(57)【要約】エンタプライズネットワークにおける悪性コードを検知し且つ対抗するためのシステム及び方法が提供される。パターン認識プロセッサがエンタプライズネットワークを介して接続されている複数個のローカルマシン上のローカルオペレーションをモニタして異常なローカル挙動パターンを検知する。ローカルマシン上の挙動パターンにおける異常が検知された後に警報を発生することが可能である。複数個のローカルマシンからの異常挙動警報が解析される。対応する時間期間にわたって少なくともスレッシュホールド数のローカルマシンから同じような警報が受信されると、異常な挙動警報の解析に基づいて１つ又はそれ以上の対抗手段オペレーションが選択される。その選択された対抗手段オペレーションはローカルマシンへ通信され且つローカルマシンにより実施される。
2005523539.tif 000002
【特許請求の範囲】
【請求項１】
エンタプライズネットワークにおいて悪性コードを検知し且つ対抗するシステムにおいて、
サーバー、
前記エンタプライズネットワークを介して前記サーバーへ接続されている複数個のローカルマシンであって各ローカルマシンがパターン認識プロセッサを有しており、前記パターン認識プロセッサはローカルオペレーションをモニタして異常なローカル挙動パターンを検知し、且つローカル挙動パターン内に異常が検知された後に警告を発生する複数個のローカルマシン、
を有しており、
前記サーバーが前記複数個のローカルマシンからの異常な挙動警報をモニタし且つ解析し、且つ対応する時間期間にわたり少なくともスレッシュホールド数のローカルマシンから同様な警報を受信した場合には、前記サーバーが前記異常挙動警報の解析に基づいて１つ又はそれ以上の対抗策オペレーションを選択し且つローカルマシンにより実施されるべき前記選択した対抗策オペレーションをローカルマシンへ通信するシステム。
【請求項２】
請求項１において、前記パターン認識プロセッサがローカルオペレーティングシステムに対するコールをモニタするシステム。
【請求項３】
請求項２において、各ローカルマシンが、更に、信号モニタを有しており、前記信号モニタがローカルオペレーティングシステムのコールのログを維持するシステム。
【請求項４】
請求項１において、各ローカルマシンが、更に、前記サーバーと通信するためのネットワークリレーを包含する遠隔制御コアを有しており、前記異常挙動警報が前記ネットワークリレーを介して前記ローカルマシンから前記サーバーへ通信され、且つ遠隔制御命令が前記ネットワークリレーを介して前記ローカルマシンにより受信されるシステム。
【請求項５】
請求項１において、更にクラスターマネージャを有しており、前記異常挙動警報が前記クラスターマネージャを介して前記複数個のローカルマシンから前記サーバーへ通信されるシステム。
【請求項６】
請求項１において、前記サーバーがエンタプライズネットワークにおける疑いの有るアクティビティをモニタする専用システムであるシステム。
【請求項７】
請求項１において、前記対抗策オペレーションがエンタプライズ全体の管理ユーティリティへの通知を包含しているシステム。
【請求項８】
請求項１において、前記対抗策オペレーションが、前記異常挙動警報と関連する１つ又はそれ以上のローカル機能性をシャットダウンさせるためのローカルマシンへの命令を包含しているシステム。
【請求項９】
請求項１において、前記サーバーによりローカルマシンへ通信される対抗策オペレーションはライブラリー名及びファンクションコールにより識別されるシステム。
【請求項１０】
請求項１において、前記サーバーによりローカルマシンへ通信される対抗策オペレーションはユーティリティ名により識別されるシステム。
【請求項１１】
サーバーと複数個のローカルマシンとを具備するエンタプライズネットワークシステムにおいて悪性コードを検知し且つ対抗する方法において、
各ローカルマシンにおけるローカルオペレーションをモニタして異常ローカル挙動パターンを検知し、且つ、前記ローカル挙動パターンにおける異常性がローカルマシンにおいて検知される場合に、前記ローカルマシンから前記サーバーへ異常挙動警報を発生し、
前記ローカルマシンからの異常挙動警報を前記サーバーにおいて解析し、且つ対応する時間期間にわたり少なくともスレッシュホールド数のローカルマシンから同様の警報を受信した場合に、前記異常挙動警報の解析に基づいて１つ又はそれ以上の対抗策オペレーションを選択し且つ該選択した対抗策オペレーションをローカルマシンへ通信する、
ことを包含している方法。
【請求項１２】
請求項１１において、更に、ローカルオペレーティングシステムへのコールをモニタすることを包含している方法。
【請求項１３】
請求項１２において、更に、ローカルオペレーティングシステムへのコールのログを維持することを包含している方法。
【請求項１４】
請求項１１において、前記対抗策オペレーションがエンタプライズ全体の管理ユーティリティへの通知を包含している方法。
【請求項１５】
請求項１１において、前記対抗策オペレーションが、前記異常挙動警報に関連する１つ又はそれ以上のローカル機能性をシャットダウンさせるためにローカルマシンへの命令を包含している方法。
【請求項１６】
請求項１１において、前記サーバーによりローカルマシンへ通信される対抗策オペレーションがライブラリー名及びファンクションコールにより識別される方法。
【請求項１７】
請求項１１において、前記サーバーによりローカルマシンへ通信される対抗策オペレーションがユーティリティ名により識別される方法。
【請求項１８】
システムにおいて、
プロセッサ、
請求項１１の方法を実施するためにマシンにより実行可能な命令からなるプログラムをタンジブルに実現する本システムにより読取可能なプログラム格納装置、
を有しているシステム。
【請求項１９】
マシンにより読取可能なプログラム格納装置において、請求項１１の方法を実施するためにマシンにより実行可能な命令からなるプログラムをタンジブルに実現するプログラム格納装置。
【請求項２０】
請求項１１の方法を実施するためにコンピュータにより実行可能な命令を実現する伝送媒体内において実現されるコンピュータデータ信号。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はコンピュータウイルス及びその他の悪性コンピュータコードに関するものである。特に、本発明は、エンタプライズコンピュータ環境においてウイルス及びその他の悪性コードを検知し且つ対抗することに関するものである。
【背景技術】
【０００２】
現在の情報時代において、コンピュータ及びその他の情報技術（ＩＴ）は事実上全てのエンタプライズ（例えば、会社エンティティ、ビジネス、事務所、エスタブリッシュメント、公共及び政府団体、部局、エージェンシー、慈善団体、その他の組織体等）の運営において実質的な役割を担っている。多くの場合において、エンタプライズは、データ及び情報の交換を容易なものとさせるために供給業者、パートナー、メンバー、顧客及びその他の組織体によるアクセスに対してコンピュータネットワーク及び情報システム（少なくともその一部）を開放する。エンタプライズネットワークは、例えば、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、遠隔アクセスを介してのバーチャルプライベートネットワーク（ＶＰＮ）、相互ネット又はインターネット等のうちの１つ又は組合わせとして形態特定することが可能である。更に、エンタプライズユーザは、しばしば、他のものからデータ／情報を得るために外部ネットワーク（及び、多分、それらのエンタプライズネットワークを介して）に対してモデム又はブロードバンドアクセスが与えられている。
【０００３】
エンタプライズネットワークは、しばしば、オープンな環境を与える場合があるので、ウイルス、トロージャン、ワーム及びその他の悪性コンピュータコード等の悪性ソフトウエアによるアタックはエンタプライズ情報システムのコンピュータ及びその他のコンポーネントに対して継続的且つ増加する脅威である。エンタプライズコンピュータ環境におけるユーザは、典型的に、システムによって感染されていることに対して警告されない限り、そのコンピュータが悪性コードにより感染されていることに不知である。従って、エンタプライズ環境におけるコンピュータが悪性コードによって感染されている場合には、その感染は、しばしば、エンタプライズネットワークを横断してその他のコンピュータ及びエンタプライズリソースへ迅速に拡散する。殆どの場合において、悪性コードがネットワーク環境を感染することが長ければ長いほど、その環境からその感染を根絶することはより困難となる。
【０００４】
多くのタイプのコンピュータウイルスが存在することが知られている。メモリ常駐ウイルスは、典型的に、実行可能ファイルへ取り付き、その実行可能ファイルがランされる場合にコンピュータのメモリ内へロードされる。メモリ内に入ると、そのウイルスはそのコンピュータのオペレーティングシステムを乗っ取ることが可能であり、それにより、制限されているリソース（例えばセキュリティメジャー）へのアクセスを獲得する。
【０００５】
ブートセクターウイルスはシステムがブートされる場合に実行されるコードを包含しているコンピュータのハードディスクのブートセクターをウイルスコードで上書きし、従ってそのウイルスは、そのコンピュータがブートされる場合に（例えば、コンピュータが開始／再開始される場合）そのコンピュータのメモリ内に常にロードされる。コンピュータのメモリ内に入ると、そのウイルスはそのコンピュータにわたって迅速に拡散することが可能である。
【０００６】
幾つかのウイルスは隠れ且つ、例えば、感染されたプログラムがランされる場合にその他のプログラム／ファイルへ感染させることにより、コンピュータのファイルシステム内においてそれ自身複製する。幾つかのファイルウイルスは基本的なシステムファイル内に自身をコピーする場合があり、それにより保護されているリソースへのアクセスを獲得し且つそれらを除去することをより困難なものとさせる。
【０００７】
別のタイプのウイルスは特定のコンピュータプログラム（例えば、文書処理プログラム、スプレッドシートプログラム等）のマクロ言語内に書き込まれ、且つ、例えば、そのプログラムがランされる場合、文書がそのプログラムを介してアクセスされる場合、又はユーザが、そのプログラム内において、例えば特定のキー操作又はメニュー選択等の所定の動作を行う場合に、トリガされる。
【０００８】
幾つかのウイルスは多形態であり（例えば、それらのシグネチャを周期的に変化させる）、従って、それらはウイルスシグネチャをスキャンするシグネチャスキャン検知方法を回避することが可能である。ハイブリッド又は多構成ウイルスは１つを超えるタイプの悪性コードの特性を有している。
【０００９】
幾つかの悪性コードはトロージャンのような特性を有している。トロージャンは、伝説の木製の馬と同様に、そうでない何物かであることを装うことによって動作する。典型的に、トロージャンは有用又は興味のあるソフトウエアとして仮装し、一方、そのプログラムをランするユーザに対して与えられた特権の下でターゲットコンピュータ上で実行するウイルス又は悪性のコードを担持している。トロージャンは、しばしば、ホスト用のマシンを直接的に攻撃するものではないが、その後のより深刻なアタックに対しての裏口を提供する。
【００１０】
ワームはしばしば何等人間が介入することなしに（例えばファイルを開けること、プログラムをランすること等）コンピュータネットワークにわたってそれ自身を伝播させる一片のソフトウエアである。典型的に、それはターゲットコンピュータ上でランする一般的に使用されるネットワークソフトウエアにおけるバグ又は見過ごされた特徴を利用することによってネットワークへ感染する。
【００１１】
従来のセキュリティツールは、典型的に、既知の悪性コードをターゲットするものであるが、不断に増加する新たなウイルス及びその他の悪性コードの流れに対してハンディキャップを負っている。このようなセキュリティツールは、しばしば、新たな悪性コードの増殖に対して巻き返しを謀っている。殆どの従来のセキュリティツールは、新たなセキュリティの脅威を検知し且つ処置するためのツールの能力を改善するために、例えばバイナリーパッチ及び／又はアルゴリズミックオプティマイゼーションを介して再編成又は再形態特定を必要とする。新たな脅威に対してツールがアップグレードされるまで、そのツールは無能のままとされ、エンタプライズネットワークをその脅威により発生される無秩序に対して露呈させることとなる。
【００１２】
新たなセキュリティ脅威が多数であり且つ常に変化する特性のものであることに鑑み、セキュリティの侵害が発生する前においても動作するプロアクティブセキュリティツールが必要とされている。
【００１３】
プロアクティブセキュリティは潜在的な脅威を認識することを包含している。殆どの従来のセキュリティメカニズムは固定された既知のウイルスシグネチャ又はセキュリティ欠陥をアタックするためのしばしば使用される技術を検知することに依存している。このような検知メカニズムはウイルスシグネチャファイル及び／又は固定されたセキュリティポリシー規則を使用する。然しながら、シグネチャファイル及び／又はポリシー規則は、新たな悪性コードを検知することが可能となる前に適宜アップデートされねばならない。
【００１４】
従来のセキュリティ手段は、典型的に、特定のマシンをターゲットとすべく設計された原子的実行モジュールとして悪性コードを取り扱う。然しながら、上に暗示した如く、殆どの悪性コードは、１つのターゲットマシンから次のターゲットマシンへ伝播すべく設計されており、且つ多くの悪性コードは自己伝播型である。悪性コードは、典型的に、原子単位ではないので、ソフトウエアウイルスがエンタプライズ環境内に侵入すると、それは幾つかのマシンにわたって同様に動作する。従って、検知メカニズムを単一のマシンへ局所化することは非効率的である。更に、殆どの従来のセキュリティツールは、処理レイテンシーを有しており、そのことは、アタックがエンタプライズ環境を介して実質的に伝播した後においてのみ悪性アタックの検知及びそれに対する介入を行うことを可能とするに過ぎない。
【００１５】
幾つかのエンタプライズセキュリティツールはエンタプライズネットワークにわたってのセキュリティポリシーを同期化させ及び／又はクライエントフィードバックを収集することが可能であるが、それらは、ネットワーク環境にわたっての大規模な疑わしい挙動を診断するためのセキュリティ情報の有用な供給源となる可能性のある大規模クライエント挙動をモニタするためにクライエントマシンから受取ったデータを同期させるものではない。
【００１６】
悪性なアタックを防止し阻止し且つ孤立化させることもプロアクティブセキュリティ範囲の一部である。従来の阻止手順は、典型的に、危険な状態に対して制限された直接的なソリューションを与える固定した方法論に依存するものである。更に、このような手段は、ネットワーク環境において、通常、固定した遠隔管理プロトコルに依存するものであり、そのことは、予測しなかったアタックがそのプロトコルが実施することが不可能なアクションを必要とする場合には、著しく機能性を制限するものである。
【発明の開示】
【発明が解決しようとする課題】
【００１７】
従って、新しいコンピュータウイルス及び悪性コードを識別し且つ対抗するための新規でより柔軟性のある方法が必要とされている。
【課題を解決するための手段】
【００１８】
本発明は、エンタプライズネットワークにおける既知及び未知の悪性コードを検知し且つ対抗するためのシステムを提供するものである。１実施例において、本システムは、サーバー、及びエンタプライズネットワークを介して該サーバーへ接続している複数個のローカルマシンを包含している。各ローカルマシンは、パターン認識プロセッサを包含しており、それはローカルオペレーションをモニタして異常なローカル挙動パターンを検知し且つローカル挙動パターン内において異常が検知された後に警報を発生する。該サーバーは該複数個のローカルマシンからの異常挙動警報をモニタし且つ解析する。対応する時間期間にわたって少なくともスレッシュホールド数のローカルマシンから同様の警報が受信されると、該サーバーは該異常挙動警報の解析に基づいて１つ又はそれ以上の対抗手段オペレーションを選択し且つ該ローカルマシンにより実施されるべきその選択された対抗手段オペレーションをローカルマシンへ通信する。
【００１９】
本開示は、又、サーバーと複数個のローカルマシンとを具備するエンタプライズネットワークシステムにおいて悪性コードを検知し且つ対抗する方法を提供するものである。１実施例においては、本方法は、（ａ）各ローカルマシンにおいてローカルオペレーションをモニタして異常なローカル挙動パターンを検知し、且つ、該ローカル挙動パターンにおける異常がローカルマシンにおいて検知される場合に、該ローカルマシンから該サーバーへ異常挙動警報を発生し、且つ（ｂ）該サーバーにおいて該ローカルマシンからの異常挙動警報を解析し、且つ、対応する時間期間にわたって少なくともスレッシュホールド数のローカルマシンから同様な警報が受信される場合には、該異常挙動警報の解析に基づいて１つ又はそれ以上の対抗手段オペレーションを選択し且つ該選択した対抗手段オペレーションを該ローカルマシンへ通信する、ことを包含している。
【発明を実施するための最良の形態】
【００２０】
本発明は、システム及び方法の形態において、エンタプライズネットワークにおける既知及び未知の悪性コードを検知し且つ対抗するためのツールを提供するものである。悪性コードの検知は、異常動作に対してエンタプライズ全体にわたりモニタすることにより達成することが可能であり、そのことは、幾つかの例においては、新しい認識されていないコードがラン即ち稼動されることに起因する場合がある。本ツールは、コンピュータにより読取可能な媒体上に格納した１つ又はそれ以上のコンピュータプログラムで実現することが可能であり及び／又はコンピュータネットワーク又はその他の伝送媒体を介して送信することが可能である。
【００２１】
本ツールは、例えば、エンタプライズ全体にわたるセキュリティに対する侵害をより効果的に検知するためのエンタプライズ管理ソフトウエアと統合させることが可能である。エンタプライズワークステーション／コンピュータ（「ローカルマシン」とも呼称される）は、典型的に、同じように形態特定される（例えば、エンタプライズポリシーにより特定される場合がある）。殆どのエンタプライズユーザは、ツールの同じような集まりを使用し且つ同じようなソフトウエア利用する習慣を有している。エンタプライズユーザは、典型的に、例えば同一の機能性に役立つ論理的集まりにグループ化される（例えば、管理、マーケティング、サポート等）。論理的グループ化はそれらを互いに更に明確に異なるものとさせる。異なるものであるので、各グループは、以下に説明するように、パターン認識プロセッサでトレーニングされるべき異なるプロファイルで自己調節することが可能である。幾つかのワークステーションがそれらの通常の実行経路から逸れる場合には、エンタプライズ環境にわたって何等かの異常が発生していると推測することが可能である。
【００２２】
１実施例に基づいてエンタプライズネットワークにおける悪性コードを検知し且つ対抗するためのシステムを図１Ａに示してある。システム１はサーバー３及びネットワーク５を介して該サーバーへ接続されているローカルマシン２−１乃至２−Ｎを有している。各ローカルマシン（２−１乃至２−Ｎ）はパターン認識プロセッサ２ａを包含している。該パターン認識プロセッサはローカルオペレーション即ち局所的動作をモニタして異常なローカル挙動パターンを検知し、且つローカル挙動パターンにおいて異常性が検知された後にアラート即ち警報を発生する。サーバー３はローカルマシン（２−１乃至２−Ｎ）からの異常挙動警報をモニタし且つ解析する。対応する時間期間にわたって少なくともスレッシュホールド数のローカルマシンから同じような警報が受信される場合に、該サーバーはその異常挙動警報の解析に基づいて１つ又はそれ以上の対抗手段オペレーションを選択し且つローカルマシンへ該ローカルマシンにより実施されるべきその選択した対抗手段オペレーションを通信する。
【００２３】
エンタプライズ環境における未知の性質の悪性コードの配備（即ち、それについてのシグネチャ又は挙動パターンが知られていない）は、パターン認識技術（例えば、ニューラルネット、クラスタリング技術、決定樹（ｄｅｃｉｓｉｏｎ  ｔｒｅｅ）技術等）により検知することが可能である。例えば、ローカルマシンにおける局所的なパターンから外れた挙動が短いインターバルにおいて継続的に又は周期的にモニタされ、大規模な異常挙動パターンを認識するために、エンタプライズネットワークを介して接続されている複数個のローカルマシンからの結果が同期される。
【００２４】
例えば、パターン認識プロセッサはローカルオペレーティングシステムに対するコールをモニタすることが可能である。ローカルオペレーティングシステムのコールのログを維持するために信号モニタを設けることが可能である。
【００２５】
各ローカルマシンは、更に、サーバーとの通信のためのネットワークリレーを包含する遠隔制御コアを包含することが可能である。異常挙動警報はローカルマシンからネットワークリレーを介してサーバーへ通信される。ローカルマシンにおける異常挙動の検知がネットワークへの警報の発行をトリガすることが可能であるが、異常挙動の付加的な確認がエンタプライズネットワークにわたっての介入的手段をトリガすることが可能である。悪性コードの検知を確認した後に、遠隔制御コアを使用して迅速に変更、パッチ、又はローカルマシンにおける脅威を取り扱うのに必要な何等かの可能なアクションを迅速に配備することが可能である。遠隔制御命令はネットワークリレーを介してローカルマシンにより受信することが可能である。
【００２６】
本システムは、更に、クラスターマネージャを包含することが可能である。異常挙動警報は該クラスターマネージャを介して複数個のローカルマシンからサーバーへ通信される。
【００２７】
サーバーは、エンタプライズネットワークにおける疑わしいアクティビティをモニタするための専用のシステムとすることが可能である。対抗手段オペレーションは、エンタプライズ全体にわたる管理ユーティリティへの通知、異常挙動警報に関連する１つ又はそれ以上のローカル機能性をシャットダウンさせるためのローカルマシンに対する命令、及び／又はユーザに対する電子メールによる警告を包含することが可能である。サーバーによってローカルマシンへ通信される対抗手段オペレーションは、ライブラリー名及びファンクションコールによって、又はユーティリティ名により識別することが可能である。
【００２８】
クライエント・サーバーパラダイムに基づくエンタプライズネットワークにおける悪性コードの検知及び対抗するためのシステムを図１Ｂに示してある。然しながら、理解すべきことであるが、本発明のツールはクライエント・サーバープログラミングモデルに制限されるものではなく、ピアツーピアシステム、メッセージパッシングシステム、及びその他のプログラミングモデルにおいて使用すべく適合させることが可能である。
【００２９】
システム１０はサーバー１４及びネットワーク１５を介して該サーバーへ接続されている複数個のローカルマシン１１−１乃至１１−Ｎ上のクライエント１２を有している。各クライエント１２はパターン認識プロセッサ１２ａを有しており、且つ、オプションとして、オペレーティングシステム信号モニタ１２ｂ及び遠隔制御コア１２ｃを有している。パターン認識プロセッサと、信号モニタと、遠隔制御コアとを包含するクライエント１２は、対応するローカルマシン（１１−１乃至１１−Ｎ）上のコンピュータによって読取可能な媒体上に格納されているコンピュータプログラムとすることが可能であり及び／又はコンピュータネットワーク及びその他の伝送媒体を介してローカルマシンへ送信することが可能である。例えば、クライエントはオペレーティングシステムカーネルに対するコンパクトな拡張とすることが可能である。
【００３０】
パターン認識プロセッサ２ａ又は１２ａは、例えばローカルオペレーティングシステム１３に対するコール等の対応するローカルマシン上のオペレーション即ち動作をモニタする。パターン認識プロセッサはローカルマシン内の異常な挙動パターンを検知するためにニューラルネットワーク及びその他の人工知能技術を使用することが可能である。例えば、その方法としては、例えば、本願出願人の所有する米国特許第５，７９６，９４２号、第５，７３４，７９６号、第６，１３４，５３７号、第６，２１２，５０９号、第６，３２７，５５０号、及び本願出願人の係属中の米国特許出願第６０／３７４，０６４号、発明の名称「数値及び／又は非数値混合データの処理（ＰＲＯＣＥＳＳＩＮＧ  ＭＩＸＥＤ  ＮＵＭＥＲＩＣ  ＡＮＤ／ＯＲ  ＮＯＮ−ＮＵＭＥＲＩＣ  ＤＡＴＡ）」、第６０／３７４，０２０号、発明の名称「自動ニューラルネットモデル発生及び維持（ＡＵＴＯＭＡＴＩＣ  ＮＥＵＲＡＬ−ＮＥＴ  ＭＯＤＥＬ  ＧＥＮＥＲＡＴＩＯＮ  ＡＮＤ  ＭＡＩＮＴＥＮＡＮＣＥ）」、第６０／３７４，０２４号、「階層的可視化を介しての多次元データの観察（ＶＩＥＷＩＮＧ  ＭＵＬＴＩ−ＤＩＭＥＮＳＩＯＮＡＬ  ＤＡＴＡ  ＴＨＲＯＵＧＨ  ＨＩＥＲＡＲＣＨＩＣＡＬ  ＶＩＳＵＡＬＩＺＡＴＩＯＮ）」、第６０／３７４，０４１号、「システム内の発見的変化を発見するための方法及び装置（ＭＥＴＨＯＤ  ＡＮＤ  ＡＰＰＡＲＡＴＵＳ  ＦＯＲ  ＤＩＳＣＯＶＥＲＩＮＧ  ＥＶＯＬＵＴＩＯＮＡＲＹ  ＣＨＡＮＧＥＳ  ＷＩＴＨＩＮ  Ａ  ＳＹＳＴＥＭ）」、第６０／３７３，９７７号、「ローカルネットを介しての自動的モデル維持（ＡＵＴＯＭＡＴＩＣ  ＭＯＤＥＬ  ＭＡＩＮＴＥＮＡＮＣＥ  ＴＨＲＯＵＧＨ  ＬＯＣＡＬ  ＮＥＴＳ）」、及び第６０／３７３，７８０号、「データマイニングのためのニューラルネットワークの使用（ＵＳＩＮＧ  ＮＥＵＲＡＬ  ＮＥＴＷＯＲＫＳ  ＦＯＲ  ＤＡＴＡ  ＭＩＮＩＮＧ）」、（尚、これらを引用によりその全体を本明細書に取込む）に記載されているようなニューラルネット、ルールベース（ｒｕｌｅ−ｂａｓｅｄ）及び状態解析技術の組合わせを包含することが可能である。
【００３１】
パターン認識プロセッサは継続的にローカル挙動パターンをモニタすることが可能であり、又は、好適には、各タイムインターバル即ち時間間隔において数分を超えることのない時間サイクルで動作することが可能である。タイムインターバルの終わりにおいて、パターン検知プロセッサはそのインターバル期間中の挙動パターンを解析し、且つ異常なパターンが検知される場合には、最も最近の知見と共に遠隔制御コアへアラート即ち警報を送信する。その解析は、又、先行するタイムインターバルにおいてログ即ち記憶された挙動パターンの考慮を包含することが可能である。
【００３２】
パターン認識プロセッサがローカルオペレーティングシステム１３へのコールをモニタする実施例において、信号モニタ１２ｂはオペレーティングシステムコール（例えば、ファイル入力・出力、ネットワーク入力・出力、メモリ管理等）を監査するためにローカルマシン上のオペレーティングシステムへフッキングするために設けられている。信号モニタモジュールは、例えば、オペレーティングシステムカーネルに対する拡張としてオペレーティングシステム内に密接に融合させることが可能である。このようなオペレーティングシステムに対する接続を介して、信号モニタモジュールは悪性であるか否かに拘わらずオペレーティングシステムコールのアクティビティをモニタし且つ記録する。パターン認識プロセッサ１２ａはそのオペレーティングシステムへのコールの記録を周期的に解析して何等かの異常なパターンを検知する。
【００３３】
パターン認識プロセッサは、その他の異常な及び／又は悪性な又はウイルスの挙動パターンを検知すべくトレーニングするか又は適合させることが可能である。異常な挙動パターンは、例えば、既知又は未知のウイルス、トロージャン、ワーム、又はその他の悪性コード（例えば、メモリ常駐、ファイル、及び／又はマクロウイルスの特性を有するもの）に対応する場合がある。パターン認識プロセッサは、又、幾つかのエンタプライズマシンにわたっての怠慢な又は直接的に攻撃的な「削除」オペレーション等の内部的な悪性のオペレーションを検知することが可能である。
【００３４】
パターン認識プロセッサは、パターン認識技術に加えて、例えば信頼性検査（例えば、チェックサム又はプログラムのファイル寸法に対する変化の検知）、多形態コード検知、インタラプトモニタ（制限されたシステムリソースへのアクセスのモニタ）、統計的解析、シグネチャ及び／又は発見的スキャニング等の複数の検知方法を使用することが可能である。幾つかの例示的なウイルス／悪性コード検知方法は米国特許出願第０９／９０５，３４２号、第０９／９０５，３４０号、第０９／９０５，５３３号、第０９／９０５，３４１号、第０９／９０５，５３２号、及び第０９／９０５，３４３号（これら全ての出願日は２００１年７月１４日）、第０９／８２３，６７３号（出願日は２００１年３月３０日）及び第６０／３３４，４２０号（出願日は２００１年１１月３０日）に記載されており、尚、そのこれらの各々は引用により本明細書に取込む。
【００３５】
遠隔制御コア１２ｃは局所的に評価した情報をサーバーへ送信し、且つローカルワークステーションの遠隔管理のためにサーバーからの命令を受信するためのネットワークリレーを提供している。遠隔制御プロセスは、ローカルセキュリティ手段に対する管理的プロトコルを包含することが可能である。ローカルの保護（即ち介入的）セキュリティ手段は、例えば、選択したファイルへのアクセスの阻止、怪しげなファイルのコピーを防止するための怪しげなファイルに関する検疫の設定（サーバー、別の格納媒体、別のドメイン等に対し）、ローカルマシンからその他のマシンへのファイル転送及び／又はその他の通信の防止、ローカル及び／又はエンタプライズ資源（例えば、ファイルシステム）へのユーザのアクセスを制限するために特定のユーザに関する検疫の設定、感染したファイルの治療等を包含することが可能である。
【００３６】
好適には、遠隔的に喚起させることが可能な阻止及び／又は介入的機能性を達成するために、システムのソフトウエア特性（例えば、オペレーティングシステム、アプリケーションソフトウエア、ユーティリティ、ダイナミックリンクライブラリー等のインストールされているコードの何等かの条件）に準拠する抽象制御メカニズムが設けられる。その制御メカニズムが通信オーバーヘッドを最小とさせるために通信プロトコルにより縛られるものでないことが好適である。遠隔管理は実行すべきオペレーションを特定することにより（例えば、ライブラリー名及びファンクションコール、ユーティリティ名、パラメータ等）サーバーにより実施することが可能である。遠隔クライエントは動的にそのオペレーションを実行する。抽象遠隔管理コアはシステムがサポートするオペレーションを遠隔的に特定することを可能とする。従って、遠隔制御コアにおいて固定されたプロトコル制限を最小とすることが可能である。
【００３７】
より一般的なセキュリティポリシーが配備される前にセキュリティギャップをシャットダウンさせるために、事実上全ての遠隔オペーションを特定し且つ実施することが可能である。例えば、アクセスが制限されているシステムリソースへの疑わしいオペレーティングシステムコールと関連する警報がクラスター内の所定数（例えば、３）又はそれ以上のローカルマシンからサーバーにより受信される場合には、該サーバーは、（ａ）特定した時間期間の間ターゲットとされたシステムリソースへのアクセスを禁止し、（ｂ）エミュレーションモードで稼動中に、その時間期間中にオペレーティングシステムコールの発生源（及びその他の詳細）を識別するためにその遠隔制御コアを介してマシンへ命令すべく該クラスター内の各マシンに対してブロードキャストを行うことが可能である。
【００３８】
ローカルエリアネットワーク（ＬＡＮ）にわたって幾つかのローカルマシンをクラスター化することにより、クライエントは同期されたネットワークへ容易にグループ化させることが可能である。問題のある挙動パターンの流れをサーバー１４へ送信するために１つ又はそれ以上のクラスターマネージャを反復的に使用することが可能である（図２Ａ及び２Ｂ）。クラスターマネージャはローカルマシン上に常駐することが可能である。ローカルマシンはそれらの最近の知見の圧縮したシグネチャをクラスターマネージャへの警報として送信することが可能である。
【００３９】
ローカルマシンは既知のコンピュータプラットフォーム（例えば、ＩＢＭ互換性又はマッキントッシュパソコン、ワークステーション、ハンドヘルドコンピュータ又はコンピュータ装置、埋込型プロセッサ及びオペレーティングシステムを具備するその他の装置等）のいずれかとすることが可能である。ＬＡＮは従来のケーブル接続型又はワイヤレス（例えば、ＩＥＥＥ８０２、１１ｂスタンダードに準拠するもの）とすることが可能である。
【００４０】
専用マシンはサーバー１４として作用することが可能である。エンタプライズ全体にわたっての警報を収集することにより、サーバーは全体的な疑わしいアクティビティをモニタすることが可能である。サーバーは、ローカルマシンにおいて何時対抗手段オペレーションが取られるべきであるか、及び同じような警報のあるスレッシュホールドが充足される場合に取られるべき対抗手段を決定するためにルールベース方法（及び／又はその他の人工知能）を使用することが可能である。
【００４１】
例えば、サーバーは以下のアクション、即ち、例えばユーザ及び／又はリソースアクセスを制限するためにエンタプライズ全体（ユーザ及びリソース）にわたっての管理ユーティリティに対して通知をすること、各（多分）感染されているマシンをシャットダウンすべく命令すること、ネットワークを介しての悪性コードの正確な流れを特定すること、及びそれらの遠隔制御コアを介してクライエントに対してブロードキャストことにより脅威に対してどのように防衛するかの迅速なソリューション（例えば、電子メールプログラム又は文書処理プログラム等のターゲットとされたソフトウエアをディスエーブルさせるか、又はあるＴＣＰ／ＩＰポートをシャットダウン）を与えること、のうちの１つ又はそれ以上を取ることが可能である。
【００４２】
本発明の１実施例に基づくエンタプライズネットワークにおいての悪性コードを検知し且つ対抗する方法について図１乃至３を参照して説明する。ローカルマシン２又は１１のパターン認識プロセッサ２ａ又は１２ａが、例えば、ローカルオペレーティングシステムに対するコール等のローカルオペレーション即ち局所的動作をモニタしてローカルマシンにおける異常な挙動パターンを検知する（ステップＳ３１）。オプションとして、信号モニタ１２ｂはローカルオペレーティングシステムのコールのログ即ち記録を維持するためにローカルマシンにおいてオぺレーティングシステムのコール（例えば、ファイル入力・出力コール、ネットワーク入力・出力コール、メモリ管理コール等）を登録することが可能である。いずれの場合においても、パターン認識プロセッサがローカル挙動パターンにおいて異常性を検知する場合には（ステップＳ３２）、該プロセッサは異常挙動警報を発生する（ステップＳ３３）。その警報はローカルマシンから、例えば、遠隔制御コア１２ｃのネットワークリレー、及び、オプションとして、クラスターマネージャを介して、サーバー３又は１４へ通信される。一方、該サーバーはローカルマシンからの異常挙動警報を解析する（ステップＳ３４）。該サーバーはエンタプライズネットワークにおいての疑いのあるアクティビティに対してモニタリングのタスクに割当てられた専用のシステムとすることが可能である。同じような警報の数が対応する時間期間にわたってスレッシュホールド数（例えば、５分間にわたって５個の警報、１０分間にわたって１２個の警報等）を超える場合には（ステップＳ３５）、該サーバーはその警報の特性に従って１つ又はそれ以上の対抗手段オペレーションを選択し且つその対抗手段オペレーションをクライエントへ通信する（ステップＳ３６）。該対抗手段オペレーションは、エンタプライズ全体にわたっての管理ユーティリティへの通知、１つ又はそれ以上のローカル機能性をシャットダウンするための命令、及び／又はユーザに対する電子メールによる警告を包含することが可能である。該対抗手段オペレーションは、ライブラリー名及びファンクションコール、ユーティリティコール等により識別することが可能である。
【００４３】
未知の悪性コード（例えば、ウイルス、ワーム、トロージャン、埋込型スクリプト、又はソフトウエアウイルスのその他の任意の形態）に対してプロアクティブに検知し且つ対抗手段を講じることは、異常なシステム挙動を綿密に追跡するためにパターン認識方法（例えばニューラルネット及びその他の人工知能）のパワーを利用することにより得ることが可能である。上述した実施例においては、新たなウイルスを表わす場合のある広く広がった異常性を検知するためにクラスター型とすることが可能なネットワーク接続したエンタプライズワークステーションにわたってデータを同期させることが可能である。ウイルスのような異常性が検知されると、そのウイルスを飲み込み及びその更なる感染に対して遮蔽を行うためにオンザフライで対抗手段を実施するために統合された抽象遠隔管理コアを使用することが可能である。
【００４４】
別の実施例によれば（図４）、データをローカルマシン（４２−１乃至４２−Ｎ）から収集し且つ中央化した位置（サーバー４１）におけるパターン認識プロセッサ４１ａにより処理することが可能である。中央化した位置においてのデータの収集及び処理はネットワークトラフィックを増加させる場合がある。然しながら、この増加されたトラフィックは、簡単化した検知形態（例えば、クライエントデータ収集を減少させることにより）を使用することにより緩和させることが可能である。
【００４５】
上述した実施例におけるサーバーが専用のステーションであることが好適であるが、その他の機能性及び任務を有するステーションもエンタプライズモニタとして作用することが可能である。更に、エンタプライズネットワークにおける各マシンは、クライエントの機能のみならずサーバーの機能も設けることが可能である。警報は１つのマシンから次のマシンへのメッセージとしてパスさせることが可能である（パッケージ化するか又は個別的に）。マシンがスレッシュホールド数の警報を包含するメッセージを受信すると、それはその警報を解析し且つローカルマシンの遠隔制御コアを介して入手可能な１つ又はそれ以上の対抗手段を実施するための命令をローカルマシンへブロードキャストするためにサーバーの機能を喚起させることが可能である。
【００４６】
更に、特許請求の範囲から又は開示の精神から逸脱することなしに例示的な実施例に関してその他の多くの変形を導入することが可能である。異なる例示的実施例の要素及び／又は特徴は、この開示及び特許請求の範囲内において互いに結合させることが可能であり及び／又は互いに置換させることが可能である。
【００４７】
例えば、パターン認識プロセッサは異常なオペレーティングシステムのコールの検知に制限することは必要ではない。警報は、全ての異常なセキュリティ侵害に対してではなく全てのセキュリティ侵害に対して発生することが可能である。このような検知手法は実現するのに著しく容易である。然しながら、より多くの誤った警報を発生する。
【００４８】
付加的な変形例は２００２年４月１７日付で出願した米国の仮特許出願第６０／３７３，１３５号を読むことにより当業者にとって自明なものであり、尚その仮特許出願の全体を引用により本明細書に取込む。
【図面の簡単な説明】
【００４９】
【図１Ａ】本発明の１実施例に基づくエンタプライズネットワークにおける悪性コードを検知し且つ対抗するためのシステムを示したブロック図。
【図１Ｂ】エンタプライズネットワークにおける悪性コードを検知し且つ対抗するための本発明の別の実施例に基づくシステムのブロック図。
【図２Ａ】本発明の別の実施例に基づくローカルマシンのクラスター化を示した概略図。
【図２Ｂ】図２Ａに対応する実施例におけるローカルマシンのクラスターにおけるタイミングを示した概略図。
【図３】本発明の１実施例に基づくエンタプライズネットワークにおける悪性コードを検知し且つ対抗するための方法を示したフローチャート。
【図４】本発明の別の実施例に基づくエンタプライズネットワークにおける悪性コードを検知し且つ対抗するためのシステムを示したブロック図。
【図１Ａ】
2005523539.tif 000003
【図１Ｂ】
2005523539.tif 000004
【図２Ａ】
2005523539.tif 000005
【図２Ｂ】
2005523539.tif 000006
【図３】
2005523539.tif 000007
【図４】
2005523539.tif 000008
【国際調査報告】
2005523539.tif 000009
2005523539.tif 000010