(57)【要約】  ランサムウェアの検出と防止のための方法であって、１つまたは複数のコンピュータシステムイベントに関連するイベントストリームを受信すること、１つまたは複数の各デジタル資産のユーザ付加価値を蓄積することを含み、イベントストリームに基づいてデジタル資産相互作用をモデリングすることによって、１つまたは複数のデジタル資産のユーザ付加価値知識データを生成すること、および１つまたは複数のデジタル資産に関するユーザ付加価値の破壊を分析することを含み、少なくとも部分的なユーザ付加価値知識に基づいてランサムウェアの動作を検出すること、を含む。
2021512412.tif 000002
【特許請求の範囲】
【請求項１】
ランサムウェアの検出と防止のためのコンピュータ実行方法であって、
１つまたは複数のコンピュータシステムイベントに関連するイベントストリームを受信すること、
１つまたは複数の各デジタル資産のユーザ付加価値を蓄積することを含み、前記イベントストリームに基づいてデジタル資産相互作用をモデリングすることによって、１つまたは複数のデジタル資産のユーザ付加価値知識データを生成すること、および
前記１つまたは複数のデジタル資産に関する前記ユーザ付加価値の破壊を分析することを含み、少なくとも部分的な前記ユーザ付加価値知識に基づいてランサムウェアの動作を検出すること、を含む方法。
【請求項２】
前記ユーザ付加価値知識データを生成することは、さらに、
前記イベントストリームに基づいて１つまたは複数の対話型ユーザログオンセッションに対応する１つまたは複数のイベントを検出することと、
１つまたは複数のユーザセッション活動グラフを取得するためホスト内の因果関係分析を実行することと、を含む、請求項１に記載の方法。
【請求項３】
前記ホスト内の因果関係分析を実行することは、少なくとも１つのユーザセッションに関連するプロセスを追跡することと、前記追跡されたプロセス間の因果関係を明らかにすることと、をさらに含む、請求項２に記載の方法。
【請求項４】
前記ユーザ付加価値知識データを生成することは、複数のホストにわたるユーザセッションプロセス活動を追跡することを含む、少なくとも１つの他のホストコンピュータシステムに遠隔ログオンしたユーザによって実行される対話型操作に基づいて、ホスト内活動相関分析を実行することをさらに含む、請求項２に記載の方法。
【請求項５】
前記ユーザ付加価値知識データを生成することは、１つまたは複数のユーザセッション活動グラフから１つまたは複数の非対話型活動を除去することをさらに含む、請求項２に記載の方法。
【請求項６】
前記イベントストリームから１つまたは複数の可能な破壊的な行動を抽出することをさらに含み、前記１つまたは複数のデジタル資産の前記ユーザ付加価値の前記破壊を分析することは、前記１つまたは複数の可能な破壊的な行動と前記ユーザ付加価値知識データとを組み合わせることをさらに含む、請求項１に記載の方法。
【請求項７】
ランサムウェアの動作の前記検出に基づいて１つまたは複数の応答を生成することをさらに含む、請求項１に記載の方法。
【請求項８】
一緒に具現化されたプログラム命令を有する非一時的なコンピュータ読み取り可能な記憶媒体を含むコンピュータプログラム製品であって、前記プログラム命令は、ランサムウェアの検出と防止を実行する方法をコンピュータによって実行可能なものであり、前記コンピュータによって実行される方法は、
１つまたは複数のコンピュータシステムイベントに関連するイベントストリームを受信すること、
１つまたは複数の各デジタル資産のユーザ付加価値を蓄積することを含み、前記イベントストリームに基づいてデジタル資産相互作用をモデリングすることによって、１つまたは複数のデジタル資産のユーザ付加価値知識データを生成すること、および
前記１つまたは複数のデジタル資産に関する前記ユーザ付加価値の破壊を分析することを含み、少なくとも部分的な前記ユーザ付加価値知識に基づいてランサムウェアの動作を検出すること、を含む。
【請求項９】
前記ユーザ付加価値知識データを生成することは、さらに、
前記イベントストリームに基づいて１つまたは複数の対話型ユーザログオンセッションに対応する１つまたは複数のイベントを検出することと、
１つまたは複数のユーザセッション活動グラフを取得するためホスト内の因果関係分析を実行することと、を含む、請求項８に記載のコンピュータプログラム製品。
【請求項１０】
前記ホスト内の因果関係分析を実行することは、少なくとも１つのユーザセッションに関連するプロセスを追跡することと、前記追跡されたプロセス間の因果関係を明らかにすることと、をさらに含む、請求項９に記載のコンピュータプログラム製品。
【請求項１１】
前記ユーザ付加価値知識データを生成することは、複数のホストにわたるユーザセッションプロセス活動を追跡することを含む、少なくとも１つの他のホストコンピュータシステムに遠隔ログオンしたユーザによって実行される対話型操作に基づいて、ホスト内活動相関分析を実行することをさらに含む、請求項９に記載のコンピュータプログラム製品。
【請求項１２】
前記ユーザ付加価値知識データを生成することは、１つまたは複数のユーザセッション活動グラフから１つまたは複数の非対話型活動を除去することをさらに含む、請求項９に記載のコンピュータプログラム製品。
【請求項１３】
前記方法は、前記イベントストリームから１つまたは複数の可能な破壊的な行動を抽出することをさらに含み、前記１つまたは複数のデジタル資産の前記ユーザ付加価値の前記破壊を分析することは、前記１つまたは複数の可能な破壊的な行動と前記ユーザ付加価値知識データとを組み合わせることをさらに含む、請求項８に記載のコンピュータプログラム製品。
【請求項１４】
ランサムウェアの動作の前記検出に基づいて１つまたは複数の応答を生成することをさらに含む、請求項８に記載のコンピュータプログラム製品。
【請求項１５】
ランサムウェアの検出と防止のためのシステムであって、
プログラムコードを記憶するための記憶装置と、
記憶装置に動作可能に結合され、
１つまたは複数のコンピュータシステムイベントに関連するイベントストリームを受信し、
１つまたは複数の各デジタル資産のユーザ付加価値を蓄積することで、前記イベントストリームに基づいてデジタル資産相互作用をモデリングすることによって、１つまたは複数のデジタル資産のユーザ付加価値知識データを生成し、
前記１つまたは複数のデジタル資産に関する前記ユーザ付加価値の破壊を分析することで、少なくとも部分的な前記ユーザ付加価値知識に基づいてランサムウェアの動作を検出する、前記記憶装置に記憶されたプログラムコードを実行するよう構成された少なくとも１つのプロセッサ装置と、を含むシステム。
【請求項１６】
前記少なくとも１つのプロセッサ装置は、さらに、
前記イベントストリームに基づいて１つまたは複数の対話型ユーザログオンセッションに対応する１つまたは複数のイベントを検出すること、
少なくとも１つのユーザセッションに関連するプロセスを追跡することと、前記プロセス間の因果関係を明らかにすることと含む、１つまたは複数のユーザセッション活動グラフを取得するためホスト内の因果関係分析を実行すること、によって、
前記ユーザ付加価値知識データを生成するよう構成されている、請求項１５に記載のシステム。
【請求項１７】
前記少なくとも１つのプロセッサ装置は、さらに、複数のホストにわたるユーザセッションプロセス活動を追跡することを含む、少なくとも１つの他のホストコンピュータシステムに遠隔ログオンしたユーザによって実行される対話型操作に基づいて、ホスト内活動相関分析を実行することによって、前記ユーザ付加価値知識データを生成するよう構成されている、請求項１６に記載のシステム。
【請求項１８】
前記少なくとも１つのプロセッサ装置は、さらに、１つまたは複数のユーザセッション活動グラフから１つまたは複数の非対話型活動を除去することによって、前記ユーザ付加価値知識データを生成するよう構成されている、請求項１６に記載のシステム。
【請求項１９】
前記少なくとも１つのプロセッサ装置は、さらに、前記イベントストリームから１つまたは複数の可能な破壊的な行動を抽出するよう構成されており、前記少なくとも１つのプロセッサ装置は、さらに、前記１つまたは複数の可能な破壊的な行動と前記ユーザ付加価値知識データとを組み合わせることによって、前記１つまたは複数のデジタル資産の前記ユーザ付加価値の前記破壊を分析するよう構成されている、請求項１５に記載のシステム。
【請求項２０】
前記少なくとも１つのプロセッサ装置は、さらに、ランサムウェアの動作の前記検出に基づいて１つまたは複数の応答を生成するよう構成されている、請求項１５に記載のシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
（関連出願情報）
本出願は、２０１８年５月６日に出願された仮出願シリアル番号６２／６６７，５２６、２０１８年８月７日に出願された仮出願シリアル番号６２／７１５，３０７、および２０１８年４月９日に出願された米国特許出願シリアル番号１６／３７９，０２４の優先権を主張し、これらの全ては、参照により本明細書に組み込まれる。
【０００２】
本発明は、コンピュータセキュリティに関し、より詳細には、ランサムウェアの検出と防止に関する。
【背景技術】
【０００３】
悪意のあるソフトウェアまたはマルウェアは、コンピュータ、サーバ、クライアント、またはネットワークに損害を与えるように設計されたソフトウェアである。ランサムウェアは、身代金が攻撃者に支払われない限り、デジタル資産を公表すること、デジタル資産へのアクセスをブロックすること、デジタル資産を破壊すること、および／または通常のデバイス利用を拒むこと（例えば、ユーザインタフェースまたは対話に干渉すること）などによって、ユーザのデジタル資産（ファイル、フォルダなど）に基づいてユーザに対してアクションを取ることを脅かすマルウェアのタイプである。ランサムウェア検出は一般的に、次の２つのカテゴリに分類される。（１）署名検出、および（２）プロセス動作異常検出である。署名検出は、従来のウイルス対策およびネットワーク侵入検出の拡張である。プロセス動作異常検出カテゴリは、通常の動作を悪意のある動作と比較することによってランサムウェアの存在を検出することができる技術を含むことができる。
【発明の概要】
【０００４】
本発明の一側面によれば、ランサムウェアの検出と防止のための方法が提供される。その方法は、１つまたは複数のコンピュータシステムイベントに関連するイベントストリームを受信すること、１つまたは複数の各デジタル資産のユーザ付加価値を蓄積することを含み、前記イベントストリームに基づいてデジタル資産相互作用をモデリングすることによって、１つまたは複数のデジタル資産のユーザ付加価値知識データを生成すること、および前記１つまたは複数のデジタル資産に関する前記ユーザ付加価値の破壊を分析することを含み、少なくとも部分的な前記ユーザ付加価値知識に基づいてランサムウェアの動作を検出すること、を含む。
【０００５】
本発明の別の実施形態によれば、ランサムウェアの検出と防止のためのシステムが提供される。そのシステムは、プログラムコードを記憶するための記憶装置と、前記記憶装置に動作可能に結合された少なくとも１つのプロセッサとを含む。前記少なくとも１つのプロセッサは、１つまたは複数のコンピュータシステムイベントに関連するイベントストリームを受信し、１つまたは複数の各デジタル資産のユーザ付加価値を蓄積することで、前記イベントストリームに基づいてデジタル資産相互作用をモデリングすることによって、１つまたは複数のデジタル資産のユーザ付加価値知識データを生成し、前記１つまたは複数のデジタル資産に関する前記ユーザ付加価値の破壊を分析することで、少なくとも部分的な前記ユーザ付加価値知識に基づいてランサムウェアの動作を検出する、前記記憶装置に記憶されたプログラムコードを実行するよう構成されている。
【０００６】
これらおよび他の特徴および利点は、添付の図面に関連して読まれるべき、その例示的な実施形態の以下の詳細な説明から明らかになるであろう。
【図面の簡単な説明】
【０００７】
本開示は、以下の図面を参照して、好ましい実施形態の以下の説明において詳細を提供する。
【図１】本発明の一実施形態による、オンライン監視および分析システムの概要のブロック／フロー図である。
【図２】本発明の一実施形態による、図１のオンライン監視および分析システムのセキュリティアプリケーションを実行するためのシステム／方法のブロック／フロー図である。
【図３】本発明の一実施形態による、図２のセキュリティアプリケーションに関連するシステム分析およびモデリングならびにオンライン事故検出および応答を実行するためのシステム／方法のブロック／フロー図である。
【図４】本発明の一実施形態による、図３のシステム分析およびモデリング中に実行されるデジタル資産相互作用モデリングの詳細を示すシステム／方法のブロック／フロー図である。
【図５】本発明の一実施形態によるプロセス因果関係の図である。
【図６】本発明の一実施形態による、ユーザセッション活動グラフの図である。
【図７】本発明の一実施形態による、ネットワークイベントおよびタイミング相関によるホスト間ユーザセッションの図である。
【図８】本発明の一実施形態による、図３のオンライン事故検出および応答中に実行されるユーザ付加価値ベースのランサムウェア動作検出の詳細を示すシステム／方法のブロック／フロー図である。
【図９】本発明の一実施形態による、ランサムウェアの検出と防止のためのシステム方法のブロック／フロー図である。
【図１０】本原理によるコンピュータシステムを示すブロック／フロー図である。
【発明を実施するための形態】
【０００８】
本明細書で説明される実施形態はランサムウェア活動を検出し、ランサムウェア活動に対する高いユーザ付加価値を有するデジタル資産の保護を提供することができるシステムおよび方法を提供する。より具体的には、本明細書で説明される実施形態がデジタル資産のそれぞれに関連するユーザ付加価値を区別するために、企業全体にわたるローカルデバイスエージェントを使用して、毎日のコンピューティング活動の広範かつ連続的な監視を適用することができる。監視されたデータは例えば、機械学習およびドメイン知識注入などの経験則を使用して、ユーザがどのようにデジタル資産と対話するか（例えば、強度、時間、および粘り強さ）に基づいて、デジタル資産の付加価値を導き出すために使用され得る。本明細書で説明される実施形態は、企業全体のすべてのデジタル資産のユーザ付加価値の破壊に基づいて、現地のデバイスエージェントを用いてランサムウェア活動を検出することができる。このような方法でランサムウェアの活動を検出することにより、ここで説明した実施形態はプロセッサベース検出スキームの分割統治回避を阻止することができ、そのことにより、ランサムウェアは、各々が少数の操作を実行できる多くのユニークなプロセスを作り出すことを試みることができる。
【０００９】
デジタル資産対話監視に加えて、本明細書で説明される実施形態は、例えば削除、上書きなどによって、デジタル資産が破壊されているときにキーイベントを監視することによって、ランサムウェア活動を検出することができる。防止のために、潜在的なランサムウェア活動が検出されると、本明細書で説明される実施形態はより高価値のデジタル資産をさらに破壊する動作を一時停止することができ、さらなる調査または決定のためにユーザおよび／または管理者に信号を送ることができる。保護は個々のプロセスレベルではなく、ファイルシステムレベルで行うことができ、より包括的な保護のメリットで行うことができる（例えば、一部のランサムウェアは、一時停止または強制終了されたプロセスの検出に応答して代替応答を作成するように設計できる）。このような保護は、プロセスレベルの封じ込め、バックアップデータの回復などを含むがこれらに限定されない追加の保護の他の手段を排除するものではない。
【００１０】
例えば、本明細書で説明される実施形態は、対話形式で生成されたデータを含むデジタル資産を例示的に保護することができる。例えば、ソース（例えば、オペレーティングシステムファイルおよびソフトウェアライブラリ）から既存のまたはコピーされた無名の読み取り専用データ、およびプログラム的に生成されたデータ（例えば、ログファイルおよびブラウザキャッシュデータ）のような他のタイプのデータとは対照的に、対話形式で生成されたデータは長期にわたる、および／または、集中的な人間の対話を通してユーザの付加価値を蓄積し集中することができ、コンピュータシステムにおける最も価値のあるタイプのデジタル資産を表すことができる。したがって、無名の読み取り専用データおよびプログラム的に生成されたデータは一般的に、対話的に生成されたデータと比較して、ユーザの付加価値がはるかに低く、このような無名の読み取り専用データおよびプログラム的に生成されたデータの回復は比較的迅速かつ低コストであり得る（例えば、ＯＳ／アプリケーションを再インストールし、および／またはログファイル／キャッシュデータの損失を許容することによって）。したがって、本明細書で説明される実施形態はランサムウェア活動の結果として失われたり破壊されたりすることから、高ユーザ付加価値デジタル資産（例えば、対話的に生成されたデータ）を保護することができ、それによって、企業活動の潜在的に大きな中断を回避する。
【００１１】
企業の固有の活動を監視し、学習することによって、企業の貴重なデジタル資産の「戦略マップ」を、本明細書で説明する実施形態にしたがって取得することができ、ランサムウェアのライターは、おそらく知識がない。したがって、本明細書に記載される検出および保護技術は、高度に標的にされ、繊細であり得る。
【００１２】
ここで、同様の数字が同じまたは類似の要素を表す図１を最初に詳細に参照し、オンライン監視分析システム１００のハイレベルな概要を説明するブロック／フロー図を示す。図示のように、システム１００は、コンピュータシステム１１２のグループ１１０と、少なくとも１つの処理装置１２０と、セキュリティアプリケーション１３０とを含む。グループ１１０は、エージェントによって監視することができる。少なくとも１つの処理装置１２０は、グループ１１０およびセキュリティアプリケーション１３０との通信において示され、ミドルウェアとして機能することができる。例えば、少なくとも１つの処理装置がビッグデータ処理ミドルウェアとして機能することができる。セキュリティアプリケーション１３０は、ビッグデータセキュリティアプリケーションを含むことができる。セキュリティアプリケーション１３０の操作に関するさらなる詳細は、図２を参照して以下でさらに詳細に説明される。
【００１３】
図２を参照すると、セキュリティアプリケーション２１０を実行するための例示的なシステム／方法２００を示すブロック／フロー図が提供されている。セキュリティアプリケーション２１０は、図１を参照して上述したセキュリティアプリケーション１３０と同じものとすることができる。
【００１４】
図示のように、セキュリティアプリケーション１３０は、処理のためにコンピュータシステムイベントストリーム（「イベントストリーム」）２２０を受信することができる。
【００１５】
セキュリティアプリケーション１３０は、フォレンジックデータ記録構成要素を含むことができる。フォレンジックデータ記録構成要素２３０は長期間（例えば、月または年）にわたってイベントストリーム２２０からのデータを記録することができる。記録されたデータは例えば、遡及診断またはフォレンジック証拠収集のために使用され得る。
【００１６】
セキュリティアプリケーション１３０は、ランサムウェア検出構成要素２４０のセットをさらに含むことができる。より具体的には、ランサムウェア検出構成要素２４０のセットは例示的に、システム分析およびモデリング構成要素２４２と、オンライン事故検出および応答構成要素２４４とを含むことができる。構成要素２４２および２４４に関するさらなる詳細を、図３を参照して以下でさらに詳細に説明する。
【００１７】
図３を参照すると、図２において上述したシステム分析およびモデリング構成要素２４２およびオンライン事故検出および応答構成要素２４４を含むランサムウェア検出構成要素のセットを実装するための例示的なシステム／方法３００を示すブロック／フロー図が提供される。図示のように、構成要素２４２および２４４の各々は、イベントストリーム２２０の別個のストリームを消費することができる。
【００１８】
システム分析およびモデリング構成要素２４２は、デジタル資産相互作用モデリング構成要素３１０、プロセス動作モデリング構成要素３２０、および他の分析およびモデリング構成要素３３０を含むことができる。
【００１９】
オンライン事故検出および応答構成要素２４４は、ユーザ付加価値ベースのランサムウェア動作検出構成要素３４０と、異常な動作検出構成要素３５０と、他の署名および異常検出構成要素３６０とを含むことができる。
【００２０】
プロセス動作モデリング構成要素３２０は良性プロセスがデジタルアクセスにどのようにアクセスするかについての知識（例えば、頻度分布、閾値）を構築して、維持する機能を含むことができる。生産モデルは異常な動作検出構成要素３５０の機能、例えば、プロセス中心ランサムウェア動作検出を実行するために使用することができる。
【００２１】
他の分析およびモデリング構成要素３３０はイベントストリーム２２０から、他の署名および異常検出構成要素３６０の様々な他のセキュリティ検出機能に役立つ知識および情報を抽出する機能を含むことができる。例えば、データおよびプログラムハッシュ署名は他の署名および異常検出構成要素３６０における署名ベースのウイルス／マルウェア検出のために、他の分析およびモデリング構成要素３３０によって抽出することができる。
【００２２】
デジタル資産相互作用モデリング構成要素３１０は、少なくとも１人のユーザに関連するデジタル資産相互作用を作ることができる。デジタル資産相互作用モデリング構成要素３１０に関するさらなる詳細を、図４を参照して以下に説明する。
【００２３】
図４を参照すると、デジタル資産相互作用モデリング構成要素３１０を実装するためのシステム／方法４００を示すブロック／フロー図が提供されている。デジタル資産相互作用モデリング構成要素３１０に関連付けられたコンピュータシステムは複数の登録済アカウントを有することができ、アカウントのうちの異なるアカウントの下で複数のプログラムを実行することができると仮定することができる。さらに、アカウントのすべてが人間のユーザに対応する必要はない。
【００２４】
図示のように、デジタル資産相互作用モデリング構成要素３１０は図２および図３を参照して上述したように、イベントストリーム２２０を受信することができる。デジタル資産相互作用モデリング構成要素３１０は、ユーザ対話型ログオン検出構成要素４１０と、ホスト内因果関係分析構成要素４２０と、ホスト間活動相関分析構成要素４３０と、双方向性分析構成要素４４０とを含むことができる。
【００２５】
出力４５０は、ユーザ付加価値会計データベース４６０に記憶され得る。出力４５０は、構成要素４１０〜４４０の操作中に得られるデジタル相互作用イベントを含むことができる。
【００２６】
ユーザ対話型ログオン検出構成要素４１０は、イベントストリーム２２０の分析に基づいて、対話型ユーザログオンセッションに対応するイベントを検出することができる。ユーザ対話型ログオン検出構成要素４１０によって使用され得る検出方法は、例えば、ドメイン知識（例えば、グラフィックデスクトップマネージャのような周知の対話型プロセスの実行）、認証イベント（例えば、指紋／虹彩スキャンのようなパスワードおよび多要素認証の使用、顔／音声認識、無線周波数識別（ＲＦＩＤ）など）、および物理的装置の活動（例えば、キーボードおよびマウスイベント）を含むことができる。
【００２７】
ホストコンピュータシステム上で検出されたユーザ対話型ログオンセッション（「ユーザセッション」）が与えられると、ホスト内因果関係分析構成要素４２０は、ホストの境界内のユーザセッションに関連するプロセスおよびそれらの活動を追跡することができる。プロセス追跡は、プロセス間の因果関係を明らかにすることと、ユーザセッションに関連するすべての因果関係のプロセスを考慮することとを含むことができる。因果関係はプロセス作成イベントを観察することによって確立することができ、その間に、親プロセスは、システムコールを使用して子プロセスを直接作成することができる。あるいは、プロセスは、プロセス間通信チャネルを利用して、別のプロセス（例えば、オペレーティングシステム（ＯＳ）またはサードパーティサービス）に要求して、要求者に代わって間接的に子プロセスを作成することができる。そのような間接的な因果関係は、通信チャネルが監視される場合に明らかにされ得る。次に、図５を参照して、直接プロセスの作成および間接プロセスの作成の実施例を説明する。
【００２８】
図５を参照すると、直接プロセスの作成５１０および間接プロセスの作成５２０の一例を示す図５００が提供されている。
【００２９】
図示のように、直接プロセスの作成５１０の間に、親プロセス「Ａ」は作成プロセスイベントを介して子プロセス「Ｂ」を直接作成することができる。例えば、親プロセス「Ａ」は、ｅｘｐｌｏｒｅｒ．ｅｘｅプロセスであってもよく、子プロセス「Ｂ」は、例えば、ｎｏｔｅｐａｄ．ｅｘｅであってもよい。
【００３０】
さらに示されるように、間接プロセスの作成５２０の間に、親プロセス「Ａ」は子プロセス「Ｄ」を間接的に作成することができる。より具体的には親プロセス「Ａ」が子プロセス「Ｄ」を作成するために作成プロセスイベントを使用するサービスホストプロセス「Ｃ」と通信することができる。親プロセス「Ａ」とサービスホストプロセス「Ｃ」との間の通信がＩＰＣチャネルを介したプロセス間通信（ＩＰＣ）を含むことができる。例えば、親プロセス「Ａ」は例えば、ｅｘｐｌｏｒｅｒ．ｅｘｅプロセスであってもよく、子プロセス「Ｄ」は例えば、ｗｉｎｗｏｒｄ．ｅｘｅプロセスであってもよく、サービスホストプロセス「Ｃ」は例えば、ｓｖｃｈｏｓｔ．ｅｘｅプロセスであってもよい。
【００３１】
図４に戻って参照すると、ホスト内因果関係分析構成要素４２０によって収集された知識は、ユーザセッション活動グラフの集合として表すことができる。各ユーザセッション活動グラフは、単一ホスト上の単一ユーザセッションに属するすべてのプロセスと、ホスト上のデジタル資産へのアクセスとを含むことができる。このような情報は、すべてのプロセスが内部ノードであり、すべてのデジタル資産がリーフノードであり、ツリーまたはポリツリーのルートがユーザ対話型ログオン検出構成要素４１０によって検出されたプロセスであり、ツリーまたはポリツリーとして整理することができる。以下、図６を参照して、ユーザセッション活動グラフの一例を説明する。
【００３２】
図６を参照すると、例示的なユーザセッション活動グラフ６００の少なくとも一部を示す図が提供されている。この実例では、対話型セッションは、ホストが「Ｊｏｈｎ−ＰＣ」であるユーザ「Ｊｏｈｎ」に関連付けることができる。
【００３３】
図示のように、グラフ６００はプロセス（例えば、ｕｓｅｒｉｎｉｔ．ｅｘｅ、ｅｘｐｌｏｒｅｒ．ｅｘｅ、ｄｒｏｐｂｏｘ．ｅｘｅ、ｎｏｔｅｐａｄｅ．ｅｘｅ、ｗｉｎｗｏｒｄ．ｅｘｅ、およびｔａｘ．ｘｌｓ）を表す円に対応する複数の内部ノードと、デジタル資産（例えば、ｓｈｏｐｓ．ｔｘｔ、ｒｅｐｏｒｔ．ｄｏｃｘおよび２０１８−Ｆｅｂ＼ｓａｌｅｓ＼ｍｏｂｉｌｅ＼）を表す菱形に対応する複数のリーフノードと、直接的な因果関係を表す実線エッジと、間接的な因果関係を表す点線エッジと、デジタル資産へのアクセスを表す破線エッジと、を含む。
【００３４】
図４に戻って参照すると、ログオンセッション中に、ユーザは遠隔から別のホストコンピュータシステムにログオンし、遠隔ホスト上で対話型操作を行うことができる。ホスト間活動相関分析構成要素４３０は、複数のホストにわたるユーザセッションプロセス活動を、それぞれのＯＳに依存しないで追跡することができる。ホスト間活動追跡の方法は、アプリケーションログ相関およびネットワークイベント並びにタイミング相関を含むことができる。アプリケーションログ相関は、利用可能なアプリケーションログ（ｗｅｂアクセスログなど）に頼ることによって、２つのホスト間の活動をリンクすることで機能することができる。ネットワークイベントとタイミング相関は異なるホスト上で実行している２つのプロセス間のネットワークトラフィックを観測し、次に、それらの他の活動の因果関係をタイミング近似で推論することによって機能することができる。次に、図７を参照して、ネットワークイベントとタイミングとの相関の実施例を説明する。
【００３５】
図７を参照すると、ネットワークイベントおよびタイミング相関７００によるホスト内ユーザセッションを示す図が提供されている。図に示すように、ユーザＰｅｔｅｒとＭａｒｙにそれぞれ関連付けられた２つの異なるホストＡとＣの２つのユーザセッションは３番目のホストＢへのセキュアシェル（ＳＳＨ）接続を行う。例えば、ホストＡはＷｉｎｄｏｗｓ（登録商標）オペレーティングシステムで実行でき、ホストＣはｍａｃＯＳ（登録商標）オペレーティングシステムで実行でき、ホストＢはＬｉｎｕｘ（登録商標）オペレーティングシステムで実行できる。
【００３６】
Ｐｅｔｅｒのセッションでは、ＳＳＨプロセス（例えば、ＰｕＴＴＹ．ｅｘｅなど）であるプロセス１と、ＳＳＨサービスプロセスまたはデーモン（例えば、ｓｓｈｄなど）であるプロセス２との間のネットワーク活動と、プロセス３の作成タイミング（例えば、ｓｓｈｄなど）に基づいて、プロセス１とプロセス３は因果関係を持つと判断され、したがって同じユーザセッションに属する。プロセス３は、後の子ｂａｓｈプロセスの親とすることができる。子プロセスとプロセス３の活動（例えば、ｂａｓｈプロセス）は、ホスト内因果関係分析構成要素（例えば、図４を参照して上述したホスト内因果関係分析構成要素４２０）を使用することなどによって、同じユーザセッションで追跡することができる。
【００３７】
ＭａｒｙのセッションはＰｅｔｅｒのセッションに似ており、プロセス４はプロセス１に似ており、プロセス５はプロセス３に似ている。
【００３８】
再び図４を参照すると、ホスト間活動相関分析構成要素４３０の効果は、基本的に、ホスト毎のユーザセッション活動グラフ（例えば、ホスト内因果関係分析構成要素４２０の出力）を、より大きなホスト内ユーザセッション活動グラフに拡大することである。ただし、ユーザセッション内のすべての活動が対話型であるわけではない。例えば、一部のサービスプロセスやデーモン、ヘルパープロセスは、ユーザの関与なしに特定の操作（例えば、ソフトウェアの自己アップデートや定期的なバックアップなど）が自動的に実行されることが知られている。関連するデジタル資産は価値があるかもしれないが、これらの非対話型活動は（少なくともそれ自体で）デジタル資産にほとんど価値を加えることができない。
【００３９】
このような非対話型活動を扱うために、双方向性分析構成要素４４０は、ユーザセッション活動グラフから非対話型活動を除去するフィルタとして動作することができる。使用することができるフィルタリング技術は、黒／白リスト、統計的分類（例えば、タイミング／エントロピー分析）、および機械学習ベースの分類を含むが、これらに限定されない。
【００４０】
デジタル資産相互作用モデリング構成要素３１０の出力４５０（例えば、双方向性分析構成要素４４０の出力）は、ホスト内ユーザセッション対話型活動グラフを含み得る。出力４５０の各活動グラフは、１つ以上のホストに跨ることができる、単一のユーザセッションに属する対話型プロセスデジタル資産対話を含み得る。
【００４１】
出力４５０は、ユーザ付加価値会計構成要素４６０に提供される。ユーザ付加価値会計構成要素４６０は、ユーザ付加価値会計を使用して、各デジタル資産のユーザ付加価値を蓄積することができる。ユーザ付加価値会計は、データの様々な属性および次元に基づくことができる。このようなデータの属性および次元の例は、例えば、
・アクセスの累積期間（例えば、アクセス期間とデジタル資産価値との間に直接的な関係がある）；
・アクセスのタイプ（例えば、コンテンツ変更修正操作（例えば、書き込みおよび追加）はコンテンツ消費操作（例えば、読み出しおよび列挙））よりもデジタル資産価値により貢献することができる；
・コンテンツボリューム（例えば、同じまたは類似のタイプのデータの場合、より大きいデータボリュームは特にコントラストが桁違いである場合、より小さいデータボリュームより大きいデジタル資産値を有することができる（例えば、１００ＫＢワード文書は１０〜２０ページのテキストおよびグラフィックスを含み、２ＫＢワード文書は空っぽである）。対数スケールをこの属性に適用して、それが全体的な指標を支配しないようにすることができる。；
・アクセスの強度および規則性（例えば、デジタル資産への強いアクセスは時間と共にデジタル資産の価値を増加させることができ、デジタル資産への疎らなアクセスは時間と共にデジタル資産の価値を減少させることができる。しかし、規則的なアクセスはデジタル資産の継続的な重要性を意味することができ、したがって、価値の減衰を防止することができる）、を含む。
【００４２】
図３に戻って参照すると、ユーザデジタル資産相互作用モデリング構成要素３１０はデジタル資産のためのユーザ付加価値知識データ３７０を出力することができ、これは、図４を参照して上述したユーザ付加価値会計構成要素４６０によって生成することができる。与えられたデジタル資産について、ユーザ付加価値知識データ３４０は、例えば、（１）デジタル資産識別子（例えば、パス名、ファイルシステム識別子、およびユニバーサルリソース識別子（ＵＲＩ））；（２）累積したユーザ付加価値；（３）ユーザ付加価値に貢献したユーザアカウント；および（４）デジタル資産に対話的形式でアクセスするために使用されるプロセス、のうちの少なくとも１つを含むことができる。
【００４３】
ユーザ付加価値知識データ３７０は、ユーザ付加価値ベースのランサムウェア動作検出構成要素３４０によって受信される。その後、ユーザ付加価値ベースのランサムウェア動作検出構成要素３４０は、ユーザ付加価値知識データ３７０に基づいてランサムウェアの動作を自動的に検出することができる。次に、図８を参照して、ユーザ付加価値ベースのランサムウェア動作検出構成要素３４０の動作に関するさらなる詳細を説明する。
【００４４】
図８を参照すると、図３を参照して上述したように、ユーザ付加価値ベースのランサムウェア動作検出構成要素３４０を使用するユーザ付加価値ベースのランサムウェア動作検出のシステム／方法８００を示すブロック／フロー図が提供されている。
【００４５】
図示のように、ユーザ付加価値ベースのランサムウェア動作検出構成要素３４０は、破壊的アクション抽出構成要素８１０、価値破壊分析構成要素８２０、および警告および応答構成要素８３０を含むことができる。
【００４６】
破壊的アクション抽出構成要素８１０は（図２を参照して上述したように）イベントストリーム２２０を受信し、処理して、可能な破壊的アクションを抽出することができる。抽出方法は資産削除、上書き、および非自明の変換（例えば、暗号化）を含むが、これらに限定されない。
【００４７】
価値破壊分析構成要素８２０は破壊的アクション抽出構成要素（例えば、可能な破壊的アクション）の出力と、（図３を参照して上述したような）ユーザ付加価値知識データ３７０とを組み合わせて、各監視されるホスト上のすべてのデジタル資産に対するユーザ付加価値の破壊を分析することができる。
【００４８】
警告および応答構成要素８３０は、価値破壊分析構成要素８２０によって実行された分析に基づいて、警告および応答を生成することができる。例えば、（例えば、識別された破壊パターンの異常に応答して）基準から逸脱したパターンが観察されたときに、警告にフラグを付けることができる。
【００４９】
いくつかの閾値ベースの分析は、ユーザ付加価値ベースのランサムウェア動作検出構成要素３４０によって使用することができる。そのような閾値ベースの分析の例には、例えば、
・累積的に破壊されたデジタル資産価値のローリング時間ウィンドウを数分（１分、５分、１０分など）のオーダーで維持し、累積値が所定の閾値を超えるときに検出をトリガすることができ、累積値が所定の閾値を超えるときに検出がトリガされ得る（ランサムウェアの爆発を検出し、応答することを目的とする）短期破壊率；
・数時間〜数日（３時間、１２時間、１日など）のオーダーのローリングウィンドウを維持する（控えめでひそかなランサムウェアを検出し、応答することを目的とする）こと、を除いて長期破壊率は短期破壊率に類似している；および、
・貴重なデジタル資産の破壊の正常パターンをモデル化するために機械学習を使用し、観察されたパターンが基準から逸脱するときにフラグが警告する破壊パターン異常（例えば、特定のデジタル資産タイプの標的型攻撃などの特殊化されたランサムウェアを検出し、応答することを目的とする）を含む。
【００５０】
図９を参照すると、ランサムウェアの検出および防止のためのシステム／方法９００を示すブロック／フロー図が提供される。
【００５１】
ブロック９１０で、コンピュータシステムイベントストリーム（「イベントストリーム」）が受信される。イベントストリームは、１つ以上のコンピュータシステムイベントを含むことができる。イベントストリームは、オンラインモニタおよび分析システムに関連付けられた１つ以上のセキュリティアプリケーションによって受信され得る。より具体的には、イベントストリームはシステム分析およびモデリング構成要素と、オンライン事故検出および応答構成要素とを含むことができる少なくとも１組のランサムウェア検出構成要素によって受信することができる。例えば、システム分析とモデリングおよびオンライン事故検出並びに応答構成要素の各々は、イベントストリームの別個のストリームを受信することができる。
【００５２】
ブロック９２０で、１つまたは複数のデジタル資産のユーザ付加価値知識データは、イベントストリームに基づいて生成される。ユーザ付加価値知識データを生成することは、イベントストリームに基づいてデジタル資産相互作用モデリングを実行することを含み得る。
【００５３】
例えば、ユーザ付加価値知識データを生成することは、ブロック９２２において、イベントストリームに基づいて１つ以上のイベントを検出することを含み得る。１つ以上のイベントは、１つ以上の対話型ユーザログオンセッションに対応できる。１つ以上のイベントは、例えば、ドメイン知識（例えば、グラフィックデスクトップマネージャのような周知の対話型プロセスの実行）、認証イベント（例えば、指紋／虹彩スキャンのようなパスワードおよび多要素認証の使用、顔／音声認識、無線周波数識別（ＲＦＩＤ）など）、および物理的装置の活動（例えば、キーボードおよびマウスイベント）に基づいて検出され得る。
【００５４】
ユーザ付加価値知識データを生成することは、ブロック９２４において、ホスト内因果関係分析を実行することをさらに含むことができる。ホスト内因果関係分析を実行することは、ホストの境界内のユーザセッションに関連するプロセスを追跡することを含むことができ、プロセスに関連する活動を追跡することをさらに含むことができる。プロセス追跡は、プロセス間の因果関係を明らかにすることと、ユーザセッションに関連するすべての因果関係のプロセスを考慮することとを含むことができる。因果関係はプロセス作成イベントを観察することによって確立することができ、その間に、親プロセスは、システムコールを使用して子プロセスを直接作成することができる。あるいは、プロセスは、プロセス間通信チャネルを利用して、別のプロセス（例えば、ＯＳまたはサードパーティサービス）に要求して、要求者に代わって間接的に子プロセスを作成することができる。そのような間接的な因果関係は、通信チャネルが監視される場合に明らかにされ得る。
【００５５】
ブロック９２４で取得された知識は、１つまたは複数のユーザセッション活動グラフとして表すことができる。１つ以上のユーザセッション活動グラフのそれぞれは、単一ホスト上の単一ユーザセッションに属するすべてのプロセスと、ホスト上のデジタル資産へのアクセスを含むことができる。このような情報はすべてのプロセスが内部ノードであり、すべてのデジタル資産がリーフノードであり、ツリーまたはポリツリーのルートが検出または追跡されたプロセスであり、ツリーまたはポリツリーとして整理することができる。
【００５６】
ユーザ付加価値知識データを生成することは、ブロック９２６において、ホスト内活動相関分析を実行することをさらに含むことができる。ホスト内活動相関分析はユーザが少なくとも１つの他のホストコンピュータシステム（例えば、少なくとも１つの遠隔ホスト）に遠隔からログオンし、少なくとも１つの他のホストコンピュータシステム上で対話型操作を実行することに応答して実行することができる。
【００５７】
ブロック９２６で実行されるホスト内活動相関分析は、複数のホストにわたる１つまたは複数のユーザセッションプロセス活動を追跡することを含むことができる。追跡は、アプリケーションログ相関、およびネットワークイベント並びにタイミング相関に基づくことができる。アプリケーションログ相関は、利用可能なアプリケーションログ（ｗｅｂアクセスログなど）に頼ることによって、２つのホスト間の活動をリンクすることで機能することができる。ネットワークイベントとタイミング相関は異なるホスト上で実行している２つのプロセス間のネットワークトラフィックを観測し、次に、それらの他の活動の因果関係をタイミング近似で推論することによって機能することができる。
【００５８】
ブロック９２６で実行されるホスト内活動相関分析は、ホスト毎のユーザセッション活動グラフを、より大きなホスト内ユーザセッション活動グラフに拡張することができる。ただし、ユーザセッション内のすべての活動が対話型であるわけではない。例えば、一部のサービスプロセスやデーモン、ヘルパープロセスは、ユーザの関与なしに特定の操作（例えば、ソフトウェアの自己アップデートや定期的なバックアップなど）が自動的に実行されることが知られている。関連するデジタル資産は価値があるかも知れないが、これらの非対話型活動は（少なくともそれ自体で）デジタル資産に殆ど価値を追加することができない。
【００５９】
このような非対話型活動を扱うために、ブロック９２８において、ユーザ付加価値知識データを生成することは、さらに、１つ以上の非対話型活動を除去することを含むことができる。１つ以上の非対話型活動を除去することは、１つ以上の非対話型活動を１つ以上のユーザセッション活動から除去することを含み得る。１つ以上の非対話型活動を除去することは、１つ以上のフィルタリング技術を実行することを含み得る。フィルタリング技術の例は、黒／白リスト、統計的分類（例えば、タイミング／エントロピー分析）、および機械学習ベースの分類を含むが、これらに限定されない。ブロック９２８の出力は、１つ以上のホスト内ユーザセッション対話型活動グラフを含むことができる。
【００６０】
ユーザ付加価値知識データを生成することは、ブロック９３０において、それぞれのデジタル資産のユーザ付加価値を蓄積することをさらに含むことができる。ブロック９３０における蓄積は、ユーザ付加価値会計を使用して実行することができる。ユーザ付加価値会計は、データのさまざまな属性および次元に基づくことができる。データの属性および次元の例は、アクセスの累積持続時間、アクセスのタイプ、コンテンツボリューム、アクセスの強度および規則性などが含まれるが、これらに限定されない。
【００６１】
ユーザ付加価値知識データを生成することは、ブロック９３２において、１つまたは複数のデジタル資産の各々についてユーザ付加価値知識データを出力することをさらに含むことができる。１つまたは複数のデジタル資産の各々についてのユーザ付加価値知識データは、例えば、（１）デジタル資産識別子（例えば、パス名、ファイルシステム識別子、およびＵＲＩ）；（２）累積したユーザ付加価値；（３）ユーザ付加価値に貢献したユーザアカウント；および（４）デジタル資産に対話形式でアクセスするために使用されるプロセス、のうちの少なくとも１つを含むことができる。
【００６２】
ブロック９４０において、ユーザ付加価値知識データに少なくとも部分的に基づいて、ランサムウェア動作が検出される。一実施形態では、ランサムウェア動作は、ユーザ付加価値知識データの出力およびイベントストリームに基づいて検出（例えば、自動的に検出）することができる。
【００６３】
例えば、例えば、ランサムウェア動作を検出することは、ブロック９４２において、イベントストリームから１つまたは複数の可能な破壊的アクションを抽出することを含むことができる。抽出方法は資産削除、上書き、および非自明の変換（例えば、暗号化）を含むが、これらに限定されない。
【００６４】
ランサムウェア動作を検出することは、ブロック９４４において、各監視されるホスト上の１つまたは複数のデジタル資産のユーザ付加価値の破壊を分析することをさらに含むことができる。ユーザ付加価値の破壊を分析することは、１つまたは複数の可能な破壊的アクションと出力ユーザ付加価値知識データとを組み合わせることを含むことができる。
【００６５】
ランサムウェア動作を検出することは、ブロック９４６において、分析に基づいて１つまたは複数の応答を生成することをさらに含むことができる。例えば、ランサムウェアは、ランサムウェアがさらに被害を与えるのを防止するために「凍結」され得る。さらに、基準から逸脱したパターンが観察されたときに（例えば、識別された破壊パターンの異常に応答して）、１つまたは複数の警告にフラグを付けることができる。
【００６６】
ランサムウェアの動作を検出するために、いくつかの閾値ベースの分析が使用され得る。このような閾値ベースの分析の例は、短期破壊率、長期破壊率、破壊パターン異常などを含むが、これらに限定されない。
【００６７】
ブロック９２０〜９４６に関するさらなる詳細は、図１−８を参照して上述される。
【００６８】
その性質上、ランサムウェアは、他のタイプのマルウェアに見られるような固有の署名を有する必要はない、というのはランサムウェアが何も悪用する必要がなく、または、異常なことは何でもするからである（余分な能力はランサムウェアがより速く伝搬するのを助けることができるが、厳密に要求されるわけではなく、単純なソーシャルエンジニアリングは、長い道のりを行くことができる）。しかしながら、本明細書で説明される実施形態はランサムウェア自体とは対照的に、ユーザの行動に焦点を当てているので、本明細書で説明される実施形態は、ランサムウェア活動を検出する際の速度および精度を改善することができる。
【００６９】
本明細書に記載の実施形態は、本明細書に記載の実施形態にしたがって行われる検出は一般的に、小さなユーザ付加価値を有するデジタル資産によって影響を受けないので、破壊的な非ランサムウェア動作（例えば、多くのシステムログのバッチ削除、または大きなシステムアップデートの適用）によってトリガされる偽陽性警告をより少なく生成することができる。
【００７０】
さらに、異なるユーザ付加価値を有するデジタル資産を識別することによって、本明細書に記載される実施形態はユーザにより大きな影響を有するデジタル資産に焦点を当てることができ、それによって、検出感度を向上させ、真の警告のイベントにおいて、より速い検出を提供することができる（例えば、より多くの重要な資産が破壊される可能性がある場合に、統計的閾値を待たなければならないこと、またはおとりファイルをトリップしなければならないこととは対照的に、非常に少数の高価値資産の破壊は、直ちに保護のきっかけとなる）。これにより、ランサムウェアによる損傷を削減または除去することができる。
【００７１】
ここで説明した実施形態がいかにランサムウェアの攻撃を検出し防止することができるかを説明するために、例示的な使用事例シナリオを次に説明する。
【００７２】
アリスは中堅企業の会計士であると仮定する。会計年度の終わりに近づき、アリスは今年度の会社の取引の報告書を準備しなければならない。アリスのコンピュータは最近アップグレードされており、何年もの履歴文書がモバイルドライブ（オフラインなど）にバックアップされている。アリスは、このタスクを完了するためにバックアップから５つのファイルのみを戻している。昨年の報告書と、今年度の４つの四半期報告書である。したがって、アリスのコンピュータは、バックアップからの５つのファイルと、今年度の報告書に対応する作業中ファイルを含む、報告書の準備に関する６つのファイルを含んでいる。
【００７３】
アリスは今年度の報告書の準備に８０時間を費やした。アリスは、今年度の報告書を仕上げようとしているため、彼女の監督者からの緊急であるように見える電子メールを受け取っている。電子メールは、アリスが直ちに添付文書を開いて読むことを要求する。電子メールはランサムウェアが添付ファイルを含んでいるスピアフィッシングの電子メールであることが分かった。電子メールの悪質な性質に気付かず、アリスは電子メールの指示にしたがってランサムウェアの添付ファイルを起動し、アリスの文書の暗号化に進んだ。
【００７４】
アリスのコンピュータは、報告書の準備に関する６つのファイルのみを含んでいたので、ランサムウェアの上書き／削除動作は、デジタル資産の閾値数（例えば、少なくとも５０のデジタル資産）が削除されたときに警告を生成するように構成された従来のランサムウェア検出および防止技術を起こすことができなかった可能性がある。したがって、このような従来のランサムウェア検出および防止技術は、アリスの仕事の完全な破壊、および８０時間以上の仕事の損失を防止することができなかった。
【００７５】
しかしながら、ここに記載された実施形態にしたがったランサムウェアの検出および防止技術を用いれば、６つのファイルのユーザ付加価値の知識は、６つのファイルとアリスの相互作用の事前監視から得ることができる。例えば、昨年の報告書と今年の報告書の両方の準備に８０時間が費やされ、今年度の４つの四半期報告書の作成に３０時間が費やされたと決定することができる。したがって、ランサムウェアが６つのファイルを上書き／削除し始めると、本明細書に記載するランサムウェア検出および防止技術は、異常に大量のユーザ付加価値が破壊されていることを発見することができる。より具体的には、本明細書で説明するランサムウェア検出および防止技術は、時間の価値の閾値数のデジタル資産が破壊されたときに警告を生成することができる。
【００７６】
例えば、ランサムウェアが昨年度の報告書を削除し、今年度の最初の２四半期の報告書を削除した場合、破壊されたユーザ付加価値の合計はすでに１４０時間（８０時間＋３０時間＋３０時間）に蓄積されている。デジタル資産の時間の価値の閾値数が１２０時間に設定される場合、本明細書で説明されるランサムウェア検出および防止技術はランサムウェアの存在を検出することができ、ランサムウェアがこれ以上の損傷を与えないようにランサムウェアを「凍結」することができる。さらに、確認のためにアリスに警告を生成することができ、アリスは、今年度の報告書を準備している作業を保存することによって応答することができる。
【００７７】
本明細書に記載する実施形態は、完全にハードウェアであってもよく、完全にソフトウェアであってもよく、または、ハードウェア要素およびソフトウェア要素の両方を含むものであってもよい。好ましい実施形態では、本発明は、ファームウェア、常駐ソフトウェア、マイクロコードなどを含むがこれらに限定されないソフトウェアで実行される。
【００７８】
実施形態は、コンピュータまたは任意の命令実行システムによって、またはそれに関連して使用するプログラムコードを提供する、コンピュータ使用可能またはコンピュータ読み取り可能媒体からアクセス可能なコンピュータプログラム製品を含むことができる。コンピュータ使用可能媒体またはコンピュータ可読媒体は、命令実行システム、装置、またはデバイスによって、またはそれに関連して使用するためのプログラムを格納、通信、伝搬、または搬送する任意の装置を含むことができる。媒体は、磁気、光学、電子、電磁気、赤外線、または半導体システム（または装置またはデバイス）、または伝搬媒体とすることができる。媒体は、半導体またはソリッドステートメモリ、磁気テープ、リムーバブルコンピュータディスケット、ランダムアクセスメモリ（ＲＡＭ）、リードオンリーメモリ（ＲＯＭ）、リジッド磁気ディスクおよび光ディスクなどのコンピュータ読み取り可能な記憶媒体を含むことができる。
【００７９】
各コンピュータプログラムは、本明細書に記載する手順を実行するために、記憶媒体または装置がコンピュータによって読み取られるときに、コンピュータの操作を構成し制御するために、汎用または特殊目的のプログラム可能なコンピュータによって読み取り可能な、機械読み取り可能な記憶媒体または装置（例えば、プログラムメモリまたは磁気ディスク）に確実に記憶することができる。本発明のシステムはまた、コンピュータプログラムで構成された、コンピュータ読み取り可能な記憶媒体で具体化されるものと考えることができ、同時に、そのように構成された記憶媒体は、コンピュータを特定の予め決められた方法で動作させて、本明細書に記載する機能を実行させる。
【００８０】
プログラムコードを記憶および／または実行するのに適したデータ処理システムは、システムバスを介してメモリ要素に直接的または間接的に結合された少なくとも１つのプロセッサを含んでもよい。メモリ要素は、プログラムコードの実際の実行中に採用されるローカルメモリ、バルクストレージ、および実行中にバルクストレージからコードが検索される回数を減らすために少なくとも何らかのプログラムコードの一時記憶を提供するキャッシュメモリを含むことができる。入力／出力またはＩ／Ｏ装置（キーボード、ディスプレイ、ポインティング装置などを含むが、これらに限定されない）は、直接または介在するＩ／Ｏコントローラを介してシステムに結合され得る。
【００８１】
介在する専用ネットワークまたは公衆ネットワークを介して、データ処理システムを他のデータ処理システムあるいはリモートプリンタまたは記憶装置に結合できるようにするために、ネットワークアダプタをシステムに結合することもできる。モデム、ケーブルモデム、およびイーサネットカードは、現在使用可能なネットワークアダプタのタイプのほんの一部に過ぎない。
【００８２】
ここで図１０を参照すると、本発明の一実施形態による、サーバまたはネットワークデバイスを表す例示的なコンピュータシステム１０００が示されている。コンピュータシステム１０００は、システムバス１００２を介して他の構成要素に動作可能に結合された少なくとも１つのプロセッサ（ＣＰＵ）１００５を含む。キャッシュ１００６、リードオンリーメモリ（ＲＯＭ）１００８、ランダムアクセスメモリ（ＲＡＭ）１０１０、入力／出力（Ｉ／０）アダプタ１０２０、サウンドアダプタ１０３０、ネットワークアダプタ１０９０、ユーザインタフェースアダプタ１０５０、およびディスプレイアダプタ１０６０は、システムバス１００２に動作可能に結合される。
【００８３】
第１の記憶装置１０２２および第２の記憶装置１０２９は、Ｉ／Ｏアダプタ１０２０によってシステムバス１００２に動作可能に結合される。記憶装置１０２２および１０２９は、ディスク記憶装置（例えば、磁気または光ディスク記憶装置）、ソリッドステート磁気装置などの何れかであってもよい。記憶装置１０２２および１０２９は、同じタイプの記憶装置であっても、異なるタイプの記憶装置であってもよい。
【００８４】
スピーカ１０３２は、サウンドアダプタ１０３０によってシステムバス１００２に動作可能に結合することができる。トランシーバ１０９５は、ネットワークアダプタ１０９０によってシステムバス１００２に動作可能に結合される。ディスプレイ装置１０６２は、ディスプレイアダプタ１０６０によってシステムバス１００２に動作可能に結合される。
【００８５】
第１のユーザ入力装置１０５２、第２のユーザ入力装置１０５９、および第３のユーザ入力装置１０５６は、ユーザインタフェースアダプタ１０５０によってシステムバス１００２に動作可能に結合される。ユーザ入力装置１０５２、１０５９、および１０５６は、センサ、キーボード、マウス、キーパッド、ジョイスティック、画像キャプチャデバイス、動き検出デバイス、電力測定デバイス、マイク、前述の装置のうちの少なくとも２つの機能を組み込んだ装置などの何れかとすることができる。もちろん、本発明の精神を維持しながら、他のタイプの入力装置を使用することもできる。ユーザ入力装置１０５２、１０５９、および１０５６は、同じタイプのユーザ入力装置または異なるタイプのユーザ入力装置とすることができる。ユーザ入力装置１０５２、１０５９、および１０５６は、システム１０００との間で情報を入出力するために使用される。
【００８６】
ランサムウェア検出（ＲＤ）構成要素１０７０は、システムバス１００２に動作可能に結合され得る。ＲＤ構成要素１０７０は、上述の動作のうちの１つまたは複数を実行するように構成される。ＲＤ構成要素１０７０は、スタンドアロンの特殊目的のハードウェア装置として実行することも、記憶装置に記憶されたソフトウェアとして実行することもできる。ＲＤ構成要素１０７０がソフトウェア実装される実施形態ではコンピュータシステム１０００の別個の構成要素として示されているが、ＲＤ構成要素１０７０は、例えば、第１の記憶装置１０２２および／または第２の記憶装置１０２９に格納することができる。代替的に、ＲＤ構成要素１０７０は、別個の記憶装置（図示せず）に記憶され得る。
【００８７】
もちろん、コンピュータシステム１０００は、当業者によって容易に企図されるように、他の要素（図示せず）を含むこともでき、また、特定の要素を省略することもできる。例えば、種々の他の入力装置および／または出力装置は、当業者によって容易に理解されるように、同一の特定の実行に依存して、コンピュータシステム１０００に含めることができる。例えば、様々なタイプの無線および／または有線の入力および／または出力装置を使用することができる。さらに、様々な構成の追加のプロセッサ、コントローラ、メモリなども、当業者によって容易に理解されるように利用することができる。コンピュータシステム１０００のこれらおよび他の変形は、本明細書で提供される本発明の教示を与えられた当業者によって容易に企図される。
【００８８】
前述は、あらゆる点で例示としての一例であるが、限定的ではないと理解されるべきであり、本明細書に開示される本発明の範囲は、詳細な説明からではなく、むしろ特許法によって許可される全範囲にしたがって解釈されるような特許請求の範囲から決定されるべきである。本明細書に示され、説明された実施形態は、本発明の例示にすぎず、当業者は、本発明の範囲および精神から逸脱することなく、様々な修正を実行することができることを理解されたい。当業者は、本発明の範囲および精神から逸脱することなく、様々な他の特徴の組み合わせを実行することができる。このように説明された本発明の態様は、特許法によって要求される詳細および特殊性を伴い、特許証によって保護が請求され、望まれるものは、添付の特許請求の範囲に記載されている。
【図１】
2021512412.tif 000003
【図２】
2021512412.tif 000004
【図３】
2021512412.tif 000005
【図４】
2021512412.tif 000006
【図５】
2021512412.tif 000007
【図６】
2021512412.tif 000008
【図７】
2021512412.tif 000009
【図８】
2021512412.tif 000010
【図９】
2021512412.tif 000011
【図１０】
2021512412.tif 000012
【国際調査報告】
2021512412.tif 000013
2021512412.tif 000014
2021512412.tif 000015