【手続補正書】
【提出日】平成27年1月23日(2015.1.23)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
複数のデータブロックに対する一意識別子を格納するとともに、格納された一意識別子に関連する前記複数のデータブロックの各々が正当であるか不正であるかのインジケータを格納するように構成された記憶装置と、
プロセッサ装置と、を備えるシステムにおいて、
前記プロセッサ装置は、
データブロックを含むネットワークトラフィックを受信し、
前記データブロックがネットワークトラフィックにより受信される際、該データブロックに対する一意識別子であって、該データブロックのコンテンツに対応するハッシュ値を含む一意識別子を生成し、
前記データブロックを含むパケットのネットワークトラフィックに対するパケットスキャン動作中、記憶装置における一意識別子によりデータブロックが正当であるとして示されるかまたは不正であるとして示されるかを判断し、
前記データブロックが記憶装置における一意識別子により示されていないと判断される場合、前記データブロックのファイルタイプに対応するファイルタイプ特有の検出ナゲットを呼び出して、前記データブロックが悪意のあるものかどうかを検出するために前記データブロックの完全なファイル検査を実行し、前記データブロックが正当であるか不正であるかを示す完全なファイル検査の結果を該データブロックの一意識別子とともに記憶装置に格納し、
記憶装置における一意識別子により前記データブロックが正当であるとして示されていると判断される場合、ファイルタイプ特有の検出ナゲットを呼び出さず、
記憶装置における一意識別子により前記データブロックが不正であるとして示されていると判断される場合、ファイルタイプ特有の検出ナゲットを呼び出さずに、受信されたデータブロックが不正であることを示す警告を発するように構成されている、
システム。
【請求項２】
ファイルタイプ特有の検出ナゲットは、前記データブロックの評価が望まれるとの通知をディスパッチャプログラムに送信し、ファイルタイプ特有の検出ナゲットによる検査を認可するトークンをディスパッチャプログラムから受信し、前記データブロックと検査を認可するトークンとをファイルタイプ特有の検出ナゲットに示して前記データブロックの完全なファイル検査を始めることによって呼び出され、
異なるファイルタイプのファイルコンテンツの完全なファイル検査を各々提供するための複数のファイルタイプ特有の検出ナゲットが存在する、請求項１に記載のシステム。
【請求項３】
複数のファイルタイプ特有の検出ナゲットを格納するナゲット記憶領域をさらに備え、ファイルタイプ特有の検出ナゲットの各々は、
ファイルタイプ特有の検出ナゲットに特有の検査を認可するトークンが受信され、該受信したトークンが有効であるとして示されている場合、それぞれの異なるファイルタイプに従って前記データブロックのファイル検査を提供し、
受信したトークンが有効であるとして示されていない場合、前記データブロックのファイル検査を提供せず、
ファイル検査は要求されているがトークンは受信されていない場合、前記データブロックのファイル検査を提供しないように構成されている、請求項１に記載のシステム。
【請求項４】
ファイルタイプ特有の検出ナゲットは、
前記データブロックのサブコンポーネントが、ファイルタイプ特有の検出ナゲットによって取り扱われるのとは異なるファイルタイプまたは難読化スキームを伴って見出される場合、該サブコンポーネントに対する一意識別子を作成し、
異なるファイルタイプのサブコンポーネントに対応する異なるファイルタイプ特有の検出ナゲットを呼び出して、前記サブコンポーネントが不正であるかまたは悪意のあるものであるかを検出するべく、該サブコンポーネントのコンテンツを検査するか、または記憶装置における前記サブコンポーネントの一意識別子を探し、
見出されたサブコンポーネントの検査結果が不正であるかまたは悪意のあるものとして返される場合、記憶装置における前記データブロックの一意識別子とともに前記データブロックが正当であるとのインジケータを格納することに代えて、前記サブコンポーネントが不正であることと前記データブロックが不正であることとを示すサブコンポーネント検査の結果を記憶装置における前記サブコンポーネントおよび前記データブロックの両方の一意識別子とともに格納する、請求項１に記載のシステム。
【請求項５】
プロセッサ装置は、ファイルタイプ特有の検出ナゲットに新しい検出能力が追加される際、正当インジケータを有する記憶装置に格納されたデータブロックに対する一意識別子に「汚染」として印を付け、
プロセッサ装置は、データブロックの正当な状態が検証されるように、データブロックが「汚染」として示されている場合、「正当」であるとして示すことに代えて、コンピュータ記憶装置において示されていないものとしてデータブロックを取り扱い、示されていた「汚染」は新しい検出能力が追加された後で置き換えられる、請求項１に記載のシステム。
【請求項６】
ファイルタイプ特有の検出ナゲットは、特定の既定の攻撃トリガ条件を標的とする完全なファイル解析を実行するように構成されている、請求項１に記載のシステム。
【請求項７】
プロセッサは、完全なファイルおよびサブコンポーネント処理に基づき遡及警告を提供するようさらに構成されている、請求項１に記載のシステム。
【請求項８】
記憶装置に格納された一意識別子は、前記複数のデータブロックの各々がネットワークトラフィックにより受信される際、異なる複数のデータブロックにおける完全なファイルコンテンツからの暗号化ハッシュ計算によって得られる、請求項１に記載のシステム。
【請求項９】
不正なデータブロックを含むメールゲートウェイを通じて受信されたネットワークトラフィックを取り扱うためにメールゲートウェイに取り付けられたアンチウイルスシステムに警告を発する、請求項１に記載のシステム。
【請求項１０】
記憶装置に格納された一意識別子は、該一意識別子がすべてのシステムユーザにユニークである場合、「グローバル」としてさらに示され、該一意識別子が個人にユニークであるがすべてのシステムユーザにはユニークでない場合、「グローバル」として印を付けられない、請求項１に記載のシステム。
【請求項１１】
プロセッサ装置は、１つまたは複数のファイルタイプ特有の検出ナゲットからファイルタイプを含む１つまたは複数のファイルタイプによる対象の宣言を受信し、
前記データブロックが記憶装置における一意識別子により示されていないと判断される場合、該データブロックのファイルタイプを対象とすると宣言した１つまたは複数のファイルタイプ特有の検出ナゲットのすべてを呼び出して、前記データブロックのファイルタイプを対象とすると宣言した１つまたは複数のファイルタイプ特有の検出ナゲットの各々がデータブロックを検査し、自身のファイル検査の結果を返すことができるようにさらに構成されている、請求項１に記載のシステム。
【請求項１２】
複数のデータブロックに対する一意識別子を格納するとともに、格納された一意識別子に関連する前記複数のデータブロックの各々が正当であるか不正であるかのインジケータを格納するように構成された記憶装置と、
プロセッサ装置と、を備えるシステムにおいて、
前記プロセッサ装置は、
データブロックを含むデータをキャプチャし、
該データブロックに対する一意識別子であって、該データブロックに対応するハッシュ値を含む一意識別子を生成し、
１つまたは複数のファイルタイプ特有の検出コンポーネントから前記データブロックのファイルタイプを含む１つまたは複数のファイルタイプによる対象の宣言を受信し、
記憶装置における一意識別子によりデータブロックが正当であるとして示されるかまたは不正であるとして示されるかを判断し、
前記データブロックが記憶装置における一意識別子により示されていないと判断される場合、該データブロックのファイルタイプを対象とすると宣言した１つまたは複数のファイルタイプ特有の検出コンポーネントのすべてを呼び出して、前記データブロックのファイルタイプを対象とすると宣言した１つまたは複数のファイルタイプ特有の検出コンポーネントの各々が前記データブロックが悪意のあるものかどうかを検出するためにデータブロックの検査を実行し、自身のファイル検査の結果を各々返し、前記データブロックが正当であるか不正であるかを示す完全なファイル検査の結果を該データブロックの一意識別子とともに記憶装置に格納し、
記憶装置における一意識別子により前記データブロックが正当であるとして示されていると判断される場合、前記１つまたは複数のファイルタイプ特有の検出コンポーネントのいずれも呼び出さず、
記憶装置における一意識別子により前記データブロックが不正であるとして示されていると判断される場合、前記１つまたは複数のファイルタイプ特有の検出コンポーネントのいずれも呼び出さずに、受信されたデータブロックが不正であることを示す警告を発するように構成されている、
システム。
【請求項１３】
プロセッサ装置により、
データブロックを含むネットワークトラフィックを受信し、
前記データブロックがネットワークトラフィックにより受信される際、該データブロックに対する一意識別子であって、該データブロックのコンテンツに対応するハッシュ値を含む一意識別子を生成し、
前記データブロックを含むパケットのネットワークトラフィックに対するパケットスキ
ャン動作中、記憶装置における一意識別子によりデータブロックが正当であるとして示されるかまたは不正であるとして示されるかを判断し、
前記データブロックが記憶装置における一意識別子により示されていないと判断される場合、前記データブロックのファイルタイプに対応するファイルタイプ特有の検出ナゲットを呼び出して、前記データブロックが悪意のあるものかどうかを検出するために前記データブロックの完全なファイル検査を実行し、前記データブロックが正当であるか不正であるかを示す完全なファイル検査の結果を該データブロックの一意識別子とともに記憶装置に格納し、
記憶装置における一意識別子により前記データブロックが正当であるとして示されていると判断される場合、ファイルタイプ特有の検出ナゲットを呼び出さず、
記憶装置における一意識別子により前記データブロックが不正であるとして示されていると判断される場合、ファイルタイプ特有の検出ナゲットを呼び出さずに、受信されたデータブロックが不正であることを示す警告を発する、
方法。
【請求項１４】
ファイルタイプ特有の検出ナゲットは、前記データブロックの評価が望まれるとの通知をディスパッチャプログラムに送信し、ファイルタイプ特有の検出ナゲットによる検査を認可するトークンをディスパッチャプログラムから受信し、前記データブロックと検査を認可するトークンとをファイルタイプ特有の検出ナゲットに示して前記データブロックの完全なファイル検査を始めることによって呼び出され、
異なるファイルタイプのファイルコンテンツの完全なファイル検査を各々提供するための複数のファイルタイプ特有の検出ナゲットが存在する、請求項１３に記載の方法。
【請求項１５】
複数のファイルタイプ特有の検出ナゲットをナゲット記憶領域に格納する工程をさらに備え、
ファイルタイプ特有の検出ナゲットの各々は、
ファイルタイプ特有の検出ナゲットに特有の検査を認可するトークンが受信され、該受信したトークンが有効であるとして示されている場合、それぞれの異なるファイルタイプに従って前記データブロックのファイル検査を提供し、
受信したトークンが有効であるとして示されていない場合、前記データブロックのファイル検査を提供せず、
ファイル検査は要求されているがトークンは受信されていない場合、前記データブロックのファイル検査を提供しないように構成されている、請求項１３に記載の方法。
【請求項１６】
ファイルタイプ特有の検出ナゲットは、
前記データブロックのサブコンポーネントが、ファイルタイプ特有の検出ナゲットによって取り扱われるのとは異なるファイルタイプまたは難読化スキームを伴って見出される場合、該サブコンポーネントに対する一意識別子を作成し、
異なるファイルタイプのサブコンポーネントに対応する異なるファイルタイプ特有の検出ナゲットを呼び出して、前記サブコンポーネントが不正であるかまたは悪意のあるものであるかを検出するべく、該サブコンポーネントのコンテンツを検査するか、または記憶装置における前記サブコンポーネントの一意識別子を探し、
見出されたサブコンポーネントの検査結果が不正であるかまたは悪意のあるものとして返される場合、記憶装置における前記データブロックの一意識別子とともに前記データブロックが正当であるとのインジケータを格納することに代えて、前記サブコンポーネントが不正であることと前記データブロックが不正であることとを示すサブコンポーネント検査の結果を記憶装置における前記サブコンポーネントおよび前記データブロックの両方の一意識別子とともに格納する、請求項１３に記載の方法。
【請求項１７】
プロセッサ装置により、ファイルタイプ特有の検出ナゲットに新しい検出能力が追加さ
れる際、正当インジケータを有する記憶装置に格納されたデータブロックに対する一意識別子に「汚染」として印を付ける工程と、
データブロックの正当な状態が検証されるように、データブロックが「汚染」として示されている場合、「正当」であるとして示すことに代えて、コンピュータ記憶装置において示されていないものとしてデータブロックを取り扱い、示されていた「汚染」は新しい検出能力が追加された後で置き換えられる工程と、
をさらに備える請求項１３に記載の方法。
【請求項１８】
ファイルタイプ特有の検出ナゲットにより、特定の既定の攻撃トリガ条件を標的とする完全なファイル解析を実行する工程をさらに備える、請求項１３に記載の方法。
【請求項１９】
完全なファイルおよびサブコンポーネント処理に基づき遡及警告を提供する工程をさらに備える、請求項１３に記載の方法。
【請求項２０】
前記複数のデータブロックの各々がネットワークトラフィックにより受信される際、異なる複数のデータブロックにおける完全なファイルコンテンツからの暗号化ハッシュ計算によって記憶装置に格納された一意識別子を得る工程をさらに備える、請求項１３に記載の方法。
【請求項２１】
不正なデータブロックを含むメールゲートウェイを通じて受信されたネットワークトラフィックを取り扱うためにメールゲートウェイに取り付けられたアンチウイルスシステムに警告を発する工程をさらに備える、請求項１３に記載の方法。
【請求項２２】
記憶装置に格納された一意識別子がすべてのシステムユーザにユニークである場合、該一意識別子を「グローバル」としてさらに示し、該一意識別子が個人にユニークであるがすべてのシステムユーザにはユニークでない場合、記憶装置に格納された一意識別子に「グローバル」として印を付けない工程をさらに備える、請求項１３に記載の方法。
【請求項２３】
プロセッサ装置により、１つまたは複数のファイルタイプ特有の検出ナゲットからファイルタイプを含む１つまたは複数のファイルタイプによる対象の宣言を受信する工程と、
前記データブロックが記憶装置における一意識別子により示されていないと判断される場合、前記データブロックのファイルタイプを対象とすると宣言した１つまたは複数のファイルタイプ特有の検出ナゲットの各々がデータブロックを検査し、自身のファイル検査の結果を返すことができるように、前記データブロックのファイルタイプを対象とすると宣言した１つまたは複数のファイルタイプ特有の検出ナゲットのすべてを呼び出す工程と、をさらに備える請求項１３に記載の方法。
【請求項２４】
請求項１３に記載の方法を実行するための実行可能命令を含むコンピュータ可読媒体。
【請求項２５】
記憶装置により、複数のデータブロックに対する一意識別子を格納するとともに、格納された一意識別子に関連する前記複数のデータブロックの各々が正当であるか不正であるかのインジケータを格納し、
プロセッサ装置により、データブロックを含むデータをキャプチャし、
該データブロックに対する一意識別子であって、該データブロックに対応するハッシュ値を含む一意識別子を生成し、
１つまたは複数のファイルタイプ特有の検出コンポーネントから前記データブロックのファイルタイプを含む１つまたは複数のファイルタイプによる対象の宣言を受信し、
記憶装置における一意識別子によりデータブロックが正当であるとして示されるかまたは不正であるとして示されるかを判断し、
前記データブロックが記憶装置における一意識別子により示されていないと判断される
場合、該データブロックのファイルタイプを対象とすると宣言した１つまたは複数のファイルタイプ特有の検出コンポーネントのすべてを呼び出して、前記データブロックのファイルタイプを対象とすると宣言した１つまたは複数のファイルタイプ特有の検出コンポーネントの各々が前記データブロックが悪意のあるものかどうかを検出するためにデータブロックの検査を実行し、自身のファイル検査の結果を各々返し、前記データブロックが正当であるか不正であるかを示す完全なファイル検査の結果を該データブロックの一意識別子とともに記憶装置に格納し、
記憶装置における一意識別子により前記データブロックが正当であるとして示されていると判断される場合、前記１つまたは複数のファイルタイプ特有の検出コンポーネントのいずれも呼び出さず、
記憶装置における一意識別子により前記データブロックが不正であるとして示されていると判断される場合、前記１つまたは複数のファイルタイプ特有の検出コンポーネントのいずれも呼び出さずに、受信されたデータブロックが不正であることを示す警告を発する、方法。
【請求項２６】
請求項２５に記載の方法を実行するための実行可能命令を含むコンピュータ可読媒体。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】０１５８
【補正方法】変更
【補正の内容】
【０１５８】
ＭＤ５機能は、ユニバーサル一意識別子の生成に使用される公知のハッシュ関数の一例として上記で論考されてきた。しかし、ファイルに対するユニバーサル一意識別子を生成するため、ＭＤ５の代わりに使用できる他のハッシュ関数および／または暗号学的ハッシュ関数が多数存在し、その例としては、ＨＭＡＣ、ＭＤ２、ＭＤ４、ＳＨＡ−０、ＳＨＡ−１、ＳＨＡ−２関数のいずれかおよび同様のものならびに先行関数の変形体およびその進化体が挙げられる。ファイルに対するユニバーサル一意識別子を生成するためのハッシュ関数は、当業者に知られているＵＲＬおよび／またはファイル名、名前空間または同様のものが含まれる場合があるファイルのコンテンツを組み込むことができる。