(57)【特許請求の範囲】
【請求項１】
コンピューティングデバイス上で動作するソフトウェアアプリケーションの活動を分析する方法であって、
前記コンピューティングデバイス上で動作するソフトウェアアプリケーションプログラムの活動を、デバイスプロセッサによって監視するステップと、
前記監視された活動がユーザ対話(UI)の何らかの形態に直接的または本質的に関連するかどうかを、前記デバイスプロセッサによって決定するステップと、
前記監視された活動がユーザ対話に関連するとの決定に応答して、前記監視された活動に対応するUIイベントが存在するかどうかを、前記デバイスプロセッサによって決定するステップと、
前記コンピューティングデバイスのセンサから生データを、前記デバイスプロセッサによって収集するステップと、
分析結果を生成するために、検出されたUIイベントに関連付けられたUIイベント情報に関して前記収集された生データを、前記デバイスプロセッサによって分析するステップと、
前記生成された分析結果に基づいて、前記検出されたユーザ対話イベントが前記コンピューティングデバイスのユーザと相関するかどうかを、前記デバイスプロセッサによって決定するステップと、
前記生成された分析結果に基づいて、前記検出されたユーザ対話イベントが前記コンピューティングデバイスの前記ユーザと相関するとの決定に応じて、前記検出されたユーザ対話イベントを真正のユーザ対話イベントとして、前記デバイスプロセッサによって分類するステップと、
前記生成された分析結果に基づいて、前記検出されたユーザ対話イベントが前記コンピューティングデバイスの前記ユーザと相関しないとの決定に応じて、前記検出されたユーザ対話イベントを偽ユーザ対話イベントとして、前記デバイスプロセッサによって分類するステップと、
前記検出されたユーザ対話イベントの前記分類に基づいて、前記ソフトウェアアプリケーションの前記監視された活動が非良性であるかどうかを、前記デバイスプロセッサによって決定するステップと
を含む、方法。
【請求項２】
ユーザ対話イベント情報を受信するステップが、前記コンピューティングデバイスのハイレベルオペレーティングシステムから前記ユーザ対話イベント情報を、前記デバイスプロセッサによって受信するステップを含む、請求項1に記載の方法。
【請求項３】
前記検出されたユーザ対話イベントの前記分類に基づいて、前記ソフトウェアアプリケーションの前記活動が非良性であるかどうかを前記決定するステップが、
前記検出されたユーザ対話イベントが前記偽ユーザ対話イベントとして分類されるとの決定に応じて、前記ソフトウェアアプリケーションの前記活動を非良性として、前記デバイスプロセッサによって分類するステップ
をさらに含む、請求項1に記載の方法。
【請求項４】
前記ソフトウェアアプリケーションの前記活動を特徴付ける挙動ベクトルを、前記デバイスプロセッサによって生成するステップと、
前記検出されたユーザ対話イベントが前記コンピューティングデバイスの前記ユーザと相関するとの決定に応じて、前記挙動ベクトルを、前記活動に対応するユーザ対話イベントが存在するかどうかを評価する判定ノードを含む分類器モデルに、前記デバイスプロセッサによって適用するステップと、
前記挙動ベクトルを前記分類器モデルに適用した結果に基づいて、前記ソフトウェアアプリケーションの前記活動が非良性であるかどうかを、前記デバイスプロセッサによって決定するステップと
をさらに含む、請求項1に記載の方法。
【請求項５】
前記ソフトウェアアプリケーションの前記活動を特徴付ける挙動ベクトルを、前記デバイスプロセッサによって生成するステップと、
前記検出されたユーザ対話イベントが前記コンピューティングデバイスの前記ユーザと相関しないとの決定に応じて、前記活動に対応するユーザ対話イベントが存在するかどうかをテストする判定ノードを含まない分類器モデルを、前記デバイスプロセッサによって選択するステップと、
追加の分析結果を生成するために、前記挙動ベクトルを前記選択された分類器モデルに、前記デバイスプロセッサによって適用するステップと、
前記追加の分析結果に基づいて、前記ソフトウェアアプリケーションの前記活動が非良性であるかどうかを、前記デバイスプロセッサによって決定するステップと
をさらに含む、請求項1に記載の方法。
【請求項６】
前記検出されたユーザ対話イベントが前記コンピューティングデバイスの前記ユーザと相関しないとの決定に応じて、ロバストな分類器モデルのファミリーを、前記デバイスプロセッサによって選択するステップと、
前記ソフトウェアアプリケーションの前記活動が非良性であるかどうかを決定するために、複数の挙動ベクトルをロバストな分類器モデルの前記選択されたファミリー内の1つまたは複数の分類器モデルに、前記デバイスプロセッサによって適用するステップと
をさらに含む、請求項1に記載の方法。
【請求項７】
前記コンピューティングデバイスの第1のセンサから受信された前記生データが前記コンピューティングデバイスの第2のセンサから受信された前記生データに整合するかどうかを決定するために、前記第1のセンサから受信された前記生データを前記第2のセンサから受信された前記生データと、前記デバイスプロセッサによって比較するステップをさらに含み、前記収集された生データと前記受信されたユーザ対話イベント情報とに基づいて、分析結果を生成する前記動作が、前記第1のセンサから受信された前記生データが前記第2のセンサから受信された前記生データに整合するとの決定に応じて実行される、請求項1に記載の方法。
【請求項８】
前記コンピューティングデバイスの前記センサから前記生データを前記収集するステップが、ユーザ入力センサから前記生データを、前記デバイスプロセッサによって収集するステップを含み、
ユーザ対話イベント情報を受信するステップが、前記ユーザ入力センサ用のドライバからデータを、前記デバイスプロセッサによって受信するステップを含む
請求項1に記載の方法。
【請求項９】
前記ソフトウェアアプリケーションの前記活動を特徴付ける挙動ベクトルを、前記デバイスプロセッサによって生成するステップと、
前記検出されたユーザ対話イベントが前記コンピューティングデバイスの前記ユーザと相関しないとの決定に応じて、前記挙動ベクトルを、前記コンピューティングデバイスとのユーザ対話に関する条件を評価する判定ノードを含まない分類器モデルに、前記デバイスプロセッサによって適用するステップと、
前記挙動ベクトルを前記分類器モデルに適用した結果に基づいて、前記ソフトウェアアプリケーションの前記活動が非良性であるかどうかを、前記デバイスプロセッサによって決定するステップと
をさらに含む、請求項1に記載の方法。
【請求項１０】
コンピューティングデバイスであって、
前記コンピューティングデバイス上で動作するソフトウェアアプリケーションプログラムの活動を監視するための手段と、
前記監視された活動がユーザ対話(UI)の何らかの形態に直接的または本質的に関連するかどうかを決定するための手段と、
前記監視された活動がユーザ対話に関連するとの決定に応答して、前記監視された活動に対応するUIイベントが存在するかどうかを決定するための手段と、
前記コンピューティングデバイスのセンサから生データを収集するための手段と、
分析結果を生成するために、検出されたUIイベントに関連付けられたUIイベント情報に関して前記収集された生データを分析するための手段と、
前記生成された分析結果に基づいて、前記検出されたユーザ対話イベントが前記コンピューティングデバイスのユーザと相関するかどうかを決定するための手段と、
前記生成された分析結果に基づいて、前記検出されたユーザ対話イベントが前記コンピューティングデバイスの前記ユーザと相関するとの決定に応じて、前記検出されたユーザ対話イベントを真正のユーザ対話イベントとして分類するための手段と、
前記生成された分析結果に基づいて、前記検出されたユーザ対話イベントが前記コンピューティングデバイスの前記ユーザと相関しないとの決定に応じて、前記検出されたユーザ対話イベントを偽ユーザ対話イベントとして分類するための手段と、
前記検出されたユーザ対話イベントの前記分類に基づいて、ソフトウェアアプリケーションの前記監視された活動が非良性であるかどうかを決定するための手段と
を含む、コンピューティングデバイス。
【請求項１１】
ユーザ対話イベント情報を受信するための手段が、ハイレベルオペレーティングシステムから前記ユーザ対話イベント情報を受信するための手段を含む、請求項10に記載のコンピューティングデバイス。
【請求項１２】
前記検出されたユーザ対話イベントの前記分類に基づいて、前記ソフトウェアアプリケーションの前記活動が非良性であるかどうかを前記決定するための手段が、前記検出されたユーザ対話イベントが前記偽ユーザ対話イベントとして分類されるとの決定に応じて、前記ソフトウェアアプリケーションの前記活動を非良性として分類するための手段をさらに含む、請求項10に記載のコンピューティングデバイス。
【請求項１３】
前記ソフトウェアアプリケーションの前記活動を特徴付ける挙動ベクトルを生成するための手段と、
前記検出されたユーザ対話イベントが前記コンピューティングデバイスの前記ユーザと相関するとの決定に応じて、前記挙動ベクトルを、前記活動に対応するユーザ対話イベントが存在するかどうかを評価する判定ノードを含む分類器モデルに適用するための手段と、
前記挙動ベクトルを前記分類器モデルに適用した結果に基づいて、前記ソフトウェアアプリケーションの前記活動が非良性であるかどうかを決定するための手段と
をさらに含む、請求項10に記載のコンピューティングデバイス。
【請求項１４】
コンピューティングデバイスのプロセッサに、請求項１〜８のいずれか一項に記載の方法を実行させるように構成されたプロセッサ実行可能命令が記憶された、非一時的コンピュータ可読記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、改善されたマルウェア保護のためにモバイルデバイスとの偽ユーザ対話を検出するための方法および装置に関する。
【背景技術】
【０００２】
セルラー通信技術およびワイヤレス通信技術は、過去数年の間に爆発的な成長をとげている。ワイヤレスサービスプロバイダは現在、情報、リソースおよび通信に対するかつてないレベルのアクセスをユーザに提供する、多岐にわたる機能およびサービスを提供している。これらの強化と歩調を合わせるために、パーソナルデバイスおよび消費者向け電子デバイス(たとえば、セルラーフォン、時計、ヘッドフォン、遠隔制御装置など)は、今までよりも強力かつ複雑になり、今や一般的に、強力なプロセッサ、大規模メモリ、および各自のデバイス上で複雑で強力なソフトウェアアプリケーションを実行することを可能にする他のリソースを含む。
【０００３】
これらおよび他の改善により、パーソナルおよび消費者向けの電子デバイスは、現代社会においてユビキタスになっており、そのユーザによって生成された情報、またはそのユーザに関する情報に対するかつてないレベルのアクセスを有する。さらに、人々は頻繁に各自のデバイスを使用して、機密情報(たとえば、クレジットカード情報、連絡先など)を記憶し、および/またはセキュリティが重要であるタスクを達成する。たとえば、モバイルデバイスユーザは、商品を購入するために各自のデバイスを頻繁に使用し、機密の通信を送受信し、請求を支払い、預金口座を管理し、他の機密のトランザクションを行う。これらの傾向により、パーソナルデバイスおよび消費者向け電子デバイスは、急速にマルウェア攻撃およびサイバー攻撃に対する次の開拓分野になっている。したがって、たとえばモバイルデバイスおよびワイヤレスデバイスなど、リソース制約のあるコンピューティングデバイスをより良く保護する、新しい、および改善されたセキュリティソリューションが消費者に有益である。
【発明の概要】
【課題を解決するための手段】
【０００４】
様々な実施形態は、分析結果を生成するために、コンピューティングデバイスのユーザ入力デバイスから受信された生データをコンピューティングデバイス内で受信されたユーザ対話イベント情報と比較するステップと、ユーザ対話(UI)イベントがコンピューティングデバイスのユーザと相関するかどうかを決定するために、生成された分析結果を使用するステップとを含む、コンピュータデバイス上で動作するソフトウェアアプリケーションの活動を分析する方法を含む。さらなる実施形態では、ユーザ入力デバイスから受信された生データはデバイスドライバから受信された生データを含むことができ、コンピューティングデバイス内で受信されたユーザ対話イベント情報は、コンピューティングデバイスのハイレベルオペレーティングシステムから受信された対話情報を含むことができる。
【０００５】
さらなる実施形態では、この方法は、ユーザ対話イベントがコンピューティングデバイスのユーザと相関しないとの決定に応じて、ソフトウェアアプリケーションの活動を非良性として分類するステップを含み得る。さらなる実施形態では、この方法は、ソフトウェアアプリケーションの活動を特徴付ける挙動ベクトルを生成するステップと、ユーザ対話イベントがコンピューティングデバイスのユーザと相関しないとの決定に応じて、生成された挙動ベクトルを、活動に対応するユーザ対話イベントが存在するかどうかを評価する判定ノードを含み得る分類器モデルに適用するステップと、ソフトウェアアプリケーションの活動が非良性であるかどうかを決定するために、生成された挙動ベクトルを分類器モデルに適用した結果を使用するステップとを含み得る。
【０００６】
さらなる実施形態では、この方法は、ソフトウェアアプリケーションの活動を特徴付ける挙動ベクトルを生成するステップと、ユーザ対話イベントがコンピューティングデバイスのユーザと相関しないとの決定に応じて、活動に対応するユーザ対話イベントが存在するかどうかをテストする判定ノードを含まない分類器モデルを選択するステップと、追加の分析結果を生成するために、生成された挙動ベクトルを選択された分類器モデルに適用するステップと、ソフトウェアアプリケーションの活動が非良性であるかどうかを決定するために、生成された追加の分析結果を使用するステップとを含み得る。
【０００７】
さらなる実施形態では、この方法は、ユーザ対話イベントがコンピューティングデバイスのユーザと相関しないとの決定に応じて、ロバストな分類器モデルのファミリーを選択するステップと、ソフトウェアアプリケーションの活動が非良性であるかどうかを決定するために、複数の挙動ベクトルをロバストな分類器モデルの選択されたファミリーに適用するステップとを含み得る。さらなる実施形態では、この方法は、コンピューティングデバイスの第1のセンサから受信された生データがコンピューティングデバイスの第2のセンサから受信された生データに整合するかどうかを決定するために、第1のセンサから受信された生データを第2のセンサから受信された生データと比較するステップを含むことができ、分析結果を生成するために、コンピューティングデバイスのユーザ入力デバイスから受信された生データをコンピューティングデバイス内で受信されたユーザ対話イベント情報と比較するステップは、第1のセンサから受信された生データが第2のセンサから受信された生データに整合するとの決定に応じて実行される。
【０００８】
さらなる実施形態では、第1のセンサから受信された生データを第2のセンサから受信された生データと比較するステップは、挙動ベクトルを分類器モデルに適用した結果を比較するステップを含み得る。さらなる実施形態では、ユーザ入力デバイスから受信された生データはユーザ入力センサから受信された生データを含むことができ、コンピューティングデバイス内で受信されたユーザ対話イベント情報は、ユーザ入力センサ用のデバイスドライバから受信されたデータを含むことができ、ユーザ対話イベントがコンピューティングデバイスのユーザと相関するかどうかを決定するために、生成された分析結果を使用するステップは、ユーザ入力センサから受信された生データがユーザ入力センサ用のデバイスドライバから受信されたデータと相関しないことに応じて、ユーザ対話イベントがコンピューティングデバイスのユーザと相関しないと決定するステップを含むことができる。
【０００９】
さらなる実施形態では、ユーザ入力センサはタッチスクリーンを含むことができ、デバイスドライバはタッチスクリーンデバイスドライバを含むことができる。さらなる実施形態では、この方法は、ユーザ対話イベントがコンピューティングデバイスのユーザと相関しないとの決定に応じて、ソフトウェアアプリケーションの活動を非良性として分類するステップを含み得る。さらなる実施形態では、この方法は、ソフトウェアアプリケーションの活動を特徴付ける挙動ベクトルを生成するステップと、ユーザ対話イベントがコンピューティングデバイスのユーザと相関しないとの決定に応じて、生成された挙動ベクトルを、コンピューティングデバイスとのユーザ対話に関する条件を評価する判定ノードを含まない分類器モデルに適用するステップと、ソフトウェアアプリケーションの活動が非良性であるかどうかを決定するために、生成された挙動ベクトルを分類器モデルに適用した結果を使用するステップとを含み得る。
【００１０】
さらなる実施形態は、上記で論じた方法に対応する様々な動作を実行するためのプロセッサ実行可能命令で構成されたプロセッサを有する、コンピューティングデバイスを含み得る。
【００１１】
さらなる実施形態は、上記で論じた方法動作に対応する機能を実行するための様々な手段を有する、コンピューティングデバイスを含み得る。
【００１２】
さらなる実施形態は、上記で論じた方法動作に対応する様々な動作をプロセッサに実行させるように構成されたプロセッサ実行可能命令が記憶された、非一時的プロセッサ可読記憶媒体を含み得る。
【００１３】
本明細書に組み込まれ、本明細書の一部を構成している添付の図面は、本発明の例示的な実施形態を示すものであり、上で与えられた全般的な説明、および下で与えられる詳細な説明とともに、本発明の特徴を説明するのに役立つ。
【図面の簡単な説明】
【００１４】
【図１】様々な実施形態を実装するのに適した、例示的なシステムオンチップのアーキテクチャ図である。
【図２】様々な実施形態による、偽UIイベントを特定し、それに応じるように構成された偽ユーザ対話(UI)イベント検出モジュールを含む、ある実施形態のコンピューティングデバイス内の例示的な構成要素および情報フローを示すブロック図である。
【図３】特定のモバイルデバイスの挙動が良性であるか、または非良性であるかを決定するように構成された、ある実施形態のコンピューティングデバイス内の例示的な論理構成要素および情報フローを示すブロック図である。
【図４Ａ】様々な実施形態による、偽UIイベントを検出し、それに応じる方法を示すプロセス流れ図である。
【図４Ｂ】様々な実施形態による、偽UIイベントを検出し、それに応じる方法を示すプロセス流れ図である。
【図４Ｃ】ある実施形態による、損なわれたユーザ入力センサデバイスドライバを検出し、それに応じる方法を示すプロセス流れ図である。
【図５】ある実施形態による、デバイス挙動を分類するために分類器モデルのファミリーを使用する方法を示すプロセスフロー図である。
【図６】分類器モデルを生成するために生成および使用され得る例示的な判定ノードの図である。
【図７】ある実施形態による、適応的な観測を実行する方法を示すプロセスフロー図である。
【図８】ある実施形態において使用するのに適したモバイルデバイスの構成要素ブロック図である。
【発明を実施するための形態】
【００１５】
添付の図面を参照しながら、様々な実施形態について詳細に説明する。可能な場合はいつでも、同じまた同様の部分を指すために、図面全体を通して同じ参照番号が使用される。特定の例および実装形態へと行われる言及は、説明を目的とし、本発明の範囲または特許請求の範囲を限定するものではない。
【００１６】
概して、様々な実施形態は、偽ユーザ対話(UI)イベントを検出し、それに応じるための挙動ベースの機械学習技法を使用する方法、およびその方法を実装するように構成されたコンピューティングデバイスを含む。ある実施形態では、コンピューティングデバイスは、ハイレベルオペレーティングシステムによって生成または受信されたUIイベント情報に関して1つまたは複数のハードウェアドライバまたはユーザ入力デバイスによって生成された生データを分析する方法を実装し、UIイベントがコンピューティングデバイスのユーザと相関するかどうかを決定し、かつ/または検出されたUIイベントを真正のUIイベントとして、または偽UIイベントとして分類するために、この分析の結果を使用するように構成され得る。コンピューティングデバイスは、UIイベントが真正のUIイベントであるか、または偽UIイベントであるかに基づいて、非良性デバイス挙動(たとえば、悪意のあるまたは性能を劣化させるソフトウェアアプリケーションによって引き起こされる挙動など)を特定し、それに応じるように構成された包括的挙動ベースのセキュリティシステムを含むこともできる。
【００１７】
一般に、各ソフトウェアアプリケーションプログラムは、コンピューティングデバイス上でいくつかのタスクまたは活動を実行する。アプリケーションタスク/活動のうちのいくつかは、デバイスとの何らかの形態のユーザ対話に直接的または本質的に関連するか、またはそれを必要とする。たとえば、カメラの使用、オーディオを記録するためのマイクロフォンのアクティブ化、およびプレミアムショートメッセージサービス(SMS)メッセージの送信はすべて、ユーザが、カメラ用のシャッターリリースボタンを作動させる、マイクロフォンをアクティブ化するために記録ボタンを押下する、SMSメッセージを送るためにテキストをタイプし、送信ボタンにタッチするなど、デバイスとの何らかの形態のユーザ対話に関連するタスク/活動である。
【００１８】
デバイスとの大部分のユーザ対話は、1つまたは複数のUIイベント(たとえば、View::onTouchEvent、onKeyDown、onKeyUp、onTrackBallEventなど)をコンピュータデバイスに生成させることになる。たとえば、コンピューティングデバイスの電子タッチスクリーンディスプレイをタッチすることは、デバイスドライバに(たとえば、直交座標XおよびYによってなど)タッチされたエリアを特定する「タッチイベント」を生成させ得る。オペレーティングシステムは、デバイスドライバからUIイベント(たとえば、「タッチイベント」)を受信し、それに応じて、そのUIイベントが関連するソフトウェアアプリケーションの手順を実行することができる。
【００１９】
したがって、一部のタスク/活動は何らかの形態のユーザ対話に直接的または本質的に関連するか、またはそれを必要とし、大部分のユーザ対話は何らかの形態のUIイベントを生成する。したがって、対応するUIイベントを伴わないアプリケーションプログラムの一定のタスク/活動の実行は、アプリケーションプログラムが、非良性であること、またはさもなければ、より厳密な精査、監視、または分析に値するという強いインジケータであり得る。したがって、いくつかの実施形態では、コンピューティングデバイスの挙動ベースのセキュリティシステムは、ユーザ対話に直接的または本質的に関連するか、またはそれを必要とするが、UIイベントに関連付けられない活動を疑わしいまたは非良性として分類するように構成され得る。たとえば、ある実施形態では、挙動ベースのセキュリティシステムは、ソフトウェアアプリケーションプログラムの活動を監視し、監視された活動(たとえば、カメラの使用など)が何らかの形態のユーザ対話に直接的または本質的に関連するか、またはそれを必要とするかを決定し、監視された活動がユーザ対話に直接的または本質的に関連するか、またはそれを必要とするとの決定に応じて、監視された活動に対応するUIイベント(たとえば、onTouchEvetなど)が存在するかどうかを決定し、監視された活動がユーザ対話に直接的または本質的に関連するか、またはそれを必要とすると決定すること、および監視された活動に対応するUIイベントが何も存在しないと決定することに応じて、非良性(または、より厳密な精査、より詳細な分析などを必要とする)としてそのアプリケーションプログラムを分類するように構成され得る。
【００２０】
挙動ベースのセキュリティシステムは、概して、非良性の挙動を特定し、経時的なデバイスの性能レベルおよび電力利用レベルの劣化を防止するのに効果的である。たとえば、活動またはソフトウェアアプリケーションが非良性であるかどうかのインジケータとしてUIイベント情報を使用することによって、挙動ベースのセキュリティシステムは、コンピューティングデバイスが、その処理リソース、メモリリソース、またはバッテリリソースの量を過剰に消費せずに、非良性のデバイス挙動(たとえば、悪意のあるソフトウェアアプリケーションなど)を特定し、それに応じることを可能にする。結果として、挙動ベースのセキュリティシステムは、限定されたリソースを有する、バッテリ電力で実行する、かつ性能およびセキュリティが重要な、スマートフォンなど、モバイルコンピューティングデバイスおよびリソースが制約されるコンピューティングデバイス内への包含またはその中での使用に好適である。
【００２１】
上記のシステムは概して効果的であるが、悪意のあるソフトウェアアプリケーションは、偽UIイベント情報を生成して、デバイスのオペレーティングシステムに送ることによって、セキュリティシステムによる検出を迂回または回避する可能性がある。たとえば、悪意のあるソフトウェアアプリケーションは、ユーザの認識または同意なしに画像を補足するために、コンピューティングデバイスのカメラをアクティブ化し、次いで、偽onTouchEventをデバイスのオペレーティングシステムに送り、検出された活動(カメラのアクティブ化)が対応するUIイベントに関連付けられるとセキュリティシステムに不正確に決定させる可能性がある。これは、セキュリティシステムに、悪意のあるアプリケーションプログラムを良性であると不正確に分類させる可能性がある。
【００２２】
ハイレベルのオペレーティングシステムによって受信されたUIイベント情報に関して1つまたは複数のハードウェア/デバイスドライバによって生成された生データを解析するために、挙動ベースの機械学習技法を使用することによって、様々な実施形態は、コンピューティングデバイスが、UIイベントが偽UIイベントであるかどうかを決定し、悪意のあるソフトウェアアプリケーションが偽UIイベント情報を使用して、検出を迂回または回避することを防止するように、デバイス挙動を分析するときにこの情報を使用することを可能にする。
【００２３】
様々な実施形態は、デバイスが非良性ソフトウェアアプリケーションをより正確かつ効率的に特定し、防止し、補正し、かつ/またはさもなければ、それに応じることを可能にすることによって、コンピューティングデバイスの機能を改善する。様々な実施形態はまた、コンピュータデバイス(または、その挙動ベースのセキュリティシステム)がUIイベント情報を使用して、その監視および/または分析動作にインテリジェントに専心することを可能にし、それによって、デバイスの応答性、性能、および電力消費の特徴に対するその影響を低減することによって、コンピューティングデバイスの機能を改善する。
【００２４】
コンピューティングデバイスの機能、機能性、および/または作用に対する追加の改善は、下で提供される実施形態の詳細な説明から明らかになろう。
【００２５】
「性能劣化」という用語は、本明細書では、より長い処理時間、より遅いリアルタイム応答性、より短いバッテリ持続時間、個人データの損失、悪意のある経済活動(たとえば、無許可のプレミアムSMSメッセージを送信すること)、サービス拒否(DoS)、不適切に書かれたまたは設計されたソフトウェアアプリケーション、悪意のあるソフトウェア、マルウェア、ウイルス、断片化されたメモリ、スパイ活動またはボットネット活動のためにモバイルデバイスを乗っ取ることまたは電話を利用することに関する動作などのような、コンピューティングデバイスの多種多様な望ましくない動作および特性を指すために使用される。また、これらの理由のいずれかで性能を劣化させる挙動、活動、および条件は、本明細書では「良性ではない」または「非良性である」と呼ばれる。
【００２６】
「モバイルコンピューティングデバイス」および「モバイルデバイス」という用語は、セルラー電話、スマートフォン、パーソナルまたはモバイルのマルチメディアプレーヤ、携帯情報端末(PDA)、ラップトップコンピュータ、タブレットコンピュータ、スマートブック、ウルトラブック、パームトップコンピュータ、ワイヤレス電子メール受信機、マルチメディアインターネット対応セルラー電話、ワイヤレスゲームコントローラ、および、性能が重要であるメモリとプログラマブルプロセッサとを含み、電力節約の方法が有益であるようなバッテリ電源で動作する同様のパーソナル電子デバイスのうちの、任意の1つまたはすべてを指すように、本明細書では互換的に使用される。様々な実施形態は、限られたリソースを有しバッテリで動作する、スマートフォンなどのモバイルコンピューティングデバイスに対して特に有用であるが、これらの実施形態は一般に、プロセッサを含みアプリケーションプログラムを実行する、任意の電子デバイスにおいて有用である。
【００２７】
一般に、モバイルデバイスの性能および電力効率は経時的に劣化する。近年、アンチウイルス会社(たとえば、McAfee、Symantecなど)は、この劣化を遅くすることを目的とするモバイル用アンチウイルス製品、ファイアウォール製品、および暗号化製品の販売を開始した。しかしながら、これらのソリューションの多くは、モバイルデバイス上で計算集約的なスキャニングエンジンを定期的に実行することに依存しており、そのことは、モバイルデバイスの処理リソースおよびバッテリリソースの多くを消費し、モバイルデバイスを遅くさせるか、もしくはより長期間使えなくさせ、かつ/または別様にユーザ体験を劣化させることがある。加えて、これらのソリューションは通常、知られているウイルスおよびマルウェアの検出に限定され、(たとえば、性能劣化がウイルスまたはマルウェアによって引き起こされないときに)経時的なモバイルデバイスの劣化に複合的に寄与することが多い、複数の複雑な要因および/または相互作用に対処しない。これらのおよび他の理由によって、既存のアンチウイルス製品、ファイアウォール製品、および暗号化製品は、経時的なモバイルデバイスの劣化に寄与し得る多数の要因を特定するための、モバイルデバイスの劣化を防止するための、または経年劣化したモバイルデバイスをその元の条件へと効率的に回復させるための、十分なソリューションを提供しない。
【００２８】
さらに、現代のモバイルデバイスは、高度に構成可能かつ複雑なシステムである。したがって、特定のデバイス挙動が良性であるか非良性である(たとえば、悪意がある、または性能を劣化させる)かを決定するために最も重要である特徴は、各モバイルデバイスにおいて異なり得る。さらに、不十分に書き込まれたか、または設計されたソフトウェアアプリケーション、マルウェア、ウイルス、断片化されたメモリ、バックグラウンド処理などを含む、モバイルコンピューティングデバイスの性能レベルおよび電力利用レベルの経時的な劣化に寄与し得る多種多様な要因が存在する。これらの要因の数、多様性および複雑さゆえに、現代のモバイルコンピューティングデバイスの複雑ではあるがリソースを制約されたシステムの性能および/または電力利用のレベルの劣化に寄与する可能性のある要因のすべてを評価することは、しばしば実現不可能である。したがって、ユーザ、オペレーティングシステム、および/またはアプリケーションプログラム(たとえば、アンチウイルスソフトウェアなど)が、問題の根源を正確かつ効率的に特定することは困難である。結果として、モバイルデバイスのユーザは現在、モバイルデバイスの性能レベルおよび電力利用レベルの経時的な劣化を防止するための、または経年劣化したモバイルデバイスをその元の性能レベルおよび電力利用レベルに回復させるための措置をほとんど有していない。
【００２９】
既存の解決法の制約を克服するために、様々な実施形態は、非良性のソフトウェアアプリケーション(たとえば、悪性のアプリケーション、不適切に書かれたアプリケーション、デバイスと互換性のないアプリケーションなど)を迅速かつ効率的に特定し、そのようなアプリケーションがコンピューティングデバイスの性能、電力利用レベル、ネットワーク使用レベル、セキュリティ、および/またはプライバシーを経時的に劣化させるのを防止するように構成される、挙動監視および分析システムを備えたコンピューティングデバイスを含む。挙動監視および分析システムは、コンピューティングデバイスの応答性、性能、または電力消費特性に、重大な、負の、またはユーザが知覚できる影響を与えることなく、特定された問題を特定し、防止し、修正するように構成され得る。ある実施形態では、挙動監視および分析システムは挙動ベースのセキュリティシステムであり得る。
【００３０】
挙動ベースの監視および分析システムは、観測プロセス、デーモン、モジュール、またはサブシステム(本明細書では「モジュール」と集合的に呼ばれる)、挙動抽出器モジュール、および分析器モジュールを含み得る。観測器モジュールは、コンピューティングデバイスシステムの様々なレベルにおいて、様々なアプリケーションプログラミングインターフェース(API)、レジスタ、カウンタ、または他のデバイス構成要素(本明細書で、集合的に「計測された構成要素」)を、計測または協調させ、計測された構成要素から挙動情報を収集し、収集された挙動情報を(たとえば、メモリ書込み動作、関数呼出しなどを介して)挙動抽出器モジュールに通信するように構成され得る。挙動抽出器モジュールは、各々がデバイスの1つまたは複数の特定のスレッド、プロセス、ソフトウェアアプリケーション、モジュール、または構成要素に関連付けられた観測されたイベント、条件、タスク、活動、および/または挙動(本明細書で、集合的に「挙動」)の多くまたはすべてを表すか、または特徴付ける挙動ベクトルを生成するために、収集された挙動情報を使用することができる。挙動抽出器モジュールは、生成された挙動ベクトルを(たとえば、メモリ書込み動作、関数呼出しなどを介して)分析器モジュールに通信することができ、分析器モジュールは、分析結果を生成するために挙動ベクトルを分類器モデルに適用し、ソフトウェアアプリケーションまたはデバイスの挙動が良性であるか、または非良性である(たとえば、悪意がある、不十分に書き込まれている、性能を劣化させるなど)かどうかを決定するために、分析結果を使用することができる。デバイスプロセッサは、次いで、特定された問題(たとえば、非良性であると決定される挙動)を補正、修復、是正、隔離、またはさもなければ解決するための様々な動作を実行することができる。
【００３１】
各挙動ベクトルは、1つまたは複数の「挙動の特徴」を含むか、またはカプセル化する情報構造であり得る。挙動特徴は、コンピューティングデバイス内の観測されたイベント、条件、活動、動作、関係、対話、または挙動のすべてまたは一部を表す数またはシンボルであり得る。各挙動の特徴は、可能な値の範囲、それらの値に対して実行され得る動作、値の意味、および他の同様の情報を特定するデータタイプと関連付けられ得る。データタイプは、対応する挙動特徴(または特徴値)がどのように測定され、分析され、重み付けられ、または使用されるべきかを決定するために、コンピューティングデバイスによって使用され得る。
【００３２】
分類器モデルは、特定の特徴、要因、データ点、エントリ、API、状態、条件、挙動、ソフトウェアアプリケーション、プロセス、動作、構成要素(本明細書で、集合的に「特徴」)など、またはデバイスの挙動の他の実施形態を迅速かつ効率的にテストまたは評価するためにデバイスプロセッサによって使用され得るデータ、エントリ、判定ノード、判定基準、および/または情報構造を含む挙動モデルであり得る。分類器モデルは、ソフトウェアアプリケーション間の関係および/またはモバイルデバイス内で監視されるべき挙動の性質を決定するためにデバイスプロセッサによって使用され得る情報を含むことも可能である。
【００３３】
各分類器モデルは、完全な分類器モデルまたは簡潔な分類器モデルとして類別され得る。完全な分類器モデルは、数千の特徴および数十億のエントリを含み得る大きいトレーニングデータセットに応じて生成される、ロバストなデータモデルであり得る。簡潔な分類器モデルは、特定のモバイルデバイスの挙動が良性でないかどうかを決定することに最も関連がある特徴/エントリに対するテストを含むかまたは優先順位付ける、縮小されたデータセットから生成された、より専心的なデータモデルであり得る。ローカル分類器モデルは、コンピューティングデバイスにおいて生成される簡潔な分類器モデルであり得る。ユーザ固有の分類器モデルは、デバイス挙動が特定のユーザによるコンピューティングデバイスの通常の使用に整合するかどうかを決定するために最も関連するデバイス特徴/エントリをテストまたは評価する判定ノードを含むか、または優先順位付けする非常に専心的なデータモデルを含むローカル分析器モデルであり得る。
【００３４】
各人物は、概して、一意のまたは特徴的な方法でそのコンピューティングデバイスと対話する。たとえば、モバイルデバイスのユーザは、多くの場合、特徴的な作業スタイルまたは通信スタイルを有し、特定のソフトウェアアプリケーションまたは特定のタイプのソフトウェアアプリケーションを使用し、そのモバイルデバイスを使用して特定の活動を実行するかまたは特定のタスクを達成し、特定の順序で活動を実行し、特定の時点で特定の活動を実行し、特定の方法で特定のソフトウェアアプリケーションと対話する、等々である。ユーザが自らのデバイスと対話する固有の方法は、経時的に学習され、ソフトウェアアプリケーションが非良性であるかどうかを決定するために使用され得る。たとえば、ある実施形態では、コンピューティングデバイスは、ユーザが、経時的に自らのデバイスと対話し、活動、タスク、または挙動が対応するUIイベントに関連付けられるべきかどうかを決定するためにこの情報を使用し、対応するUIイベントの存在を明らかにする挙動ベクトルおよび/または分類器モデルを生成し、分析結果を生成するために、挙動ベクトルを分類器モデルに適用し、活動、タスク、または挙動に関連付けられたソフトウェアアプリケーションが非良性(たとえば、悪意があるなど)であるかどうかを決定するために、分析結果を使用する固有の方法を学習するように構成され得る。
【００３５】
現在のコンピューティングデバイスは、そのユーザによって生成されるか、またはそのユーザに関する情報に対するかつてないレベルのアクセスを有する。たとえば、モバイルコンピューティングデバイスは、ユーザに関する詳細な個人情報を収集または生成するセンサ(たとえば、加速度計、ジャイロスコープ、ジオ空間測位センサ、カメラ、心拍モニタ、グルコメータ)を備えていることが多い。さらに、モバイルコンピューティングデバイスは、現在、ウェブをナビゲートするためのアプリケーション、商品を購入するためのアプリケーション、ユーザの健康を監視するためのアプリケーション、家庭用電気器具を制御するためのアプリケーション、ゲームをするためのアプリケーション、ビデオを見る/記録するためのアプリケーション、新しい都市をナビゲートするためのアプリケーション、トレーニングを追跡するためのアプリケーション、金融取引を行うためのアプリケーションなどを含めて、複雑なソフトウェアアプリケーションを実行することを可能にする強力なプロセッサを含んでいる。これらのソフトウェアアプリケーションは、ユーザに関する詳細な個人情報を収集または生成することが多い。これらのソフトウェアアプリケーションおよびセンサによって収集、生成、または使用される情報は、ユーザの活動、選好、年齢、職業、習慣、ムード、感情の状態、性格などを特徴付けるユーザのペルソナ情報を生成するために、ある実施形態のコンピューティングデバイスによって使用され得る。ある実施形態のコンピューティングデバイスは、活動、タスク、または挙動が対応するUIイベントに関連付けられるべきであるかどうか含めて、経時的にデバイスの通常の動作パターンを決定するためにそのようなユーザのペルソナ情報を収集して、使用するように構成され得る。ユーザのペルソナ情報はまた、ソフトウェアアプリケーションが非良性であるかどうかを決定する際に使用するのに適している挙動ベクトルおよび/または分類器モデル(たとえば、ユーザ固有の分類器モデルなど)を生成するために使用され得る。
【００３６】
いくつかのタスク/活動は、オペレーティングシステムまたはソフトウェアアプリケーション(もしくは、プロセス、スレッドなど)がそれらのタスク/活動をサポートするかまたはそれらと互換性がある実行状態であることに、直接的または本質的に関連するか、またはそれを必要とする。たとえば、カメラの使用、ショートメッセージサービス(SMS)メッセージの送信、および加速度計データの収集はすべて、デバイスとの何らかの形態のユーザ対話を一般に必要とするタスク/活動である。したがって、これらの活動は一般に、「フォアグラウンド」実行状態で、またはコンピューティングデバイスとのユーザ対話をサポートする別の実行状態で実行されなければならない。これらのまたは他の同様のタスク/活動が、バックグラウンド実行状態のような、デバイスとの高度なユーザ対話をサポートしない実行状態で実行されるとき、この動作条件は、その活動と関連付けられたデバイス挙動が非良性であること、または別様に、追加のまたはより詳細な精査、監視、または分析に値することのインジケータであり得る。したがって、ある実施形態では、コンピューティングデバイスは、活動、タスク、または挙動が対応するUIイベントに関連付けられるべきであるかどうかを決定し、対応するUIイベントの実行状態および/または存在を明らかにする挙動ベクトルおよび/または分類器モデルを生成し、分析結果を生成するために挙動ベクトルを分類器モデルに適用し、ソフトウェアアプリケーションが非良性であるかどうかを決定するために分析結果を使用するために活動またはタスクが実行される特定の実行状態を使用するように構成され得る。
【００３７】
ある実施形態では、挙動監視および分析システムは、ソフトウェアアプリケーションが非良性であるかどうかを決定するために使用される分析結果を生成するとき、(たとえば、分類器モデルへの挙動ベクトルの適用などによって)テストされる/評価される要因としてUIイベントの存在を使用することができる。
【００３８】
上記の例では、コンピューティングデバイスは、ソフトウェアアプリケーションが非良性であるかどうかを決定するために、対応するUIイベントのプレゼンスなど、デバイスとのユーザ対話によって生成された情報を使用する。そのような情報は、一般に、(たとえば、ログ内に情報を記憶するオペレーティングシステムによってなど)挙動監視および分析システムに転送するためにオペレーティングシステムに送られる、(たとえば、ユーザがデバイスのタッチスクリーンをタッチするときなど)デバイスのセンサまたはハードウェアによって生成されるデータを含む。挙動監視および分析システムは、ソフトウェアアプリケーションが非良性であるかどうかを決定するためにこの情報を使用するため、悪意のあるソフトウェアアプリケーションは、オペレーティングシステムにUIイベントのプレゼンスを挙動監視および分析システムに不正確に報告させるためになど、偽UIイベント情報を生成して、オペレーティングシステムに送ることによって、システムによる検出を迂回または回避することを試みる可能性がある。
【００３９】
挙動監視および分析システム(たとえば、挙動ベースのセキュリティシステム)によって、偽ユーザ対話情報(たとえば、偽UIイベント)を生成するソフトウェアアプリケーションが検出を迂回または回避するのを防止するために、ある実施形態によるコンピューティングデバイスは、センサおよびハードウェアドライバからの生データと、オペレーティングシステムからのUIイベント情報とを受信し、UIイベントが真正のUIイベントであるか、または偽UIイベントであるかを決定するために、受信された生データを受信されたUIイベント情報と比較し、偽UIイベントを挙動監視および分析システムに報告するように構成された偽UIイベント検出モジュールを備えることができる。
【００４０】
ある実施形態では、挙動監視および分析システムは、偽UIイベントに関連付けられたソフトウェアアプリケーションを非良性として分類するように構成され得る。
【００４１】
ある実施形態では、挙動監視および分析システムは、偽UIイベントに関連付けられたソフトウェアを疑わしいとして分類し、(たとえば、よりロバストな分類器モデルを使用すること、ソフトウェアアプリケーションのより多くの活動を監視すること、より大きな挙動ベクトルを生成することなどによって)その精査または分析のレベルを高めるように構成され得る。
【００４２】
ある実施形態では、挙動監視および分析システムは、対応するUIイベントのプレゼンスまたは存在に関する条件をテストしない分類器モデルを使用することによってなど、偽UIイベントであると決定されたUIイベントを無視するように構成され得る。これは、システムが、その監視および/または分析動作が活動および挙動が非良性であるかどうかを決定するために最も重要である特徴または要因に専心することを可能にする。
【００４３】
ある実施形態では、コンピューティングデバイスのデバイスプロセッサは、検出されたUIイベントが偽UIイベントであるかどうかを決定するために、異なるデバイスドライバまたはハードウェア構成要素から受信された情報を比較して、相関させるように構成され得る。たとえば、ユーザがコンピューティングデバイスのタッチスクリーンディスプレイにタッチすることは、ディスプレイに、そのディスプレイがタッチされた時間を特定するタイムスタンプおよびタッチされたディスプレイエリアを特定する座標情報の形態で生データを生成させることができる。さらに、コンピューティングデバイスは、一般に、(ユーザのタッチの力により)そのディスプレイにタッチされたときに移動するため、ジャイロスコープおよび加速度計は、そのデバイスがタッチイベントと同時に若干移動したことを指示する生データを生成し得る。したがって、デバイスプロセッサは、タッチイベントが生成されたときのデバイスの移動がそのユーザ対話に整合するかどうかを決定することができる。
【００４４】
(図2〜図7を参照して説明する実施形態を含めて)様々な実施形態は、単一のプロセッサシステムおよび多重プロセッサのシステムを含む、いくつかの異なるモバイルデバイス、ならびにシステムオンチップ(SOC)において実装され得る。図1は、様々な実施形態を実装するコンピューティングデバイス内で使用され得る例示的なシステムオンチップ(SOC)100アーキテクチャを示すアーキテクチャ図である。SOC100は、デジタル信号プロセッサ(DSP)102、モデムプロセッサ104、グラフィックスプロセッサ106、およびアプリケーションプロセッサ108のような、いくつかの異質のプロセッサを含み得る。SOC100はまた、異種プロセッサ102、104、106、108のうちの1つまたは複数に接続された1つまたは複数のコプロセッサ110(たとえば、ベクトルコプロセッサ)を含んでもよい。各プロセッサ102、104、106、108、110は、1つまたは複数のコアを含み得、各プロセッサ/コアは、他のプロセッサ/コアとは無関係に動作を実行できる。たとえば、SOC100は、第1のタイプのオペレーティングシステム(たとえば、FreeBSD、LINUX、OS Xなど)を実行するプロセッサと、第2のタイプのオペレーティングシステム(たとえば、Microsoft Windows 10)を実行するプロセッサとを含み得る。
【００４５】
SOC100はまた、センサデータ、アナログデジタル変換、ワイヤレスデータ送信を管理し、ゲームおよび映画用の符号化されたオーディオ信号を処理することのような他の特殊な動作を実行するための、アナログ回路およびカスタム回路114を含み得る。SOC100は、電圧調整器、発振器、位相ロックループ、周辺ブリッジ、データコントローラ、メモリコントローラ、システムコントローラ、アクセスポート、タイマ、およびコンピューティングデバイス上で実行するプロセッサおよびクライアントをサポートするために使用される他の同様の構成要素のような、システム構成要素/リソース116をさらに含み得る。
【００４６】
システム構成要素/リソース116およびカスタム回路114は、カメラ、電子ディスプレイ、ワイヤレス通信デバイス、外部メモリチップなどの周辺デバイスとインターフェースする回路を含み得る。プロセッサ102、104、106、108は、再構成可能な論理ゲートのアレイを含み、かつ/またはバスアーキテクチャ(たとえば、CoreConnect、AMBAなど)を実装し得る、相互接続/バスモジュール124を介して、1つまたは複数のメモリ要素112、システム構成要素/リソース116、およびカスタム回路114に相互接続され得る。通信は、高性能ネットワークオンチップ(NoCs)などの高度な相互接続によって提供され得る。
【００４７】
SOC100は、クロック118および電圧調整器120のような、SOCの外部のリソースと通信するための入力/出力モジュール(図示せず)をさらに含んでもよい。SOCの外部のリソース(たとえば、クロック118、電圧調整器120)は、内部SOCプロセッサ/コア(たとえば、DSP102、モデムプロセッサ104、グラフィックプロセッサ106、アプリケーションプロセッサ108など)のうちの2つ以上によって共有され得る。
【００４８】
SOC100はまた、スピーカ、ユーザインターフェース要素(たとえば、入力ボタン、タッチスクリーンディスプレイなど)、マイクロフォンアレイ、物理条件(たとえば、位置、方向、動き、方位、振動、圧力など)を監視するためのセンサ、カメラ、コンパス、GPS受信機、通信回路(たとえば、Bluetooth(登録商標)、WLAN、WiFiなど)、および現代の電子デバイスの他のよく知られている構成要素(たとえば、加速度計など)を含む、センサからセンサデータを収集するのに適したハードウェアおよび/またはソフトウェア構成要素を含み得る。
【００４９】
上で論じたSOC100に加えて、様々な実施形態が、単一のプロセッサ、複数のプロセッサ、マルチコアプロセッサ、またはこれらの任意の組合せを含み得る、多種多様なコンピューティングシステムにおいて実装され得る。
【００５０】
図2は、様々な態様による、偽UIイベントを特定するように構成された、ある実施形態のコンピューティングデバイス200中の例示的な論理構成要素および情報フローを示す。図2に示す例では、コンピューティングデバイス200は、様々なセンサおよびハードウェア構成要素202と、デバイスドライバモジュール204と、オペレーティングシステム206と、偽UIイベント検出モジュール212と、挙動ベースのセキュリティモジュール214と、活動のログ220とを含む。コンピューティングデバイスはまた、その両方が、そのプロセッサまたは処理コアのうちの1つまたは複数を介して、コンピューティングデバイス200上で動作または実行することができる、ソフトウェアアプリケーションプログラム208および悪意のあるソフトウェアアプリケーションプログラム210を含む。
【００５１】
ソフトウェアアプリケーションプログラム208、210は、アプリケーションプログラムインターフェース(API)を使用して、オペレーティングシステム206のサービスを起動することができる。オペレーティングシステム206は、センサ/ハードウェア構成要素202とオペレーティングシステム206との間のソフトウェアインターフェースとして働くか、またはそれを提供することができるデバイスドライバモジュール204を介してセンサ/ハードウェア構成要素202と通信することができる。デバイスドライバモジュール204は、演算コード(opcodes)およびセンサ/ハードウェア構成要素202によって実装されるネイティブコマンドによってセンサ/ハードウェア構成要素202を制御するか、またはそれらと通信するように構成され得る。デバイスドライバモジュール204は、オペレーティングシステム206による解釈および使用に適した情報を生成するために、センサ/ハードウェア構成要素202から受信された生データを使用するように構成され得る。
【００５２】
センサ/ハードウェア構成要素202は、ユーザ対話イベントの検出に応じて、生データを生成してデバイスドライバモジュール204に送るように構成可能であり、デバイスドライバモジュール204は、オペレーティングシステム206による解釈および使用に適したUIイベント情報を生成するためにセンサ/ハードウェア構成要素202から受信された生データを使用するように構成可能である。たとえば、センサ/ハードウェア構成要素202は、ユーザがタッチスクリーンをタッチするたびに、Xロケーション座標およびYロケーション座標の形態で生データをデバイスドライバモジュール204に送るように構成された電子タッチスクリーンディスプレイ(たとえば、容量性感知タッチスクリーンパネルなど)を含み得る。デバイスドライバモジュール204は、この生データ(すなわち、ロケーション座標XおよびY)をオペレーティングシステム206による解釈および使用に適したUIイベント情報(たとえば、screenTouch(X,Y))に変換するように構成され得る。オペレーティングシステム206は、UIイベント情報を受信し、それを使用して、ソフトウェアアプリケーションプログラム208のonTouch(X,Y)機能が起動されるべきであると決定し、ソフトウェアアプリケーションプログラム208にonTouch(X,Y)機能の動作を実行させる。そのような動作は、カメラシャッターを開く、画像を補足する、補足された画像を処理するなどを含み得る。
【００５３】
オペレーティングシステム206およびソフトウェアアプリケーションプログラム208は、そのそれぞれの動作、活動、および/またはタスクを活動のログ220内に記録することができる。たとえば、オペレーティングシステムは、活動のログ220内のUIイベント(たとえば、screenTouch(X,Y))の検出を記録することができ、ソフトウェアアプリケーションプログラム208は、動作(たとえば、カメラシャッターを開く、画像を捕捉する、情報をメモリ内に書き込むなど)またはその関連するAPI呼出しを活動のログ220内に記録することができる。
【００５４】
挙動ベースのセキュリティモジュール214は、動作、ソフトウェアアプリケーションプログラム208の活動を監視し、活動のログ220から挙動情報を収集し、収集された挙動情報を使用して挙動ベクトルを生成し、分析結果を生成するために、生成された挙動ベクトルを分類器モデルに適用し、ソフトウェアアプリケーションプログラム208が非良性であるかどうかを決定するために、分析結果を使用するように構成され得る。これらの動作の一部として、挙動ベースのセキュリティモジュール214は、ソフトウェアアプリケーションプログラム208の挙動または活動がデバイスとの何らかの形態のユーザ対話に直接的または本質的に関連するか、またはそれを必要とすると決定し、挙動/活動がユーザ対話に直接的または本質的に関連するか、またはそれを必要とするとの決定に応じて、活動のログ220が挙動/活動に対応するUIイベントを含むかどうかを決定し、ソフトウェアアプリケーションプログラム208が非良性であるかどうかを決定するとき、対応するUIイベントのプレゼンスまたは存在を評価する挙動ベクトルおよび/または分類器モデルを使用することができる。
【００５５】
図2に示した例では、悪意のあるソフトウェアアプリケーションプログラム210は、偽UIイベントを生成して、オペレーティングシステムに送ることによって、挙動ベースのセキュリティモジュール214による検出を迂回または回避することを試みる。たとえば、悪意のあるソフトウェアアプリケーションプログラム210は、カメラをアクティブ化して、ユーザの認識または同意なしに、画像を補足し、カメラのアクティブ化に対応するUIイベントのプレゼンスをオペレーティングシステムに不正確に記録させる可能性がある。これは、監視された活動に対応するUIイベントが存在すると挙動ベースのセキュリティモジュール214に不正確に決定させる可能性がある。
【００５６】
偽UIイベント検出モジュール212は、悪意のあるソフトウェアアプリケーションプログラム210が挙動ベースのセキュリティモジュール214による検出を迂回または回避するのを防止するように構成され得る。デバイスドライバモジュール204は、生データを偽UIイベント検出モジュール212に送るように構成されたドライバ計測モジュール216を含むことができ、オペレーティングシステム206は、UIイベント情報を偽UIイベント検出モジュール212に送るように構成されたオペレーティングシステム計測モジュール218を含むことができる。偽UIイベント検出モジュール212は、ドライバ計測モジュール216からの生データおよびオペレーティングシステム計測モジュール218からのUIイベント情報を受信し、受信された生データを受信されたUIイベント情報と比較して、UIイベントが真正のUIイベントであるか、または偽UIイベントであるかを決定し、偽UIイベントを挙動ベースセキュリティモジュール214に報告するように構成され得る。
【００５７】
偽UIイベントの報告の受信に応じて、挙動ベースのセキュリティモジュール214は、偽UIイベントに関連付けられたソフトウェアアプリケーションを非良性として分類すること、偽UIイベントに関連付けられたソフトウェアアプリケーションを疑わしいとして分類すること、UIイベントのプレゼンス/存在に関する条件をテストする判定ノードを除外するために分類モデルを更新すること、またはUIイベントのプレゼンス/存在に関する条件をテストしない挙動ベクトルおよび分類器モデルを選択/使用することができる。
【００５８】
図3は、非良性デバイス挙動を特定し、それらに応じるために、挙動分析技法を使用するように構成された挙動ベースのセキュリティモジュール214を含む、ある実施形態のコンピューティングデバイス内の例示的な論理構成要素および情報フローを示す。図3に示す例では、コンピューティングデバイスは、挙動観測器モジュール302、挙動抽出器モジュール304、挙動分析器モジュール306、およびアクチュエータモジュール308を含む実行可能命令モジュールで構成されたデバイスプロセッサ(たとえば、モバイルデバイスプロセッサ)を含むモバイルデバイス300である。モジュール302〜308の各々は、ソフトウェア、ハードウェア、またはこれらの組合せにおいて実装される、スレッド、プロセス、デーモン、モジュール、サブシステム、または構成要素であり得る。様々な実施形態では、モジュール302〜308は、オペレーティングシステムの部分内(たとえば、カーネル内、カーネル空間内、ユーザ空間内など)で、個別のプログラムもしくはアプリケーション内で、専用のハードウェアバッファもしくはプロセッサ内で、またはそれらの任意の組合せにて実装され得る。ある実施形態では、モジュール302〜308のうちの1つまたは複数は、モバイルデバイス300の1つまたは複数のプロセッサ上で実行するソフトウェア命令として実装される場合がある。
【００５９】
挙動観測器モジュール302は、デバイスの様々なレベル/モジュールにおいてアプリケーションプログラミングインターフェース(API)、カウンタ、ハードウェアモニタなどを計測し、ある時間期間にわたって様々なレベル/モジュールにおいて活動、条件、動作、およびイベント(たとえば、システムイベント、状態変化など)を監視するように構成され得る。挙動観測器モジュール302は、監視された活動、条件、動作、またはイベントに関係する挙動情報を収集し、収集された情報をメモリ(たとえば、ログファイルなど)に記憶することができる。
【００６０】
いくつかの実施形態では、挙動観測器モジュール302は、コンピュータデバイス内で動作するソフトウェアアプリケーション、コンピューティングデバイスのセンサから、かつ/またはコンピューティングデバイスまたはそのソフトウェアアプリケーションとのユーザ対話からユーザベースの情報(たとえば、ユーザペルソナ情報など)を収集するように構成され得る。ユーザベースの情報は、デバイスユーザの活動、デバイス使用パターン、習慣、ムード、職業、および/または感情の状態を特定または特徴付けるのに適した任意の情報を含み得る。例として、ユーザベースの情報は、デバイスとのユーザの対話、デバイス上で実行されるカスタマイズの数およびタイプ、ユーザによってダウンロードまたは使用されるソフトウェアアプリケーションのタイプ、ユーザがスクリーンに触れるかまたはスクリーンと対話する率、デバイスのグラフィックス処理ユニット(GPU)の使用レベル、ユーザが他者と通信するためにデバイスをどの程度頻繁に使用するか、ユーザが好む通信方法(たとえば、テキスト対音声)、ユーザがどの程度速く通信するか、デバイスのメモリサイズなどを特定する情報を含み得る。デバイスプロセッサは、収集されたユーザベースの情報を使用して、ユーザが一般にコンピューティングデバイスとどのように対話するかを学習し、デバイスの通常のオペレーティングパターンを決定すること、および/または活動、タスク、または挙動がUIイベントに関連付けられるべきかどうかを決定することができる。たとえば、デバイスプロセッサは、ユーザベースの情報を使用して、デバイスの通常のオペレーティングパターンが、特定の活動が特定のUIイベントに関連付けられること、および/またはその対応するUIイベントを伴わない特定の活動の性能がデバイスの通常の動作パターンに整合しないことを指示するかどうかを決定することができる。
【００６１】
挙動観測器モジュール302は、カレンダーアプリケーション、リマインダーアプリケーション、通信アプリケーション、金融アプリケーション、特定のタスク(たとえば、ワードプロセッシング、納税申告書の準備、プレゼンテーションアプリケーション、会計アプリケーションなど)を達成するためのアプリケーション、ロケーションベースのアプリケーション(たとえば、マッピングおよびジオロケーションアプリケーションなど)、ソーシャルメディアアプリケーション、(たとえば、過去の検索、ブラウジング履歴、訪問したウェブサイトのタイプ、訪問したウェブサイトのコンテンツなどに関する情報を取得するための)ウェブブラウザ、娯楽アプリケーション(たとえば、オーディオプレーヤまたはマルチメディアプレーヤのアプリケーション)、ユーザアカウントにアクセスするためのアプリケーション(たとえば、バンキングアプリなど)、個人的なトレーニングおよび開発アプリケーションなどを含めて、様々なソフトウェアアプリケーション(または、ソフトウェアアプリケーションタイプ)のうちのいずれかを監視することによって、ユーザのペルソナ情報を収集するように構成され得る。
【００６２】
挙動観測器モジュール302は、心拍数モニタ、血圧モニタ、温度計、歩数計、血糖メータ、湿度センサ、飲酒探知機、電気皮膚反応センサ、またはデバイス内の他のセンサからデータを取得することによって、ユーザのペルソナ情報を収集することもできる。たとえば、挙動観測器モジュール302は、ユーザの現在のロケーション(たとえば、オフィスにおける、自宅における、レストランにおける、事務、旅行中など)、ユーザの現在の移動(たとえば、現在旅行中である、運動している、動いていないなど)、移動の履歴(たとえば、広範囲に旅行する、町を離れたことがないなど)、ユーザがその確立されたルーチンに従っているかどうか(たとえば、時間通りに職場に到着した、依然として仕事中である)またはそのルーチンからはずれている(たとえば、通常より遅く到着した、通常よりも早く去った)を決定するために、デバイスのジオ空間測位およびナビゲーションシステムを監視することによってユーザのペルソナ情報を収集することができる。
【００６３】
いくつかの実施形態では、モバイルデバイス300のデバイスプロセッサは、ユーザペルソナ情報および/またはデバイスとのユーザの対話を特徴付ける情報を使用して、挙動ベクトルおよび/または分類器モデルを生成するように構成され得る。たとえば、デバイスプロセッサは、監視されるデバイス特徴、挙動ベクトル内に含まれる挙動情報、分類器モデル内に含まれる(したがって、分類器モデルによって評価される)特定のデバイス特徴などを動的に決定するためにユーザ対話情報を使用するように構成され得る。別の例として、デバイスプロセッサは、あるタイプのソフトウェアアプリケーション(たとえば、ゲームなど)の使用または実行中にUIイベントのプレゼンスを特定することに専心する条件/特徴を評価する分類器モデルを生成するように構成され得る。
【００６４】
いくつかの実施形態では、デバイスプロセッサは、ユーザ対話情報が収集された挙動情報のすべてまたは一部を分析することに関連するかどうかを決定し、ユーザ対話(関連する場合)に関するデバイス特徴を評価する判定ノードを含む分類器モデルを生成し、ユーザ対話が関連する、収集された挙動情報を相関させる挙動ベクトルを生成し、デバイス挙動が非良性であるかどうかを決定するために、生成された挙動ベクトルを生成された分類器モデルに適用するように構成され得る。
【００６５】
挙動観測器モジュール302はまた、アプリケーションフレームワークまたはランタイムライブラリ、システムコールAPI、ファイルシステムおよびネットワーキングサブシステム動作、デバイス(センサデバイスを含む)状態変化、ならびに他の同様のイベント内のライブラリアプリケーションプログラミングインターフェース(API)コールに関する情報を収集することによって、モバイルデバイス300の活動を監視するように構成され得る。さらに、挙動観測器モジュール302は、ファイルシステムの活動を監視することができ、ファイルシステムの活動は、ファイル名、ファイルアクセスのカテゴリ(個人情報または通常のデータファイル)を探索すること、ファイル(たとえば、type exe、zipなど)を作成または削除すること、ファイル読出し/書込み/探索動作、ファイルパーミッションを変更することなどを含み得る。
【００６６】
挙動観測器モジュール302はまた、接続のタイプ、プロトコル、ポート番号、デバイスが接続されるサーバ/クライアント、接続の数、通信の量または頻度などを含み得るデータネットワーク活動を監視することによって、モバイルデバイス300の活動を監視することもできる。挙動観測器モジュール302は、電話ネットワーク活動を監視することができ、電話ネットワーク活動は、送出、受信、または傍受された通話またはメッセージ(たとえば、SMSなど)のタイプおよび数(たとえば、かけられたプレミアムコールの数)を監視することを含み得る。
【００６７】
挙動観測器モジュール302はまた、フォークの数、メモリアクセス動作、開かれたファイルの数などを監視することを含み得るシステムリソース使用を監視することによって、モバイルデバイス300の活動を監視することもできる。挙動観測器モジュール302は、ディスプレイがオンかまたはオフか、デバイスがロックされているかまたはロックされていないか、バッテリの残量、カメラの状態など様々な要因を監視することを含み得る、モバイルデバイス300の状態を監視することができる。挙動観測器モジュール302はまた、たとえば、重要なサービス(ブラウザ、契約プロバイダなど)に対する意図、プロセス間通信(IPC)の程度、ポップアップウィンドウなどを監視することによって、プロセス間通信を監視することができる。
【００６８】
挙動観測器モジュール302はまた、カメラ、センサ、電子ディスプレイ、WiFi通信構成要素、データコントローラ、メモリコントローラ、システムコントローラ、アクセスポート、タイマ、周辺デバイス、ワイヤレス通信構成要素、外部メモリチップ、電圧レギュレータ、発振器、フェーズロックループ、周辺ブリッジ、ならびに、プロセッサ、およびモバイルデバイス300上で実行するクライアントをサポートするために使用される他の同様の構成要素を含み得る、1つまたは複数のハードウェア構成要素のドライバの統計データおよび/またはステータスを監視することによって、モバイルデバイス300の活動を監視することもできる。
【００６９】
挙動観測器モジュール302はまた、モバイルデバイス300および/またはコンピューティングデバイスのサブシステムの状態またはステータスを示す、1つまたは複数のハードウェアカウンタを監視することによって、モバイルデバイス300の活動を監視することもできる。ハードウェアカウンタは、モバイルデバイス300内で発生するハードウェア関連の活動またはイベントのカウント値または状態を記憶するように構成されたプロセッサ/コアの専用レジスタを含み得る。
【００７０】
挙動観測器モジュール302はまた、ソフトウェアアプリケーションの活動または動作、アプリケーションダウンロードサーバ(たとえば、Apple(登録商標) App Storeサーバ)からのソフトウェアダウンロード、ソフトウェアアプリケーションによって使用されるコンピューティングデバイス情報、呼情報、テキストメッセージング情報(たとえば、SendSMS、BlockSMS、ReadSMSなど)、メディアメッセージング情報(たとえば、ReceiveMMS)、ユーザアカウント情報、位置情報、カメラ情報、加速度計情報、ブラウザ情報、ブラウザベースの通信の内容、音声ベースの通信の内容、短距離無線通信(たとえば、Bluetooth(登録商標)、WiFiなど)、テキストベースの通信の内容、記録されたオーディオファイルの内容、電話帳または連絡先情報、連絡先リストなどを監視することによって、モバイルデバイス300の活動を監視することもできる。
【００７１】
挙動観測器モジュール302は、ボイスメールを含む通信(VoiceMailComm)、デバイス識別子を含む通信(DeviceIDComm)、ユーザアカウント情報を含む通信(UserAccountComm)、カレンダー情報を含む通信(CalendarComm)、ロケーション情報を含む通信(LocationComm)、記録されたオーディオ情報を含む通信(RecordAudioComm)、加速度計情報を含む通信(AccelerometerComm)などを含む、モバイルデバイス300の送信または通信を監視することによって、モバイルデバイス300の活動を監視することもできる。
【００７２】
挙動観測器モジュール302は、コンパス情報、コンピューティングデバイスの設定、バッテリ寿命、ジャイロスコープ情報、圧力センサ、磁気センサ、スクリーン活動などの使用とそれらに対する更新/変更とを監視することによって、モバイルデバイス300の活動を監視することもできる。挙動観測器モジュール302は、ソフトウェアアプリケーションとの間で通信される通知(AppNotifications)、アプリケーション更新などを監視することができる。挙動観測器モジュール302は、第2のソフトウェアアプリケーションのダウンロードおよび/またはインストールを要求している第1のソフトウェアアプリケーションに関する条件またはイベントを監視することができる。挙動観測器モジュール302は、パスワードの入力のような、ユーザ検証に関する条件またはイベントを監視することができる。
【００７３】
挙動観測器モジュール302はまた、アプリケーションレベル、無線レベル、およびセンサレベルを含む、モバイルデバイス300の複数のレベルにおいて条件またはイベントを監視することによって、モバイルデバイス300の活動を監視することもできる。アプリケーションレベルの観測には、顔認識ソフトウェアを介してユーザを観測すること、ソーシャルストリームを観測すること、ユーザによって入力された注釈を観測すること、PassBook(登録商標)、Google(登録商標) Wallet、Paypal(登録商標)、および他の類似のアプリケーションまたはサービスの使用に関するイベントを観測することなどが含まれ得る。アプリケーションレベルの観測には、仮想プライベートネットワーク(VPN)の使用に関するイベント、および同期、音声探索、音声制御(たとえば、1語を発することによる電話のロック/アンロック)、言語翻訳機、計算用のデータのオフローディング、ビデオストリーミング、ユーザ活動なしでのカメラの使用、ユーザ活動なしでのマイクロフォンの使用などに関するイベントを観測することも含まれ得る。
【００７４】
無線レベルの観測には、無線通信リンクを確立するかまたは情報を送信する前のモバイルデバイス300とのユーザの対話、デュアル/マルチ加入者識別モジュール(SIM)カード、インターネット無線、モバイルフォンテザリング、計算のためのデータのオフロード、デバイス状態通信、ゲームコントローラまたはホームコントローラとしての使用、車両通信、コンピューティングデバイス同期などのうちのいずれかまたは複数の存在、実在、または量を決定することが含まれ得る。無線レベルの観測にはまた、測位、ピアツーピア(p2p)通信、同期、車両対車両通信、および/または機械対機械(m2m)のための、無線(WiFi、WiMax、Bluetooth(登録商標)など)の使用を監視することも含まれ得る。無線レベルの観測には、ネットワークトラフィックの使用、統計データ、またはプロファイルを監視することがさらに含まれ得る。
【００７５】
センサレベルの観測には、モバイルデバイス300の使用環境および/または外部環境を判断するために、磁気センサまたは他のセンサを監視することが含まれ得る。たとえば、コンピューティングデバイスプロセッサは、デバイスが(たとえば、ホルスタ内の磁石を検知するように構成された磁石センサを介して)ホルスタ内にあるか、または(たとえば、カメラもしくは光センサによって検出される光の量を介して)ユーザのポケット内にあるかを判断するように構成される場合がある。たとえば、モバイルデバイス300がホルスタに入れられている間に発生する、ユーザによるアクティブな使用(たとえば、写真またはビデオを撮ること、メッセージを送ること、音声通話を行うこと、音を録音することなど)に関連する活動および機能は、(たとえば、ユーザを追跡またはスパイするために)デバイス上で実行している不正なプロセスのサインである可能性があるので、モバイルデバイス300がホルスタ内にあることを検出することは、疑わしい挙動を認識することに関係する場合がある。
【００７６】
使用環境または外部環境に関連するセンサレベルの観測の他の例には、近距離無線通信(NFC)シグナリングを検出すること、クレジットカードスキャナ、バーコードスキャナ、またはモバイルタグリーダから情報を収集すること、ユニバーサルシリアルバス(USB)電力充電源の存在を検出すること、キーボードまたは補助デバイスがモバイルデバイス300に結合されていることを検出すること、モバイルデバイス300が(たとえば、USBなどを介して)別のコンピューティングデバイスに結合されていることを検出すること、LED、フラッシュ、フラッシュライト、または光源が変更または(たとえば、緊急シグナリングアプリケーションなどを、悪意をもって無効にして)無効化されているかどうかを決定すること、スピーカまたはマイクロフォンがオンにされているかまたは電源投入されていることを検出すること、充電または電力供給イベントを検出すること、モバイルデバイス300がゲームコントローラとして使用されていることを検出することなどが含まれ得る。センサレベルの観測には、医療もしくはヘルスケアのセンサから、またはユーザの体をスキャンすることから情報を収集すること、USB/オーディオジャックに差し込まれた外部センサから情報を収集すること、(たとえば、振動インターフェースなどを介して)触知センサまたは触覚センサから情報を収集すること、モバイルデバイス300の熱状態に関する情報を収集することなども含まれ得る。
【００７７】
監視される要因の数を管理可能レベルまで削減するために、ある実施形態では、挙動観測器モジュール302は、コンピューティングデバイスの劣化に寄与する可能性があるすべての要因の小さいサブセットである、挙動または要因の初期セットを監視/観測することによって、粗い観測を実施するように構成され得る。ある実施形態では、挙動観測器モジュール302は、挙動および/または要因の初期セットをサーバおよび/またはクラウドサービスもしくはネットワーク内の構成要素から受信することができる。ある実施形態では、挙動/要因の初期セットは、機械学習分類器モデル内で指定され得る。
【００７８】
挙動観測器モジュール302は、収集された挙動情報を挙動抽出器モジュール304に(たとえば、メモリ書込み動作、関数呼出しなどを介して)通信することができる。挙動抽出器モジュール304は、収集された挙動情報を受信および取り出し、1つまたは複数の挙動ベクトルを生成するためにこの情報を使用するように構成され得る。各挙動ベクトルは、デバイス、ソフトウェアアプリケーション、またはプロセスの挙動を、値またはベクトルデータ構造で簡潔に記述することができる。ベクトルデータ構造は、一連の数字を含んでよく、その各々は、モバイルデバイスのカメラが使用されているかどうか(たとえば、ゼロであるか、または1であるか)、モバイルデバイスからどの程度のネットワークトラフィックが送信されているか、またはコンピューティングデバイスによってどの程度のネットワークトラフィックが生成されているか(たとえば、毎秒20KBなど)、どれだけ多くのインターネットメッセージが通信されているか(たとえば、SMSメッセージの数など)、および/または挙動観測器モジュール302によって収集された任意の他の挙動情報など、モバイルデバイスの特徴または挙動を示す。ある実施形態では、挙動抽出器モジュール304は、挙動ベクトルが、モバイルデバイスシステム(たとえば、挙動分析器モジュール306)がデバイスの挙動を迅速に認識すること、特定すること、または分析することを可能にする識別子として機能するように挙動ベクトルを生成するように構成可能である。
【００７９】
ある実施形態では、挙動抽出器モジュール304は、監視された1つまたは複数の活動に関するクエリに対する回答を生成するために、機械学習分類器における特徴/判定ノードに入力され得る情報を含むように挙動ベクトルを生成するように構成され得る。
【００８０】
ある実施形態では、挙動抽出器モジュール304は、実行情報を含むように挙動ベクトルを生成するように構成され得る。実行情報は、挙動の一部(たとえば、バックグラウンドプロセスによって3秒間に5回使用されたカメラ、フォアグラウンドプロセスによって3秒間に3回使用されたカメラなど)として、または無関係の特徴の一部として、挙動ベクトル内に含まれてよい。ある実施形態では、実行状態情報は、影の特徴値サブベクトルまたはデータ構造として、挙動ベクトル内に含まれてよい。ある実施形態では、挙動ベクトルは、実行状態が関連のある特徴、活動、タスクに関連して、影の特徴値サブベクトル/データ構造を記憶し得る。
【００８１】
挙動抽出器モジュール304は、生成された挙動ベクトルを挙動分析器モジュール306に(たとえば、メモリ書込み動作、関数呼出しなどを介して)通信することができる。挙動分析器モジュール306は、デバイス挙動が、経時的にデバイスの劣化に寄与する(または、寄与する可能性が高い)かつ/またはさもなければ、デバイス上に問題を生じさせる可能性がある非良性挙動であるかどうかを決定するために、挙動ベクトルを分類器モデルに適用するように構成され得る。
【００８２】
各分類器モデルは、コンピューティングデバイスの挙動の特定の特徴または実施形態を評価するために、コンピューティングデバイスプロセッサによって使用され得る、データおよび/または情報構造(たとえば、特徴ベクトル、挙動ベクトル、構成要素リストなど)を含む挙動モデルであり得る。各分類器モデルはまた、コンピューティングデバイス内のいくつかの特徴、要因、データ点、エントリ、API、状態、条件、挙動、アプリケーション、プロセス、動作、構成要素など(本明細書では総称して「特徴」)を監視するための判定基準を含み得る。分類器モデルは、コンピューティングデバイスにプレインストールされてよく、ネットワークサーバからダウンロードもしくは受信されてよく、コンピューティングデバイス内で生成されてよく、またはそれらの任意の組合せであってよい。分類器モデルは、クラウドソーシングソリューション、挙動モデル化技法、機械学習アルゴリズムなどを使用することによって、生成され得る。
【００８３】
各分類器モデルは、完全な分類器モデルまたは簡潔な分類器モデルとして類別され得る。完全な分類器モデルは、数千の特徴および数十億のエントリを含み得る大きいトレーニングデータセットに応じて生成される、ロバストなデータモデルであり得る。簡潔な分類器モデルは、特定の活動が進行中のクリティカルな活動であるかどうか、および/または特定のモバイルデバイスの挙動が良性ではないかどうかを決定することに最も関連がある特徴/エントリのみを含む/テストする、縮小されたデータセットから生成された、より専心的なデータモデルであり得る。一例として、デバイスプロセッサは、ネットワークサーバから完全な分類器モデルを受信し、完全な分類器に基づいて、モバイルデバイス内で学習分類器モデルを生成し、デバイスの挙動を良性または非良性(すなわち、悪意がある、性能を劣化させるなど)のいずれかであるとして分類するために、ローカルに生成された学習分類器モデルを使用するように構成され得る。
【００８４】
ローカルに生成される簡潔な分類器モデルは、コンピューティングデバイスにおいて生成される簡潔な分類器モデルである。すなわち、モバイルデバイスは非常に構成可能かつ複雑なシステムであるため、特定のデバイス挙動が非良性(たとえば、悪意がある、または性能劣化である)かどうかを決定するために最も重要な特性は各デバイスにおいて異なり得る。さらに、特徴の異なる組合せは、特定の挙動が非良性であるかどうかをそのデバイスが迅速かつ効率的に決定するために、各デバイスにおける監視および/または分析を必要とすることがある。しかし、監視および分析を必要とする特徴の的確な組合せ、ならびに各特徴または特徴の組合せの相対的な優先順位または重要性は、しばしば、それにおいて挙動が監視または分析されるべきである特定のデバイスから取得された情報を使用してのみ決定され得る。これらのおよび他の理由で、様々な実施形態は、モデルが使用されるモバイルデバイス内に分類器モデルを生成することができる。これらのローカル分類器モデルは、そのデバイスプロセッサが、その特定のデバイス上の挙動が非良性である(デバイスの性能の劣化に寄与している)かを決定する際に最も重要である特定の特徴を正確に特定することを可能にする。ローカル分類器モデルはまた、デバイスプロセッサが、その特定のデバイス内の挙動を分類するためのその相対的な重要性に従ってテストまたは評価される特徴を優先順位付けすることを可能にする。
【００８５】
デバイス固有の分類器モデルは、特定のコンピューティングデバイス内で活動または挙動を分類することに最も関連があると決定される、コンピューティングデバイス固有の特徴/エントリのみを含む/テストする専心的なデータモデルを含む分類器モデルである。
【００８６】
アプリケーション固有の分類器モデルは、特定のソフトウェアアプリケーションを評価することに最も関連がある特徴/エントリのみを含む/テストする専心的なデータモデルを含む分類器モデルである。
【００８７】
ユーザ固有の分類器モデルは、デバイスのユーザを特定するため、ユーザのペルソナを決定するため、デバイス挙動が特定されたユーザのペルソナと整合するかどうかを決定するため、デバイス挙動がその特定されたユーザのうちの1人によるそのデバイスの通常の使用と整合するかどうかを決定するため、またはユーザの活動が非良性のデバイス挙動を示すかどうかを決定するために最も関連する特徴/エントリに関するテストを含むか、または優先順位付けする専心的データモデルを含むローカル分類器モデルであり得る。
【００８８】
モバイルデバイスにおいてローカルにユーザ固有の、デバイス固有の、および/またはアプリケーション固有の分類器モデルを動的に生成することによって、様々な実施形態は、デバイスプロセッサが、その監視および分析動作をその特定のモバイルデバイスの、かつ/またはそのデバイス内で動作する特定のソフトウェアアプリケーションの動作がその特定のデバイスの知られているユーザの性格、習慣、または通常の使用パターンと整合するかどうかを決定するために最も重要な小数の特徴に専心することを可能にする。
【００８９】
ある実施形態では、その挙動分析動作の結果が良性または非良性のいずれかとしてデバイス挙動を分類するために十分な情報を提供しないとき、挙動分析器モジュール306は「疑いがある」として挙動を分類するように構成され得る。挙動分析器モジュール306は、デバイス挙動が疑わしいと決定することに応答して、挙動観測器モジュール302に通知するように構成され得る。それに応答して、挙動観測器モジュール302は、その観測の粒度(すなわち、コンピューティングデバイスの特徴が監視される際の詳細度のレベル)を調節し、かつ/または、挙動分析器モジュール306から受信された情報(たとえば、リアルタイム分析動作の結果)に基づいて監視される要因または挙動を変更し、新たな情報または追加の挙動情報を生成または収集し、さらなる分析/分類のために新たな/追加の情報を挙動分析器モジュール306に送ることができる。挙動観測器モジュール302と挙動分析器モジュール306との間のそのようなフィードバック通信により、集合的挙動が良性または非良性として分類されるまで、疑わしいかもしくは性能を劣化させる挙動の根源が特定されるまで、処理もしくはバッテリの消費しきい値に到達するまで、または、観測の細分性のさらなる変化、調整、または向上から、疑わしいかもしくは性能を劣化させる挙動の根源が特定され得ないとデバイスプロセッサが決定するまで、モバイルデバイス300が観測の細分性を繰り返し向上させる(すなわち、より微細にまたはより詳細に観測する)こと、または観測される特徴/挙動を変更することが可能になる。そのようなフィードバック通信により、モバイルデバイス300が、コンピューティングデバイスの過剰な量の処理リソース、メモリリソース、またはエネルギーリソースを消費することなく、挙動ベクトルおよび分類器モデルを調整または修正することも可能になる。
【００９０】
ある実施形態では、挙動分析器モジュール306は、様々なモバイルデバイスのサブシステムによって、かつ/または様々な時間期間にわたって収集された情報を受信して、分析し、様々な状況および条件のもとでのモバイルデバイスの通常の動作的な挙動を学習し、様々な状況/条件のもとでの通常のモバイルデバイスの挙動のモデルを(たとえば、分類器モデルの形態でなど)生成するように構成され得る。ある実施形態では、挙動分析器モジュール306は、収集された挙動情報または挙動ベクトルを生成された挙動モデルと相関付け、その相関に基づいて挙動分析動作を実行し、受信された観測結果が学習された通常の動作的な挙動と矛盾する(または、一致しない)かどうかを決定するように構成され得る。
【００９１】
高レベルの例として、モバイルデバイス300は、カメラが使用されていること、モバイルデバイス300が写真をサーバにアップロードすることを試みていること、およびモバイルデバイスがホルスタ内にあり、ユーザのベルトに取り付けられていた間に、デバイス上のアプリケーションが写真を撮ったことを(収集された挙動情報を介して)検出することができる。モバイルデバイス300は、この検出された挙動(たとえば、ホルスタ内にある間のカメラの使用)がユーザに受け入れられるかまたはユーザにとって一般的な挙動であるかどうかを決定することができる。これは、検出された挙動(たとえば、生成された挙動ベクトル)をモバイルデバイス300またはユーザの過去の挙動と比較することによって達成され得る。ホルスタに入れられている間に写真を撮り、それらをサーバにアップロードすることは、(ホルスタに入れられている状況で観測される通常の挙動から決定され得るように)異常な挙動であるので、この状況では、コンピューティングデバイスは、これを、ユーザによるコンピューティングデバイスの通常の使用のパターンに整合しないとして認識し、適切な対応(たとえば、カメラを遮断する、警報を鳴らすなど)を開始することができる。
【００９２】
様々な実施形態では、モバイルデバイス300は、活動または挙動が非良性であるかどうかを決定することに最も関連のある特徴、要因、およびデータ点をインテリジェントにかつ効率的に特定するために、ネットワークサーバと連動して動作するように構成され得る。たとえば、デバイスプロセッサは、ネットワークサーバから完全な分類器モデルを受信し、デバイスのユーザならびに/またはデバイスもしくはそのソフトウェアアプリケーションの特徴および機能性に固有である簡潔な分類器モデル(すなわち、データ/挙動モデル)を生成するために、受信された完全な分類器モデルを使用するように構成され得る。デバイスプロセッサは、様々なレベルの複雑さ(または「簡潔さ」)の簡潔な分類器モデルのファミリーを生成するために、完全な分類器モデルを使用することができる。簡潔な分類器モデルの最も簡潔なファミリー(すなわち、最も少数のテスト条件に基づく簡潔な分類器モデル)は、分類器モデルが良性または非良性のいずれかとして類別することができない(したがって、モデルによって疑わしいものとして類別される)挙動に遭遇するまで、ルーチン的に適用されてよく、遭遇した時点で、よりロバストな(すなわち、より簡潔ではない)簡潔な分類器モデルが、挙動を類別する試みにおいて適用され得る。生成された簡潔な分類器モデルのファミリー内の一層ロバストな簡潔な分類器モデルの適用は、挙動の最終的な分類が達成されるまで適用され得る。このようにして、デバイスプロセッサは、挙動を最終的に分類するためにロバストな分類器モデルが必要とされる状況に、最も完全だがリソース集約的な簡潔な分類器モデルの使用を制限することによって、効率と精度との間でバランスをとることができる。
【００９３】
様々な実施形態では、デバイスプロセッサは、完全な分類器モデル内に含まれた有限状態機械表示または表現をブーストされた判定株に変換することによって、簡潔な分類器モデルを生成するように構成され得る。デバイスプロセッサは、ユーザのペルソナ情報またはユーザ固有のデバイス特徴に基づいて、ブーストされた判定株の完全セットを剪定するかまたは選別し、完全な分類器モデル内に含まれたブーストされた判定株のサブセットを含む簡潔な分類器モデルを生成することができる。デバイスプロセッサは、次いで、デバイス挙動をインテリジェントに監視、分析、および/または分類するために、簡潔な分類器モデルを使用することができる。
【００９４】
ブーストされた判定株は、厳密に1つのノード(および、したがって、1つのテスト質問またはテスト条件)と重み値とを有し、したがって、データ/挙動の二項分類における使用に十分に適した1レベル判定木である。すなわち、挙動ベクトルをブーストされた判定株に適用することで、2値の回答(たとえば、YesまたはNo)がもたらされる。たとえば、ブーストされた判定株によってテストされる質問/条件が「ショートメッセージサービス(SMS)送信の頻度が毎分x回未満であるか」である場合、「3」という値をブーストされた判定株に適用することで、(「3回未満」のSMS送信に対して)「yes」の回答または(「3回以上」のSMS送信に対して)「no」の回答のいずれかがもたらされる。ブーストされた判定株は、非常に簡単かつ根本的である(したがって、著しい処理リソースを必要としない)ので効率的である。ブーストされた判定株はまた非常に並列化可能であり、したがって、(たとえば、コンピューティングデバイス内の複数のコアまたはプロセッサによって)多くの株が並列に/同時に適用またはテストされ得る。
【００９５】
図4Aは、ある実施形態による、偽UIイベントを検出し、それに応じる方法400を示す。方法400は、モバイルコンピューティングデバイスまたはリソース制約のあるコンピューティングデバイスのデバイスプロセッサによって実行することができる。ブロック402で、デバイスプロセッサは、コンピューティングデバイスの1つまたは複数のデバイスドライバから生データを受信することができる。ブロック404で、デバイスプロセッサは、コンピューティングデバイスのハイレベルオペレーティングシステム(HLOS)からユーザ対話(UI)情報を受信することができる。ブロック406で、デバイスプロセッサは、第1の分析結果を生成するために、デバイスドライバから受信された生データをHLOSから受信されたユーザ対話イベント情報と比較することができる。
【００９６】
決定ブロック408で、デバイスプロセッサは、ユーザ対話(UI)イベントがユーザ対話と相関するかどうかを決定するために、生成された第1の分析結果を使用することができる。この決定は、1つまたは複数のデバイスドライバから受信された生データがHLOSに/によって報告されたUIイベントに一致するか、またはさもなければ、それと相関するかを評価することができる。デバイスドライバが生データはHLOSからのUI情報と相関しない(または、それに一致しない)と決定した場合、これは受信されたUIイベントが偽であることを指示し得、コンピューティングデバイスは検出されたUIイベントを偽UIイベントとして分類することができる。
【００９７】
UIイベントがユーザ対話と相関するとの決定、したがって、UIイベントが偽UIイベントでないとの決定(すなわち、決定ブロック408=「Yes」)に応じて、デバイスプロセッサは、ブロック410で、第2の分析結果を生成するために、挙動ベクトルを分類器モデルに適用することができる。ブロック412で、デバイスプロセッサは、デバイス挙動が非良性であるかどうかを決定するために、第2の分析結果を使用することができる。ブロック410および412の動作の一部として、デバイスプロセッサは、図3を参照して上記で論じた動作のうちのいずれかまたはすべてを実行することができる。
【００９８】
UIイベントがユーザ対話と相関しないとの決定、したがって、UIイベントが偽UIイベントであるとの決定(すなわち、決定ブロック408=「No」)に応じて、デバイスプロセッサは、ブロック414で、偽UIイベントをコンピューティングデバイスの挙動ベースのセキュリティシステムに報告することができる。ブロック414で、デバイスプロセッサは、非良性としてデバイス挙動を(たとえば、挙動ベースのセキュリティシステムによって)分類することができる。したがって、ある実施形態では、挙動ベースのセキュリティシステムは、偽UIイベントに関連付けられると決定されたすべてのソフトウェアアプリケーションプログラムを非良性として分類するように構成され得る。
【００９９】
図4Bは、別の実施形態による、偽UIイベントを検出し、それに応じる別の方法420を示す。方法420は、方法の動作を実行するためのプロセッサ実行可能命令で構成されたモバイルコンピューティングデバイスまたはリソース制約されたコンピューティングデバイスのデバイスプロセッサによって実行され得る。ブロック422で、デバイスプロセッサは、1つまたは複数のデバイスドライバから受信された生データをHLOSから受信されたUI情報と比較することができる。決定ブロック424で、デバイスプロセッサは、UIイベントがユーザ対話と相関するかどうか、したがって、偽UIイベントであるか否かを決定するために、比較結果を使用することができる。UIイベントがユーザ対話と相関するとの決定、したがって、UIイベントが偽UIイベントでないとの決定(すなわち、決定ブロック424=「Yes」)に応じて、デバイスプロセッサは、ブロック426で、挙動ベクトルを、ユーザ対話に関する条件をテストする判定ノードを含む分類器モデルに適用することによって、分析結果を生成することができる。ブロック428で、デバイスプロセッサは、デバイス挙動(たとえば、ソフトウェアアプリケーションの活動など)が非良性であるかどうかを決定するために、分析結果を使用することができる。
【０１００】
UIイベントがユーザ対話と相関しないとの決定、したがって、UIイベントが偽UIイベントであるとの決定(すなわち、決定ブロック424=「No」)に応じて、デバイスプロセッサは、ブロック430で、偽UIイベントを挙動ベースのセキュリティシステムに報告することができる。ブロック432で、デバイスプロセッサは、挙動ベクトルを、ブロック426でユーザ対話に関する条件をテストする任意の判定ノードを含まない分類器モデルに適用することによって、分析結果を生成することができる。ブロック428で、デバイス挙動(たとえば、ソフトウェアアプリケーションの活動など)が非良性であるかどうかを決定するために、分析結果を使用する。
【０１０１】
様々な実施形態は、損なわれたユーザ入力センサデバイスドライバの可能性を認識または少なくとも特定するために用いられてもよい。そのような能力は、マルウェアがいつ損なわれたか、または偽UIイベントがユーザ入力デバイスまたはセンサ用のデバイスドライバ内にいつ挿入されたかを認識するために有用であり得る。たとえば、タッチスクリーン用のデバイスドライバが損なわれた場合、(たとえば、ブロック402で)デバイスドライバから受信された生データはそれ自体が偽であり得、この場合、HLOSからのUI情報を比較することはこのレベルの攻撃を検出するのに十分でない可能性がある。
【０１０２】
この可能性に対処するために、図4Cは、別の実施形態による、損なわれたユーザ入力デバイスドライバを検出し、それに応じるための別の方法450を示す。方法450は、モバイルコンピューティングデバイスまたはリソース制約されたコンピューティングデバイスのデバイスプロセッサによって実行可能であり、上で説明した方法400および420のいずれかに加えて、またはその代替として実行されてもよい。ブロック452で、デバイスプロセッサは、1つまたは複数のユーザ入力センサから受信された生データを入力センサデバイスドライバから受信されたデータと比較することができる。たとえば、デバイスプロセッサは、タッチスクリーンによって提供された生出力データを受信し、そのデータをタッチスクリーンデバイスドライバから受信されたデータと比較することができる。
【０１０３】
決定ブロック454で、デバイスプロセッサは、ユーザ入力センサデータが対応するデバイスドライバデータと相関するかどうかを決定するために、比較結果を使用することができる。この決定は、異なるフォーマットのセンサデータおよびデバイスドライバデータを考慮に入れることができる。たとえば、デバイスプロセッサは、生センサデータに基づいて、デバイスドライバが受信されるべきデータを出力したことを決定し、次いで、受信されたデバイスドライバデータを予想されるデータと比較して、一致があるかどうかを決定するために、デバイスドライバと同様の方法で、生センサデータに変換を加えるか、または生センサデータを分析することができる。たとえば、決定ブロック454で、デバイスプロセッサは、タッチスクリーンによって提供された出力データのストリーム内にタップし、タッチスクリーンデータストリームを処理して、タッチスクリーンデバイスドライバからの適切な出力を決定し、次いで、決定された適切な出力をタッチスクリーンデバイスドライバによって生み出された生データと比較することができる。
【０１０４】
生UIセンサデータがそのセンサ用のデバイスドライバから受信された生データと相関するとの決定(すなわち、決定ブロック454=「Yes」)に応じて、デバイスプロセッサは、上で説明したように、ブロック426で、挙動ベクトルをユーザ対話に関する条件をテストする判定ノードを含む分類器モデルに適用することによって、分析結果を生成することができる。
【０１０５】
生UIセンサデータがそのセンサ用のデバイスドライバから受信された生データと相関しないとの決定(すなわち、決定ブロック454=「No」)に応じて、デバイスプロセッサは、ブロック456で、デバイスドライバが潜在的に損なわれていることを挙動ベースのセキュリティシステムに報告することができる。いくつかの実施形態では、デバイスドライバデータに対する生センサデータの相関がないことは、マルウェアまたは同様の受け入れられない条件が存在すると決定するために十分であり得、その場合、挙動ベースのセキュリティシステムに対する報告は、デバイス挙動(たとえば、ソフトウェアアプリケーションの活動)を非良性として分類するために十分であり得る。しかしながら、いくつかの実施形態では、デバイスドライバデータに対する生センサデータの比較はデバイスドライバが損なわれていると確実に決定するためには十分でない可能性があるが、これは、データ不一致が、センサに関する問題、センサとデバイスドライバとの間の接続におけるノイズ、デバイスドライバが決定ブロック454でデバイスプロセッサによってエミュレートされたのとは異なるバージョンであることなどによるためである。したがって、そのような実施形態では、セキュリティシステムに対する報告は、デバイスドライバが損なわれている可能性があるということだけであり得、デバイス挙動を良性として、または非良性として分類するために、(たとえば、ブロック432および428において)挙動ベースのセキュリティシステムによるさらなる分析が必要であり得る。
【０１０６】
ブロック432で、デバイスプロセッサは、上記のように、挙動ベクトルをユーザ対話に関する条件をテストする任意の判定ノードを含まない分類器モデルに適用することによって分析結果を生成することができる。この分析は、デバイスドライバレベルで開始された偽UIイベントによってだまされることを回避する他に、UIセンサおよびセンサのデバイスドライバのいずれかの中のまたはその間の誤作動から生じ得る偽陽性を回避することができる。
【０１０７】
ブロック428で、デバイスプロセッサは、上で説明したように、デバイス挙動(たとえば、ソフトウェアアプリケーションの活動など)が非良性であるかどうかを決定するために、ブロック426または432のいずれかからの分析結果を使用することができる。
【０１０８】
図5は、コンピューティングデバイスのデバイス挙動を分類するための簡潔な分類器モデルのファミリーを使用する実施形態の方法500を示す。方法500は、方法の動作を実行するためのプロセッサ実行可能命令で構成されたモバイルコンピューティングデバイスまたはリソース制約されたコンピューティングデバイスのデバイスプロセッサによって実行され得る。
【０１０９】
ブロック502で、デバイスプロセッサは、観測を実行して、モバイルデバイスシステムの様々なレベルにおいて計測された様々な構成要素から挙動情報を収集することができる。ある実施形態では、これは、図3を参照して上で論じた挙動観測器モジュール302を介して達成され得る。ブロック504で、デバイスプロセッサは、収集された挙動情報、および/またはモバイルデバイスの挙動を特徴付ける、挙動ベクトルを生成することができる。また、ブロック504で、デバイスプロセッサは、簡潔な分類器モデル、または複雑さ(または「簡潔さ」)のレベルが様々である簡潔な分類器モデルのファミリーを生成するために、ネットワークサーバから受信された完全な分類器モデルを使用することができる。これを達成するために、デバイスプロセッサは、完全な分類器モデル内に含まれるブーストされた判定株のファミリーを選別して、減らされた数のブーストされた判定株を含む、かつ/または限られた数のテスト条件を評価する、簡潔な分類器モデルを生成することができる。ある実施形態では、簡潔な分類器モデルのうちの1つまたは複数は、ユーザ固有の分類器モデルであり得る。
【０１１０】
ブロック506で、デバイスプロセッサは、モバイルデバイスによってまだ評価または適用されていない簡潔な分類器モデルのファミリー内で最も簡潔な分類器(すなわち、最少の数の異なるモバイルデバイスの状態、特徴、挙動、または条件に基づくモデル)を選択することができる。ある実施形態では、これは、デバイスプロセッサが分類器モデルの順位付けられたリスト内の最初の分類器モデルを選択することによって達成され得る。ブロック508で、デバイスプロセッサは、収集された挙動情報または挙動ベクトルを選択された簡潔な分類器モデル内の各々のブーストされた判定株に適用することができる。ブーストされた判定株は2値の判定であり、簡潔な分類器モデルは同じテスト条件に基づく多くの2値の判定を選択することによって生成されるので、簡潔な分類器モデル内のブーストされた判定株に挙動ベクトルを適用する処理は、並列動作で実行され得る。代替的に、挙動ベクトルは、簡潔な分類器モデル内に含まれる限られた数のテスト条件パラメータをちょうど含むように切り捨てられてよく、またはフィルタリングされてよく、それによってモデルを適用する際の計算量はさらに低減される。
【０１１１】
ブロック510で、デバイスプロセッサは、収集された挙動情報を簡潔な分類器モデル内の各々のブーストされた判定株に適用した結果の加重平均を計算または決定することができる。ブロック512で、デバイスプロセッサは、計算された加重平均としきい値とを比較することができる。決定ブロック514で、デバイスプロセッサは、この比較の結果、および/または選択された簡潔な分類器モデルを適用することによって生成された結果が疑わしいかどうかを決定することができる。たとえば、デバイスプロセッサは、これらの結果が、高い信頼度で悪意があるまたは良性のいずれかであるとして挙動を分類するために使用され得るかどうかを決定することができ、そうでない場合、挙動を疑わしいものとして扱う。
【０１１２】
結果が疑わしいとデバイスプロセッサが決定する(たとえば、決定ブロック514=「Yes」の)場合、デバイスプロセッサは、ブロック506〜512における動作を繰り返して、挙動が高い信頼度で悪意があるまたは良性であるとして分類されるまで、より多くのデバイスの条件、特徴、挙動、または条件を評価するより強い(すなわち、より簡潔ではない)分類器モデルを選択および適用することができる。挙動が高い信頼度で悪意があるまたは良性のいずれかであるとして分類され得ると決定することなどによって、結果が疑わしくない(たとえば、決定ブロック514=「No」)とデバイスプロセッサが決定する場合、ブロック516において、デバイスプロセッサは、良性であるまたは潜在的に悪意があるとしてモバイルデバイスの挙動を分類するために、ブロック512において生成された比較の結果を使用することができる。
【０１１３】
ある代替的な実施形態の方法では、上で説明した動作は、簡潔な分類器モデル内にまだ存在しないブーストされた判定株を順次選択し、選択された判定株と同じモバイルデバイスの状態、特徴、挙動または条件に依存する(および、したがって、1つの決定結果に基づいて適用され得る)すべての他のブーストされた判定株を特定し、同じモバイルデバイスの状態、特徴、挙動または条件に依存する選択されたすべての特定された他のブーストされた判定株を簡潔な分類器モデルに含め、テスト条件の決定された数に等しい回数、プロセスを繰り返すことによって、達成され得る。選択されたブーストされた判定株と同じテスト条件に依存するすべてのブーストされた判定株が毎回簡潔な分類器モデルに追加されるので、このプロセスが実行される回数を限定することは、簡潔な分類器モデルに含まれるテスト条件の数を限定することになる。
【０１１４】
図6は、様々な実施形態に従って使用するのに適した、判定木/分類器を生成するのに適した例示的な方法600を示す。方法600は、方法の動作を実行するためのプロセッサ実行可能命令で構成されたモバイルコンピューティングデバイスまたはリソース制約されたコンピューティングデバイスのデバイスプロセッサによって実行され得る。ブロック602で、デバイスプロセッサは、判定木/分類器を生成および/または実行し、判定木/分類器の実行によってトレーニングサンプルを収集し、トレーニングサンプルに基づいて新しい分類器モデル(h1(x))を生成することができる。トレーニングサンプルは、モバイルデバイスの挙動、ソフトウェアアプリケーション、またはモバイルデバイスにおけるプロセスの、以前の観測または分析から収集された情報を含み得る。トレーニングサンプルおよび/または新しい分類器モデル(h1(x))は、以前の分類器に含まれる質問またはテスト条件のタイプに基づいて、および/または、以前のデータ/挙動モデルまたは分類器の実行/適用から収集された正確さまたは性能の特性に基づいて生成され得る。
【０１１５】
ブロック604で、デバイスプロセッサは、第2の新しい木/分類器(h2(x))を生成するために、生成された判定木/分類器(h1(x))によって誤分類されたエントリの重みをブーストする(または増大させる)ことができる。ある実施形態では、トレーニングサンプルおよび/または新しい分類器モデル(h2(x))は、分類器の以前の実行または使用(h1(x))の誤り率に基づいて生成され得る。ある実施形態では、トレーニングサンプルおよび/または新しい分類器モデル(h2(x))は、分類器の以前の実行または使用においてデータ点の誤り率または誤分類に寄与したと判定される属性に基づいて生成され得る。
【０１１６】
ある実施形態では、誤分類されたエントリは、それらの相対的な正確さまたは有効性に基づいて重み付けられ得る。動作606で、プロセッサは、第3の新しい木/分類器(h3(x))を生成するために、生成された第2の木/分類器(h2(x))によって誤分類されたエントリの重みをブーストする(または増大させる)ことができる。動作608で、604〜606の動作が、数「t」の新しい木/分類器(ht(x))を生成するために繰り返され得る。
【０１１７】
第1の判定木/分類器(h1(x))によって誤分類されたエントリの重みをブーストし、または増大させることによって、第2の木/分類器(h2(x))は、第1の判定木/分類器(h1(x))によって誤分類されたエントリをより正確に分類することができるが、第1の判定木/分類器(h1(x))によって正しく分類されたエントリのいくつかを誤分類することもある。同様に、第3の木/分類器(h3(x))は、第2の判定木/分類器(h2(x))によって誤分類されたエントリをより正確に分類することができるが、第2の判定木/分類器(h2(x))によって正しく分類されたエントリのいくつかを誤分類することがある。すなわち、木/分類器のファミリーh1(x)〜ht(x)を生成することは、全体として収束するシステムをもたらさないことがあり、並列に実行され得るいくつかの判定木/分類器をもたらす。
【０１１８】
図7は、ある実施形態による動的および適応的な観測を実行するための例示的な方法700を示す。方法700は、方法の動作を実行するためのプロセッサ実行可能命令で構成されたモバイルコンピューティングデバイスまたはリソース制約されたコンピューティングデバイスのデバイスプロセッサによって実行され得る。ブロック702で、デバイスプロセッサは、モバイルデバイスの劣化に寄与し得る多数の要因、挙動、および活動のサブセットを監視/観測することによって、粗い観測を実行することができる。ブロック703で、デバイスプロセッサは、粗い観測に基づいて、粗い観測および/またはモバイルデバイスの挙動を特徴付ける挙動ベクトルを生成することができる。ブロック704で、デバイスプロセッサは、モバイルデバイスの劣化に潜在的に寄与し得る、粗い観測と関連付けられるサブシステム、プロセス、および/またはアプリケーションを特定することができる。これは、たとえば、複数のソースから受信された情報とモバイルデバイスのセンサから受信された状況的情報とを比較することによって達成され得る。ブロック706で、デバイスプロセッサは、粗い観測に基づいて挙動分析動作を実行することができる。
【０１１９】
決定ブロック708で、デバイスプロセッサは、疑わしい挙動または潜在的な問題が挙動分析の結果に基づいて特定され補正され得るかどうかを決定することができる。疑わしい挙動または潜在的な問題が挙動分析の結果に基づいて特定され補正され得るとデバイスプロセッサが決定する(すなわち、決定ブロック708=「Yes」)とき、ブロック718で、プロセッサは、挙動を補正するためのプロセスを開始し、ブロック702に戻って追加の粗い観測を実行することができる。
【０１２０】
疑わしい挙動または潜在的な問題が挙動分析の結果に基づいて特定および/または補正され得ないとデバイスプロセッサが決定する(すなわち、決定ブロック708=「No」)とき、決定ブロック709で、デバイスプロセッサは、問題の可能性があるかどうかを決定できる。ある実施形態では、デバイスプロセッサは、モバイルデバイスが潜在的な問題に遭遇することおよび/または疑わしい挙動に関与することの確率を計算し、計算された確率が所定のしきい値よりも大きいかどうかを決定することによって、問題の可能性があるかどうかを決定することができる。計算された確率が所定のしきい値よりも大きくない、および/または、疑わしい挙動または潜在的問題が存在するおよび/または検出可能である可能性はないとデバイスプロセッサが決定する(すなわち、決定ブロック709=「No」)とき、プロセッサは、ブロック702に戻って追加の粗い観測を実行することができる。
【０１２１】
疑わしい挙動または潜在的問題が存在するおよび/または検出可能である可能性があるとデバイスプロセッサが決定する(すなわち、決定ブロック709=「Yes」)とき、ブロック710で、デバイスプロセッサは、特定されたサブシステム、プロセス、またはアプリケーションに対して、より深いログ取得/観測または最終的なログ取得を実行することができる。ブロック712で、デバイスプロセッサは、特定されたサブシステム、プロセス、またはアプリケーションに対して、より深くより詳細な観測を実行することができる。ブロック714で、デバイスプロセッサは、より深くより詳細な観測に基づいて、さらなるおよび/またはより深い挙動分析を実行することができる。決定ブロック708で、デバイスプロセッサは、より深い挙動分析の結果に基づいて、疑わしい挙動または潜在的な問題が特定され補正され得るかどうかを再び決定することができる。より深い挙動分析の結果に基づいて疑わしい挙動または潜在的な問題が特定され補正され得ないとデバイスプロセッサが決定する(すなわち、決定ブロック708=「No」)とき、詳細さのレベルが問題を特定するのに十分に微細になるまで、または、詳細さを追加しても問題が特定され得ないかまたは問題が存在しないと決定されるまで、プロセッサはブロック710〜714の動作を繰り返すことができる。
【０１２２】
より深い挙動分析の結果に基づいて疑わしい挙動または潜在的な問題が特定され補正され得るとデバイスプロセッサが決定する(すなわち、決定ブロック708=「Yes」)とき、ブロック718で、デバイスプロセッサは、問題/挙動を補正するための動作を実行することができ、プロセッサはブロック702に戻って追加の動作を実行することができる。
【０１２３】
ある実施形態では、方法700のブロック702〜718の一部として、デバイスプロセッサは、限られた粗い観測値から疑わしい挙動を特定するため、より詳細に観測するために挙動を動的に決定するため、および観測のために必要な詳細さの的確なレベルを動的に決定するために、システムの挙動のリアルタイム挙動分析を実行することができる。これは、デバイス上で大量のプロセッサリソース、メモリリソース、またはバッテリリソースを使用する必要なく、デバイスプロセッサが問題を効率的に特定し、問題が発生するのを防止することを可能にする。
【０１２４】
様々な実施形態は、ソフトウェアアプリケーションの選択グループの集合的挙動を監視および分析するために(許可、ポリシー、またはルールベースの手法ではなく)挙動分析および/または機械学習技法を使用することによって、既存のソリューションを改善する。現代のコンピューティングデバイスは高度に構成可能で複雑なシステムであり、ソフトウェアアプリケーションが結託しているかどうかを決定するために最も重要である要因が各デバイスにおいて異なり得るので、挙動分析または機械学習技法の使用は重要である。さらに、デバイスの特徴/要因の異なる組合せは、ソフトウェアアプリケーションが結託しているかどうかをそのデバイスが決定するために、各デバイスにおける分析を必要とし得る。さらに、しばしば監視および分析を必要とする特徴/要因の的確な組合せは、1つまたは複数の活動が進行中であるとき、1つまたは複数の活動が実行される特定のコンピューティングデバイスから得られる情報を使用して決定することしかできない。これらのまたは他の理由で、既存のソリューションは、挙動が進行中の間、コンピュータデバイスのかなりの処理リソース量、メモリリソース量、または電力リソース量を消費せずに、コンピューティングデバイス内の複数のソフトウェアソリューションの集合的挙動、またはソフトウェアアプリケーション間の関係をリアルタイムで監視し、検出し、特徴付けるために十分ではない。
【０１２５】
図2〜図7を参照して上で論じた実施形態を含む様々な実施形態は、プロセッサ実行可能命令で構成された様々なコンピューティングデバイス上で実装される場合があり、その一例がスマートフォンの形で図8に示される。スマートフォン800は、内部メモリ804と、ディスプレイ812と、スピーカ814とに結合されたプロセッサ802を含み得る。加えて、スマートフォン800は、プロセッサ802に結合されたワイヤレスデータリンクおよび/または携帯電話トランシーバ808に接続され得る、電磁放射を送り、受信するためのアンテナを含み得る。スマートフォン800は通常、ユーザ入力を受信するためのメニュー選択ボタンまたはロッカースイッチ820も含む。
【０１２６】
典型的なスマートフォン800はまた、マイクロフォンから受信された音をワイヤレス送信に適したデータパケットにデジタル化し、受信された音のデータパケットを復号し、スピーカに供給されて音を発生させるアナログ信号を生成する、音声符号化/復号(コーデック)回路806を含む。また、プロセッサ802、ワイヤレストランシーバ808、およびコーデック806のうちの1つまたは複数は、デジタル信号プロセッサ(DSP)回路(個別に図示せず)を含んでよい。
【０１２７】
プロセッサ802は、以下で説明する様々な実施形態の動作を含む、種々の機能および動作を実行するようにプロセッサ実行可能命令(アプリケーション)によって構成され得る任意のプログラマブルマイクロプロセッサ、マイクロコンピュータ、または1つまたは複数の多重プロセッサチップであり得る。いくつかのモバイルデバイスでは、1つのプロセッサをワイヤレス通信機能専用にし、1つのプロセッサを他のアプリケーションの実行専用にするというように、複数のプロセッサ802が設けられ得る。通常、ソフトウェアアプリケーションは、それらがアクセスされ、プロセッサ802にロードされる前に、内部メモリ804内に記憶され得る。プロセッサ802は、アプリケーションソフトウェア命令を記憶するのに十分な内部メモリを含み得る。様々な実施形態では、プロセッサ802は、デバイスプロセッサ、処理コア、または(図1に示した例示的なSOC100など)SOCであってよい。ある実施形態では、スマートフォン800はSOCを含んでよく、プロセッサ802は(図1に示したプロセッサ102、104、106、108、110のうちの1つなど)SOC内に含まれるプロセッサのうちの1つであってよい。
【０１２８】
様々な実施形態は、分析結果を生成するために、ユーザ入力デバイスから受信された生データをユーザ対話イベント情報と比較するための手段と、ユーザ対話(UI)イベントがコンピューティングデバイスのユーザと相関するかどうかを決定するために、生成された分析結果を使用するための手段とを含むコンピューティングデバイスをさらに含み得る。いくつかの実施形態では、分析結果を生成するために、ユーザ入力デバイスから受信された生データをユーザ対話イベント情報と比較するための手段は、デバイスドライバから受信された生データをハイレベルオペレーティングシステムから受信された対話情報と比較するための手段を含み得る。いくつかの実施形態では、このコンピューティングデバイスは、UIイベントがコンピューティングデバイスのユーザと相関しないとの決定に応じて、ソフトウェアアプリケーションの活動が非良性として分類するための手段をさらに含み得る。いくつかの実施形態では、このコンピューティングデバイスは、ソフトウェアアプリケーションの活動を特徴付ける挙動ベクトルを生成するための手段と、UIイベントがコンピューティングデバイスのユーザと相関しないとの決定に応じて、生成された挙動ベクトルを、活動に対応するUIイベントが存在するかどうかを評価する判定ノードを含む分類器モデルに適用するための手段と、ソフトウェアアプリケーションの活動が非良性であるかどうかを決定するために、生成された挙動ベクトルを分類器モデルに適用した結果を使用するための手段とをさらに含み得る。いくつかの実施形態では、このコンピューティングデバイスは、ソフトウェアアプリケーションの活動を特徴付ける挙動ベクトルを生成するための手段と、UIイベントがコンピューティングデバイスのユーザと相関しないとの決定に応じて、活動に対応するUIイベントが存在するかどうかをテストする判定ノードを含まない分類器モデルを選択するための手段と、追加の分析結果を生成するために、生成された挙動ベクトルを選択された分類器モデルに適用するための手段と、ソフトウェアアプリケーションの活動が非良性であるかどうかを決定するために、生成された追加の分析結果を使用するための手段とをさらに含み得る。いくつかの実施形態では、このコンピューティングデバイスは、UIイベントがコンピューティングデバイスのユーザと相関しないとの決定に応じて、ロバストな分類器モデルのファミリーを選択するための手段と、ソフトウェアアプリケーションの活動が非良性であるかどうかを決定するために、複数の挙動ベクトルをロバストな分類器モデルの選択されたファミリーに適用するための手段とをさらに含み得る。
【０１２９】
本出願で使用する「構成要素」、「モジュール」などの用語は、限定はされないが、特定の動作もしくは機能を実行するように構成された、ハードウェア、ファームウェア、ハードウェアとソフトウェアの組合せ、ソフトウェア、または実行中のソフトウェアなどの、コンピュータ関連のエンティティを含むものとする。たとえば、構成要素は、プロセッサ上で実行するプロセス、プロセッサ、オブジェクト、実行ファイル、実行スレッド、プログラム、および/またはコンピュータであってもよいが、それらに限定されない。例として、コンピューティングデバイス上で実行するアプリケーションとコンピューティングデバイスの両方は、構成要素と呼ばれる場合がある。1つまたは複数の構成要素が、プロセスおよび/または実行スレッド内に存在することがあり、1つの構成要素が、1つのプロセッサもしくはコアに局在することがあり、かつ/または2つ以上のプロセッサもしくはコアに分散されることがある。加えて、これらの構成要素は、様々な命令および/またはデータ構造が記憶された様々な非一時的コンピュータ可読媒体から実行することができる。構成要素は、ローカルプロセスおよび/またはリモートプロセス、関数呼出しまたはプロシージャ呼出し、電子信号、データパケット、メモリ読出し/書込み、ならびに他の知られているネットワーク、コンピュータ、プロセッサ、および/またはプロセス関連の通信方法によって通信することができる。
【０１３０】
様々な実施形態の動作を実行するためのプログラマブルプロセッサ上での実行のためのコンピュータプログラムコードまたは「プログラムコード」は、C、C++、C#、Smalltalk、Java(登録商標)、JavaScript(登録商標)、Visual Basic、構造化照会言語(たとえば、Transact-SQL)、Perlなどの高水準プログラミング言語または様々な他のプログラミング言語で記述され得る。本出願で使用する場合、コンピュータ可読記憶媒体上に記憶されたプログラムコードまたはプログラムは、そのフォーマットがプロセッサによって理解可能である(オブジェクトコードなどの)機械語コードを指し得る。
【０１３１】
多くのモバイルコンピューティングデバイスのオペレーティングシステムのカーネルは、(非特権コードが実行する場合)ユーザ空間内に編成され、(特権コードが実行する場合)カーネル空間内に編成される。この分離は、カーネル空間の一部であるコードが一般公有使用許諾(GPL)で許諾される必要がある一方で、ユーザ空間において実行するコードがGPL許諾されなくてもよい、Android(登録商標)および他のGPL環境において特に重要である。本明細書で論じた様々なソフトウェア構成要素/モジュールは、明示的に別段の記述がない場合、カーネル空間またはユーザ空間のいずれかに実装され得ることを理解されたい。
【０１３２】
上記の方法の説明およびプロセスフロー図は、単に説明のための例として提供したものであり、様々な実施形態の動作を提示された順序で実行しなければならないことを要求または暗示するものではない。当業者なら諒解するように、上記の実施形態における動作の順番は、任意の順番で実行可能である。「その後」、「次いで」、「次」などの語は、動作の順番を限定するものではなく、これらの語は単に、読者に本方法の説明を案内するために使用される。さらに、たとえば冠詞「a」、「an」、または「the」を使用する、請求項の要素に対する単数形でのいかなる参照も、要素を単数形に限定すると解釈されるべきではない。
【０１３３】
本明細書で開示する実施形態に関して説明した様々な例示的な論理ブロック、モジュール、回路、およびアルゴリズム動作は、電子ハードウェア、コンピュータソフトウェア、またはその両方の組合せとして実装される場合がある。ハードウェアとソフトウェアのこの互換性を明確に示すために、様々な例示的な構成要素、ブロック、モジュール、回路、およびステップを、一般にそれらの機能性に関して上述した。そのような機能性がハードウェアとして実装されるか、ソフトウェアとして実装されるかは、特定の用途およびシステム全体に課せられる設計制約によって決まる。当業者は、説明した機能性を特定のアプリケーションごとに様々な方法で実装し得るが、そのような実装決定は本発明の範囲からの逸脱を引き起こすものと解釈されるべきではない。
【０１３４】
本明細書で開示した実施形態に関して説明した様々な例示的論理、論理ブロック、モジュール、および回路を実装するために使用されるハードウェアは、汎用プロセッサ、デジタル信号プロセッサ(DSP)、特定用途向け集積回路(ASIC)、フィールドプログラマブルゲートアレイ(FPGA)もしくは他のプログラマブル論理デバイス、個別ゲートもしくはトランジスタ論理、個別ハードウェア構成要素、または本明細書で説明した機能を実行するように設計されたそれらの任意の組合せを用いて実装もしくは実行され得る。汎用プロセッサはマルチプロセッサであり得るが、代替的に、プロセッサはいかなる従来のプロセッサ、コントローラ、マイクロコントローラ、またはステートマシンであってもよい。プロセッサは、コンピューティングデバイスの組合せ、たとえば、DSPとマルチプロセッサとの組合せ、複数のマルチプロセッサ、DSPコアと連携する1つもしくは複数のマルチプロセッサ、または任意の他のそのような構成としても実装され得る。代替的に、いくつかのステップまたは方法は、所与の機能に特有の回路によって実行され得る。
【０１３５】
1つまたは複数の例示的な実施形態では、説明した機能は、ハードウェア、ソフトウェア、ファームウェア、またはそれらの任意の組合せにおいて実装されてもよい。ソフトウェアで実装される場合、機能は、非一時的コンピュータ可読記憶媒体または非一時的プロセッサ可読記憶媒体上に1つまたは複数のプロセッサ実行可能命令またはコードとして記憶され得る。本明細書で開示した方法またはアルゴリズムの動作は、非一時的コンピュータ可読記憶媒体またはプロセッサ可読記憶媒体上の記憶されたプロセッサ実行可能ソフトウェア命令の形態であってよいプロセッサ実行可能ソフトウェアモジュールで具現化され得る。非一時的コンピュータ可読記憶媒体または非一時的プロセッサ可読記憶媒体は、コンピュータまたはプロセッサによってアクセスされる場合がある任意の記憶媒体であってもよい。限定ではなく例として、そのような非一時的コンピュータ可読記憶媒体または非一時的プロセッサ可読記憶媒体は、RAM、ROM、EEPROM、FLASHメモリ、CD-ROMもしくは他の光ディスクストレージ、磁気ディスクストレージもしくは他の磁気ストレージデバイス、または命令もしくはデータ構造の形態で所望のプログラムコードを記憶するために使用され得、コンピュータによってアクセスされ得る任意の他の媒体を含み得る。ディスク(disk)およびディスク(disc)は、本明細書で使用するとき、コンパクトディスク(disc)(CD)、レーザーディスク(登録商標)(disc)、光ディスク(disc)、デジタル多用途ディスク(disc)(DVD)、フロッピー(登録商標)ディスク(disk)、およびブルーレイディスク(disc)を含み、ディスク(disk)は通常、データを磁気的に再生し、ディスク(disc)は、レーザーを用いてデータを光学的に再生する。上記の組合せも、非一時的コンピュータ可読記憶媒体およびプロセッサ可読記憶媒体の範囲内に含まれる。加えて、方法またはアルゴリズムの動作は、コンピュータプログラム製品に組み込まれる場合がある、非一時的プロセッサ可読媒体および/または非一時的コンピュータ可読媒体上のコードおよび/または命令の1つまたは任意の組合せまたはセットとして存在する場合がある。
【０１３６】
開示した実施形態の前述の説明は、いかなる当業者も本発明を作成または使用することができるように与えたものである。これらの実施形態に対する様々な修正は当業者には容易に明らかとなり、本明細書で定義した一般原理は、本発明の趣旨または範囲から逸脱することなく、他の実施形態に適用され得る。したがって、本発明は、本明細書に示す実施形態に限定されるものではなく、以下の特許請求の範囲、ならびに本明細書で開示する原理および新規の特徴と一致する最も広い範囲を与えられるべきである。
【符号の説明】
【０１３７】
100  システムオンチップ(SOC)
102  デジタル信号プロセッサ(DSP)、異種プロセッサ、プロセッサ、DSP
104  モデムプロセッサ、異種プロセッサ、プロセッサ
106  グラフィックスプロセッサ、異種プロセッサ、プロセッサ
108  アプリケーションプロセッサ、異種プロセッサ、プロセッサ
110  コプロセッサ、プロセッサ
112  メモリ要素
114  アナログ回路およびカスタム回路
116  システム構成要素/リソース
118  クロック
120  電圧調整器
124  相互接続/バスモジュール
200  コンピューティングデバイス
202  センサおよびハードウェア構成要素
204  デバイスドライバモジュール
206  オペレーティングシステム
208  ソフトウェアアプリケーションプログラム
210  悪意のあるソフトウェアアプリケーションプログラム、ソフトウェアアプリケーションプログラム
212  偽UIイベント検出モジュール
214  挙動ベースのセキュリティモジュール
216  ドライバ計測モジュール
218  オペレーティングシステム計測モジュール
220  活動のログ
300  モバイルデバイス
302  挙動観測器モジュール、モジュール
304  挙動抽出器モジュール、モジュール
306  挙動分析器モジュール、モジュール
308  アクチュエータモジュール、モジュール
400  方法
420  方法
450  方法
500  方法
600  方法
700  方法
800  スマートフォン
802  プロセッサ
804  内部メモリ
806  音声符号化/復号(コーデック)回路、コーデック
808  ワイヤレスデータリンクおよび/または携帯電話トランシーバ、ワイヤレストラ
812  ディスプレイ
814  スピーカ
820  メニュー選択ボタンまたはロッカースイッチ
【図１】
0006721596.tif 000002
【図２】
0006721596.tif 000003
【図３】
0006721596.tif 000004
【図４Ａ】
0006721596.tif 000005
【図４Ｂ】
0006721596.tif 000006
【図４Ｃ】
0006721596.tif 000007
【図５】
0006721596.tif 000008
【図６】
0006721596.tif 000009
【図７】
0006721596.tif 000010
【図８】
0006721596.tif 000011