【手続補正書】
【提出日】平成24年5月24日(2012.5.24)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
エンティティの知的ハッシュを生成する方法であって、
前記エンティティのプログラムコードの変換に基づいてメタ言語命令シーケンスを生成するステップと、
前記メタ言語命令シーケンスの複数のサブシーケンスの複数の頻度値を特定するステップであって、ここで頻度値は、関連付けられたサブシーケンスが前記エンティティのプログラムコードの変換に基づいた前記メタ言語命令シーケンス内で発生する頻度を示す、ステップと、
少なくとも部分的に前記複数の頻度値に基づいて、前記複数のサブシーケンスからサブシーケンスのセットを選択するステップと、
少なくとも部分的に前記選択されたサブシーケンスのセットに基づいて、前記エンティティの前記知的ハッシュを生成するステップと、
前記知的ハッシュを記憶装置に記憶するステップと
を含む、方法。
【請求項２】
前記選択されるサブシーケンスの頻度値は、前記サブシーケンスが前記メタ言語命令シーケンス内で、選択されないサブシーケンスよりも高頻度で発生することを示す、請求項１に記載の方法。
【請求項３】
前記エンティティの知的ハッシュを生成するステップは、
前記エンティティの圧縮に使用された技法を識別するステップと、
前記エンティティの圧縮に使用された前記技法を記述する情報を定義するステップと、
少なくとも部分的に前記識別された技法を記述する情報に基づいて、前記エンティティの前記知的ハッシュを生成するステップと
をさらに含む、請求項１に記載の方法。
【請求項４】
前記エンティティの知的ハッシュを生成するステップは、
前記エンティティに基づいて固有の文字列のセットを識別するステップと、
前記固有の文字列のセットを記述する情報を定義するステップと、
少なくとも部分的に前記固有の文字列のセットを記述する情報に基づいて、前記エンティティの前記知的ハッシュを生成するステップと
をさらに含む、請求項１に記載の方法。
【請求項５】
前記エンティティに基づいて前記固有の文字列のセットを識別するステップは、前記エンティティとコンピュータシステムとの通信を示す文字列のセットを識別するステップを含む、請求項４に記載の方法。
【請求項６】
前記エンティティに基づいて前記固有の文字列のセットを識別するステップは、ネットワークを通して前記エンティティにより行われた通信を示す文字列のセットを識別するステップを含む、請求項４に記載の方法。
【請求項７】
疑いのあるエンティティがマルウェアエンティティに該当するか否かを判断するコンピュータシステムであって、
実行可能なコードを記憶するコンピュータ可読記憶媒体であって、
クライアントが直面した疑いのあるエンティティのプログラムコードの変換に基づいて生成されたメタ言語命令シーケンスのサブシーケンスのセットに少なくとも部分的に基づいて生成された知的ハッシュを受信するように適合された報告モジュールであって、前記サブシーケンスのセットは、関連付けられたサブシーケンスが前記メタ言語命令シーケンス内で発生する頻度を示す複数の頻度値に少なくとも部分的に基づいて、前記メタ言語命令シーケンスの複数のサブシーケンスから選択される、報告モジュールと、
前記知的ハッシュに基づいて、前記疑いのあるエンティティが前記マルウェアエンティティに該当するか否かを判断するように構成された評価モジュールと
を備え、
前記報告モジュールは、前記疑いのあるエンティティハッシュが前記マルウェアエンティティに該当するか否かを前記クライアントに報告するようにさらに構成される、コンピュータ可読記憶媒体と、
前記実行可能なコードを実行するためのプロセッサと
を備えるコンピュータシステム。
【請求項８】
複数の知的ハッシュを記憶するように構成された知的ハッシュデータベースをさらに備え、
前記評価モジュールは、
前記疑いのあるエンティティに基づいて生成された前記知的ハッシュおよび前記複数の知的ハッシュに基づいて、複数の類似性スコアを生成し、ここで類似性スコアは、前記疑いのあるエンティティに基づいて生成された前記知的ハッシュと前記複数の知的ハッシュのうちの１つの知的ハッシュとの類似性を示し、そして
前記複数の類似性スコアのうちの最高類似性スコアに関連付けられた知的ハッシュに基づいて、前記疑いのあるエンティティハッシュが前記マルウェアエンティティに該当するか否かを判断する
ようにさらに構成される、請求項７に記載のコンピュータシステム。
【請求項９】
悪意のあるエンティティに基づいて、前記知的ハッシュを生成するように構成された知的ハッシュ生成モジュールをさらに備える、請求項７に記載のコンピュータシステム。
【請求項１０】
前記選択されるサブシーケンスの頻度値は、前記サブシーケンスが前記メタ言語命令シーケンス内で、選択されないサブシーケンスよりも高頻度で発生することを示す、請求項７に記載のコンピュータシステム。
【請求項１１】
前記知的ハッシュ生成モジュールは、
前記悪意のあるエンティティの圧縮に使用された技法を識別し、
前記悪意のあるエンティティの圧縮に使用された前記技法を記述する情報を定義し、そして
少なくとも部分的に前記識別された技法を記述する情報に基づいて、前記悪意のあるエンティティの前記知的ハッシュを生成する
ようにさらに構成される、請求項９に記載のコンピュータシステム。
【請求項１２】
前記知的ハッシュ生成モジュールは、
前記悪意のあるエンティティに基づいて固有の文字列のセットを識別し、
前記固有の文字列のセットを記述する情報を定義し、そして
少なくとも部分的に前記固有の文字列のセットを記述する情報に基づいて、前記悪意のあるエンティティの前記知的ハッシュを生成する
ようにさらに構成される、請求項９に記載のコンピュータシステム。
【請求項１３】
プログラムコードをコンピュータに実行させて、疑いのあるエンティティがマルウェアエンティティに該当するか否かを判断させるコンピュータプログラムであって、前記プログラムコードは、
疑いのあるエンティティを識別するプログラムコードと、
前記疑いのあるエンティティのプログラムコードの変換に基づいてメタ言語命令シーケンスを生成するプログラムコードと、
前記メタ言語命令シーケンスの複数のサブシーケンスの複数の頻度値を特定するプログラムコードであって、ここで頻度値は、関連付けられたサブシーケンスが前記疑いのあるエンティティのプログラムコードの変換に基づいた前記メタ言語命令シーケンス内で発生する頻度を示す、プログラムコードと、
少なくとも部分的に前記複数の頻度値に基づいて、前記複数のサブシーケンスからサブシーケンスのセットを選択するプログラムコードと、
少なくとも部分的に前記選択されたサブシーケンスのセットに基づいて、前記疑いのあるエンティティの知的ハッシュを生成するプログラムコードと、
前記知的ハッシュをサーバに送信して、前記疑いのあるエンティティがマルウェアエンティティに該当するか否かを評価するプログラムコードと、
前記疑いのあるエンティティが前記マルウェアエンティティに該当するか否かを特定した結果を前記サーバから受信するプログラムコードと
を含んでいる、コンピュータプログラム。
【請求項１４】
前記選択されるサブシーケンスの頻度値は、前記サブシーケンスが前記メタ言語命令シーケンス内で、選択されないサブシーケンスよりも高頻度で発生することを示す、請求項１３に記載のコンピュータプログラム。
【請求項１５】
前記疑いのあるエンティティの知的ハッシュを生成するプログラムコードは、
前記疑いのあるエンティティの圧縮に使用されたアルゴリズムを識別するプログラムコードと、
少なくとも部分的に前記アルゴリズムを示す情報に基づいて、前記疑いのあるエンティティの前記知的ハッシュを生成するプログラムコードと
をさらに含む、請求項１３に記載のコンピュータプログラム。
【請求項１６】
前記疑いのあるエンティティの知的ハッシュを生成するプログラムコードは、
前記疑いのあるエンティティに基づいて固有の文字列のセットを識別するプログラムコードと、
少なくとも部分的に前記固有の文字列のセットを示す情報に基づいて、前記疑いのあるエンティティの前記知的ハッシュを生成するプログラムコードと
をさらに含む、請求項１３に記載のコンピュータプログラム。
【請求項１７】
前記疑いのあるエンティティが前記マルウェアエンティティに該当することを特定する結果を受信したことに応答して、クライアントを修復するプログラムコードをさらに含む、請求項１３に記載のコンピュータプログラム。