(57)【特許請求の範囲】
【請求項１】
コンピュータと、
前記コンピュータ内のメモリと、
前記メモリに格納され、複数のカテゴリに分けられた複数のチェックと前記複数のカテゴリのそれぞれに付与された重みとを含むデータベースであって、該重みは前記複数のカテゴリに付与されたデフォルトの重みを含むものである、データベースと、
電子ファイルを受信する受信機と、
合致しないと判明済みのファイルから成る第１のファイルコーパスを分析して第１の結果を生成し、安全なファイルから成る第２のファイルコーパスを分析して第２の結果を生成し、前記データベース内の前記複数のチェックを使用して前記電子ファイルを分析する分析器と、
前記第１の結果と前記第２の結果とを統計的に検討して、前記第１のファイルコーパスに対して計算された第１のリスク評価が前記第２のファイルコーパスに対して計算された第２のリスク評価より高くなるように、前記複数のカテゴリに付与された前記デフォルトの重みを調整する統計分析器と、
前記分析器からの結果と前記複数のカテゴリに付与された前記重みとを使用して前記電子ファイルのリスク評価を計算する脅威計算機と
を備えてなり、
前記リスク評価は、前記電子ファイルを電子サンドボックス内で起爆されうる脅威が前記電子ファイルにあることを示すものであるシステム。
【請求項２】
前記データベースが前記複数のチェックのそれぞれに付与された第２の重みを含み、
前記脅威計算機が、前記分析器からの前記結果と前記複数のチェックに付与された前記第２の重みとを使用して前記電子ファイルの前記リスク評価を計算するように動作する、請求項１に記載のシステム。
【請求項３】
前記受信機が、前記複数のカテゴリに付与された前記重みをユーザから受信するように動作する、請求項１に記載のシステム。
【請求項４】
前記受信機が、前記複数のカテゴリに付与するためにユーザから第２の重みを受信するように動作する、請求項１に記載のシステム。
【請求項５】
前記計算されたリスク評価が所定の閾値よりも大きい場合に、前記電子ファイルを第２のユーザに配信するように動作する、請求項１に記載のシステム。
【請求項６】
前記電子ファイルの前記リスク評価が所定の閾値を上回らない場合に、前記電子ファイルを入れる電子サンドボックスをさらに備える、請求項１に記載のシステム。
【請求項７】
前記電子サンドボックスの観察された動作が前記電子ファイルによる脅威ではないことを示す場合に、前記電子ファイルを第２のユーザに配信するように動作する、請求項６に記載のシステム。
【請求項８】
コンピュータが、該コンピュータと通信する受信機に電子ファイルを受信させるステップと、
前記コンピュータと通信する分析器が、複数のカテゴリに分けられた複数のチェックを使用して前記電子ファイルを分析し、前記電子ファイルが期待されるフォーマットに合致するか否かを判定するステップと、
前記コンピュータと通信する統計分析器が、前記複数のカテゴリのそれぞれに対して重みを決定するステップであって、
前記統計分析器が、デフォルトの重みを受信して前記複数のカテゴリのそれぞれに付与することと、
前記分析器が、合致しないと判明済みのファイルから成る第１のファイルコーパスと、安全なファイルから成る第２のファイルコーパスとを受信することと、
前記分析器が、前記第１のファイルコーパスをスキャンして第１の結果を生成し、前記第２のファイルコーパスをスキャンして第２の結果を生成することと、
前記統計分析器が、前記第１の結果と前記第２の結果とを統計的に分析することと、
前記統計分析器が、前記第１の結果と前記第２の結果の前記分析を使用して、前記第１のファイルコーパスに対して計算された第１のリスク評価が前記第２のファイルコーパスに対して計算された第２のリスク評価より高くなるように、前記複数のカテゴリのそれぞれに付与された前記デフォルトの重みを調整することと
を含むものである、前記複数のカテゴリのそれぞれに対して重みを決定するステップと、
前記コンピュータと通信する脅威計算機が、前記複数のカテゴリと前記複数のカテゴリのそれぞれに付与された前記重みとを使用して、前記電子ファイルの最終リスク評価を計算するステップと
を含んでなり、
前記最終リスク評価は、前記脅威計算機が、前記電子ファイルを電子サンドボックス内で起爆されうる脅威が前記電子ファイルにあることを示すものである方法。
【請求項９】
前記分析器が、複数のカテゴリを使用して前記電子ファイルを分析し、前記電子ファイルが期待されるフォーマットに合致するか否かを判定するステップが、前記複数のカテゴリのうち１つのカテゴリの第２の複数のチェックを使用して前記分析器が前記電子ファイルを分析することを含み、
前記統計分析器が前記複数のカテゴリのそれぞれに対して重みを決定するステップが、前記複数のカテゴリのうち前記１つのカテゴリの前記第２の複数のチェックのそれぞれに対して前記統計分析器が第２の重みを決定することを含み、
前記脅威計算機が前記複数のカテゴリと前記複数のカテゴリのそれぞれに付与された前記重みとを使用して前記電子ファイルの最終リスク評価を計算するステップが、前記複数のカテゴリのうち前記１つのカテゴリの前記第２の複数のチェックと、前記第２の複数のチェックのそれぞれに付与された前記第２の重みとを使用して、前記脅威計算機が前記電子ファイルの前記最終リスク評価を計算することを含む、請求項８に記載の方法。
【請求項１０】
前記受信機が、前記複数のカテゴリのそれぞれに付与された前記重みをユーザから受信するステップをさらに含む、請求項８に記載の方法。
【請求項１１】
前記統計分析器が前記複数のカテゴリのそれぞれに対して重みを決定するステップが、前記複数のカテゴリのそれぞれに付与された前記デフォルトの重みをユーザの命令に従って前記統計分析器が調整することをさらに含む、請求項８に記載の方法。
【請求項１２】
前記統計分析器が、前記電子ファイルの前記最終リスク評価を使用して前記複数のカテゴリのそれぞれに付与された前記重みを調整するステップをさらに含む、請求項８に記載の方法。
【請求項１３】
前記脅威計算機が前記複数のカテゴリと前記複数のカテゴリのそれぞれに付与された前記重みとを使用して前記電子ファイルの最終リスク評価を計算するステップが、
前記複数のカテゴリと前記複数のカテゴリのそれぞれに付与された前記重みとを使用して前記脅威計算機が、前記電子ファイルの脅威スコアを計算することと、
前記脅威計算機が、前記脅威スコアを閾値スコアと比較することと、
前記脅威スコアが前記閾値スコアを上回っている場合に、前記電子ファイルが脅威ではないと見込まれるものと前記脅威計算機が判定して前記コンピュータが前記電子ファイルをユーザに配信することと
を含む、請求項８に記載の方法。
【請求項１４】
前記脅威計算機が前記複数のカテゴリと前記複数のカテゴリのそれぞれに付与された前記重みとを使用して前記電子ファイルの最終リスク評価を計算することが、前記脅威スコアが前記閾値スコアを上回っていない場合に、前記電子ファイルが脅威であると見込まれるものと前記脅威計算機が判定するステップをさらに含む、請求項１３に記載の方法。
【請求項１５】
前記電子ファイルが脅威であると見込まれるものと前記脅威計算機が判定するステップが、
前記脅威計算機が、前記電子ファイルをサンドボックスに入れることと、
前記脅威計算機が、前記サンドボックス内で前記電子ファイルを起爆することと、
前記脅威計算機が、前記電子ファイルを起爆した後に前記サンドボックスの前記動作を観察することと
を含む、請求項１４に記載の方法。
【請求項１６】
前記電子ファイルが脅威であると見込まれるものと前記脅威計算機が判定するステップが、前記電子サンドボックスの前記観察された動作が前記電子ファイルによる脅威ではないと見込まれることを示す場合に、前記コンピュータが前記電子ファイルを前記ユーザに配信することをさらに含む、請求項１５に記載の方法。
【請求項１７】
マシンによって実行された場合に、
コンピュータに、該コンピュータと通信する受信機に電子ファイルを受信させ、
前記コンピュータと通信する分析器に、複数のカテゴリに分けられた複数のチェックを使用して前記電子ファイルを分析させ、前記電子ファイルが期待されるフォーマットに合致するか否かを判定させ、
前記コンピュータと通信する統計分析器に、前記複数のカテゴリのそれぞれに対して重みを決定させることであって、
前記統計分析器に、デフォルトの重みを受信させて前記複数のカテゴリのそれぞれに付与させ、
前記分析器に、合致しないと判明済みのファイルから成る第１のファイルコーパスと、安全なファイルから成る第２のファイルコーパスとを受信させ、
前記分析器に、前記第１のファイルコーパスをスキャンさせて第１の結果を生成させ、前記第２のファイルコーパスをスキャンさせて第２の結果を生成させ、
前記統計分析器に、前記第１の結果と前記第２の結果とを統計的に分析させ、
前記統計分析器に、前記第１の結果と前記第２の結果の前記分析を使用させて、前記第１のファイルコーパスに対して計算された第１のリスク評価が前記第２のファイルコーパスに対して計算された第２のリスク評価より高くなるように、前記複数のカテゴリのそれぞれに付与された前記デフォルトの重みを調整させる
ことを含むものである、前記複数のカテゴリのそれぞれに対して重みを決定させ、
前記コンピュータと通信する脅威計算機に、前記複数のカテゴリと前記複数のカテゴリのそれぞれに付与された前記重みとを使用させて、前記電子ファイルの最終リスク評価を計算させる
非一時的な命令を格納している、コンピュータが読み取り可能な媒体であって、
前記最終リスク評価は、前記脅威計算機が、前記電子ファイルを電子サンドボックス内で起爆されうる脅威が前記電子ファイルにあることを示すものである、コンピュータが読み取り可能な媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、包括的には、コンピュータファイルベースのセキュリティに関し、より具体的には、一般に通信されるファイルフォーマット内に含まれる潜在リスクに関する。
【背景技術】
【０００２】
今日、マルウェア（ウイルス、トロイの木馬、及び他の悪意のあるコンテンツ等）の流行がより一層拡大している。シグニチャを構築してこれらの脅威を識別する従来の手法は、マルウェアの新たな変種が出現する速度を考えると、ますます困難なものとなってきている。シグニチャに基づく方法の利用には、「悪性のものを探す」という課題には際限がないという問題点がある。この手法では、最新のそして最も危険な脅威に常に後れを取ってしまう。もう１つの問題として、これらの手法は、良性のコンテンツに対して偽陽性の判定をするという形で多くの「ノイズ」を作り出すことが多く、この潜在的な問題に対処するための知見を提供して、組織のセキュリティ保護の任務を担う個人が十分な情報を得た上で意思決定できるようにするということは何ら行われていないということがある。
【０００３】
良性のコンテンツの偽陽性識別の回数を最小限に抑えるのに役立つ１つの手法として、図１に示すような電子サンドボックスを使用する手法が挙げられる。システムは、例えばネットワーク１１０を介して電子ファイル１０５を受信すると、そのファイルを電子サンドボックス１１５に入れることができる。電子サンドボックス１１５は、その名が示すように、電子ファイル１０５を完全に隔絶した状態で開封することができる装置である。電子サンドボックス１１５は、すべてのイントラネットから物理的に隔絶（可能な限り完全に隔絶）されて悪意のあるコードの移動を防ぐコンピュータシステムとすることができる。あるいは、電子サンドボックス１１５をコンピュータシステム内の仮想環境とすることもできる。その場合、仮想環境は、同一コンピュータシステム（又は他のネットワーク接続されたコンピュータシステム）上の他の環境から隔絶されているのが理想的である。
【０００４】
電子ファイル１０５が電子サンドボックス１１５内で開封されると、電子サンドボックス１１５のオペレーティングシステムの主要な判定基準を監視して、ファイルが悪意のあるコードに感染していることを示唆しているかもしれない疑わしい挙動を探すことができる。そのような挙動としては、インターネットへのアクセスの試みや、レジストリ設定の変更、ユーザ権限昇格の試みが挙げられるが、これらに限定されない。
【０００５】
電子サンドボックス１１５を使用することによって、電子ファイル１０５のあらゆる悪意のあるコードが与える悪影響がサンドボックス環境内に厳重に封じ込められる。そして通常、サンドボックス環境は、次のファイルを処理する際に、環境インスタンスを新たにするために破棄される。電子サンドボックス１１５内で電子ファイル１０５を開封しても悪意のあるコードの存在が確認されなかった場合、電子ファイル１０５は脅威ではないと見込まれるため、ユーザ１２０に配信することができる。一方、電子サンドボックス１１５内で電子ファイル１０５を開封して悪意のあるコードの存在が確認された場合には、電子ファイル１０５から何らかの形で悪意のあるコードを駆除するか、電子ファイル１０５を削除するまで、電子ファイル１０５を検疫場所１２５に入れておくことができる。
【０００６】
このように電子サンドボックス１１５を使用することには、以下のような問題がある。まず、電子サンドボックス１１５を維持して、電子ファイル１０５が悪意のあるコードを含むか否かを判定するために電子サンドボックスを監視するには相当なオーバーヘッドを必要とする。さらに、電子サンドボックス１１５内で電子ファイル１０５を監視することによって、ユーザに電子ファイル１０５を配信するまでの待ち時間がかなり増える。最後に、攻撃者は、電子サンドボックス１１５の使用に気付いている。電子サンドボックス１１５の検査時間後まで悪意のあるコードの起動時間を遅らせて、電子サンドボックス１１５を観察したとしても悪意のあるコードを検出できないこともある。その結果、電子ファイル１０５が悪意のあるコードを含んでいても、安全であるとしてユーザ１２０に配信される可能性がある。
【発明の概要】
【発明が解決しようとする課題】
【０００７】
本発明の実施形態は、従来技術に伴う上記及び上記以外の問題に対処するものである。
【課題を解決するための手段】
【０００８】
本発明の実施形態の範囲を以下の記載にまで広げることもできる。ただし、これらの記載に限定されるものではない。
【０００９】
本発明の一実施形態は、コンピュータと、前記コンピュータ内のメモリと、前記メモリに格納され、複数のカテゴリに分けられた複数のチェックと前記複数のカテゴリのそれぞれに付与された重みとを含むデータベースと、電子ファイルを受信する受信機と、前記データベース内の前記複数のチェックを使用して前記電子ファイルを分析する分析器と、前記分析器からの結果と前記複数のカテゴリに付与された前記重みとを使用して前記電子ファイルのリスク評価を計算する脅威計算機とを備えるシステムを含む。
【００１０】
本発明の一実施形態は、コンピュータと、前記コンピュータ内のメモリと、前記メモリに格納され、複数のカテゴリに分けられた複数のチェックと前記複数のカテゴリのそれぞれに付与された重みと前記複数のチェックのそれぞれに付与された第２の重みとを含むデータベースと、電子ファイルを受信する受信機と、前記データベース内の前記複数のチェックを使用して前記電子ファイルを分析する分析器と、前記分析器からの結果と前記複数のカテゴリに付与された前記重みと前記複数のチェックに付与された前記第２の重みとを使用して前記電子ファイルのリスク評価を計算する脅威計算機とを備えるシステムを含む。
【００１１】
本発明の一実施形態は、コンピュータと、前記コンピュータ内のメモリと、前記メモリに格納され、複数のカテゴリに分けられた複数のチェックと前記複数のカテゴリのそれぞれに付与された重みとを含むデータベースと、電子ファイルを受信する受信機と、前記データベース内の前記複数のチェックを使用して前記電子ファイルを分析する分析器と、前記分析器からの結果と前記複数のカテゴリに付与された前記重みとを使用して前記電子ファイルのリスク評価を計算する脅威計算機とを備えるシステムであって、前記受信機が、前記複数のカテゴリに付与された前記重みをユーザから受信するように動作するシステムを含む。
【００１２】
本発明の一実施形態は、コンピュータと、前記コンピュータ内のメモリと、前記メモリに格納され、複数のカテゴリに分けられた複数のチェックと前記複数のカテゴリのそれぞれに付与された重みとを含むデータベースと、電子ファイルを受信する受信機と、前記データベース内の前記複数のチェックを使用して前記電子ファイルを分析する分析器と、前記分析器からの結果と前記複数のカテゴリに付与された前記重みとを使用して前記電子ファイルのリスク評価を計算する脅威計算機とを備えるシステムであって、前記複数のカテゴリに付与された前記重みには、前記複数のカテゴリに付与されたデフォルトの重みが含まれ、前記受信機が、前記複数のカテゴリに付与するためにユーザから第２の重みを受信するように動作するシステムを含む。
【００１３】
本発明の一実施形態は、コンピュータと、前記コンピュータ内のメモリと、前記メモリに格納され、複数のカテゴリに分けられた複数のチェックと前記複数のカテゴリのそれぞれに付与された重みとを含むデータベースと、電子ファイルを受信する受信機と、前記データベース内の前記複数のチェックを使用して前記電子ファイルを分析する分析器と、前記分析器からの結果と前記複数のカテゴリに付与された前記重みとを使用して前記電子ファイルのリスク評価を計算する脅威計算機とを備えるシステムであって、前記複数のカテゴリに付与された前記重みには、前記複数のカテゴリに付与されたデフォルトの重みが含まれ、前記分析器が、合致しないと判明済みのファイルから成る第１のファイルコーパスを分析して第１の結果を生成し、安全なファイルから成る第２のファイルコーパスを分析して第２の結果を生成するように動作し、前記第１の結果と前記第２の結果とを統計的に検討して、前記第１のファイルコーパスに対して計算された第１のリスク評価が前記第２のファイルコーパスに対して計算された第２のリスク評価より高くなるように、前記複数のカテゴリに付与された前記デフォルトの重みを調整する統計分析器をさらに備えるシステムを含む。
【００１４】
本発明の一実施形態は、コンピュータと、前記コンピュータ内のメモリと、前記メモリに格納され、複数のカテゴリに分けられた複数のチェックと前記複数のカテゴリのそれぞれに付与された重みとを含むデータベースと、電子ファイルを受信する受信機と、前記データベース内の前記複数のチェックを使用して前記電子ファイルを分析する分析器と、前記分析器からの結果と前記複数のカテゴリに付与された前記重みとを使用して前記電子ファイルのリスク評価を計算する脅威計算機と、前記分析器からの前記結果を使用して前記重みを調整する統計分析器とを備えるシステムを含む。
【００１５】
本発明の一実施形態は、コンピュータと、前記コンピュータ内のメモリと、前記メモリに格納され、複数のカテゴリに分けられた複数のチェックと前記複数のカテゴリのそれぞれに付与された重みとを含むデータベースと、電子ファイルを受信する受信機と、前記データベース内の前記複数のチェックを使用して前記電子ファイルを分析する分析器と、前記分析器からの結果と前記複数のカテゴリに付与された前記重みとを使用して前記電子ファイルのリスク評価を計算する脅威計算機とを備えるシステムであって、前記計算されたリスク評価が所定の閾値よりも大きい場合に、前記電子ファイルを第２のユーザに配信するように動作するシステムを含む。
【００１６】
本発明の一実施形態は、コンピュータと、前記コンピュータ内のメモリと、前記メモリに格納され、複数のカテゴリに分けられた複数のチェックと前記複数のカテゴリのそれぞれに付与された重みとを含むデータベースと、電子ファイルを受信する受信機と、前記データベース内の前記複数のチェックを使用して前記電子ファイルを分析する分析器と、前記分析器からの結果と前記複数のカテゴリに付与された前記重みとを使用して前記電子ファイルのリスク評価を計算する脅威計算機と、前記電子ファイルの前記リスク評価が所定の閾値を上回らない場合に前記電子ファイルを入れる電子サンドボックスとを備えるシステムを含む。
【００１７】
本発明の一実施形態は、コンピュータと、前記コンピュータ内のメモリと、前記メモリに格納され、複数のカテゴリに分けられた複数のチェックと前記複数のカテゴリのそれぞれに付与された重みとを含むデータベースと、電子ファイルを受信する受信機と、前記データベース内の前記複数のチェックを使用して前記電子ファイルを分析する分析器と、前記分析器からの結果と前記複数のカテゴリに付与された前記重みとを使用して前記電子ファイルのリスク評価を計算する脅威計算機と、前記電子ファイルの前記リスク評価が所定の閾値を上回らない場合に前記電子ファイルを入れる電子サンドボックスとを備えるシステムであって、前記電子サンドボックスの観察された動作が前記電子ファイルが脅威ではないことを示す場合に、前記電子ファイルを第２のユーザに配信するように動作するシステムを含む。
【００１８】
本発明の一実施形態は、電子ファイルを受信するステップと、複数のカテゴリに分けられた複数のチェックを使用して前記電子ファイルを分析し、前記電子ファイルが期待されるフォーマットに合致するか否かを判定するステップと、前記複数のカテゴリのそれぞれに対して重みを決定するステップと、前記複数のカテゴリと前記複数のカテゴリのそれぞれに付与された前記重みとを使用して前記電子ファイルの最終リスク評価を計算するステップとを含んでなる方法を含む。
【００１９】
本発明の一実施形態は、電子ファイルを受信するステップと、複数のカテゴリに分けられた複数のチェックのうち１つのカテゴリの複数のチェックを使用して前記電子ファイルを分析し、前記電子ファイルが期待されるフォーマットに合致するか否かを判定するステップと、前記複数のカテゴリのうち前記１つのカテゴリの前記複数のチェックそれぞれに対して重みを決定するステップと、前記１つのカテゴリの前記複数のチェックと前記複数のチェックのそれぞれに付与された前記重みとを使用して前記電子ファイルの最終リスク評価を計算するステップとを含んでなる方法を含む。
【００２０】
本発明の一実施形態は、複数のカテゴリのそれぞれに付与された重みをユーザから受信するステップと、電子ファイルを受信するステップと、前記複数のカテゴリに分けられた複数のチェックを使用して前記電子ファイルを分析し、前記電子ファイルが期待されるフォーマットに合致するか否かを判定するステップと、前記複数のカテゴリのそれぞれに対して重みを決定するステップと、前記複数のカテゴリと前記複数のカテゴリのそれぞれに付与された前記重みとを使用して前記電子ファイルの最終リスク評価を計算するステップとを含んでなる方法を含む。
【００２１】
本発明の一実施形態は、電子ファイルを受信するステップと、複数のカテゴリに分けられた複数のチェックを使用して前記電子ファイルを分析し、前記電子ファイルが期待されるフォーマットに合致するか否かを判定するステップと、前記複数のカテゴリのそれぞれに対して重みを決定するステップと、前記複数のカテゴリと前記複数のカテゴリのそれぞれに付与された前記重みとを使用して前記電子ファイルの最終リスク評価を計算するステップとを含んでなり、前記複数のカテゴリのそれぞれに対して重みを決定するステップが、デフォルトの重みを受信して前記複数のカテゴリのそれぞれに付与することを含むものである方法を含む。
【００２２】
本発明の一実施形態は、電子ファイルを受信するステップと、複数のカテゴリに分けられた複数のチェックを使用して前記電子ファイルを分析し、前記電子ファイルが期待されるフォーマットに合致するか否かを判定するステップと、前記複数のカテゴリのそれぞれに対して重みを決定するステップと、前記複数のカテゴリと前記複数のカテゴリのそれぞれに付与された前記重みとを使用して前記電子ファイルの最終リスク評価を計算するステップとを含んでなり、前記複数のカテゴリのそれぞれに対して重みを決定するステップが、デフォルトの重みを受信して前記複数のカテゴリのそれぞれに付与することと、前記複数のカテゴリのそれぞれに付与された前記デフォルトの重みをユーザの命令に従って調整することとを含むものである方法を含む。
【００２３】
本発明の一実施形態は、電子ファイルを受信するステップと、複数のカテゴリに分けられた複数のチェックを使用して前記電子ファイルを分析し、前記電子ファイルが期待されるフォーマットに合致するか否かを判定するステップと、前記複数のカテゴリのそれぞれに対して重みを決定するステップと、前記複数のカテゴリと前記複数のカテゴリのそれぞれに付与された前記重みとを使用して前記電子ファイルの最終リスク評価を計算するステップとを含んでなり、前記複数のカテゴリのそれぞれに対して重みを決定するステップが、デフォルトの重みを受信して前記複数のカテゴリのそれぞれに付与することを含み、デフォルトの重みを受信して前記複数のカテゴリのそれぞれに付与することが、合致しないと判明済みのファイルから成る第１のファイルコーパスと、安全なファイルから成る第２のファイルコーパスとを受信することと、前記第１のファイルコーパスをスキャンして第１の結果を生成し、前記第２のファイルコーパスをスキャンして第２の結果を生成することと、前記第１の結果と前記第２の結果とを統計的に分析することと、前記第１の結果と前記第２の結果の前記分析を使用して、前記第１のファイルコーパスに対して計算された第１のリスク評価が前記第２のファイルコーパスに対して計算された第２のリスク評価より高くなるように、前記複数のカテゴリのそれぞれに付与された前記デフォルトの重みを調整することとを含むものである方法を含む。
【００２４】
本発明の一実施形態は、電子ファイルを受信するステップと、複数のカテゴリに分けられた複数のチェックを使用して前記電子ファイルを分析し、前記電子ファイルが期待されるフォーマットに合致するか否かを判定するステップと、前記複数のカテゴリのそれぞれに対して重みを決定するステップと、前記複数のカテゴリと前記複数のカテゴリのそれぞれに付与された前記重みとを使用して前記電子ファイルの最終リスク評価を計算するステップと、前記電子ファイルの前記最終リスク評価を使用して前記複数のカテゴリのそれぞれに付与された前記重みを調整するステップとを含んでなる方法を含む。
【００２５】
本発明の一実施形態は、電子ファイルを受信するステップと、複数のカテゴリに分けられた複数のチェックを使用して前記電子ファイルを分析し、前記電子ファイルが期待されるフォーマットに合致するか否かを判定するステップと、前記複数のカテゴリのそれぞれに対して重みを決定するステップと、前記複数のカテゴリと前記複数のカテゴリのそれぞれに付与された前記重みとを使用して前記電子ファイルの最終リスク評価を計算するステップとを含んでなり、前記複数のカテゴリと前記複数のカテゴリのそれぞれに付与された前記重みとを使用して前記電子ファイルの最終リスク評価を計算するステップが、前記複数のカテゴリと前記複数のカテゴリのそれぞれに付与された前記重みとを使用して前記電子ファイルの脅威スコアを計算することと、前記脅威スコアを閾値スコアと比較することと、前記脅威スコアが前記閾値スコアを上回っている場合に、前記電子ファイルが脅威ではないと見込まれるものと判定して前記電子ファイルをユーザに配信することとを含むものである方法を含む。
【００２６】
本発明の一実施形態は、電子ファイルを受信するステップと、複数のカテゴリに分けられた複数のチェックを使用して前記電子ファイルを分析し、前記電子ファイルが期待されるフォーマットに合致するか否かを判定するステップと、前記複数のカテゴリのそれぞれに対して重みを決定するステップと、前記複数のカテゴリと前記複数のカテゴリのそれぞれに付与された前記重みとを使用して前記電子ファイルの最終リスク評価を計算するステップとを含んでなり、前記複数のカテゴリと前記複数のカテゴリのそれぞれに付与された前記重みとを使用して前記電子ファイルの最終リスク評価を計算するステップが、前記複数のカテゴリと前記複数のカテゴリのそれぞれに付与された前記重みとを使用して前記電子ファイルの脅威スコアを計算することと、前記脅威スコアを閾値スコアと比較することと、前記脅威スコアが前記閾値スコアを上回っている場合に、前記電子ファイルが脅威ではないと見込まれるものと判定して前記電子ファイルをユーザに配信することと、前記脅威スコアが前記閾値スコアを上回っていない場合に、前記電子ファイルが脅威であると見込まれるものと判定することとを含むものである方法を含む。
【００２７】
本発明の一実施形態は、電子ファイルを受信するステップと、複数のカテゴリに分けられた複数のチェックを使用して前記電子ファイルを分析し、前記電子ファイルが期待されるフォーマットに合致するか否かを判定するステップと、前記複数のカテゴリのそれぞれに対して重みを決定するステップと、前記複数のカテゴリと前記複数のカテゴリのそれぞれに付与された前記重みとを使用して前記電子ファイルの最終リスク評価を計算するステップとを含んでなり、前記複数のカテゴリと前記複数のカテゴリのそれぞれに付与された前記重みとを使用して前記電子ファイルの最終リスク評価を計算するステップが、前記複数のカテゴリと前記複数のカテゴリのそれぞれに付与された前記重みとを使用して前記電子ファイルの脅威スコアを計算することと、前記脅威スコアを閾値スコアと比較することと、前記脅威スコアが前記閾値スコアを上回っている場合に、前記電子ファイルが脅威ではないと見込まれるものと判定して前記電子ファイルをユーザに配信することと、前記脅威スコアが前記閾値スコアを上回っていない場合に、前記電子ファイルが脅威であると見込まれるものと判定することとを含み、前記電子ファイルが脅威であると見込まれるものと判定することが、前記電子ファイルをサンドボックスに入れることと、前記サンドボックス内で前記電子ファイルを起爆することと、前記電子ファイルを起爆した後に前記サンドボックスの前記動作を観察することとを含むものである方法を含む。
【００２８】
本発明の一実施形態は、電子ファイルを受信するステップと、複数のカテゴリに分けられた複数のチェックを使用して前記電子ファイルを分析し、前記電子ファイルが期待されるフォーマットに合致するか否かを判定するステップと、前記複数のカテゴリのそれぞれに対して重みを決定するステップと、前記複数のカテゴリと前記複数のカテゴリのそれぞれに付与された前記重みとを使用して前記電子ファイルの最終リスク評価を計算するステップとを含んでなり、前記複数のカテゴリと前記複数のカテゴリのそれぞれに付与された前記重みとを使用して前記電子ファイルの最終リスク評価を計算するステップが、前記複数のカテゴリと前記複数のカテゴリのそれぞれに付与された前記重みとを使用して前記電子ファイルの脅威スコアを計算することと、前記脅威スコアを閾値スコアと比較することと、前記脅威スコアが前記閾値スコアを上回っている場合に、前記電子ファイルが脅威ではないと見込まれるものと判定して前記電子ファイルをユーザに配信することと、前記脅威スコアが前記閾値スコアを上回っていない場合に、前記電子ファイルが脅威であると見込まれるものと判定することとを含み、前記電子ファイルが脅威であると見込まれるものと判定することが、前記電子ファイルをサンドボックスに入れることと、前記サンドボックス内で前記電子ファイルを起爆することと、前記電子ファイルを起爆した後に前記サンドボックスの前記動作を観察すること、前記電子サンドボックスの前記観察された動作が前記電子ファイルが脅威ではないことを示す場合に、前記電子ファイルを前記ユーザに配信することとを含むものである方法を含む。
【００２９】
本発明の一実施形態は、電子ファイルを受信することと、複数のカテゴリに分けられた複数のチェックを使用して前記電子ファイルを分析し、前記電子ファイルが期待されるフォーマットに合致するか否かを判定することと、前記複数のカテゴリのそれぞれに対して重みを決定することと、前記複数のカテゴリと前記複数のカテゴリのそれぞれに付与された前記重みとを使用して前記電子ファイルの最終リスク評価を計算することとを含む方法を、マシンによって実行された場合に実施させる非一時的な命令を格納する、コンピュータが読み取り可能な媒体を含む。
【図面の簡単な説明】
【００３０】
【図１】従来技術における悪意のあるコンテンツに対する防御の一例を示す。
【図２】本発明の一実施形態に係る、電子ファイルのリスク評価計算をするように設計されたシステムで図１の電子サンドボックスを強化した電子サンドボックスを示す。
【図３】本発明の一実施形態に係る図２のスキャナの詳細を示す。
【図４】図３のデータベースの詳細を示す。
【図５】図３の脅威計算機の詳細を示す。
【図６】分析モードで使用する場合の図３の分析器及び統計分析器の詳細を示す。
【図７】本発明の一実施形態に係る、図３のシステムにおける電子ファイルのリスク評価計算の手順を示すフローチャートである。
【図８】本発明の第２の実施形態に係る、図７の手順とは別のリスク評価計算の手順を示すフローチャートである。
【図９Ａ】図７の手順で使用する重みの計算手順を示すフローチャートである。
【図９Ｂ】図７の手順で使用する重みの計算手順を示すフローチャートである。
【図１０Ａ】図７の手順において電子サンドボックスを使用するか否かを決定する手順を示すフローチャートである。
【図１０Ｂ】図７の手順において電子サンドボックスを使用するか否かを決定する手順を示すフローチャートである。
【発明を実施するための形態】
【００３１】
本発明の例示的な実施形態は、大部分が、当業者に公知の電子コンポーネント及び電子回路を用いて実施することができるため、本発明の実施形態の根底にある概念が理解及び認識されるように、また、本発明の実施形態の教示を不明瞭にしたり本発明の実施形態の教示から逸脱したりすることがないように、上記に例示したような必要と見なされる程度を超えて詳細を説明することはしない。
【００３２】
いずれも引用することにより本明細書の一部をなすものとする、米国特許第８１８５９５４号、第８５３３８２４号、第８８６９２８３号、及び米国特許出願公開第２０１３／０３２６６２４号などの、本出願と共通の譲受人により所有されている他の特許や特許出願は、電子ファイルのコンテンツが安全と判明済のものか否かを判定するためのシステム及び方法を記載したものである。簡単に言えば、これらの特許及び特許出願は、電子ファイルを取得し、その電子ファイルが使用しているとされるフォーマット（例えば、Adobe（登録商標）PDF（登録商標）又はMicrosoft（登録商標）Word）を特定するシステム及び方法を記載している。（Adobe、Adobe PDFは、Adobe Systems Incorporatedの米国及びその他の国々における商標又は登録商標である。Microsoftは、Microsoft Corporationの米国及びその他の国々における商標又は登録商標である。）一旦、使用しているとされるフォーマットが特定されると、その電子ファイルのコンテンツを検査して、そのコンテンツがこの事前に特定されたフォーマットに合致するかどうかが確認される。コンテンツが事前に特定されたフォーマットに合致する場合、そのコンテンツはユーザへの配信のために通過することが許可される。合致しない場合、コンテンツは隔離される。合致するか否かにかかわらず、コンテンツを再生（regenerate）することもできる。コンテンツの再生は、コンテンツを事前に特定されたフォーマットで作成し直すことにより、悪意のあるコンテンツの擦り抜け防止にさらに役立つことができる。再生された電子ファイルは、元のファイルと構造的には同じであるが、不要なメタデータはすべて消失していることが理想的である。
【００３３】
本発明の実施形態は、この問題に別の視点から対処することによって、マルウェア防御と電子ファイルがもたらす脅威に対する知見とを提供するアンチマルウェア型コンテンツデータ管理装置を提供する。悪性と判明済のものの定義は常に変化するため、これに後れを取らないようにすることに比べれば、定義可能な良性のものの側からの視点は、特定のファイルフォーマットに関して良性と判明済のものは変わらないという意味で、有限の課題である。受動的であると定義されたファイル、すなわち内部にアクティブなプログラムコードを含まないファイルを善意のものと判定することもできる。このような受動的なファイルは、組織が日常的に通信する典型的なファイルである。しかし、新型の攻撃はこのような受動的なファイル中にも潜む傾向がある。
【００３４】
本発明の実施形態は、ファイルコンテンツを把握することによって可能となる別の側面からの理解をさらに加えることによって、問題のファイルが含むコンテンツの種類と、設定可能な重み係数で傾斜をつけた履歴統計に基づいて認識されたリスクとに関連するスコアを生成する。この手法は、ファイルの信頼性に関して安全と安全でないという２値の答えのみを出す従来の公知技術とは異なるものである。本発明の実施形態は、グレー階調を提供することによりこの従来技術を拡張して、個人や実際にはさらなる意思決定プロセスが、その特定のファイル又はコンテンツの全体的な意思決定プロセスにこの情報を取り入れて、マルウェアの検出精度を向上し、偽陽性率を低減することを可能にするものである。
【００３５】
「良性のものを探す」プロセスの方針は、現在把握している判定基準を適用する何千ものルールから成るルールリストを維持することにある。これを拡張してこれらのルールをルール部分集合に分類することにより、電子ファイルをコンテンツ群の集成体とすることができ、これらを重み付けし、合計して、大規模な分析ファイルコーパス全体にわたって一貫したスコアを生成する。このスコアの結果は、単純な良性／悪性の判定よりも多彩な情報提供を可能にするものである。
【００３６】
本明細書に記載するシステム及び方法は、良性と判明済のコンテンツにファイルが合致するか否かという２値の結果を出す合致性に基づいたファイル評価手法に、第２の分析処理階層を付け加えるものである。このように２値の処理の上にさらに階層を追加することにより、第３の結果を出すことが可能になり、これにより、文書が低リスクと見なされた場合には無害化されていない（un-sanitised）元のバージョンの文書を受信者に配信することが可能になる。
【００３７】
本願発明の実施形態を組み込むことができるシステムの例として、電子メール防護システムを挙げることができる。これにより、ファイル、典型的には添付ファイル、を隔離すべきか否かに関わる決定を分析スコアリング機能によって強化した電子メール防護システムを実現することができる。特定の環境、特に中小企業（ＳＭＥ）環境では多くの場合、ファイルを解放するか恒久的に隔離するかの判定を行うためのセキュリティ専門知識が現場に欠けている。ＳＭＥ環境は、通常、管理サービスセキュリティプロバイダ（ＭＳＳＰ）のサービスを受ける。ＭＳＳＰは、管理サービスを遠隔で提供し、組織はＭＳＳＰにセキュリティ機能を「アウトソース」することができる。したがって、このレベルで何らかの「偽陽性」事象が発生すると、ＭＳＳＰに電話して、ファイルを解放するか、あるいはこの問題についてさらに詳細な説明を受けるかのいずれかをするために高額な電話サポートを受けることになる。本願発明の実施形態を利用することにより、自動処理を解除して、はるかに多彩な意思決定の下、はるかに合理的で費用効果の高いやり方で、隔離したファイルを管理することができる。
【００３８】
別の例として、ＭＳＳＰプロバイダは、カテゴリに適用される重み付けを遠隔で調整して、そのカテゴリに関連するコンテンツ群の意思決定プロセスにおける重要性を現在の脅威の状況に応じて増減させるとともに、新たな攻撃や現在の攻撃の緩和に関するこのコンテンツの重要性を増減させることができる。
【００３９】
また、他の例として、サンドボックス処理を最適化することも挙げられる。サンドボックス処理とは、数々の潜在的な入り口を通して組織が受信した疑わしいファイルを、制御された環境内で開封し（これを、一般に「起爆（detonated）」と呼ぶ）、これにより、このファイル内に含まれるいかなる潜在マルウェアも他の環境にダメージを与えたり、広がったりすることができないようにするものである。現在の最先端のサンドボックス処理では、通常、ファイルを約５分間観察して、ファイルが何らかの悪意のある行為を実行する可能性があるか否かを確認し、その後そのファイルを隔離するか、目的の受信者に送るかのいずれかを行う。この手法では、すべてのファイルを処理するため、ファイルにその分の遅延が生じ、処理オーバーヘッドと処理バンド幅を大量に使用するという問題がある。一方、本発明の実施形態では、電子ファイル内に含まれるコンテンツ群に基づいて電子ファイルにスコアを付け、電子ファイルをサンドボックスに入れる手前に閾値を設定することにより、この処理を最適化している。電子ファイルのスコアが十分であればサンドボックスを迂回することができるため、すべてのファイルをサンドボックス内で「起爆」する必要性を低減することができる。これにより、サンドボックス設備の全リソースを、スコアが閾値を上回り（あるいは実施態様よっては下回り）、さらなる調査の必要性を示しているためスキャンが必要なファイルだけに、集中させることができる。
【００４０】
図２は、本発明の実施形態が、サンドボックス実施態様におけるこれらの欠点にどのように対処するかを明らかにするものである。電子ファイル１０５は、スキャナ２０５で表されている本発明の実施形態に提出することができる。スキャナ２０５は、サンドボックス１１５より手前に接続することができる。そして、統計的スコアリングの処理を電子ファイル１０５に適用して、電子ファイル１０５を再生できるかどうかを確認することができる。電子ファイル１０５が、電子ファイル１０５のフォーマットに関連するルールの規定に合致しているため再生することができる場合、再生されたファイルはサンドボックス１１５を迂回し、任意の適切な進路を介してユーザ１２０に配信することができる。電子ファイル１０５が、ファイルフォーマット仕様に規定されたルールに合致しないため再生することができない場合、電子ファイル１０５をサンドボックス１１５に転送することができる。したがって、本発明の実施形態は、ノイズフィルタとして機能し、非合致の問題を持つファイル、すなわちそれに伴うポリシー違反があるファイルという限られた数のファイルに対してのみサンドボックス１１５のインスタンス化を要求するという効果を有する。この最適化フィルタが、性能とオーバーヘッドの両面でプロセス全体に相当なメリットをもたらすことは、当業者には明らかである。
【００４１】
ファイルの合致ポリシーはスキャナ２０５において直接作成することができるが、ネットワーク接続１１０を使用してファイルの合致ポリシーを遠隔管理することもできる。これらのポリシーは、ファイル内にある非合致の種類を規定するものであり、これによって、スキャナ２０５は、ファイルを非合致と見なし、サンドボックス１１５に転送する。スキャナ２０５が使用するポリシーを変更することにより、負荷を平衡させることができ、これにより、需要のピーク時すなわち実際にはマルウェア活動のピーク時に、電子ファイルをユーザ１２０に直接配信するか、電子ファイル１０５をサンドボックス１１５内で起爆するか、の間の比重を変化させることができる。これらのポリシーは、組織が希望する状態に基づき、現在のマルウェア活動に従って決定される。
【００４２】
図３は、本発明の実施形態に係る、図２のスキャナの詳細を示す。スキャナ２０５は、本発明の実施形態を実施するように適切にプログラム可能なコンピュータ３０５を含みうる。あるいは、コンピュータ３０５が、本発明の実施形態を実施するように設計された専用のコンポーネントを含みうる。
【００４３】
コンピュータ３０５は、受信機３１０、分析器３１５、及び脅威計算機３２０を含みうる。受信機３１０は、検査される電子ファイルなどのデータ、又はチェックのカテゴリに使用される重みを受信することができる。分析器３１５は、電子文書を分析して、電子文書のコンテンツが電子文書のフォーマットに合致するかどうかを確認することができる。上述の通り、コンテンツが良性であると判明済か否かの判定に関連付けられるチェックは、種々のカテゴリに分けることができる。チェックの数は数千にわたり、これらを種々のカテゴリに分けることができる。分析器３１５は、カテゴリ分けされたこれらのチェックを用いて、電子ファイルがその電子ファイルに期待されるフォーマットに合致しているかどうかを判定する。分析器３１５は、どのチェックが期待された結果を返さないか、そしてそのチェックがどのカテゴリに属するかを識別するレポートを生成することができる。
【００４４】
そして、脅威計算機３２０は、分析器３１５の出力を取り込み、電子文書の脅威スコアを計算することができる。脅威計算機は、分析器３１５によって識別された各問題に対して、対応する重みを識別し、問題が見つかった回数とその問題に関連付けられた重みとの積の総和を求めることによって総合脅威スコアを計算することができる。そして、この総和を閾値と比較して、電子ファイルにリスクがあると見なされるか否かを判定することができる。
【００４５】
電子ファイルにリスクがあると見なされる場合、従来と同様、電子文書をサンドボックス１１５内で起爆することができる。図３では、サンドボックス１１５をスキャナ２０５の一部として示している。当業者であれば、サンドボックス１１５をソフトウェアとして実装することができ、そしてその場合には、任意の適切なコンピュータがサンドボックス１１５用のソフトウェアを実行できることを認識するであろう。その場合、サンドボックス１１５は、コンピュータ３０５の一部でありうる。しかし、図２に示すように、サンドボックス１１５をスキャナ２０５とは別個のものにすることもできる。すなわち、サンドボックス１１５を、別個のコンピュータの一部として、又は専用のマシンとして実装することができ、そのいずれの場合でも、電子ファイル内の悪意のあるコードが意図された目的を達成するのを防ぐため、サンドボックス１１５を十分に隔絶することができる。
【００４６】
コンピュータ３０５はまた、統計分析器３２５を含みうる。図６を参照して以下に説明するように、分析器３１５は分析モードで使用され、既知のファイルセットに対して動作する。そして、統計分析器３２５は、これらの分析結果を処理して、電子ファイルが脅威と見なされるか否かを判定する際に使用するための初期重みを作成することができる。
【００４７】
コンピュータ３０５は、メモリ３３０も含みうる。メモリ３３０は、例えば、システムによってスキャンされた電子ファイルのコピーなどの情報を格納するために使用することができる。メモリ３３０はまた、データベース３３５を格納することができ、データベース３３５は、電子ファイルが使用しているとされるファイルフォーマットにその電子ファイルが合致しているかを検証するために使用されるチェックに関する情報を含みうる。図４は、データベース３３５をより詳細に示す。
【００４８】
図４において、データベース３３５は、３列のデータを含むものとして示されている。（「列（column）」という用語は、データベース３３５が表形式であることを示唆するものであるが、当業者であれば、データベース３３５が任意の所望の構造のデータを格納することができ、表形式に限られないことを認識するであろう）。これら３列には、それぞれカテゴリ、問題、重みが格納される。例えば、データベース３３５には、２つの異なるカテゴリ４０５，４１０、（２つのカテゴリに分けられた）５つの問題４１５，４２０，４２５，４３０，４３５、及び７つの重み４４０，４４５，４５０，４５５，４６０，４６５，４７０が示されている。重みは、個々のカテゴリや問題に対して付与することがでる。例えば、第１のカテゴリ４０５は第１の重み４４０を有するが、（第１のカテゴリ４０５に関連付けられた）第１の問題４１５は第２の重み４４５を有する。
【００４９】
実際には、図４には、異なる可能な実施形態が示されている。本発明のいくつかの実施形態では、重みは、個々の問題ではなくカテゴリに対して付与される。本発明の他の実施形態では、個々の問題に重みが付与される。重みがカテゴリに付与される場合、そのカテゴリに含まれる問題の数にカテゴリの重みを乗じることができる。重みが問題に付与される場合、各問題の発生数にその問題の重みを乗じることができる。そして、重みがカテゴリごとであるか問題ごとであるかにかかわらず、これらの積の総和を求めることができ、その総和が電子ファイルのスコアを表す。
【００５０】
すべての重みが同一の符号を持つ（すなわち、所定の閾値の使い方に応じてすべての重みが正か負のいずれかである）と考える人もいるかもしれないが、そのような制限は実際には存在しない。通常、悪意のあるコンテンツを作成した当事者は、その悪意のあるコンテンツにその目的を達成させたいと考えている。そのような目的としては、数ある可能性の中でも特に、コンピュータシステムにダメージを与える、データを抽出して悪意のあるコンテンツの作成者に送信する、コンピュータをゾンビ（通常想定されるユーザ以外の人によって操作されるコンピュータ）に変えるといった目的が挙げられる。ファイルが疑わしく見えるほど、悪意のあるコンテンツがその目的を達成する可能性は低くなる。したがって、悪意のあるコンテンツを持つファイルがそれに関連する問題以外の問題も併せ持つということは、比較的まれにしか起こらないと予想するのが合理的である。このため、悪意のあるコンテンツには通常関連していない問題には、反対の符号の重みを付与し、その電子ファイルにリスクがあると見なされる可能性を「下げる」ことができる。例えば、重要度の低い問題に正の重みを付与し、重要度の高い問題に負の重みを付与して、脅威スコアが所定の閾値を下回る場合に、その電子ファイルが脅威と見なされることを示すようにすることができる。異なる符号を持つ重みを用いることによって、使用する所定の閾値も変わる。例えば、本発明の一実施形態では、所定の閾値をゼロとすることができる。
【００５１】
図５は、図３の脅威計算機の詳細を示す。上述の通り、脅威スコアは、電子ファイルに対して計算することができる。本発明の実施形態は、電子ファイルが使用しているとされるファイルフォーマットにその電子ファイルが合致するか否かをチェックして確認することができる。ある所与の使用しているとされるファイルフォーマットに対して、電子ファイルがそのファイルフォーマットの基準を満たすか否かを確認するために複数のチェックを実施することができる。ある特定のチェックが満たされない場合、つまり電子ファイルがそのファイルフォーマットの基準の何らかの要素を満たさない場合には、その問題の発生を示すフラグが立てられる。脅威計算機３２０は、電子ファイル１０５とデータベース３０５を取り込み、電子ファイル１０５のリスク評価５０５（脅威スコアあるいは単にスコアとも呼ぶ）を計算することができる。本発明の一実施形態では、リスク評価５０５は、各問題の発生数にその問題に対応する重みを乗じた積の総和を求めることによって計算される。
【００５２】
本発明のいくつかの実施形態では、個々の問題ではなくカテゴリに対して重みが付与されることに留意されたい。本発明のこれらの実施形態では、システムは、個々のチェックに基づいてカテゴリごとの問題の発生数を計算することができる。そして上述の説明と同様、この数に、リスク評価５０５の計算に使用するためにカテゴリに付与された重みを乗じることができる。
【００５３】
以上では詳細に述べなかった点の１つに、データベース３３５で使用される重みがどのように付与されるか、ということがある。言うまでもないが、ユーザが手動で重みを付与することができ、あるいはシステムのサプライヤが作成したデフォルトの重みを使用することもできる。ただし、初期重みの計算を自動化することもまた可能である。本発明の実施形態では、分析器３１５は、走査モードだけでなく分析モードでも動作することができる。分析モードでは、分析器３１５は、既知のファイルを取り込み、それらのファイルを分析し、その分析を基に重みを生成することができる。
【００５４】
図６は、分析モードで使用する場合の図３の分析器及び統計分析器の詳細を示す。図６において、分析器３１５は、コーパス６０５，６１０などの２つのファイルコーパスを受信することができる。分析器３１５は、コーパス６０５，６１０を分析し、結果６１５，６２０を生成することができる。例えば、コーパス６０５が、悪意のあるコンテンツを含むことが判明済のファイルを含み、コーパス６１０が、問題を有すると判明済だがその他の点では脅威ではないファイルを含むようにすることができる。そして、統計分析器３２５は、これらの結果６１５，６２０を処理して、通常の動作モードで電子文書を分析する際に、カテゴリ又はチェック／問題に付与される重みを調整することができる。統計分析器３２５は、任意の所望のアルゴリズムを使用して重みを調整することができる。本発明のいくつかの実施形態では、コーパス６０５のファイルの脅威スコアがコーパス６１０のファイルの脅威スコアよりも大きなリスクを示すまで、重みが調整される。
【００５５】
初期重みが決定された後でも、ユーザは重みを調整することを選択する場合がある。例えば、マクロを利用して悪意のある結果を引き起こすことができるが、ある文書に含まれるマクロは安全と見なされるとシステムのあるユーザが判定することがあるかもしれない。また、一般にフォント名を使って悪意のある影響を与えることはできないが、誤ったフォント名のフォントが重大なリスクを示しているとシステムの別のユーザが判定することがあるかもしれない。したがって、デフォルトの重みは、ユーザによって（あるいは、ユーザの指示の下、システムの製造業者によって）上書きすることができる。
【００５６】
図６に関する上述の説明によって、システムが使用する初期重みを決定するためだけに、分析器３１５が分析モードで使用できると示唆されているように思われるかもしれない。実際、本発明のいくつかの実施形態では、分析モードで分析器３１５が使用されるのは、顧客保護のためにシステムを稼働させる前に限られている。しかし、顧客保護のためのシステムの使用中も分析器３１５が電子ファイルを分析し、その分析結果を重み調整のために使用することができない理由はない。例えば、分析器３１５が電子ファイルを分析する時に、システムが（直接又は統計分析器３２５を使用して）これらの分析をフィードバックとして利用し、カテゴリ又はチェック／問題に付与された重みを調整することができる。このフィードバックは、任意の所望の手法により行うことができる。例えば、分析結果にかかわらず、分析器３１５は、分析した各電子ファイルに対してフィードバックを適用することができる。あるいはまた、ファイルにリスクがあると見なされる場合に限り、又はファイルが安全であると見なされる場合に限り、フィードバックを適用することもできる。当業者であれば、フィードバックを管理可能な他の方法についても認識するであろう。
【００５７】
上述の説明は、データベース内のすべての重みが調整されることを意味している。ただし、これは正しい場合もあるが必須ではない。重みの一部のみが調整されることがあり、ただ１つの重みが調整される場合もある。統計分析器３２５が、初期重みで十分であり、調整は必要ないとする判定結果を出すことも考えられる。本発明の実施形態は、そのようなすべての変化形を包含することを意図している。
【００５８】
図７は、本発明の一実施形態に係る、図３のシステムにおける電子ファイルのリスク評価計算の手順を示すフローチャートである。図７では、ブロック７０５で、システムは電子ファイルを受信することができる。ブロック７１０で、システムはカテゴリに分けられた種々のチェックを使用して電子ファイルを分析することができる。ブロック７１５で、システムは種々のカテゴリの重み（あるいは、上述の通り、チェック／問題自体の重み）を決定することができる。ブロック７２０で、システムはチェックやカテゴリ、そしてそれらに関連付けられた重みを使用して、電子ファイルのリスク評価又は脅威スコアを計算することができる。最後に、ブロック７２５で、システムは計算したリスク評価を使用して、例えばフィードバックループにおいて重みを調整することができる。
【００５９】
図８は、本発明の第２の実施形態に係る、図７の手順とは別のリスク評価計算の手順を示すフローチャートである。上述の通り、重みは、チェックのカテゴリではなく、チェック自体に付与することができる。図７に示すブロック７１０，７１５，７２０を、ブロック８０５，８１０，８１５に置き換えることができる。ブロック８０５で、個々のチェックを使用して電子ファイルを分析することができる。ブロック８１０で、個々のチェックの重みを決定することができる。そして、ブロック８１５で、システムはチェックとそれらに付与された重みとに基づいて、リスク評価又は脅威スコアを計算することができる。
【００６０】
図９Ａ及び図９Ｂは、図７の手順で使用する重みの計算手順を示すフローチャートである。図９Ａ及び図９Ｂで説明する重みは、チェックのカテゴリの重みであっても、個々のチェックの重みであってもよい。図９Ａでは、ブロック９０５で、ユーザが重みを付与することができる。あるいは、ブロック９１０で、デフォルトの重みを付与することもできる。ブロック９１５で、ユーザがデフォルトの重みを調整することができる。
【００６１】
図９Ｂでは、デフォルトの重み（又は他の手法で与えられたデフォルトの重みと差し替える重み）を決定するために、既知のファイルを分析して重みを計算することができる。ブロック９２０で、システムはファイルコーパスを受信することができる。上述の通り、本発明のいくつかの実施形態では、ある１つのコーパスが、悪意のあるコンテンツを含むことが判明済のファイルを含み、別のコーパスが、脅威ではないことが判明済の問題を有するファイルを含むようにすることができる。ブロック９２５で、チェック又はチェックのカテゴリを使用してファイルコーパスをスキャンすることができる。ブロック９３０で、分析結果を統計的に分析することができる。ブロック９３５で、統計分析を使用してデフォルトの重みを調整することができる。そして、制御は図９Ａに戻り、処理を終了する。
【００６２】
図１０Ａ及び図１０Ｂは、図７の手順において電子サンドボックスを使用するか否かを決定する手順を示すフローチャートである。図１０Ａでは、ブロック１００５で、システムが電子ファイルの脅威スコアを計算することができる。ブロック１０１０で、システムは脅威スコアを所定の閾値と比較することができる。ブロック１０１５で、システムは脅威スコアが所定の閾値を上回るか否かを判定する。上回っている場合、ブロック１０２０で、電子ファイルは安全であると見なされ、ブロック１０２５で、システムは目的の受信者に電子ファイルを配信することができる。
【００６３】
脅威スコアが所定の閾値を上回っていない場合、ブロック１０３０（図１０Ｂ）で、システムは電子ファイルが安全ではないと見なされることに気付くことができる。ブロック１０３５で、システムは電子ファイルをサンドボックスに入れることができる。ブロック１０４０で、システムは電子ファイルを（任意の適切な手法により）起爆させることができ、ブロック１０４５で、システムはサンドボックスの動作を観察することができる。ブロック１０５０で、システムは、電子ファイルが脅威と思われるか否かを判定する。脅威と思われる場合、ブロック１０５５で、システムは適切な処置が施されるまでファイルを隔離することができる。脅威と思われない場合、処理はブロック１０２５（図１０Ａ）に戻り、システムは目的の受信者に電子ファイルを配信することができる。
【００６４】
図１０Ａ及び図１０Ｂには、脅威スコアが所定の閾値を上回っている場合に、電子ファイルが安全であると見なされると説明されているが、当業者であれば、電子ファイルが安全か否かの評価基準は、脅威スコアの計算方法によって異なる可能性があることを認識するであろう。つまり、重要度が高いと見なされる問題に対して正の重みが使用される場合には、脅威スコアが所定の閾値を下回っている場合に電子ファイルは安全であると見なすことができ、脅威スコアが所定の閾値を上回っている場合に電子ファイルにリスクがあると見なすことができる。
【００６５】
以上説明したフローチャートは、本発明の可能な実施形態のいくつかを示している。ただし、本発明の他の実施形態では、上述のブロックを異なる構成で編成すること、必要に応じて異なるブロックを含んだり、省略したりすること、あるいは必要に応じて１つのブロック（又は複数のブロック）を繰り返すことができる。明示的に図示又は記載されているか否かにかかわらず、このようなすべてのフローチャートの変化形が本発明の実施形態に含まれることが意図されている。
【００６６】
以下の記載は、本発明の特定の態様を実施することができる適切なマシンの簡単かつ概略的な説明を提供することを意図したものである。通常、マシンはシステムバスを備えており、このシステムバスに、プロセッサと、例えばランダムアクセスメモリ（ＲＡＭ）、リードオンリーメモリ（ＲＯＭ）、又は他の状態保存媒体などのメモリと、記憶装置と、ビデオインターフェースと、入出力インターフェースポートとが取り付けられている。マシンは、キーボード、マウスなどの従来の入力装置からの入力に加えて、別のマシンから受信した指令、バーチャルリアリティ（ＶＲ）環境との相互作用、バイオメトリックフィードバック、又は他の入力信号によって、少なくとも部分的に制御することができる。本明細書で用いる場合、「マシン」という用語は、単一のマシン、あるいは通信可能に接続されて連携して動作する複数のマシン又は装置から成るシステムを広く包含することを意図している。マシンの例としては、パーソナルコンピュータ、ワークステーション、サーバ、携帯用コンピュータ、手持ち式デバイス、電話、タブレットなどのコンピューティングデバイスに加えて、例えば、自動車、電車、タクシーなどの民間又は公共の交通手段のような輸送装置が挙げられる。
【００６７】
マシンとしては、プログラム可能な又は可能ではない論理デバイス又は論理アレイなどの組込みコントローラ、特定用途向け集積回路、組込みコンピュータ、スマートカードなどが挙げられる。マシンは、ネットワークインターフェース、モデム、又は他の通信接続を介するなどした１つ以上のリモートマシンへの１以上の接続を利用することができる。マシンは、イントラネット、インターネット、ローカルエリアネットワーク、広域ネットワークなどの物理ネットワーク及び／又は論理ネットワークを介して、相互接続することができる。当業者であれば、ネットワーク通信が、無線周波数（ＲＦ）、衛星、マイクロ波、米国電気電子技術者協会（ＩＥＥＥ）８１０．１１、ブルートゥース（Bluetooth）、光、赤外線、ケーブル、レーザ、などの様々な有線及び／又は無線の短距離又は長距離のキャリア及びプロトコルを利用できることが理解されるであろう。
【００６８】
本発明は、機能、手順、データ構造、アプリケーションプログラムなどを含む関連データを参照又は併用することにより説明することができる。この関連データは、マシンがアクセスした場合に、マシンにタスクを実行させるか、あるいは抽象データタイプの定義又は下位レベルのハードウェアコンテクストの定義を定めさせるものである。関連データは、非一時的なコンピュータ実行可能命令として、コンピュータが読み取り可能な媒体に格納することができる。関連データは、例えば、ＲＡＭやＲＯＭなどの揮発性及び／又は不揮発性メモリ、又はハードドライブや、フロッピーディスク、光学記憶装置、テープ、フラッシュメモリ、メモリスティック、デジタルビデオディスク、生物学的記憶装置などのその他の記憶装置及びそれらに関連する記憶媒体などに格納することができる。関連データは、パケット、シリアルデータ、パラレルデータ、伝播信号などの形で、物理ネットワーク及び／又は論理ネットワークなどの伝送環境を介して配信することができ、圧縮フォーマット又は暗号化されたフォーマットで使用することができる。関連データは、分散環境において使用され、マシンによるアクセスに備えてローカルに及び／又はリモートに格納することができる。
【００６９】
以上、例示的な実施形態を参照して、本発明の原理を説明して例示してきたが、これらの例示的な実施形態の構成や詳細については、この原理から逸脱しない範囲で変更可能であることが認識されるであろう。上述の説明は特定の実施形態に焦点を当てているが、他の構成も考えられる。特に、本明細書には「一実施形態では（in one embodiment）」等の表現が用いられているが、これらの表現は、実施形態の可能性を広く指すことが意図されており、本発明を特定の実施形態の構成に限定することを意図したものではない。本明細書において用いる場合、これらの用語は、他の実施形態と組み合わせ可能な同一の又は異なる実施形態を指すことができる。
【００７０】
したがって、本明細書に記載の実施形態に広範囲の並べ替えがあることを考慮すれば、本詳細な説明及び添付の文書は、単に例示を意図したものにすぎず、本発明の範囲を限定するものと解釈されるべきではない。したがって、本発明の請求の範囲は、以下の特許請求の範囲及びその均等物の範囲を逸脱しない全てのそのような変形を包含する。
【図１】
0006450845.tif 000002
【図２】
0006450845.tif 000003
【図３】
0006450845.tif 000004
【図４】
0006450845.tif 000005
【図５】
0006450845.tif 000006
【図６】
0006450845.tif 000007
【図７】
0006450845.tif 000008
【図８】
0006450845.tif 000009
【図９Ａ】
0006450845.tif 000010
【図９Ｂ】
0006450845.tif 000011
【図１０Ａ】
0006450845.tif 000012
【図１０Ｂ】
0006450845.tif 000013