(57)【要約】      （修正有）【課題】ユーザオペレーティングシステム（ＯＳ）を持つコンピュータシステム上のデータ処理中のマルウェアによる攻撃に対する安全を強化する。【解決手段】ユーザが視覚できない安全ＯＳは、ユーザが視覚でき使用できるユーザＯＳが実行され、前記ユーザＯＳのファイルシステムと共に少なくとも一つの仮想大容量記憶を有する仮想コンピュータハードウェアに仮想機械（ＶＭ）を提供し、又は前記安全ＯＳは、第１仮想機械にカプセル化され、前記ユーザＯＳは、第２の仮想機械で実行される。前記安全ＯＳは、前記ユーザ又はプログラムによって特定のマルウェアでは操作されない。前記仮想大容量記憶におけるデータブロックへの前記ユーザＯＳの読み込みアクセスは、そのファイルに属する全てのデータブロックを決定する途中で傍受され、解析工程は、有害ファイルを検出のために前記安全ＯＳ（スキャンエンジン）において実行されたテスト工程を制御する。【選択図】図４
2008152776.tif 000002
【特許請求の範囲】
【請求項１】
ユーザが視覚できない高レベル又はコーディネートされた安全オペレーティングシステムを持つコンピュータシステム上の安全データ処理方法であって、
コンピュータプログラムアプリケーションとしての前記安全オペレーティングシステムは、前記ユーザが視覚でき且つ使用できるユーザオペレーティングシステムが、実行され、前記ユーザオペレーティングシステムのファイルシステムと共に少なくとも一つの仮想大容量記憶を有する仮想コンピュータハードウェアに仮想機械（VM）を提供し、又は前記安全オペレーティングシステムは、第１仮想機械にカプセル化され、そして、前記ユーザオペレーティングシステムは、前記ユーザが視覚でき且つ使用でき、ファイルシステムと共に少なくとも一つの仮想大容量記憶が装備され、第２の仮想機械で実行され、
前記安全オペレーティングシステムは、前記ユーザ又はコンピュータプログラムアプリケーションによって特定のマルウェアでは操作されないで、
前記ユーザオペレーティングシステムのファイルシステムは、読み込まれ、前記安全オペレーティングシステム上実行された解析工程に提供され、
前記仮想大容量記憶（セクタ）におけるデータブロックへの前記ユーザオペレーティングシステムの読み込みアクセスは、前記データブロックをファイルに割り当て、そのファイルに属する全てのデータブロックを決定する前記解析工程で傍受され転送され、
前記解析工程は、有害ファイルを検出のために前記安全オペレーティングシステム（スキャンエンジン）において実行されたテスト工程を制御することを特徴とする安全データ処理方法。
【請求項２】
データ構造は、前記仮想大容量記憶のセクタをこの中に位置決めされたファイルとリンクし、各々のファイルを変化可能なある状態でリンクするように形成されることを特徴とする請求項１に記載の方法。
【請求項３】
有害ファイルを検出するために前記テスト工程でチェックされ有害として認識された前記仮想大容量におけるファイルは、第１の可変状態（クリーン）が提供されるが、チェックされていない又は前記ユーザオペレーティングシステムによって修正されたフィルは、第２の可変状態（ダーティ）が提供されることを特徴とする請求項２に記載の方法。
【請求項４】
前記テスト工程で有害ファイルとして認識されたファイルは、前記安全オペレーティングシステムの安全な記憶区域にコピーされることを特徴とする請求項１ないし３の一つに記載の方法。
【請求項５】
前記テスト工程で有害ファイルとして認識されたファイルは、上書きされ、それによって、使用不可にされ、このファイルへの前記安全オペレーティングシステムの読み込みアクセスは、拒否されることを特徴とする請求項１ないし４の一つに記載の方法。
【請求項６】
前記安全オペレーティングシステムは、仮想のハードディスクのイメージ（記憶イメージ）を形成することを特徴とする請求項１ないし５の一つに記載の方法。
【請求項７】
前記仮想ハードディスクは、前記ユーザオペレーティングシステムの非動作中に前記テスト工程によってチェックされることを特徴とする請求項６に記載の方法。
【請求項８】
前記仮想ハードディスクのイメージは、前記ユーザオペレーティングシステムの動作中に前記テスト工程によってチェックされることを特徴とする請求項６に記載の方法。
【請求項９】
前記仮想ハードディスク又は前記仮想ハードディスクのイメージの有害ファイルは、対応するダメージのないファイルによって差し替えられることを特徴とする請求項７又は８に記載の方法。
【請求項１０】
前記仮想ハードディスク又はこの仮想ハードディスクのイメージの有害ファイルは、上書きによって初期使用不可にされ、続いて対応するダメージのないファイルによって手動差し替えられることを特徴とする請求項７又は８に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ユーザが視覚できない高レベル又はコーディネートされた安全オペレーティングシステムを持つコンピュータシステム上の安全データ処理方法に関するものである。
【背景技術】
【０００２】
公知のユーザオペレーティングシステム（ユーザＯＳ）で操作されたコンピュータシステムは、マルウェア（破壊工作ソフト）で攻撃が増加している。例えば、コンピュータウイルス、ワーム、及びトロージャンのマルウェアは、ユーザによって前記ＯＳでは気づかれずに棲んでおり、これを操作してしまう。この種のマルウェアに依存して、例えば、秘密データが流出されファイルが破壊され得る。マルウェアは、電子郵便、ダウンロードデータ、又は外部大容量格納装置、例えば、ＵＳＢスティックでコンピュータシステムに侵入できる。マルウェアは、攻撃されたコンピュータ上で付加ファイルを生成、または、既に現存するファイルに対して付加プログラムコードを攻撃する。このような修正ファイルが回復されるときに、マルウェアは、アクティブとなり、例えば、更なるファイルに損害を与えることで再生可能となる。アンチウィルスプログラムは、対抗手段としてコンピュータシステム上にインストールされる。しかしながら、この防護可能なソフトウェアは、技術的な経験のあるユーザによって、しかし、特に適当なマルウェア自身によって、スイッチオフでき、操作及びバイパスが可能である結果、コンピュータは、防護無しにマルウェアによって又は経由での攻撃にさられている。
【０００３】
実務からユーザオペレーティングシステム（ユーザＯＳ）がコンピュータプログラムアプリケーションとして実行される高レベルオペレーティングシステム（高レベルＯＳ）上での仮想機械を提供することが公知である。高レベルオペレーティングシステム（高レベルＯＳ）は、防護されたメモリ区域にアクセス可能でないユーザオペレーティングシステム（ユーザＯＳ）のために防護され得る。他方、従来のアンチウイルスプログラムによるユーザオペレーティングシステム（ユーザＯＳ）自身の防護が未だに不適切である。
【０００４】
更に、欧州特許第８８０７４３明細書Ｂ１（特許文献１）の文献からユーザオペレーティングシステム（ユーザＯＳ）の内部のカプセル化されたコンピュータプログラムアプリケーションとしてウイルス感染コンピュータファイルを修理するための仮想機械を挿入することが公知である。ウィルス感染コンピュータは、仮想機械上で実行され、それにより、ウイルスが活性化（アクティブ）される。ユーザオペレーティングシステム（ユーザＯＳ）用のリスク無しにウイルスを活性化させることでウイルスは、解読（脱カプセル）され、続いてホストファイルから取り除かれ得る。
【特許文献１】欧州特許第８８０７４３明細書Ｂ１
【発明の開示】
【発明が解決しようとする課題】
【０００５】
本発明の課題は、ユーザオペレーティングシステム（ユーザＯＳ）を持つコンピュータシステム上のデータ処理中のマルウェアによる攻撃に対する安全を強化する方法を提供することである。
【課題を解決するための手段】
【０００６】
（１）  本発明の第１の構成によれば、ユーザが視覚できない高レベル又はコーディネートされた安全オペレーティングシステムを持つコンピュータシステム上の安全データ処理方法であって、コンピュータプログラムアプリケーションとしての前記安全オペレーティングシステムは、前記ユーザが視覚でき且つ使用できるユーザオペレーティングシステムが、実行され、前記ユーザオペレーティングシステムのファイルシステムと共に少なくとも一つの仮想大容量記憶を有する仮想コンピュータハードウェアに仮想機械（VM）を提供し、又は前記安全オペレーティングシステムは、第１仮想機械にカプセル化され、そして、前記ユーザオペレーティングシステムは、前記ユーザが視覚でき且つ使用でき、ファイルシステムと共に少なくとも一つの仮想大容量記憶が装備され、第２の仮想機械で実行され、前記安全オペレーティングシステムは、前記ユーザ又はコンピュータプログラムアプリケーションによって特定のマルウェアでは操作されないで、前記ユーザオペレーティングシステムのファイルシステムは、読み込まれ、前記安全オペレーティングシステム上実行された解析工程に提供され、前記仮想大容量記憶（セクタ）におけるデータブロックへの前記ユーザオペレーティングシステムの読み込みアクセスは、前記データブロックをファイルに割り当て、そのファイルに属する全てのデータブロックを決定する前記解析工程の途中で傍受され転送され、前記解析工程は、有害ファイルを検出のために前記安全オペレーティングシステム（スキャンエンジン）において実行されたテスト工程を制御することを特徴とする安全データ処理方法が得られる。
【０００７】
この本発明の第１の構成で更に述べると、有害ファイルは、マルウェアやマルウェアで修正されたファイルやマルウェアで生成されたファイルを意味する。第２の仮想機械を持つ実施例に関しては、本発明は、新しい技術が、第２の仮想機械に外面化されるべきで、そこから前記第１仮想機械におけるユーザオペレーティングシステムの仮想ハードディスクをアクセスするための、アンチウイルスサービス自体を含む安全オペレーティングシステム（安全ＯＳ）を許可する。
（２）本発明の第２の構成によれば、データ構造は、前記仮想大容量記憶のセクタをこの中に位置決めされたファイルとリンクし、各々のファイルを変化可能なある状態でリンクするように形成されることを特徴とする（１）に記載の方法が得られる。
【０００８】
この本発明の第２の構成によれば、アンチウイルスシステムの部品としての解析工程及びテスト工程は、ユーザオペレーティングシステムからこのユーザオペレーティングシステムから分離した非可視可能及び非アクセス可能な安全オペレーティングシステム（セキュリティセル）に外面化される。ユーザオペレーティングシステムは、通常動作可能である。ユーザオペレーティングシステムの選択及び安全オペレーティングシステムは、本発明の範囲に限定されない。例えば、世界中共通でユーザに常に親しまれているWindows（登録商標）は、ユーザオペレーティングシステムとして適している。本発明による方法は、マルウェア又は有害ファイルに対する防護用のユーザオペレーティングシステムで実行される安全装置による操作に対する安全性の非常に高い程度を保障する。システムが立ち上がるときに、セキュリティセルは、ユーザオペレーティングシステムの前に開始する。ユーザオペレーティングシステムは、通常開始されるが、本発明により、解析工程、テスト工程、及び他のオプションの備えられたセキュリティサービスは、安全セキュリティオペレーティングシステムで隠れて勝手に悪戯されずに実行される。仮想機械上のユーザーオペレーティングシステムの実行を通じて、典型的に異質のインフラストラクチャにおける多くのユーザーオペレーティングシステムを注意して、付加的に均質にし、単純化を意味する。Ｕｎiｘ（登録商標）又はＬｉｎｕｘオペレーティングシステムは、それぞれの条件に従って構成され得るので、安全オペレーティングシステムとして特に適しており、安全技術の観点から弱点はほとんど持たないで、マルウェアからの可能な攻撃に対して十分最小化及びハード化され得る。
（３）本発明の第３の構成によれば、有害ファイルを検出するために前記テスト工程でチェックされ有害として認識された前記仮想大容量におけるファイルは、第１の可変状態（クリーン）が提供されるが、チェックされていない又は前記ユーザオペレーティングシステムによって修正されたフィルは、第２の可変状態（ダーティ）が提供されることを特徴とする（２）に記載の方法が得られる。
【０００９】
この本発明の第３の構成では、安全データ処理の方法で、典型的には安全オペレーティングシステム上で実行される包括的な安全環境の部品である。安全環境の他のサービスは、例えば、ハードディスク暗号、仮想ハードディスクのバックアップ、アクセス制限、例えば、安全オペレーティングシステムでの操作から防護されて処理可能なユーザオペレーティングシステムから及びユーザオペレーティングシステムへのネットワークコミュニケーションのＵＳＢ装備及び制限のためである。本発明の第３の構成に関するこれらサービスの構成は、典型的には中央管理システム経由で作用する。
（４）  本発明の第４の構成によれば、前記テスト工程で有害ファイルとして認識されたファイルは、前記安全オペレーティングシステムの安全な記憶区域にコピーされることを特徴とする（１）ないし（３）の一つに記載の方法が得られる。
【００１０】
本発明の第４の構成では、データ構造が作成され、仮想大容量メモリのセクタをその中に位置決めされたファイルとリンクする結果、十分な割り当てがセクタ方向でファイルの全てのファイルブロックになされる。更に、可変状態は、各ファイルに提供されている。ファイルを割り当てられた可変状態にリンクすることによって、仮想大容量メモリへのユーザオペレーティングシステムの読み込みアクセス中に要求ファイルは、可能な損害状態用に常にチェックされなくてはいけないことを回避できる。データ構造の援助と共に、有害ファイルを検出して、無毒として認識されるためのテスト工程でチェックされる仮想大量メモリでのファイルは、第１の状態（クリーン）が提供されており、ユーザオペレーティングシステムによってチェックされない、又はユーザオペレーティングシステムによって修正されたファイルは、第２の状態（ダーティ）で提供されている。もし解析工程が可変状態クリーンで提供された仮想大容量メモリのファイルへのアクセスを決定するならば、これは、更新済みのテストなしにユーザオペレーティングシステムに提供され得る。それにより、意味ある増大データのスループットは、達成され、全ての要求ファイルの識別しない検査と比較され得る。可変状態ダーティが提供されたファイルのみは、可能な損害状態用のテスト工程（スキャンエンジン）によってチェックされる必要があるので、本発明の方法の効率は、増加され得る結果、ユーザが単に知覚可能なわずかの時間のみ遅延が生じる。全体としては、高データスループットの結果として、ユーザオペレーティングシステムと安全オペレーティングシステムとの間の同期問題は、概ね回避され得る。本発明の範囲内で、ユーザオペレーティングシステムの読み込みアクセス中に有害ファイルのために読み込まれるデータをチェックする（アクセススキャン）。概ね、ウイルス用のデータストリームの検査は、本発明の方法の範囲内に提供されていない。
（５）本発明の第５の構成によれば、前記テスト工程で有害ファイルとして認識されたファイルは、上書きされ、それによって、使用不可にされ、このファイルへの前記安全オペレーティングシステムの読み込みアクセスは、拒否されることを特徴とする（１）ないし（４）の一つに記載の方法が得られる。
【００１１】
有害ファイルとして認識されるファイルはテスト工程で、位置決めされるときに、コンピュータシステムのオペレータの安全ガイドラインに依存して選択され得る様々なオプション処置がある。この場合、ユーザオペレーティングシステムが持つファイルシステムの見解（ビュー）は、仮想ハードディスク上で提供された実際のデータ構造に必ずしも同意しないため、有害でウイルス感染ファイルは、簡単に削除されないことを注目すべきである。削除は、ユーザオペレーティングシステムの欠陥又は完全なクラシュの結果となり得る個々のファイルに対して、データブロックの正しくない割り当てに導くことができる。本発明の方法の範囲ないでは、有害なファイルは、削除されないが、上書きされ、それによって、使用不可となる。それにより、このようなファイルにユーザオペレーティングシステムの読み込みアクセスが拒否される。本発明の範囲内で、有害ファイルが安全オペレーティングシステムの第２のメモリ区域にコピーされ提供され得る結果、マルウェアによる攻撃は、文書化され解析され得る。ユーザオペレーティングシステムの各書き込みアクセスに対して、関連セクタは、対応ファイルが可変状態ダーティを提供する解析工程に記録（ログ）され転送される。
（６）本発明の第６の構成によれば、前記安全オペレーティングシステムは、仮想のハードディスクのイメージ（記憶イメージ）を形成することを特徴とする（１）ないし（５）の一つに記載の方法が得られる。
【００１２】
読み込みアクセスの記載した監視に加え（オンアクセススキャン）、安全オペレーティングシステムによって形成された仮想ハードディスク又はそのイメージが、マルウェアによる可能な攻撃のためにチェックされ得る（フルスキャン）。仮想ハードディスクは、ユーザオペレーティングシステムのダウンロード中でもユーザオペレーティングシステムの動作中でも発生され得る。ユーザオペレーティングシステムの動作中の仮想ハードディスクの完全な検査は、データ構造が書き込みアクセスの結果として継続的に変化を受けやすく、
そのため同期問題が発生し得るから、欠点である。公知のユーザオペレーティングシステムでは、特定のシステムファイルにおいて、キャッシュメモリに相当長い時間、迅速ファイルで保持し、長い時間間隔で仮想大容量メモリを書き込みだけするのが通常提供されていることを注目すべきである。
（７）本発明の第７の構成によれば、前記仮想ハードディスクは、前記ユーザオペレーティングシステムの非動作中に前記テスト工程によってチェックされることを特徴とする（６）に記載の方法が得られる。
【００１３】
本発明の第７の構成では、仮想ハードディスクは、ユーザオペレーティングシステムの非動作中にテスト工程によってチェックされるという有利な実施が提供できる。もしイメージがユーザオペレーティングシステムのダウンロード中に生成されるならば、ここでは有利である。これは、もし有害ファイルが発見されないならば、ユーザオペレーティングシステムを再起動するときに、ウイルス大容量メモリが有害ファイル無しと仮定可能だからである。ここで欠点となるのは、ユーザオペレーティングシステムが仮想ハードディスクのチェック中に使用不可となる。
（８）本発明の第８の構成によれば、前記仮想ハードディスクのイメージは、前記ユーザオペレーティングシステムの動作中に前記テスト工程によってチェックされることを特徴とする（６）に記載の方法が得られる。
【００１４】
本発明の第８の構成は、仮想ハードディスクのイメージは、ユーザオペレーティングシステムの動作中にテスト工程によってチェックされるのが提供されるように二者択一的に実施される。イメージは、例えば、ユーザオペレーティングシステムの以前のダウンロード中に又はユーザオペレーティングシステムの動作中に形成されたはずである。そのとき、そのイメージは、実質的な逆作用無しに、ユーザオペレーティングシステムの動作中に検査される。これは、特に、検査が、コンピュータシステムのプロセッサローディングに関する低い優先と共に生じる結果、十分な裏容量が利用可能なときに、単に検査されるからである。イメージが有害ファイル無しであると検査中に確立されるならば、完全なイメージは、状態可変クリーンと共に提供され得る。特に、実際のイメージの検査後、ウイルス無しで実際のイメージで置き換わるならば、削除される古いバックアップイメージを迅速に保持も可能となる。非常に大きいメモリ条件の全体は、ユーザオペレーティングシステムがチェック中にアクセスするバックアップイメージ、実際のイメージ、及び仮想大容量メモリで要求されていることを注目すべきである。
（９）本発明の第９の構成によれば、前記仮想ハードディスク又はこの仮想ハードディスクのイメージの有害ファイルは、対応するダメージのないファイルによって差し替えられることを特徴とする（７）又は（８）に記載の方法が得られる。
【００１５】
有害ファイルは、仮想ハードディスクのチェック中に発見されるならば、警報は、適度に引きがねとなって、コンピュータシステムのユーザ又は管理者に知らすように作用する。マルウェアを除去するために、ハードディスクのより古い、クリーンイメージは、再格納される。感染ファイルは、クリーンされたイメージがクリーンバックアップとして格納されるところの安全セキュリティオペレーティングシステムの安全なメモリ区域の中に削除またはコピーされ得る。取り除かれたファイルは、バックアップが続いてプレイバックであるとき、初期に利用できないことに注目すべきである。それにより、ハードディスク上又は仮想ハードディスクのイメージ上の有害ファイルは、特に、古い方のイメージ又は参照イメージから、対応する非損害ファイルで取替えられる。二者択一的に述べると、仮想ハードディスク上又は仮想ハードディスクのイメージ上の有害ファイルは、対応する非損害のファイルが、ユーザ又は管理者によって手動で続けて加えられる場合に、上書きで初期に使用不可となる。
（１０）本発明の第１０の構成によれば、前記仮想ハードディスク又はこの仮想ハードディスクのイメージの有害ファイルは、上書きによって初期使用不可にされ、続いて対応するダメージのないファイルによって手動差し替えられることを特徴とする（７）又は（８）に記載の方法が得られる。
【００１６】
本発明の第１０の構成は、特にWindows（登録商標）で、ユーザオペレーティングシステムから全ての中央の安全部品を除去し、操作から防護された安全オペレーティングシステムでこれらを外部化するのが好都合であることを知得したことによるものである。ユーザオペレーティングシステムと安全オペレーティングシステムの減結合は、仮想化層で提供される。これは、ユーザオペレーティングシステムがリアルハードウェア上の代わりに仮想コンピュータ上に配され、安全オペレーティングシステムで監視される。安全オペレーティングシステム自身は、権威のないアクセスに対する包括的手段で防護される。本発明の要部は、特に、所謂、「仮想オンアクセススキャン」である。Windows（登録商標）下での通常のデスクトップウイルススキャナの代わりに、永久的なウィルスチェツクは、マルウェアから防護され、安全オペレーティングシステムでエンドユーザに可視的に実行される。この場合には、仮想機械及び安全部品は、効果的に協働し互いに同期しなくてはいけない。本発明の範囲内においては、ウイルススキャンは、もはやＮＴＦＳファイルシステム上のWindows（登録商標）アプリケーションとして位置付けていないが、ＮＴＦＳファイルシステムと仮想ハードディスクとの間の論理的に安全オペレーティングシステムのアップリケーションとして防護される。それにもかかわらず、ウイルススキャンが効果的に実行され得るために、仮想機械は、仮想ハードディスクの影響された読み込みセクションについて付加情報を渡す。ファイルのウイルス感染を識別可能に要求された最小データブロックを決定する知的な獲得方法を使用することも本発明の範囲内である。積極的に知得したことにおいて、更なる感染ファイルを処理するための様々な戦略が可能である。
【００１７】
本発明は、図面を参照しつつ以下の実施形態で実施例を述べる。
【発明の効果】
【００１８】
本発明によれば、ユーザＯＳや安全ＯＳが第１仮想機械や第２仮想機械で実行される構成を備えるので、安全ＯＳが、ユーザオペレーティングシステム（ユーザＯＳ）を持つコンピュータシステム上のデータ処理中のマルウェアによる攻撃に対する安全を強化する方法を提供することができるという効果を奏する。    
【発明を実施するための最良の形態】
【００１９】
図１は、本発明の実施形態の方法に係るコンピュータシステムの完全な構成を概略ブロック図で示す。コンピュータシステムは、ネットワーク接続部１２、ＵＳＢインターフェース１４、及びシリアルインターフェース１６を持つハードウェア１０を備える。安全オペレーティングシステムＳは、ユーザオペレーティングシステム（ユーザＯＳ）Ｎ、例えば、Windows（登録商標）オペレーティングシステム（ＯＳ）Ｎが、仮想機械ＶＭ上で実行される、コンピュータプログラムアップリケーションとしての仮想機械ＶＭ及び仮想機械マネージャ経由の仮想インターフェース２２、２４、２６を提供するコンピュータシステム上で動作する。ユーザオペレーティングシステム（ユーザＯＳ）Ｎは、カプセル化され、それにより、安全オペレーティングシステム（安全ＯＳ）Ｓは、ユーザオペレーティングシステムＮから操作され得ない。前記安全オペレーティングシステムＳの外部制御及び様々な安全サービスのための管理エージェント３０は、前記安全オペレーティングシステム（安全ＯＳ）上で実行される。前記安全サービスは、解析工程３２、有害ファイルを検出するためのテスト工程３４、及び仮想機械ＶＭの仮想大容量メモリ３８のイメージを形成するためのサービス３６を備える。
【００２０】
図２は、Windows （登録商標）オペレーティングシステム（Windows（登録商標）ＯＳ）が仮想機械ＶＭ上でユーザオペレーティングシステム（ユーザＯＳ）Ｎとして実行される本発明の方法の実施例を示す。通常は、様々なデータ処理アプリケーション４０、４２は、ユーザオペレーティングシステム（ユーザＯＳ）Ｎでのユーザによって実行され得る。ユーザオペレーティングシステム（ユーザＯＳ）ＮのＮＴＦＳファイルシステム５０への読み込みアクセスは、そのＮＴＦＳファイルシステムドライバ５２を持つそのWindows （登録商標）（Ｒ）カーネル経由で発生する。これら読み込みアクセスは、仮想機械マネージャＶＭＭによって傍受され、ユーザオペレーティングシステム（ユーザＯＳ）Ｎのファイル使用セクタ情報５４に対する読み込みアクセスの範囲内で要求されたデータブロックを割り当て、そのファイルに属する全てのデータブロックを決定する解析工程３２に転送される。要求ファイルがウイルスなしならば、ウイルス機械マネージャＶＭＭは、仮想大容量メモリ３８へのアクセスを可能としている。
【００２１】
図３は、読み込みアクセス制御構成を示す。仮想機械ＶＭ上で実行されるユーザオペレーティングシステム（ユーザＯＳ）Ｎの読み込みアクセスは、仮想機械マネージャＶＭＭによって傍受され、解析工程３２に転送される。仮想大容量メモリ３８のデータブロックを中に位置決めされたファイルにリンクし、
そのファイルを可変状態にリンクするデータ構造５６を使用して、要求ファイルは、テスト工程３４（スキャンエンジン）によって検査されるべきであると決定される。データ構造５６では、クリーン又はダーティの状態値がファイルの各々のために保持される。クリーン値が割り当てられたファイルがテスト工程３４で検査されていないで、解析工程３２が仮想機械マネージャ経由の読み込みアクセスを許可する。もし検査ファイルがマルウェアによって動作されたならば、これは、上書きされ、解析工程３２がユーザオペレーティングシステムＮの読み込みアクセスを拒否する。
【００２２】
図４は、ユーザオペレーティングシステム（ユーザＯＳ）Ｎの読み込みの監視の間の本発明の方法の手順のフローチャート示す。仮想大容量メモリ内のデータブロックに対してユーザオペレーティングシステム（ユーザＯＳ）Ｎの読み込み要求（ステップ１００）は、傍受され、データブロックに属するファイル及びファイルに属する全ての更なるデータブロックが決定される（ステップ１１０）。そのとき、ファイルに割り当てられた状態値がチェックされる（ステップ１２０）。ファイルが状態値「クリーン」ならば、読み込みアクセス２００は、許可され、読み込み許可用のユーザオペレーティングシステム（ユーザＯＳ）Ｎの次の要求（ステップ１００）は処理される。ファイルの状態値が「ダーティ」ならば、スキャンエンジンがファイルの全てのファイルブロックをスキャンする（ステップ１３０）。ウイルスが発見されないならば（ステップ１４０）、ファイルの状態値は、「クリーン」に設定され（ステップ１５０）、続いて、読み込みアクセスが許可される（ステップ２００）。もしファイルが有害と確立されているならば、割り当てられたデータブロックは前記安全オペレーティングシステムの第１のメモリ区域におけるファイルのコピー（ステップ１５３）は、事前に任意に提供され得るところに上書きされる。ファイルのデータブロックの上書きの後（ステップ１６０）、割り当てられた状態値は、クリーン設定され（ステップ１７０）警報メッセージがユーザ又は管理者に発行され（ステップ１８０）。読み込みアクセス用のユーザオペレーティングシステム（ユーザＯＳ）Ｎの次の要求が処理される前に、読み込みアクセスは、最終拒絶される（ステップ２１０）。
【図面の簡単な説明】
【００２３】
【図１】本発明の実施形態の方法に係るコンピュータシステムの完全な構成を概略ブロック図で示す。
【図２】本発明の方法に係る基本操作モードを示す。
【図３】本発明の実施形態の方法に係るコンピュータシステムの完全な構成を概略ブロック図で示す。
【図４】本発明の方法の手順のフローチャートを示す。
【符号の説明】
【００２４】
Ｓ  安全オペレーティングシステム
Ｎ  ユーザオペレーティングシステム（ユーザＯＳ）
ＶＭ  仮想機械
１０  ハードウェア
１２  ネットワーク接続部
１４  ＵＳＢインターフェース
１６  シリアルインターフェース
２２、２４、２６  仮想インターフェース
３０  管理エージェント
３２  解析工程
３４  テスト工程（解析工程）
３６  サービス
３８  仮想大容量メモリ
４０，４２  様々なデータ処理アプリケーション
５０  ＮＴＦＳファイルシステム
５２  ＮＴＦＳファイルシステムドライバ
５４  ファイル使用セクタ情報
５６  データ構造
【図１】
2008152776.tif 000003
【図２】
2008152776.tif 000004
【図３】
2008152776.tif 000005
【図４】
2008152776.tif 000006