(57)【要約】  特定のモデルの移動局における悪意のあるアクティビティ検出のための方法が開示される。本方法では、汎用の悪意のある挙動パターンは、ネットワークベースの悪意のある挙動プロファイリングシステムから受信される。移動局モデル固有の挙動解析アルゴリズムは、汎用の悪意のある挙動パターンに基づいて、移動局で生成される。移動局アクティビティ観測結果を生成するために、移動局動作が観測され得る。移動局アクティビティ観測結果は、アクティビティ解析結果を生成するために、移動局モデル固有の挙動解析アルゴリズムを使用して解析され得る。悪意のあるアクティビティは、アクティビティ解析結果に基づいて検出され得る。
2015519789.tif 000002
【特許請求の範囲】
【請求項１】
特定のモデルの移動局における悪意のあるアクティビティ検出のための方法であって、
移動局モデル固有の挙動解析アルゴリズムを使用して、移動局アクティビティ観測結果を解析し、アクティビティ解析結果を生成するステップと、
前記アクティビティ解析結果に基づいて、悪意のあるアクティビティを検出するステップと
を有し、
前記移動局モデル固有の挙動解析アルゴリズムは、ネットワークベースの悪意のある挙動プロファイリングシステムから受信した、汎用の悪意のある挙動パターンに基づいて、前記移動局で生成される、ことを特徴とする方法。
【請求項２】
移動局動作を観測し、前記移動局アクティビティ観測結果を生成するステップ
をさらに有することを特徴とする請求項１に記載の悪意のあるアクティビティ検出のための方法。
【請求項３】
前記汎用の悪意のある挙動パターンが、前記移動局の前記特定のモデルに固有のものではないことを特徴とする請求項１に記載の悪意のあるアクティビティ検出のための方法。
【請求項４】
前記移動局動作が、Ｗｅｂｋｉｔのアクティビティを含むことを特徴とする請求項１に記載の悪意のあるアクティビティ検出のための方法。
【請求項５】
前記移動局動作が、高レベルオペレーティングシステム（ＨＬＯＳ）のアクティビティを含むことを特徴とする請求項１に記載の悪意のあるアクティビティ検出のための方法。
【請求項６】
前記移動局動作が、カーネルのアクティビティを含むことを特徴とする請求項１に記載の悪意のあるアクティビティ検出のための方法。
【請求項７】
前記移動局動作が、ドライバのアクティビティを含むことを特徴とする請求項１に記載の悪意のあるアクティビティ検出のための方法。
【請求項８】
前記移動局動作が、ハードウェアのアクティビティを含むことを特徴とする請求項１に記載の悪意のあるアクティビティ検出のための方法。
【請求項９】
移動局モデル固有の挙動解析アルゴリズムを使用して、移動局アクティビティ観測結果を解析し、アクティビティ解析結果を生成するための手段と、
前記アクティビティ解析結果に基づいて、悪意のあるアクティビティを検出するための手段と
を具備し、
前記移動局モデル固有の挙動解析アルゴリズムは、ネットワークベースの悪意のある挙動プロファイリングシステムから受信した、汎用の悪意のある挙動パターンに基づいて、移動局で生成される、ことを特徴とする移動局。
【請求項１０】
前記汎用の悪意のある挙動パターンが、移動局の特定のモデルに固有のものではないことを特徴とする請求項９に記載の移動局。
【請求項１１】
移動局動作を観測し、前記移動局アクティビティ観測結果を生成するための手段
をさらに具備することを特徴とする請求項９に記載の移動局。
【請求項１２】
移動局モデル固有の挙動解析アルゴリズムを使用して、移動局アクティビティ観測結果を解析し、アクティビティ解析結果を生成する手順と、
前記アクティビティ解析結果に基づいて、悪意のあるアクティビティを検出する手順と
を実行するように構成されたプロセッサを具備し、
前記移動局モデル固有の挙動解析アルゴリズムは、ネットワークベースの悪意のある挙動プロファイリングシステムから受信した、汎用の悪意のある挙動パターンに基づくアルゴリズムである、ことを特徴とする移動局。
【請求項１３】
前記汎用の悪意のある挙動パターンが、移動局の特定のモデルに固有のものではないことを特徴とする請求項１２に記載の移動局。
【請求項１４】
前記プロセッサが、
移動局動作を観測し、前記移動局アクティビティ観測結果を生成する手順
を実行するようにさらに構成されることを特徴とする請求項１２に記載の移動局。
【請求項１５】
コンピュータ可読媒体を備えるコンピュータプログラム製品であって、
前記コンピュータ可読媒体が、
コンピュータに、移動局モデル固有の挙動解析アルゴリズムを使用して、移動局アクティビティ観測結果を解析させ、アクティビティ解析結果を生成させるためのコードと、
コンピュータに、前記アクティビティ解析結果に基づいて、悪意のあるアクティビティを検出させるためのコードと
を含み、
前記移動局モデル固有の挙動解析アルゴリズムは、ネットワークベースの悪意のある挙動プロファイリングシステムから受信した、汎用の悪意のある挙動パターンに基づくアルゴリズムである、ことを特徴とするコンピュータプログラム製品。
【請求項１６】
前記汎用の悪意のある挙動パターンが、移動局の特定のモデルに固有のものではないことを特徴とする請求項１５に記載のコンピュータプログラム製品。
【請求項１７】
前記コンピュータ可読媒体が、
コンピュータに、移動局動作を観測させ、前記移動局アクティビティ観測結果を生成させるためのコード
をさらに含むことを特徴とする請求項１５に記載のコンピュータプログラム製品。
【請求項１８】
特定のモデルの移動局における悪意のあるアクティビティ検出のための方法であって、
ネットワークベースの悪意のある挙動プロファイリングシステムから、汎用の悪意のある挙動パターンを受信するステップと、
前記移動局が、前記汎用の悪意のある挙動パターンに基づいて、移動局モデル固有の挙動解析アルゴリズムを生成するステップと
を有することを特徴とする方法。
【請求項１９】
移動局動作を観測し、アクティビティ観測結果を生成するステップと、
前記移動局モデル固有の挙動解析アルゴリズムを使用して、前記アクティビティ観測結果を解析し、アクティビティ解析結果を生成するステップと、
前記アクティビティ解析結果に基づいて、悪意のあるアクティビティを検出するステップと
をさらに有することを特徴とする請求項１８に記載の悪意のあるアクティビティ検出のための方法。
【請求項２０】
ネットワークベースの悪意のある挙動プロファイリングシステムから、汎用の悪意のある挙動パターンを受信するための手段と、
前記汎用の悪意のある挙動パターンに基づいて、移動局モデル固有の挙動解析アルゴリズムを生成するための手段と
を具備することを特徴とする移動局。
【請求項２１】
移動局動作を観測し、アクティビティ観測結果を生成するための手段と、
前記移動局モデル固有の挙動解析アルゴリズムを使用して、前記アクティビティ観測結果を解析し、アクティビティ解析結果を生成するための手段と、
前記アクティビティ解析結果に基づいて、悪意のあるアクティビティを検出するための手段と
をさらに具備することを特徴とする請求項２０に記載の移動局。
【請求項２２】
ネットワークベースの悪意のある挙動プロファイリングシステムから、汎用の悪意のある挙動パターンを受信する手順と
前記汎用の悪意のある挙動パターンに基づいて、移動局モデル固有の挙動解析アルゴリズムを生成する手順と
を実行するように構成されたプロセッサを具備することを特徴とする移動局。
【請求項２３】
前記プロセッサが、
ネットワークベースの悪意のある挙動プロファイリングシステムから、汎用の悪意のある挙動パターンを受信する手順と、
前記移動局モデル固有の挙動解析アルゴリズムを使用して、前記アクティビティ観測結果を解析し、アクティビティ解析結果を生成する手順と、
前記アクティビティ解析結果に基づいて、悪意のあるアクティビティを検出する手順と
を実行するようにさらに構成されることを特徴とする請求項２２に記載の移動局。
【請求項２４】
コンピュータ可読媒体を備えるコンピュータプログラム製品であって、
前記コンピュータ可読媒体が、
コンピュータに、ネットワークベースの悪意のある挙動プロファイリングシステムから、汎用の悪意のある挙動パターンを受信させるためのコードと、
コンピュータに、前記汎用の悪意のある挙動パターンに基づいて、移動局モデル固有の挙動解析アルゴリズムを生成させためのコードと
を含むことを特徴とするコンピュータプログラム製品。
【請求項２５】
前記コンピュータ可読媒体が、
コンピュータに、ネットワークベースの悪意のある挙動プロファイリングシステムから、汎用の悪意のある挙動パターンを受信させるためのコードと、
コンピュータに、前記移動局モデル固有の挙動解析アルゴリズムを使用して、前記アクティビティ観測結果を解析させ、アクティビティ解析結果を生成させるためのコードと、
コンピュータに、前記アクティビティ解析結果に基づいて、悪意のあるアクティビティを検出させるためのコードと
をさらに含むことを特徴とする請求項２４に記載のコンピュータプログラム製品。
【発明の詳細な説明】
【技術分野】
【０００１】
本出願は、2012年4月10日に出願した米国仮出願第61/622,463号の優先権を主張するものである。引用により、上記米国仮出願の全内容が本明細書に援用される。
【０００２】
本発明は、一般に、移動局における悪意のあるアクティビティを検出することに関する。
【背景技術】
【０００３】
セルラー電話などの移動局上でのマルウェアの検出は、デバイスの制限されたリソース(電力、メモリ、帯域幅など)によって制約を受ける。したがって、モバイルデバイス上でのPC形式のシグネチャマッチングは、マルウェアの検出および除去のための効果的な解決策ではない。代替策は、デバイス上のシンクライアントがインストールされたアプリケーションのシグネチャ/ハッシュを生成し、シグネチャマッチングのためにシグネチャをネットワークベースのサーバに転送することである。しかしながら、ネットワークベースのシグネチャマッチングは、一般に、「ゼロデイ」攻撃から、またはウェブアプリケーションおよびウェブベースのマルウェアからの保護を行うことができない。
【発明の概要】
【発明が解決しようとする課題】
【０００４】
したがって、効果的な方法で、移動局における悪意のあるアクティビティを検出するための技法が必要である。
【課題を解決するための手段】
【０００５】
本発明の一態様は、特定のモデルの移動局における悪意のあるアクティビティ検出のための方法に属し得る。本方法では、移動局アクティビティ観測結果は、アクティビティ解析結果を生成するために、移動局モデル固有の挙動解析アルゴリズムを使用して解析される。移動局モデル固有の挙動解析アルゴリズムは、ネットワークベースの悪意のある挙動プロファイリングシステムから受信された汎用の悪意のある挙動パターンに基づいて、移動局で生成される。悪意のあるアクティビティは、アクティビティ解析結果に基づいて検出される。
【０００６】
本発明のより詳細な態様では、移動局アクティビティ観測結果を生成するために、移動局動作が観測され得る。汎用の悪意のある挙動パターンは、移動局の特定のモデルに固有のものではない場合がある。また、移動局動作は、Webkit、高レベルオペレーティングシステム(HLOS)、カーネル、ドライバ、および/またはハードウェアのアクティビティを含み得る。
【０００７】
本発明の別の態様は、アクティビティ解析結果を生成するために、移動局モデル固有の挙動解析アルゴリズムを使用して移動局アクティビティ観測結果を解析するための手段であって、移動局モデル固有の挙動解析アルゴリズムが、ネットワークベースの悪意のある挙動プロファイリングシステムから受信された汎用の悪意のある挙動パターンに基づいて、移動局で生成される、手段と、アクティビティ解析結果に基づいて、悪意のあるアクティビティを検出するための手段とを備える移動局に属し得る。
【０００８】
本発明のより詳細な態様では、移動局は、移動局アクティビティ観測結果を生成するために、移動局動作を観測するための手段をさらに備え得る。
【０００９】
本発明の別の態様は、アクティビティ解析結果を生成するために、移動局モデル固有の挙動解析アルゴリズムを使用して移動局アクティビティ観測結果を解析する手順であって、移動局モデル固有の挙動解析アルゴリズムが、ネットワークベースの悪意のある挙動プロファイリングシステムから受信された汎用の悪意のある挙動パターンに基づいて、移動局で生成される、手順と、アクティビティ解析結果に基づいて、悪意のあるアクティビティを検出する手順とを実行するように構成されたプロセッサを備える移動局に属し得る。
【００１０】
本発明のより詳細な態様では、プロセッサは、移動局アクティビティ観測結果を生成するために、移動局動作を観測する手順を実行するようにさらに構成され得る。
【００１１】
本発明の別の態様は、コンピュータに、アクティビティ解析結果を生成するために、移動局モデル固有の挙動解析アルゴリズムを使用して移動局アクティビティ観測結果を解析させるためのコードであって、移動局モデル固有の挙動解析アルゴリズムが、ネットワークベースの悪意のある挙動プロファイリングシステムから受信された汎用の悪意のある挙動パターンに基づくアルゴリズムである、コードと、コンピュータに、アクティビティ解析結果に基づいて、悪意のあるアクティビティを検出させるためのコードとを備えるコンピュータ可読媒体を備えるコンピュータプログラム製品に属し得る。
【００１２】
本発明のより詳細な態様では、コンピュータ可読媒体は、コンピュータに、移動局アクティビティ観測結果を生成するために、移動局動作を観測させるためのコードをさらに備え得る。
【００１３】
本発明の一態様は、特定のモデルの移動局における悪意のあるアクティビティ検出のための別の方法に属し得る。本方法では、汎用の悪意のある挙動パターンは、ネットワークベースの悪意のある挙動プロファイリングシステムから受信される。移動局モデル固有の挙動解析アルゴリズムは、汎用の悪意のある挙動パターンに基づいて、移動局によって生成される。
【００１４】
本発明のより詳細な態様では、アクティビティ観測結果を生成するために、移動局動作が観測され得る。アクティビティ観測結果は、アクティビティ解析結果を生成するために、移動局モデル固有の挙動解析アルゴリズムを使用して解析され得る。悪意のあるアクティビティは、アクティビティ解析結果に基づいて検出され得る。
【００１５】
本発明の別の態様は、ネットワークベースの悪意のある挙動プロファイリングシステムから汎用の悪意のある挙動パターンを受信するための手段と、汎用の悪意のある挙動パターンに基づいて、移動局モデル固有の挙動解析アルゴリズムを生成するための手段とを備える移動局に属し得る。
【００１６】
本発明の別の態様は、ネットワークベースの悪意のある挙動プロファイリングシステムから汎用の悪意のある挙動パターンを受信する手順と、汎用の悪意のある挙動パターンに基づいて、移動局モデル固有の挙動解析アルゴリズムを生成する手順とを実行するように構成されたプロセッサを備える移動局に属し得る。
【００１７】
本発明の別の態様は、コンピュータに、ネットワークベースの悪意のある挙動プロファイリングシステムから汎用の悪意のある挙動パターンを受信させるためのコードと、コンピュータに、汎用の悪意のある挙動パターンに基づいて、移動局モデル固有の挙動解析アルゴリズムを生成させるためのコードとを備えるコンピュータ可読媒体を備えるコンピュータプログラム製品に属し得る。
【図面の簡単な説明】
【００１８】
【図１】ワイヤレス通信システムの一例のブロック図である。
【図２】ネットワークベースのサーバから受信された汎用の悪意のある挙動パターンと連携して悪意のあるアクティビティを検出するための移動局の一例のブロック図である。
【図３】本発明による、移動局における悪意のあるアクティビティを検出するための方法の流れ図である。
【図４】本発明による、移動局における悪意のあるアクティビティを検出するための別の方法の流れ図である。
【図５】プロセッサとメモリとを含むコンピュータのブロック図である。
【図６】移動局モデル固有の特徴の表である。
【発明を実施するための形態】
【００１９】
「例示的な」という言葉は、「例、事例、または例示として機能すること」を意味するように本明細書で使用される。「例示的な」として本明細書で説明する任意の実施形態は、必ずしも他の実施形態よりも好ましいか、または有利であると解釈されるべきではない。
【００２０】
図2および図3を参照すると、本発明の一態様は、特定のモデルの移動局102における悪意のあるアクティビティ検出のための方法300に属し得る。本方法では、移動局アクティビティ観測結果を生成するために、移動局動作が観測される(ステップ310)。移動局アクティビティ観測結果は、アクティビティ解析結果を生成するために、移動局モデル固有の挙動解析アルゴリズム210を使用して解析される(ステップ320)。移動局モデル固有の挙動解析アルゴリズムは、ネットワークベースの悪意のある挙動プロファイリングシステム220から受信された汎用の悪意のある挙動パターンに基づいて、移動局で生成される。悪意のあるアクティビティは、アクティビティ解析結果に基づいて検出される(ステップ330)。
【００２１】
本発明のより詳細な態様では、汎用の悪意のある挙動パターンは、移動局102の特定のモデルに固有のものではない場合がある。また、移動局動作は、Webkit、高レベルオペレーティングシステム(HLOS)、ソフトウェア開発キット(SDK)、ネイティブコード開発キット(NDK)、カーネル、ドライバ、および/またはハードウェアのアクティビティを含み得る。
【００２２】
図5をさらに参照すると、本発明の別の態様は、移動局アクティビティ観測結果を生成するために、移動局動作を観測するための手段510と、アクティビティ解析結果を生成するために、移動局モデル固有の挙動解析アルゴリズム210を使用して移動局アクティビティ観測結果を解析するための手段510であって、移動局モデル固有の挙動解析アルゴリズムが、ネットワークベースの悪意のある挙動プロファイリングシステム220から受信された汎用の悪意のある挙動パターンに基づいて、移動局で生成される、手段510と、アクティビティ解析結果に基づいて、悪意のあるアクティビティを検出するための手段510とを備える移動局102に属し得る。
【００２３】
本発明の別の態様は、移動局アクティビティ観測結果を生成するために、移動局動作を観測する手順と、アクティビティ解析結果を生成するために、移動局モデル固有の挙動解析アルゴリズム210を使用して移動局アクティビティ観測結果を解析する手順であって、移動局モデル固有の挙動解析アルゴリズムが、ネットワークベースの悪意のある挙動プロファイリングシステム220から受信された汎用の悪意のある挙動パターンに基づいて、移動局で生成される、手順と、アクティビティ解析結果に基づいて、悪意のあるアクティビティを検出する手順とを実行するように構成されたプロセッサ510を備える移動局102に属し得る。
【００２４】
本発明の別の態様は、コンピュータ500に、移動局アクティビティ観測結果を生成するために、移動局動作を観測させるためのコードと、コンピュータ500に、アクティビティ解析結果を生成するために、移動局モデル固有の挙動解析アルゴリズム210を使用して移動局アクティビティ観測結果を解析させるためのコードであって、移動局モデル固有の挙動解析アルゴリズムが、ネットワークベースの悪意のある挙動プロファイリングシステム220から受信された汎用の悪意のある挙動パターンに基づいて、移動局で生成される、コードと、コンピュータ500に、アクティビティ解析結果に基づいて、悪意のあるアクティビティを検出させるためのコードとを備えるコンピュータ可読媒体520を備えるコンピュータプログラム製品に属し得る。
【００２５】
図4をさらに参照すると、本発明の一態様は、特定のモデルの移動局における悪意のあるアクティビティ検出のための別の方法400に属し得る。本方法では、汎用の悪意のある挙動パターンは、ネットワークベースの悪意のある挙動プロファイリングシステム220から受信される(ステップ410)。移動局モデル固有の挙動解析アルゴリズム210は、汎用の悪意のある挙動パターンに基づいて、移動局で生成される(ステップ420)。
【００２６】
本発明のより詳細な態様では、アクティビティ観測結果を生成するために、移動局動作が観測され得る(ステップ430)。アクティビティ観測結果は、アクティビティ解析結果を生成するために、移動局モデル固有の挙動解析アルゴリズム210を使用して解析され得る(ステップ440)。悪意のあるアクティビティは、アクティビティ解析結果に基づいて検出され得る(ステップ450)。
【００２７】
本発明の別の態様は、ネットワークベースの悪意のある挙動プロファイリングシステム220から汎用の悪意のある挙動パターンを受信するための手段510と、汎用の悪意のある挙動パターンに基づいて、移動局モデル固有の挙動解析アルゴリズム210を生成するための手段510とを備える移動局102に属し得る。
【００２８】
本発明の別の態様は、ネットワークベースの悪意のある挙動プロファイリングシステム220から汎用の悪意のある挙動パターンを受信する手順と、汎用の悪意のある挙動パターンに基づいて、移動局モデル固有の挙動解析アルゴリズム210を生成する手順とを実行するように構成されたプロセッサ510を備える移動局102に属し得る。
【００２９】
本発明の別の態様は、コンピュータ500に、ネットワークベースの悪意のある挙動プロファイリングシステム220から汎用の悪意のある挙動パターンを受信させるためのコードと、コンピュータ500に、汎用の悪意のある挙動パターンに基づいて、移動局モデル固有の挙動解析アルゴリズム210を生成させるためのコードとを備えるコンピュータ可読媒体520を備えるコンピュータプログラム製品に属し得る。
【００３０】
移動局102は、プロセッサ510と、メモリおよび/またはディスクドライブなどの記憶媒体520と、ディスプレイ530と、キーパッドなどの入力部540と、ワイヤレス接続部550とを含むコンピュータ500を備え得る。
【００３１】
本技法は、分割クライアントサーバアーキテクチャを使用し、セキュリティ専門家がマルウェアの挙動を定義およびマップすることを可能にする利益を有する。セキュリティパートナーは、悪意のある挙動の定義に重点を置き、移動局モデル、ならびに移動局102上の利用可能なハードウェアおよびセンサー(たとえば、電話またはデバイス)に対してアグノスティックな方法で、汎用の悪意のある挙動パターンを提供することができる。(たとえば、XMLクエリの形態の)高レベル挙動パターンをモデル固有の挙動解析アルゴリズム210に変換することは、低レベルドライバ/HWへのアクセス、解析器230と観測器240との動的な対話による効率的なクエリ、ならびにハードウェア、センサー、およびドライバにおけるフックを可能にして、効率的なアクセスを可能にする。シンクライアント250は、インターネット260などのネットワークを介してセキュリティパートナーサーバ220と接続し、電話固有のアルゴリズム210を導出するための汎用の悪意のある挙動パターンを受信し、高レベルオペレーティングシステム(HLOS)270と接続する。
【００３２】
クラウドサーバ220と協力して移動局102上で挙動解析を実行することは、マルウェアに対する挙動のマッピングがクラウドにおいてセキュリティ専門家によって行われることを可能にし、モデル固有の挙動解析アルゴリズムおよび観測結果に対する挙動のマッピングが移動局上で行われることを可能にする。
【００３３】
1つまたは複数のアプリケーションプログラムインターフェース(API)呼245は、移動局102のセキュリティパートナーシンクライアント250と移動局のセキュリティシステム200との間でセキュリティ情報を転送するために使用され得る。セキュリティ情報は、それぞれのAPI呼が実行されるときに転送される。
【００３４】
セキュリティ情報は、移動局102の特定のモデルに固有のものではない汎用の悪意のある挙動パターンを含んでもよく、セキュリティ情報は、セキュリティパートナーシンクライアント250からセキュリティシステム200に転送され得る。加えて、セキュリティ情報は、挙動ログを含んでもよく、セキュリティ情報は、セキュリティシステムからセキュリティパートナーシンクライアントに転送される。
【００３５】
セキュリティAPIを使用することは、パートナーセキュリティ会社が、モデル固有の詳細に重点を置く必要なしに、移動局およびデバイス上で最良のセキュリティを提供することを可能にする。セキュリティパートナー(たとえば、ウイルス対策会社)のセキュリティ専門家は、マルウェアに対する挙動のマッピングを定義することができる。セキュリティパートナーは、悪意のある挙動の定義に重点を置くことができる。悪意のある挙動の定義は、高レベル言語(たとえば、XML)で行うことができ、電話モデル、電話上の利用可能なセンサーなどに対してアグノスティックであり続けることができる。移動局102のセキュリティシステム200は、高レベル挙動定義を電話/移動局モデル固有のアルゴリズムに変換することができる。これは、照会するための低レベルドライバおよびHWへの移動局のアクセス、ならびにハードウェア、センサー、およびドライバへのフックを利用して、効率的なアクセスを可能にすることができる。
【００３６】
一例として、汎用の悪意のある挙動パターンは、移動電話または移動局102の動き状態に関連するベクトルを含み得る。移動局の動き状態は、加速度計、ジャイロスコープ、またはこれらのセンサーからの情報/信号の組合せを使用して検出され得る。したがって、動き状態ベクトルは、加速度計およびジャイロスコープに関連する挙動パターン情報を含み得る。
【００３７】
図6の表に示すように、移動局(MS)モデルAは、加速度計とジャイロスコープの両方を含む。したがって、MSモデルAに対する移動局モデル固有の挙動解析アルゴリズムは、加速度計およびジャイロスコープに関連する情報を含み得る。ここで、MSモデルBは加速度計のみを含み、MSモデルCはジャイロスコープのみを含む。したがって、MSモデルBに対する移動局モデル固有の挙動解析アルゴリズムは、加速度計に関連する情報しか含むことができないが、MSモデルCに対する移動局モデル固有の挙動解析アルゴリズムは、ジャイロスコープに関連する情報しか含むことができない。同様に、他のMS状態は、特定のMSモデルの特長および機能に基づいて、調整され得る。
【００３８】
移動局におけるセキュリティシステム200は、効率的なクエリ機構によって、かつ解析器と観測器との動的な対話によって、何を、どのレベルの詳細で観測すべきかを動的に決定することができる。クエリはヒューマン形態およびマシン固有の形態に分割され得る。移動局上の解析器230は、制限された/不完全な情報に基づいて疑わしい挙動を判定することができる。アプリケーションの挙動を特徴づけて、アプリケーションを良性またはマルウェアに分類するための技法は、参照により本明細書に組み込まれている、米国特許出願公開第--号(2012年3月19日に出願された出願第13/424,251号)により詳細に記載されている。
【００３９】
図1を参照すると、ワイヤレスリモート局(RS)102(移動局(MS)など)は、ワイヤレス通信システム100の1つまたは複数の基地局(BS)104と、またはH(e)NBを介して通信することができる。ワイヤレス通信システム100は、1つまたは複数の基地局コントローラ(BSC)106と、コアネットワーク108とをさらに含み得る。コアネットワークは、適切なバックホールを介して、インターネット110および公衆交換電話網(PSTN)112に接続されてもよい。典型的なワイヤレス移動局は、ハンドヘルド電話またはラップトップコンピュータを含み得る。ワイヤレス通信システム100は、符号分割多元接続(CDMA)、時分割多元接続(TDMA)、周波数分割多元接続(FDMA)、空間分割多元接続(SDMA)、偏波分割多元接続(PDMA)、または当技術分野で知られている他の変調技法などのいくつかの多元接続技法のうちのいずれか1つを採用することができる。
【００４０】
情報および信号は、様々な異なる技術および技法のいずれかを使用して表され得ることが、当業者には理解されよう。たとえば、上記の説明全体にわたって言及され得るデータ、命令、コマンド、情報、信号、ビット、シンボル、およびチップは、電圧、電流、電磁波、磁界もしくは磁性粒子、光場もしくは光学粒子、またはそれらの任意の組合せによって表され得る。
【００４１】
当業者は、本明細書で開示する実施形態に関して説明した様々な例示的な論理ブロック、モジュール、回路、およびアルゴリズムステップが、電子ハードウェア、コンピュータソフトウェア、または両方の組合せとして実装され得ることをさらに諒解されよう。ハードウェアとソフトウェアのこの互換性を明確に示すために、様々な例示的な構成要素、ブロック、モジュール、回路、およびステップを、上記では概してそれらの機能に関して説明した。そのような機能をハードウェアとして実装するか、またはソフトウェアとして実装するかは、特定の適用例および全体的なシステムに課される設計制約に依存する。当業者は、説明した機能を特定の適用例ごとに様々な方法で実装し得るが、そのような実装の決定は、本発明の範囲からの逸脱を生じるものと解釈すべきではない。
【００４２】
本明細書で開示する実施形態に関して説明した様々な例示的な論理ブロック、モジュール、および回路は、汎用プロセッサ、デジタル信号プロセッサ(DSP)、特定用途向け集積回路(ASIC)、フィールドプログラマブルゲートアレイ(FPGA)もしくは他のプログラマブル論理デバイス、個別ゲートもしくはトランジスタ論理、個別ハードウェア構成要素、または、本明細書で説明した機能を実行するように設計されたそれらの任意の組合せで、実装または実行され得る。汎用プロセッサはマイクロプロセッサであり得るが、代替として、プロセッサは、任意の従来のプロセッサ、コントローラ、マイクロコントローラ、または状態機械であり得る。プロセッサはまた、コンピューティングデバイスの組合せ、たとえば、DSPとマイクロプロセッサとの組合せ、複数のマイクロプロセッサ、DSPコアと連携する1つまたは複数のマイクロプロセッサ、あるいは任意の他のそのような構成として実装され得る。
【００４３】
本明細書で開示する実施形態に関して説明した方法またはアルゴリズムのステップは、直接ハードウェアで具現化されるか、プロセッサによって実行されるソフトウェアモジュールで具現化されるか、またはその2つの組合せで具現化され得る。ソフトウェアモジュールは、RAMメモリ、フラッシュメモリ、ROMメモリ、EPROMメモリ、EEPROMメモリ、レジスタ、ハードディスク、リムーバブルディスク、CD-ROM、または当技術分野で知られている任意の他の形態の記憶媒体中に存在し得る。例示的な記憶媒体は、プロセッサが記憶媒体から情報を読み取り、かつ記憶媒体に情報を書き込むことができるように、プロセッサに結合される。代替として、記憶媒体は、プロセッサと一体であり得る。プロセッサおよび記憶媒体はASIC中に存在し得る。ASICは、ユーザ端末中に存在し得る。代替として、プロセッサおよび記憶媒体は、ユーザ端末中に個別構成要素として存在し得る。
【００４４】
1つまたは複数の例示的な実施形態では、説明した機能は、ハードウェア、ソフトウェア、ファームウェア、またはそれらの任意の組合せで実装され得る。コンピュータプログラム製品としてソフトウェアに実装された場合、機能は、1つまたは複数の命令またはコードとして、コンピュータ可読媒体上に記憶されるか、またはコンピュータ可読媒体を介して送信することができる。コンピュータ可読媒体は、ある場所から別の場所へのコンピュータプログラムの転送を容易にする任意の媒体を含む、非一時的コンピュータ可読記憶媒体と通信媒体の両方を含む。記憶媒体は、コンピュータによってアクセス可能な任意の利用可能な媒体であり得る。限定ではなく例として、そのようなコンピュータ可読媒体は、RAM、ROM、EEPROM、CD-ROMもしくは他の光ディスクストレージ、磁気ディスクストレージもしくは他の磁気ストレージデバイス、または、命令もしくはデータ構造の形態の所望のプログラムコードを搬送もしくは記憶するために使用でき、コンピュータによってアクセス可能な、任意の他の媒体を含み得る。また、いかなる接続もコンピュータ可読媒体と適切に呼ばれる。たとえば、ソフトウェアが、同軸ケーブル、光ファイバケーブル、ツイストペア、デジタル加入者回線(DSL)、または赤外線、無線、およびマイクロ波などのワイヤレス技術を使用して、ウェブサイト、サーバ、または他のリモートソースから送信される場合、同軸ケーブル、光ファイバケーブル、ツイストペア、DSL、または赤外線、無線、およびマイクロ波などのワイヤレス技術は、媒体の定義に含まれる。本明細書で使用する場合、ディスク(disk)およびディスク(disc)は、コンパクトディスク(CD)、レーザーディスク(登録商標)、光ディスク、デジタル多用途ディスク(DVD)、フロッピー(登録商標)ディスク、およびブルーレイ(登録商標)ディスクを含み、ディスク(disk)は、通常、磁気的にデータを再生し、ディスク(disc)は、レーザーで光学的にデータを再生する。上記の組合せもコンピュータ可読媒体の範囲内に含めるべきである。
【００４５】
開示される実施形態の上記の説明は、いかなる当業者も本発明を作成または使用できるようにするために提供される。これらの実施形態への様々な修正が当業者には容易に明らかになり、本明細書で定義する一般原理は、本発明の趣旨または範囲を逸脱することなしに他の実施形態に適用され得る。したがって、本発明は、本明細書で示す実施形態に限定されるものではなく、本明細書で開示する原理および新規の特徴に一致する最大の範囲を与えられるものである。
【符号の説明】
【００４６】
100  ワイヤレス通信システム
102  移動局、ワイヤレスリモート局(RS)
104  基地局(BS)
106  基地局コントローラ(BSC)
108  コアネットワーク
110  インターネット
112  公衆交換電話網(PSTN)
200  セキュリティシステム
210  移動局モデル固有の挙動解析アルゴリズム
220  セキュリティパートナーサーバ
230  解析器
240  観測器
245  アプリケーションプログラムインターフェース(API)呼
250  セキュリティパートナーシンクライアント
260  インターネット
270  高レベルオペレーティングシステム(HLOS)
500  コンピュータ
510  プロセッサ
520  記憶媒体
530  ディスプレイ
540  入力部
550  ワイヤレス接続部
【図１】
2015519789.tif 000003
【図２】
2015519789.tif 000004
【図３】
2015519789.tif 000005
【図４】
2015519789.tif 000006
【図５】
2015519789.tif 000007
【図６】
2015519789.tif 000008
【手続補正書】
【提出日】平成26年5月23日(2014.5.23)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
移動局で動作するアプリケーションの挙動を解析する方法であって、
前記移動局のプロセッサにより、サーバから汎用の挙動パターン情報を受信するステップと、
受信した前記汎用の挙動パターン情報に基づいて、移動局モデル固有の挙動モデルを生成するステップと、
前記移動局で収集した挙動情報を前記移動局モデル固有の挙動モデルに適用することによって、前記移動局で動作する前記アプリケーションの前記挙動を解析するステップと、
前記収集した挙動情報を前記移動局モデル固有の挙動モデルに適用した結果に基づいて、前記挙動が良性であるか否かを決定するステップと
を有することを特徴とする方法。
【請求項２】
移動局動作を観測し、前記挙動情報を収集するステップ
をさらに有することを特徴とする請求項１に記載の方法。
【請求項３】
サーバから汎用の挙動パターン情報を受信する前記ステップが、前記移動局の特定のモデルに固有のものではない情報を受信するステップを含むことを特徴とする請求項１に記載の方法。
【請求項４】
前記アプリケーションの前記挙動を解析する前記ステップが、前記移動局のＷｅｂｋｉｔのアクティビティを解析するステップを含むことを特徴とする請求項１に記載の方法。
【請求項５】
前記アプリケーションの前記挙動を解析する前記ステップが、前記移動局の高レベルオペレーティングシステム（ＨＬＯＳ）のアクティビティを解析するステップを含むことを特徴とする請求項１に記載の方法。
【請求項６】
前記アプリケーションの前記挙動を解析する前記ステップが、前記移動局のカーネルのアクティビティを解析するステップを含むことを特徴とする請求項１に記載の方法。
【請求項７】
前記アプリケーションの前記挙動を解析する前記ステップが、前記移動局のドライバのアクティビティを解析するステップを含むことを特徴とする請求項１に記載の方法。
【請求項８】
前記アプリケーションの前記挙動を解析する前記ステップが、前記移動局のハードウェア構成要素のアクティビティを解析するステップを含むことを特徴とする請求項１に記載の方法。
【請求項９】
サーバから汎用の挙動パターン情報を受信するための手段と、
受信した前記汎用の挙動パターン情報に基づいて、移動局モデル固有の挙動モデルを生成するための手段と、
移動局で収集した挙動情報を前記移動局モデル固有の挙動モデルに適用することによって、前記移動局で動作するアプリケーションの挙動を解析するための手段と、
前記収集した挙動情報を前記移動局モデル固有の挙動モデルに適用した結果に基づいて、前記挙動が良性であるか否かを決定するための手段と
を具備することを特徴とする移動局。
【請求項１０】
サーバから汎用の挙動パターン情報を受信するための前記手段が、前記移動局の特定のモデルに固有のものではない情報を受信するための手段を含むことを特徴とする請求項９に記載の移動局。
【請求項１１】
移動局動作を観測し、前記挙動情報を収集するための手段
をさらに具備することを特徴とする請求項９に記載の移動局。
【請求項１２】
サーバから汎用の挙動パターン情報を受信する手順と、
受信した前記汎用の挙動パターン情報に基づいて、移動局モデル固有の挙動モデルを生成する手順と、
移動局で収集した挙動情報を前記移動局モデル固有の挙動モデルに適用することによって、前記移動局で動作するアプリケーションの挙動を解析する手順と、
前記収集した挙動情報を前記移動局モデル固有の挙動モデルに適用した結果に基づいて、前記挙動が良性であるか否かを決定する手順と
を実行するようにプロセッサ実行可能命令によって構成されたプロセッサを具備することを特徴とする移動局。
【請求項１３】
サーバから汎用の挙動パターン情報を受信する前記手順が、前記移動局の特定のモデルに固有のものではない情報を受信する手順を含むことを特徴とする請求項１２に記載の移動局。
【請求項１４】
前記プロセッサが、
移動局動作を観測し、前記挙動情報を収集する手順
を実行するようにプロセッサ実行可能命令によってさらに構成されることを特徴とする請求項１２に記載の移動局。
【請求項１５】
プロセッサに、
サーバから汎用の挙動パターン情報を受信する手順と、
受信した前記汎用の挙動パターン情報に基づいて、移動局モデル固有の挙動モデルを生成する手順と、
移動局で収集した挙動情報を前記移動局モデル固有の挙動モデルに適用することによって、前記移動局で動作するアプリケーションの挙動を解析する手順と、
前記収集した挙動情報を前記移動局モデル固有の挙動モデルに適用した結果に基づいて、前記挙動が良性であるか否かを決定する手順と
を実行させるプロセッサ実行可能なソフトウェア命令を格納したコンピュータ読み取り可能な記録媒体。
【請求項１６】
サーバから汎用の挙動パターン情報を受信する前記手順が、前記移動局の特定のモデルに固有のものではない情報を受信する手順を含むことを特徴とする請求項１５に記載のコンピュータ読み取り可能な記録媒体。
【請求項１７】
前記プロセッサ実行可能なソフトウェア命令が、プロセッサに、
移動局動作を観測し、前記挙動情報を収集する手順
をさらに実行させることを特徴とする請求項１５に記載のコンピュータ読み取り可能な記録媒体。
【国際調査報告】
2015519789.tif 000009
2015519789.tif 000010