを、含む方法。
【請求項２４】
前記履歴上コンテンツ・プロパティが、継続的に、内観的または積極的に、前記ローカルデバイス上で、コンパイルされ、格納される請求項２３に記載の方法。
【請求項２５】
前記現在のコンテンツ・プロパティ及び前記履歴上コンテンツ・プロパティが、それぞれの前記ファイルの前記ペイロードの計算されたエントロピーまたは計算された階層化エントロピーを含む請求項２３または２４に記載の方法。
【請求項２６】
前記現在のコンテンツ・プロパティと前記履歴上コンテンツ・プロパティが、それぞれの前記ファイルの前記ペイロードのローカリティ−センシティブ・ハッシング（ＬＳＨ）を含むことで、前記現在のコンテンツ・プロパティの前記ＬＳＨと前記履歴上コンテンツ・プロパティの前記ＬＳＨとの間のハミング距離を判定することによって、それぞれの前記ファイルごとの変化が識別できる請求項２３〜２５の何れか１項に記載の方法。
【請求項２７】
前記現在のコンテンツ・プロパティ及び前記履歴上コンテンツ・プロパティが、それぞれの前記ファイルの前記ペイロード内のスタブの発生を含む請求項２３〜２６の何れか１項に記載の方法。
【請求項２８】
前記現在のコンテンツ・プロパティと前記履歴上コンテンツ・プロパティが、それぞれの前記ファイルの前記ペイロードの構造のドキュメントオブジェクト完全性があるか否かを示す完全性インジケータを有する請求項２３〜２７の何れか１項に記載の方法。
【請求項２９】
前記現在のコンテンツ・プロパティ及び前記履歴上コンテンツ・プロパティは、それぞれの前記ファイルの前記ペイロード内に、それぞれの前記ファイルごとの前記悪意のあるアクティビティに関連する既知のキーワードの出現の回数を含む請求項２３〜２８の何れか１項に記載の方法。
【請求項３０】
何れかのそれぞれのファイルの前記現在のコンテンツ・プロパティが攻撃者の既知のランサムノートの存在を示す場合に、前記悪意のあるアクティビティが進行中であると判定することを含む請求項２３〜２９の何れか１項に記載の方法。
【請求項３１】
前記応答メカニズムは、前記悪意のあるアクティビティが検出されたことを前記マシン及び／またはユーザに通知すること、及び、前記悪意のあるアクティビティの位置を前記マシン及び／またはユーザに提供することを請求項２３〜３０の何れか１項に記載の方法。
【請求項３２】
前記応答メカニズムが、識別された前記マシン及び／またはユーザを前記独立したデータ・ストアから切断することによって、及び、前記独立したデータ・ストアへのアクセスを有する追加のユーザを切断することによって、前記独立したデータ・ストアを分離すること、及び
識別された前記マシン及び／またはユーザが前記独立したデータ・ストアにアクセスすることを防止すること、を含む請求項２３〜３１の何れか１項に記載の方法。
【請求項３３】
前記応答メカニズムが、
識別された前記マシン及び／またはユーザがアクセスする他の独立したデータ・ストア上の前記悪意のあるアクティビティのスキャンを強制すること、
前記独立したデータ・ストアにアクセスする追加のユーザに、前記悪意のあるアクティビティのローカルスキャンを強制すること、
前記追加のユーザがアクセスする他の独立したデータ・ストア上の前記悪意のあるアクティビティのスキャンを強制すること、を含む請求項２３〜３２の何れか１項に記載の方法。
【請求項３４】
前記応答メカニズムが、
前記現在のコンテンツ・プロパティ及び前記履歴上コンテンツ・プロパティに基づいて、識別された前記マシン及び／またはユーザ上で前記悪意のあるアクティビティを開始させたファイルの作成者を判定すること、及び、
判定された作成者に基づいて、多数の応答メカニズムの特定の応答メカニズムを識別し、実行することを含む請求項２３〜３３の何れか１項に記載の方法。
【請求項３５】
前記応答メカニズムが、
それぞれの前記ファイルの前記ペイロードのエントロピーを計算すること、
それぞれの前記ファイルの前記エントロピーを、既知のユーザが開始した暗号化プログラムに関連する実施されたエントロピー閾値と比較して、識別された前記マシン及び／またはユーザが、前記実施されたエントロピー閾値を超えるユーザが開始した暗号化プログラムを実施したかどうかを判定すること、
識別された前記マシン及び／またはユーザが、前記ユーザが開始した暗号化プログラムを実施したそれぞれの前記ファイルのそれぞれを識別すること、
前記ファイルの前記現在のコンテンツ・プロパティ及び前記ファイルの前記履歴上コンテンツ・プロパティを分析することによって悪意のあるアクティビティが進行中であると判定することと、識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化プログラムを実施したそれぞれの前記ファイルを除き、所定の変化速度を超える前記ファイルの前記現在のコンテンツ・プロパティと前記履歴上コンテンツ・プロパティの間の変化のパターンを識別すること、
（ｉ）識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化プログラムを実施したそれぞれの前記ファイルを除く、前記ファイルの前記現在のコンテンツ・プロパティと（ｉｉ）既知の悪意のあるファイル修正を示す悪意のあるコンテンツ・プロパティの既知のパターンを分析して、識別された前記マシン及び／またはユーザが前記ユーザが開始した暗号化プログラムを実施したそれぞれの前記ファイルを除く、前記ファイルの前記現在のコンテンツ・プロパティと前記悪意のあるコンテンツ・プロパティの既知のパターンとの間の一致を識別して、前記悪意のあるアクティビが進行中であると判定することを含む請求項２３〜３４の何れか１項に記載の方法。
【請求項３６】
前記応答メカニズムが、
前記繰り返し識別によって識別された前記ファイルのそれぞれのファイルについて現在のコンテンツ・プロパティ・パラメータをアセンブルすること、
前記現在のコンテンツ・プロパティ・パラメータのそれぞれのパラメータについて、時間ベースのパラメータ変化統計のバッファを維持し、前記バッファに適用される移動時間ベースのウィンドウ内でそれぞれの前記パラメータについての変化速度の移動平均を計算することによって、識別された前記ファイルの前記現在のコンテンツ・プロパティ・パラメータについての前記変化速度の移動平均を、繰り返し計算すること、
前記現在のコンテンツ・プロパティ・パラメータについての計算された前記変化速度の移動平均に統計的に有意な加速があるときを識別することによって、第２のレベルの悪意のあるアクティビティが進行中であることを検出すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する二次応答メカニズムを実施することによって、検出された前記第２のレベルの悪意のあるアクティビティに応答すること、を含む第２レイヤの検出の実行を含む請求項２３〜３５の何れか１項に記載の方法。
【請求項３７】
それぞれの前記ファイルのそれぞれの前記現在のコンテンツ・プロパティを、それぞれの前記ファイルのそれぞれの前記履歴上コンテンツ・プロパティと比較すること、
それぞれの前記ファイルの前記現在のコンテンツ・プロパティとそれぞれの前記ファイルの前記履歴上コンテンツ・プロパティとの比較に基づいて、それぞれの前記ファイルのそれぞれの差を判定すること、及び、
それぞれの前記ファイルの何れかについて判定された前記差が、所定の変化閾値を超える場合に、前記悪意のあるアクティビティが進行中であると判定すること、を更に含む請求項２３〜３６の何れか１項に記載の方法。
【請求項３８】
クラウドベースの独立したデータ・ストアに格納されたファイル・システムに対するデータ攻撃を検出し、それに応答する方法であって、
前記ファイル・システムのファイルを暗号化処理中である悪意のあるアクティビティを検出するために、決定された時間枠内に更新された前記クラウドベースの独立データ・ストアの前記ファイル・システム内のファイルを繰り返し識別すること、
（i）それぞれの前記ファイルのファイル・システム・リスト及びそれぞれの前記ファイルのファイル・ヘッダからアセンブルされた現在のメタデータ、及び／または（ii）それぞれの前記ファイルの読み取られたペイロードから計算されたそれぞれの前記ファイルの現在のコンテンツ・プロパティを含む、繰り返し識別によって識別されるそれぞれの前記ファイルの現在の特徴的ファイル特性をアセンブルすること、
履歴上特徴的ファイル特性を格納する履歴上データ・ストアにアクセスして、履歴上メタデータ及び／または履歴上コンテンツ・プロパティを含むそれぞれの前記ファイルの前記履歴上特徴的ファイル特性を取得すること、ここで、格納された前記履歴上特徴的ファイル特性は、前記ファイル・システムの制御下になく前記ファイル・システムから独立して維持され、前記履歴上データ・ストアは、ファイル及び特徴的ファイル特性が前記ファイル・システム内で更新された後に、以前の世代の特徴的ファイル特性が利用可能なままであるように、前記ファイル・システム内のファイルを記述する特徴的ファイル特性の世代を保存するものであり、
（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性をそれぞれの前記ファイルの前記履歴上特徴的ファイル特性と比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性とそれぞれの前記ファイルの前記履歴上特徴的ファイル特性との間の差を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性とそれぞれの前記ファイルの前記履歴上特徴的ファイル特性との間の識別された前記差を評価して、所定の変化量を超えるそれぞれの前記ファイルの前記履歴上特徴的ファイル特性から前記現在の特徴的ファイル特性への変化量を識別すること、及び（iv）識別された前記変化量が前記所定の変化量を超える場合に、悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
（i）それぞれの前記ファイルの前記現在の特徴的ファイル特性を、既知の悪意のあるファイル修正を示す悪意のある特徴的ファイル特性の既知のパターンと比較すること、（ii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の類似性を識別すること、（iii）それぞれの前記ファイルの比較された前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の前記識別された類似性を評価して、それぞれの前記ファイルの前記現在の特徴的ファイル特性と前記悪意のある特徴的ファイル特性の前記既知のパターンとの間の一致を識別すること、及び（iv）一致が識別されたときに、前記悪意のあるアクティビティが進行中であると判定することによって、前記悪意のあるアクティビティが進行中であると判定すること、
前記悪意のあるアクティビティを開始したマシン及び／またはユーザを、前記悪意のあるアクティビティを開始した特定のユーザ及び特定のマシンとリンクし、転送されたペイロードまたはヘッダに埋め込まれた固有の識別子を用いて、識別すること、及び、
識別された前記マシン及び／またはユーザによるファイル修正を制限する応答メカニズムを実施することを、含む方法。
【国際調査報告】
2019532388.tif 000016
2019532388.tif 000017
2019532388.tif 000018
2019532388.tif 000019
2019532388.tif 000020