(57)【要約】  コンピューティングデバイスプロセッサは、コンピューティングデバイスの非良性挙動を検出し、それに応じる方法を実装するためのプロセッサ実行可能命令で構成され得る。プロセッサは、挙動情報を収集するためにデバイス挙動を監視し、収集された挙動情報に基づいて挙動ベクトル情報構造を生成し、分析結果を生成するために挙動ベクトル情報構造を分類器モデルに適用し、デバイスの挙動を分類するために分析結果を使用し、挙動の分類に最も寄与した分類器モデルによって評価される特徴を決定するために分析結果を使用し、挙動の分類に最も寄与した上位「n」個(たとえば、3個)の特徴を選択するように構成され得る。コンピューティングデバイスは、選択された特徴をコンピューティングデバイスの電子ディスプレイ上に表示することができる。
2018522319.tif 000002
【特許請求の範囲】
【請求項１】
挙動情報を収集するためにコンピューティングデバイスの挙動を監視するステップと、
前記収集された挙動情報に基づいて挙動ベクトル情報構造を生成するステップと、
分析結果を生成するために前記挙動ベクトル情報構造を分類器モデルに適用するステップと、
前記コンピューティングデバイスの挙動を分類するために前記分析結果を使用するステップと、
前記挙動の分類に最も寄与した前記分類器モデルによって評価される特徴を決定するために前記分析結果を使用するステップと、
前記挙動の前記分類に最も寄与した前記特徴を選択するステップと、
前記選択された特徴を前記コンピューティングデバイスの電子ディスプレイ上に表示するステップと
を含む、方法。
【請求項２】
前記コンピューティングデバイスの前記挙動を分類するために前記分析結果を前記使用するステップが、前記挙動を異常として分類するために前記分析結果を使用するステップを含む、請求項1に記載の方法。
【請求項３】
前記コンピューティングデバイスの前記挙動を分類するために前記分析結果を前記使用するステップが、前記挙動を非良性として分類するために前記分析結果を使用するステップを含み、
前記挙動の前記分類に最も寄与した前記分類器モデルによって評価される前記特徴を決定するために前記分析結果を前記使用するステップが、非良性としての前記挙動の前記分類に最も寄与した前記分類器モデルによって評価される前記特徴を決定するために前記分析結果を使用するステップを含み、
前記挙動の前記分類に最も寄与した前記特徴を前記選択するステップが、非良性としての前記挙動の前記分類に最も寄与した前記特徴を選択するステップを含む
請求項1に記載の方法。
【請求項４】
前記収集された挙動情報に基づいて前記挙動ベクトル情報構造を前記生成するステップが、ソフトウェアアプリケーションの活動を特徴付ける挙動ベクトルを生成するステップを含む、請求項1に記載の方法。
【請求項５】
前記挙動の前記分類に最も寄与した前記特徴の相対的な重要性を決定するステップ
をさらに含む、請求項1に記載の方法。
【請求項６】
前記挙動の前記分類に最も寄与した前記特徴に基づいて、前記挙動を特定する、分析する、またはそれに応じるために使用されるコンピューティングデバイスの処理リソースの量と、メモリリソースの量と、エネルギーリソースの量との間のトレードオフのバランスをとるステップ
をさらに含む、請求項1に記載の方法。
【請求項７】
前記分析結果を生成するために前記挙動ベクトル情報構造を前記分類器モデルに前記適用するステップが、
ロバストな分類器モデルのファミリーを選択するステップと、
前記分析結果を生成するために、複数の挙動ベクトルをロバストな分類器モデルの前記選択されたファミリーに適用するステップと
を含む、請求項1に記載の方法。
【請求項８】
有限状態機械を含む完全な分類器モデルを受信するステップであって、前記有限状態機械が、複数のブーストされた判定株として表現するのに適した情報を含み、各ブーストされた判定株が、テスト条件と第1の重み値と第2の重み値とを含む、受信するステップと、
前記完全な分類器モデル内に含まれる前記有限状態機械を前記複数のブーストされた判定株に変換することによって、ブーストされた判定株のリストを生成するステップと、
ブーストされた判定株の前記リスト内に含まれるブーストされた判定株に基づいて、前記コンピューティングデバイス内に簡潔な分類器モデルを生成するステップと
をさらに含み、
前記分析結果を生成するために前記挙動ベクトル情報構造を前記分類器モデルに前記適用するステップが、前記挙動ベクトル情報構造を前記生成された簡潔な分類器モデルに適用するステップを含む
請求項1に記載の方法。
【請求項９】
前記挙動ベクトル情報構造を前記生成された簡潔な分類器モデルに前記適用するステップが、
前記挙動ベクトル情報構造内に含まれる前記収集された挙動情報を前記生成された簡潔な分類器モデル内の前記ブーストされた判定株の各々に適用するステップと、
前記収集された挙動情報を前記生成された簡潔な分類器モデル内の前記ブーストされた判定株の各々に適用した結果の第1の加重平均を計算するために、前記ブーストされた判定株の第1の重み値を使用するステップと、
前記挙動が良性であるかどうかを決定するために、前記第1の加重平均をしきい値と比較するステップと
を含む、請求項8に記載の方法。
【請求項１０】
前記挙動の前記分類に最も寄与した前記特徴を前記選択するステップが、良性としての前記挙動の前記分類に最も寄与した前記特徴を決定するために前記ブーストされた判定株の第2の重み値を使用するステップを含む、請求項9に記載の方法。
【請求項１１】
コンピューティングデバイスであって、
動作を実行するためのプロセッサ実行可能命令で構成されたプロセッサを含み、前記動作が、
挙動情報を収集するためにデバイス挙動を監視することと、
前記収集された挙動情報に基づいて挙動ベクトル情報構造を生成することと、
分析結果を生成するために前記挙動ベクトル情報構造を分類器モデルに適用することと、
前記コンピューティングデバイスの挙動を分類するために前記分析結果を使用することと、
前記挙動の分類に最も寄与した前記分類器モデルによって評価される特徴を決定するために前記分析結果を使用することと、
前記挙動の前記分類に最も寄与した前記特徴を選択することと、
前記選択された特徴を前記コンピューティングデバイスの電子ディスプレイ上に表示することと
を含む、コンピューティングデバイス。
【請求項１２】
前記プロセッサが、前記コンピューティングデバイスの前記挙動を分類するために前記分析結果を前記使用することが、前記挙動を異常として分類するために前記分析結果を使用することを含むような動作を実行するためのプロセッサ実行可能命令で構成される、請求項11に記載のコンピューティングデバイス。
【請求項１３】
前記プロセッサが、
前記コンピューティングデバイスの前記挙動を分類するために前記分析結果を前記使用することが、前記挙動を非良性として分類するために前記分析結果を使用することを含み、
前記挙動の前記分類に最も寄与した前記分類器モデルによって評価される前記特徴を決定するために前記分析結果を前記使用することが、非良性としての前記挙動の前記分類に最も寄与した前記分類器モデルによって評価される前記特徴を決定するために前記分析結果を使用することを含み、
前記挙動の前記分類に最も寄与した前記特徴を前記選択することが、非良性としての前記挙動の前記分類に最も寄与した前記特徴を選択することを含む
ような動作を実行するためのプロセッサ実行可能命令で構成される、請求項11に記載のコンピューティングデバイス。
【請求項１４】
前記プロセッサが、
前記挙動の前記分類に最も寄与した前記特徴の相対的な重要性を決定すること
をさらに含む動作を実行するためのプロセッサ実行可能命令で構成される、請求項11に記載のコンピューティングデバイス。
【請求項１５】
前記プロセッサが、
前記挙動の前記分類に最も寄与した前記特徴に基づいて、前記挙動を特定する、分析する、またはそれに応じるために使用されるコンピューティングデバイスの処理リソースの量と、メモリリソースの量と、エネルギーリソースの量との間のトレードオフのバランスをとること
をさらに含む動作を実行するためのプロセッサ実行可能命令で構成される、請求項11に記載のコンピューティングデバイス。
【請求項１６】
前記プロセッサが、
有限状態機械を含む完全な分類器モデルを受信することであって、前記有限状態機械が、複数のブーストされた判定株として表現するのに適した情報を含み、各ブーストされた判定株が、テスト条件と第1の重み値と第2の重み値とを含む、受信することと、
前記完全な分類器モデル内に含まれる前記有限状態機械を前記複数のブーストされた判定株に変換することによって、ブーストされた判定株のリストを生成することと、
ブーストされた判定株の前記リスト内に含まれるブーストされた判定株に基づいて、前記コンピューティングデバイス内に簡潔な分類器モデルを生成することと
をさらに含む動作を実行するためのプロセッサ実行可能命令で構成され、
前記プロセッサが、前記分析結果を生成するために前記挙動ベクトル情報構造を前記分類器モデルに前記適用することが、
前記挙動ベクトル情報構造内に含まれる前記収集された挙動情報を前記生成された簡潔な分類器モデル内の前記ブーストされた判定株の各々に適用することと、
前記収集された挙動情報を前記生成された簡潔な分類器モデル内の前記ブーストされた判定株の各々に適用した結果の第1の加重平均を計算するために、前記ブーストされた判定株の第1の重み値を使用することと、
前記挙動が良性であるかどうかを決定するために、前記第1の加重平均をしきい値と比較することと
を含むような動作を実行するためのプロセッサ実行可能命令で構成される、請求項11に記載のコンピューティングデバイス。
【請求項１７】
前記プロセッサが、前記挙動の前記分類に最も寄与した前記特徴を前記選択することが、良性としての前記挙動の前記分類に最も寄与した前記特徴を決定するために前記ブーストされた判定株の第2の重み値を使用することを含むような動作を実行するためのプロセッサ実行可能命令で構成される、請求項16に記載のコンピューティングデバイス。
【請求項１８】
コンピューティングデバイスのプロセッサに動作を実行させるように構成されたプロセッサ実行可能ソフトウェア命令を記憶した非一時的コンピュータ可読記憶媒体であって、前記動作が、
挙動情報を収集するためにデバイス挙動を監視することと、
前記収集された挙動情報に基づいて挙動ベクトル情報構造を生成することと、
分析結果を生成するために前記挙動ベクトル情報構造を分類器モデルに適用することと、
前記コンピューティングデバイスの挙動を分類するために前記分析結果を使用することと、
前記挙動の分類に最も寄与した前記分類器モデルによって評価される特徴を決定するために前記分析結果を使用することと、
前記挙動の前記分類に最も寄与した前記特徴を選択することと、
前記選択された特徴を前記コンピューティングデバイスの電子ディスプレイ上に表示することと
を含む、非一時的コンピュータ可読記憶媒体。
【請求項１９】
前記記憶されたプロセッサ実行可能ソフトウェア命令が、前記コンピューティングデバイスの前記挙動を分類するために前記分析結果を前記使用することが、前記挙動を異常として分類するために前記分析結果を使用することを含むような動作を前記プロセッサに実行させるように構成される、請求項18に記載の非一時的コンピュータ可読記憶媒体。
【請求項２０】
前記記憶されたプロセッサ実行可能ソフトウェア命令が、
前記コンピューティングデバイスの前記挙動を分類するために前記分析結果を前記使用することが、前記挙動を非良性として分類するために前記分析結果を使用することを含み、
前記挙動の前記分類に最も寄与した前記分類器モデルによって評価される前記特徴を決定するために前記分析結果を前記使用することが、非良性としての前記挙動の前記分類に最も寄与した前記分類器モデルによって評価される前記特徴を決定するために前記分析結果を使用することを含み、
前記挙動の前記分類に最も寄与した前記特徴を前記選択することが、非良性としての前記挙動の前記分類に最も寄与した前記特徴を選択することを含む
ような動作を前記プロセッサに実行させるように構成される、請求項18に記載の非一時的コンピュータ可読記憶媒体。
【請求項２１】
前記記憶されたプロセッサ実行可能ソフトウェア命令が、
前記挙動の前記分類に最も寄与した前記特徴の相対的な重要性を決定すること
をさらに含む動作を前記プロセッサに実行させるように構成される、請求項18に記載の非一時的コンピュータ可読記憶媒体。
【請求項２２】
前記記憶されたプロセッサ実行可能ソフトウェア命令が、
前記挙動の前記分類に最も寄与した前記特徴に基づいて、前記挙動を特定する、分析する、またはそれに応じるために使用されるコンピューティングデバイスの処理リソースの量と、メモリリソースの量と、エネルギーリソースの量との間のトレードオフのバランスをとること
をさらに含む動作を前記プロセッサに実行させるように構成される、請求項18に記載の非一時的コンピュータ可読記憶媒体。
【請求項２３】
前記記憶されたプロセッサ実行可能ソフトウェア命令が、
有限状態機械を含む完全な分類器モデルを受信することであって、前記有限状態機械が、複数のブーストされた判定株として表現するのに適した情報を含み、各ブーストされた判定株が、テスト条件と第1の重み値と第2の重み値とを含む、受信することと、
前記完全な分類器モデル内に含まれる前記有限状態機械を前記複数のブーストされた判定株に変換することによって、ブーストされた判定株のリストを生成することと、
ブーストされた判定株の前記リスト内に含まれるブーストされた判定株に基づいて、前記コンピューティングデバイス内に簡潔な分類器モデルを生成することと
をさらに含む動作を前記プロセッサに実行させるように構成され、
前記記憶されたプロセッサ実行可能ソフトウェア命令が、前記分析結果を生成するために前記挙動ベクトル情報構造を前記分類器モデルに前記適用することが、
前記挙動ベクトル情報構造内に含まれる前記収集された挙動情報を前記生成された簡潔な分類器モデル内の前記ブーストされた判定株の各々に適用することと、
前記収集された挙動情報を前記生成された簡潔な分類器モデル内の前記ブーストされた判定株の各々に適用した結果の第1の加重平均を計算するために、前記ブーストされた判定株の第1の重み値を使用することと、
前記挙動が良性であるかどうかを決定するために、前記第1の加重平均をしきい値と比較することと
を含むような動作を前記プロセッサに実行させるように構成される、請求項18に記載の非一時的コンピュータ可読記憶媒体。
【請求項２４】
前記記憶されたプロセッサ実行可能ソフトウェア命令が、前記挙動の前記分類に最も寄与した前記特徴を前記選択することが、良性としての前記挙動の前記分類に最も寄与した前記特徴を決定するために前記ブーストされた判定株の第2の重み値を使用することを含むような動作を前記プロセッサに実行させるように構成される、請求項23に記載の非一時的コンピュータ可読記憶媒体。
【請求項２５】
コンピューティングデバイスであって、
挙動情報を収集するためにデバイス挙動を監視するための手段と、
前記収集された挙動情報に基づいて挙動ベクトル情報構造を生成するための手段と、
分析結果を生成するために前記挙動ベクトル情報構造を分類器モデルに適用するための手段と、
前記コンピューティングデバイスの挙動を分類するために前記分析結果を使用するための手段と、
前記挙動の分類に最も寄与した前記分類器モデルによって評価される特徴を決定するために前記分析結果を使用するための手段と、
前記挙動の前記分類に最も寄与した前記特徴を選択するための手段と、
前記選択された特徴を表示するための手段とを含む、コンピューティングデバイス。
【請求項２６】
前記コンピューティングデバイスの前記挙動を分類するために前記分析結果を前記使用するための手段が、前記挙動を異常として分類するために前記分析結果を使用するための手段を含む、請求項25に記載のコンピューティングデバイス。
【請求項２７】
前記コンピューティングデバイスの前記挙動を分類するために前記分析結果を前記使用するための手段が、前記挙動を非良性として分類するために前記分析結果を使用するための手段を含み、
前記挙動の前記分類に最も寄与した前記分類器モデルによって評価される前記特徴を決定するために前記分析結果を前記使用するための手段が、非良性としての前記挙動の前記分類に最も寄与した前記分類器モデルによって評価される前記特徴を決定するために前記分析結果を使用するための手段を含み、
前記挙動の前記分類に最も寄与した前記特徴を前記選択するための手段が、非良性としての前記挙動の前記分類に最も寄与した前記特徴を選択するための手段を含む
請求項25に記載のコンピューティングデバイス。
【請求項２８】
前記挙動の前記分類に最も寄与した前記特徴の相対的な重要性を決定するための手段
をさらに含む、請求項25にコンピューティングデバイス。
【請求項２９】
有限状態機械を含む完全な分類器モデルを受信するための手段であって、前記有限状態機械が、複数のブーストされた判定株として表現するのに適した情報を含み、各ブーストされた判定株が、テスト条件と第1の重み値と第2の重み値とを含む、受信するための手段と、
前記完全な分類器モデル内に含まれる前記有限状態機械を前記複数のブーストされた判定株に変換することによって、ブーストされた判定株のリストを生成するための手段と、
ブーストされた判定株の前記リスト内に含まれるブーストされた判定株に基づいて、前記コンピューティングデバイス内に簡潔な分類器モデルを生成するための手段と
をさらに含み、
分析結果を生成するために前記挙動ベクトル情報構造を前記分類器モデルに前記適用するための手段が、
前記挙動ベクトル情報構造内に含まれる前記収集された挙動情報を前記生成された簡潔な分類器モデル内の前記ブーストされた判定株の各々に適用するための手段と、
前記収集された挙動情報を前記生成された簡潔な分類器モデル内の前記ブーストされた判定株の各々に適用した結果の第1の加重平均を計算するために、前記ブーストされた判定株の第1の重み値を使用するための手段と、
前記挙動が良性であるかどうかを決定するために、前記第1の加重平均をしきい値と比較するための手段と
を含む、請求項25に記載のコンピューティングデバイス。
【請求項３０】
前記挙動の前記分類に最も寄与した前記特徴を前記選択するための手段が、良性としての前記挙動の前記分類に最も寄与した前記特徴を決定するために前記ブーストされた判定株の第2の重み値を使用するための手段を含む、請求項29に記載のコンピューティングデバイス。
【発明の詳細な説明】
【背景技術】
【０００１】
セルラー通信技術およびワイヤレス通信技術は、過去数年の間に爆発的な成長をとげている。ワイヤレスサービスプロバイダは現在、情報、リソースおよび通信に対するかつてないレベルのアクセスをユーザに提供する、多岐にわたる機能およびサービスを提供している。これらの強化と歩調を合わせるために、パーソナルデバイスおよび消費者向け電子デバイス(たとえば、セルラーフォン、時計、ヘッドフォン、遠隔制御装置など)は、今までよりも強力かつ複雑になり、今や一般的に、強力なプロセッサ、大規模メモリ、および各自のデバイス上で複雑で強力なソフトウェアアプリケーションを実行することを可能にする他のリソースを含む。
【０００２】
これらおよび他の改善により、パーソナルおよび消費者向けの電子デバイスは、現代社会においてユビキタスになっており、そのユーザによって生成された情報、またはそのユーザに関する情報に対するかつてないレベルのアクセスを有する。さらに、人々は頻繁に各自のデバイスを使用して、機密情報(たとえば、クレジットカード情報、連絡先など)を記憶し、および/またはセキュリティが重要であるタスクを達成する。たとえば、モバイルデバイスユーザは、商品を購入するために各自のデバイスを頻繁に使用し、機密の通信を送受信し、請求を支払い、預金口座を管理し、他の機密のトランザクションを行う。これらの傾向により、パーソナルデバイスおよび消費者向け電子デバイスは、急速にマルウェア攻撃およびサイバー攻撃に対する次の開拓分野になっている。したがって、たとえばモバイルデバイスおよびワイヤレスデバイスなど、リソース制約のあるコンピューティングデバイスをより良く保護する、新しい、および改善されたセキュリティソリューションが消費者に有益である。
【発明の概要】
【課題を解決するための手段】
【０００３】
様々な態様は、挙動情報を収集するためにコンピューティングデバイスの挙動を監視するステップと、収集された挙動情報に基づいて挙動ベクトル情報構造を生成するステップと、分析結果を生成するために挙動ベクトル情報構造を分類器モデルに適用するステップと、コンピューティングデバイスの挙動を分類するために分析結果を使用するステップと、挙動の分類に最も寄与した分類器モデルによって評価される特徴を決定するために分析結果を使用するステップと、挙動の分類に最も寄与した特徴を選択するステップと、選択された特徴をコンピューティングデバイスの電子ディスプレイ上に表示するステップとを含み得る、異常を示すか、または非良性挙動を引き起こす条件および挙動を特定し、分類し、防止し、かつ/または補正し、ならびにそのような挙動、または異常の最も重要なコントリビュータ(contributors)またはその根源についてそのようなコンピューティングデバイスのユーザに知らせる方法を含む。
【０００４】
一態様では、コンピューティングデバイスの挙動を分類するために分析結果を使用するステップは、挙動を異常として分類するために分析結果を使用するステップを含み得る。さらなる態様では、コンピューティングデバイスの挙動を分類するために分析結果を使用するステップは、挙動を非良性として分類するために分析結果を使用するステップを含むことが可能であり、挙動の分類に最も寄与した分類器モデルによって評価される特徴を決定するために分析結果を使用するステップは、非良性としての挙動の分類に最も寄与した分類器モデルによって評価される特徴を決定するために分析結果を使用するステップを含むことが可能であり、挙動の分類に最も寄与した特徴を選択するステップは、非良性としての挙動の分類に最も寄与した特徴を選択するステップを含むことが可能である。
【０００５】
さらなる態様では、収集された挙動情報に基づいて挙動ベクトル情報構造を生成するステップは、ソフトウェアアプリケーションの活動を特徴付ける挙動ベクトルを生成するステップを含み得る。さらなる態様では、この方法は、挙動の分類に最も寄与した特徴の相対的な重要性を決定するステップを含み得る。さらなる態様では、この方法は、挙動の分類に最も寄与した特徴に基づいて、挙動を特定する、分析する、またはそれに応じるために使用されるコンピューティングデバイスの処理リソースの量と、メモリリソースの量と、エネルギーリソースの量との間のトレードオフのバランスをとるステップを含み得る。
【０００６】
さらなる態様では、分析結果を生成するために挙動ベクトル情報構造を分類器モデルに適用するステップは、ロバストな分類器モデルのファミリーを選択するステップと、分析結果を生成するために、複数の挙動ベクトルをロバストな分類器モデルの選択されたファミリーに適用するステップとを含み得る。さらなる態様では、この方法は、有限状態機械を含む完全な分類器モデルを受信するステップであって、有限状態機械が、複数のブーストされた判定株として表現するのに適した情報を含み、各ブーストされた判定株が、テスト条件と第1の重み値と第2の重み値とを含む、受信するステップと、完全な分類器モデル内に含まれる有限状態機械を複数のブーストされた判定株に変換することによって、ブーストされた判定株のリストを生成するステップと、ブーストされた判定株のリスト内に含まれるブーストされた判定株に基づいて、コンピューティングデバイス内に簡潔な分類器モデルを生成するステップとを含み得、その場合、分析結果を生成するために挙動ベクトル情報構造を分類器モデルに適用するステップは、挙動ベクトル情報構造を生成された簡潔な分類器モデルに適用するステップを含む。
【０００７】
さらなる態様では、挙動ベクトル情報構造を生成された簡潔な分類器モデルに適用するステップは、挙動ベクトル情報構造内に含まれる収集された挙動情報を生成された簡潔な分類器モデル内のブーストされた判定株の各々に適用するステップと、収集された挙動情報を生成された簡潔な分類器モデル内のブーストされた判定株の各々に適用した結果の第1の加重平均を計算するために、ブーストされた判定株の第1の重み値を使用するステップと、挙動が良性であるかどうかを決定するために、第1の加重平均をしきい値と比較するステップとを含み得る。さらなる態様では、挙動の分類に最も寄与した特徴を選択するステップは、良性としての挙動の分類に最も寄与した特徴を決定するためにブーストされた判定株の第2の重み値を使用するステップを含む。
【０００８】
さらなる態様は、挙動情報を収集するためにデバイス挙動を監視することと、収集された挙動情報に基づいて挙動ベクトル情報構造を生成することと、分析結果を生成するために挙動ベクトル情報構造を分類器モデルに適用することと、コンピューティングデバイスの挙動を分類するために分析結果を使用することと、挙動の分類に最も寄与した分類器モデルによって評価される特徴を決定するために分析結果を使用することと、挙動の分類に最も寄与した特徴を選択することと、選択された特徴をコンピューティングデバイスの電子ディスプレイ上に表示することとを含む動作を実行するためのプロセッサ実行可能命令で構成されたプロセッサを有するコンピューティングデバイスを含む。
【０００９】
一態様では、プロセッサは、コンピューティングデバイスの挙動を分類するために分析結果を使用することが、挙動を異常として分類するために分析結果を使用することを含むような動作を実行するためのプロセッサ実行可能命令で構成され得る。さらなる態様では、プロセッサは、コンピューティングデバイスの挙動を分類するために分析結果を使用することが、挙動を非良性として分類するために分析結果を使用することを含み、挙動の分類に最も寄与した分類器モデルによって評価される特徴を決定するために分析結果を使用することが、非良性としての挙動の分類に最も寄与した分類器モデルによって評価される特徴を決定するために分析結果を使用することを含み、挙動の分類に最も寄与した特徴を選択することが、非良性としての挙動の分類に最も寄与した特徴を選択することを含むような動作を実行するためのプロセッサ実行可能命令で構成され得る。
【００１０】
さらなる態様では、プロセッサは、挙動の分類に最も寄与した特徴の相対的な重要性を決定することをさらに含む動作を実行するためのプロセッサ実行可能命令で構成され得る。さらなる態様では、プロセッサは、挙動の分類に最も寄与した特徴に基づいて、挙動を特定する、分析する、またはそれに応じるために使用されるコンピューティングデバイスの処理リソースの量と、メモリリソースの量と、エネルギーリソースの量との間のトレードオフのバランスをとることをさらに含む動作を実行するためのプロセッサ実行可能命令で構成され得る。
【００１１】
さらなる態様では、プロセッサは、有限状態機械を含む完全な分類器モデルを受信することであって、有限状態機械が、複数のブーストされた判定株として表現するのに適した情報を含み、各ブーストされた判定株が、テスト条件と第1の重み値と第2の重み値とを含む、受信することと、完全な分類器モデル内に含まれる有限状態機械を複数のブーストされた判定株に変換することによって、ブーストされた判定株のリストを生成することと、ブーストされた判定株のリスト内に含まれるブーストされた判定株に基づいて、コンピューティングデバイス内に簡潔な分類器モデルを生成することとをさらに含む動作を実行するためのプロセッサ実行可能命令で構成され得、プロセッサは、分析結果を生成するために挙動ベクトル情報構造を分類器モデルに適用することが、挙動ベクトル情報構造内に含まれる収集された挙動情報を生成された簡潔な分類器モデル内のブーストされた判定株の各々に適用することと、収集された挙動情報を生成された簡潔な分類器モデル内のブーストされた判定株の各々に適用した結果の第1の加重平均を計算するために、ブーストされた判定株の第1の重み値を使用することと、挙動が良性であるかどうかを決定するために、第1の加重平均をしきい値と比較することとを含むような動作を実行するためのプロセッサ実行可能命令で構成され得る。さらなる態様では、プロセッサは、挙動の分類に最も寄与した特徴を選択することが、良性としての挙動の分類に最も寄与した特徴を決定するためにブーストされた判定株の第2の重み値を使用することを含むような動作を実行するためのプロセッサ実行可能命令で構成され得る。
【００１２】
さらなる態様は、コンピューティングデバイスのプロセッサに動作を実行させるように構成されたプロセッサ実行可能ソフトウェア命令を記憶した非一時的コンピュータ可読記憶媒体であって、動作が、挙動情報を収集するためにデバイス挙動を監視することと、収集された挙動情報に基づいて挙動ベクトル情報構造を生成することと、分析結果を生成するために挙動ベクトル情報構造を分類器モデルに適用することと、コンピューティングデバイスの挙動を分類するために分析結果を使用することと、挙動の分類に最も寄与した分類器モデルによって評価される特徴を決定するために分析結果を使用することと、挙動の分類に最も寄与した特徴を選択することと、選択された特徴をコンピューティングデバイスの電子ディスプレイ上に表示することとを含む、非一時的コンピュータ可読記憶媒体を含む。
【００１３】
一態様では、記憶されたプロセッサ実行可能ソフトウェア命令は、コンピューティングデバイスの挙動を分類するために分析結果を使用することが、挙動を異常として分類するために分析結果を使用することを含むような動作をプロセッサに実行させるように構成され得る。さらなる態様では、記憶されたプロセッサ実行可能ソフトウェア命令は、コンピューティングデバイスの挙動を分類するために分析結果を使用することが、挙動を非良性として分類するために分析結果を使用することを含み、挙動の分類に最も寄与した分類器モデルによって評価される特徴を決定するために分析結果を使用することが、非良性としての挙動の分類に最も寄与した分類器モデルによって評価される特徴を決定するために分析結果を使用することを含み、挙動の分類に最も寄与した特徴を選択することが、非良性としての挙動の分類に最も寄与した特徴を選択することを含むような動作をプロセッサに実行させるように構成され得る。
【００１４】
さらなる態様では、記憶されたプロセッサ実行可能ソフトウェア命令は、挙動の分類に最も寄与した特徴の相対的な重要性を決定することをさらに含む動作をプロセッサに実行させるように構成され得る。さらなる態様では、記憶されたプロセッサ実行可能ソフトウェア命令は、挙動の分類に最も寄与した特徴に基づいて、挙動を特定する、分析する、またはそれに応じるために使用されるコンピューティングデバイスの処理リソースの量と、メモリリソースの量と、エネルギーリソースの量との間のトレードオフのバランスをとることをさらに含む動作をプロセッサに実行させるように構成され得る。
【００１５】
さらなる態様では、記憶されたプロセッサ実行可能ソフトウェア命令は、有限状態機械を含む完全な分類器モデルを受信することであって、有限状態機械が、複数のブーストされた判定株として表現するのに適した情報を含み、各ブーストされた判定株が、テスト条件と第1の重み値と第2の重み値とを含む、受信することと、完全な分類器モデル内に含まれる有限状態機械を複数のブーストされた判定株に変換することによって、ブーストされた判定株のリストを生成することと、ブーストされた判定株のリスト内に含まれるブーストされた判定株に基づいて、コンピューティングデバイス内に簡潔な分類器モデルを生成することとをさらに含む動作をプロセッサに実行させるように構成され得、記憶されたプロセッサ実行可能ソフトウェア命令は、分析結果を生成するために挙動ベクトル情報構造を分類器モデルに適用することが、挙動ベクトル情報構造内に含まれる収集された挙動情報を生成された簡潔な分類器モデル内のブーストされた判定株の各々に適用することと、収集された挙動情報を生成された簡潔な分類器モデル内のブーストされた判定株の各々に適用した結果の第1の加重平均を計算するために、ブーストされた判定株の第1の重み値を使用することと、挙動が良性であるかどうかを決定するために、第1の加重平均をしきい値と比較することとを含むような動作をプロセッサに実行させるように構成され得る。
【００１６】
さらなる態様では、記憶されたプロセッサ実行可能ソフトウェア命令は、挙動の分類に最も寄与した特徴を選択することが、良性としての挙動の分類に最も寄与した特徴を決定するためにブーストされた判定株の第2の重み値を使用することを含むような動作をプロセッサに実行させるように構成され得る。
【００１７】
さらなる態様は、挙動情報を収集するためにデバイス挙動を監視するための手段と、収集された挙動情報に基づいて挙動ベクトル情報構造を生成するための手段と、分析結果を生成するために挙動ベクトル情報構造を分類器モデルに適用するための手段と、コンピューティングデバイスの挙動を分類するために分析結果を使用するための手段と、挙動の分類に最も寄与した分類器モデルによって評価される特徴を決定するために分析結果を使用するための手段と、挙動の分類に最も寄与した特徴を選択するための手段と、選択された特徴を表示するための手段とを含むコンピューティングデバイスを含む。
【００１８】
一態様では、コンピューティングデバイスの挙動を分類するために分析結果を使用するための手段は、挙動を異常として分類するために分析結果を使用するための手段を含み得る。さらなる態様では、コンピューティングデバイスの挙動を分類するために分析結果を使用するための手段は、挙動を非良性として分類するために分析結果を使用するための手段を含むことが可能であり、挙動の分類に最も寄与した分類器モデルによって評価される特徴を決定するために分析結果を使用するための手段は、非良性としての挙動の分類に最も寄与した分類器モデルによって評価される特徴を決定するために分析結果を使用するための手段を含み、挙動の分類に最も寄与した特徴を選択するための手段は、非良性としての挙動の分類に最も寄与した特徴を選択するための手段を含む。さらなる態様では、このコンピューティングデバイスは、挙動の分類に最も寄与した特徴の相対的な重要性を決定するための手段を含み得る。
【００１９】
さらなる態様では、コンピューティングデバイスは、有限状態機械を含む完全な分類器モデルを受信するための手段であって、有限状態機械が、複数のブーストされた判定株として表現するのに適した情報を含み、各ブーストされた判定株が、テスト条件と第1の重み値と第2の重み値とを含む、受信するための手段と、完全な分類器モデル内に含まれる有限状態機械を複数のブーストされた判定株に変換することによって、ブーストされた判定株のリストを生成するための手段と、ブーストされた判定株のリスト内に含まれるブーストされた判定株に基づいて、コンピューティングデバイス内に簡潔な分類器モデルを生成するための手段とを含むことが可能であり、その場合、分析結果を生成するために挙動ベクトル情報構造を分類器モデルに適用するための手段は、挙動ベクトル情報構造内に含まれる収集された挙動情報を生成された簡潔な分類器モデル内のブーストされた判定株の各々に適用するための手段と、収集された挙動情報を生成された簡潔な分類器モデル内のブーストされた判定株の各々に適用した結果の第1の加重平均を計算するために、ブーストされた判定株の第1の重み値を使用するための手段と、挙動が良性であるかどうかを決定するために、第1の加重平均をしきい値と比較するための手段とを含む。さらなる態様では、挙動の分類に最も寄与した特徴を選択するための手段は、良性としての挙動の分類に最も寄与した特徴を決定するためにブーストされた判定株の第2の重み値を使用するための手段を含む。
【００２０】
本明細書に組み込まれ、本明細書の一部を構成している添付の図面は、特許請求の範囲の例示的な態様を示すものであり、上で与えられた全般的な説明、および下で与えられる詳細な説明とともに、特許請求の範囲の特徴を説明するのに役立つ。
【図面の簡単な説明】
【００２１】
【図１】様々な態様を実装するのに適した、例示的なシステムオンチップのアーキテクチャ図である。
【図２】特定のモバイルデバイスの挙動が良性であるか、または非良性であるかを決定するように構成された、ある態様のコンピューティングデバイス内の例示的な論理構成要素および情報フローを示すブロック図である。
【図３】一態様による、良性または非良性としての挙動の分類に最も寄与した特徴を決定する方法を示すプロセスフロー図である。
【図４】別の態様による、良性または非良性としての挙動の分類に最も寄与した特徴を決定する方法を示すプロセスフロー図である。
【図５】ある態様による、デバイス挙動を分類するために分類器モデルのファミリーを使用する方法を示すプロセスフロー図である。
【図６】分類器モデルを生成するために生成および使用され得る例示的な判定ノードの図である。
【図７】ある態様による、適応的な観測を実行する方法を示すプロセスフロー図である。
【図８】ある態様において使用するのに適したモバイルデバイスの構成要素ブロック図である。
【発明を実施するための形態】
【００２２】
添付の図面を参照しながら、様々な態様について詳細に説明する。可能な場合はいつでも、同じまた同様の部分を指すために、図面全体を通して同じ参照番号が使用される。特定の例および実装形態へと行われる言及は、説明を目的とし、特許請求の範囲を限定するものではない。
【００２３】
概して、様々な態様は、異常を示すか、または非良性挙動を引き起こす条件および挙動を効率的に特定し、分類し、防止し、かつ/または補正する、ならびにそのような挙動または異常の最も重要なコントリビュータまたはその根源についてコンピューティングデバイスのユーザに知らせる方法、およびこれらの方法を実装するように構成されたコンピューティングデバイスを含む。コンピューティングデバイスは、挙動情報を収集するためにデバイス挙動を監視し、収集された挙動情報に基づいて挙動ベクトル情報構造を生成し、分析結果を生成するために挙動ベクトル情報構造を分類器モデルに適用し、(たとえば、良性または非良性として、異常として、マルウェアとして、ゲームアプリとして、など)デバイスの挙動を分類するために分析結果を使用し、挙動の特定の分類に最も寄与した分類器モデルによって評価される特徴を決定するために分析結果を使用し、分類に最も寄与した上位「n」個(たとえば、3個)の特徴を選択し、選択された特徴をコンピューティングデバイスの電子ディスプレイ上に表示するように構成され得る。
【００２４】
様々な態様は、デバイスが異常なソフトウェアアプリケーションおよび非良性ソフトウェアアプリケーションをより正確かつ効率的に特定し、防止し、補正し、かつ/またはさもなければ、それに応じることを可能にすることによって、コンピューティングデバイスの機能を改善する。加えて、様々な多様は、コンピューティングデバイスが、デバイス挙動に関してより有用または有意味な情報をユーザに提示すること、および/またはデバイスが異常挙動または非良性挙動をどのように分析し、それに応じるかに対するさらなる制御をユーザに提供することを可能にする。たとえば、システムが、ユーザがプレイを楽しんでいるゲームが非良性である(たとえば、経時的にデバイスの性能劣化に寄与している、など)と決定した場合、ゲームを自動的に終了するのではなく、システムは、ユーザが、そのゲームの負の特性がそのゲームをプレイする利益を上回るかどうかを判定することを可能にし得る。
【００２５】
コンピューティングデバイスの機能、機能性、および/または作用に対する追加の改善は、下で提供される態様の詳細な説明から明らかになろう。
【００２６】
「性能劣化」という用語は、本明細書では、より長い処理時間、より遅いリアルタイム応答性、より短いバッテリ持続時間、個人データの損失、悪意のある経済活動(たとえば、無許可のプレミアムSMSメッセージを送信すること)、サービス拒否(DoS)、不適切に書かれたまたは設計されたソフトウェアアプリケーション、悪意のあるソフトウェア、マルウェア、ウイルス、断片化されたメモリ、スパイ活動またはボットネット活動のためにモバイルデバイスを乗っ取ることまたは電話を利用することに関する動作などのような、コンピューティングデバイスの多種多様な望ましくない動作および特性を指すために使用される。また、これらの理由のいずれかで性能を劣化させる挙動、活動、および条件は、本明細書では「良性ではない」または「非良性である」と呼ばれる。デバイスの標準的な動作パターン、通常の動作パターン、または予想される動作パターンに矛盾するかまたはそれらから逸脱する挙動、活動、および条件は、本明細書で、「異常」または「異常挙動」と呼ばれる場合がある。
【００２７】
「モバイルコンピューティングデバイス」および「モバイルデバイス」という用語は、セルラー電話、スマートフォン、パーソナルまたはモバイルのマルチメディアプレーヤ、携帯情報端末(PDA)、ラップトップコンピュータ、タブレットコンピュータ、スマートブック、ウルトラブック、パームトップコンピュータ、ワイヤレス電子メール受信機、マルチメディアインターネット対応セルラー電話、ワイヤレスゲームコントローラ、および、性能が重要であるメモリとプログラマブルプロセッサとを含み、電力節約の方法が有益であるようなバッテリ電源で動作する同様のパーソナル電子デバイスのうちの、任意の1つまたはすべてを指すように、本明細書では互換的に使用される。様々な態様は、限られたリソースを有しバッテリで動作する、スマートフォンなどのモバイルコンピューティングデバイスに対して特に有用であるが、これらの態様は一般に、プロセッサを含みアプリケーションプログラムを実行する、任意の電子デバイスにおいて有用である。
【００２８】
一般に、モバイルデバイスの性能および電力効率は経時的に劣化する。近年、アンチウイルス会社(たとえば、McAfee、Symantecなど)は、この劣化を遅くすることを目的とするモバイル用アンチウイルス製品、ファイアウォール製品、および暗号化製品の販売を開始した。しかしながら、これらのソリューションの多くは、モバイルデバイス上で計算集約的なスキャニングエンジンを定期的に実行することに依存しており、そのことは、モバイルデバイスの処理リソースおよびバッテリリソースの多くを消費し、モバイルデバイスを遅くさせるか、もしくはより長期間使えなくさせ、かつ/または別様にユーザ体験を劣化させることがある。加えて、これらのソリューションは通常、知られているウイルスおよびマルウェアの検出に限定され、(たとえば、性能劣化がウイルスまたはマルウェアによって引き起こされないときに)経時的なモバイルデバイスの劣化に複合的に寄与することが多い、複数の複雑な要因および/または相互作用に対処しない。これらのおよび他の理由によって、既存のアンチウイルス製品、ファイアウォール製品、および暗号化製品は、経時的なモバイルデバイスの劣化に寄与し得る多数の要因を特定するための、モバイルデバイスの劣化を防止するための、または経年劣化したモバイルデバイスをその元の条件へと効率的に回復させるための、十分なソリューションを提供しない。
【００２９】
さらに、現代のモバイルデバイスは、高度に構成可能かつ複雑なシステムである。したがって、特定のデバイス挙動が良性であるか、非良性であるか(たとえば、悪意があるか、または性能を劣化させるか)、または異常であるか(たとえば、デバイスの通常の動作パターンに矛盾するか)を決定するために最も重要である特徴は、各モバイルデバイスにおいて異なり得る。さらに、不十分に書き込まれたか、または設計されたソフトウェアアプリケーション、マルウェア、ウイルス、断片化されたメモリ、バックグラウンド処理などを含む、モバイルコンピューティングデバイスの性能レベルおよび電力利用レベルの経時的な劣化に寄与し得る多種多様な要因が存在する。これらの要因の数、多様性および複雑さゆえに、現代のモバイルコンピューティングデバイスの複雑ではあるがリソースを制約されたシステムの性能および/または電力利用のレベルの劣化に寄与する可能性のある要因のすべてを評価することは、しばしば実現不可能である。したがって、ユーザ、オペレーティングシステム、および/またはアプリケーションプログラム(たとえば、アンチウイルスソフトウェアなど)が、問題の根源を正確かつ効率的に特定することは困難である。結果として、モバイルデバイスのユーザは現在、モバイルデバイスの性能レベルおよび電力利用レベルの経時的な劣化を防止するための、または経年劣化したモバイルデバイスをその元の性能レベルおよび電力利用レベルに回復させるための措置をほとんど有していない。
【００３０】
既存の解決法の制約を克服するために、様々な態様は、異常挙動または非良性挙動の最も重要な原因またはコントリビュータについてユーザに知らせると同時に、非良性のソフトウェアアプリケーション(たとえば、悪性のアプリケーション、不適切に書かれたアプリケーション、デバイスと互換性のないアプリケーションなど)を迅速かつ効率的に特定するように構成された挙動監視および分析システムを備えたコンピューティングデバイスを含む。そのような挙動を特定することは、プロセッサが、そのようなアプリケーションがコンピューティングデバイスの性能、電力利用レベル、ネットワーク使用レベル、セキュリティ、および/またはプライバシーを経時的に劣化させるのを防止することを可能にし得る。検出された異常挙動または非良性挙動の主な原因またはコントリビュータについてユーザに知らせることは、問題についてユーザに警告し、将来そのような問題を回避するために講じることができる対策についてユーザに知らせ、かつ/またはユーザが非良性挙動を低減または管理するために講じるべき措置についての判定に関与することを可能にし得る。挙動監視および分析システムは、コンピューティングデバイスの応答性、性能、または電力消費特性に、重大な、負の、またはユーザが知覚できる影響を与えることなく、特定された問題を特定し、防止し、修正するように構成され得る。ある態様では、挙動監視および分析システムは挙動ベースのセキュリティシステムであり得る。
【００３１】
挙動ベースの監視および分析システムは、観測プロセス、デーモン、モジュール、またはサブシステム(本明細書では「モジュール」と集合的に呼ばれる)、挙動抽出器モジュール、および分析器モジュールを含み得る。観測器モジュールは、コンピューティングデバイスシステムの様々なレベルにおいて、様々なアプリケーションプログラミングインターフェース(API)、レジスタ、カウンタ、または他のデバイス構成要素(本明細書で、集合的に「計測された構成要素」)を、計測または協調させ、計測された構成要素から挙動情報を収集し、収集された挙動情報を(たとえば、メモリ書込み動作、関数呼出しなどを介して)挙動抽出器モジュールに通信するように構成され得る。挙動抽出器モジュールは、各々がデバイスの1つまたは複数の特定のスレッド、プロセス、ソフトウェアアプリケーション、モジュール、または構成要素に関連付けられた観測されたイベント、条件、タスク、活動、および/または挙動(本明細書で、集合的に「挙動」)の多くまたはすべてを表すか、または特徴付ける挙動ベクトルを生成するために、収集された挙動情報を使用することができる。挙動抽出器モジュールは、生成された挙動ベクトルを(たとえば、メモリ書込み動作、関数呼出しなどを介して)分析器モジュールに通信することができ、分析器モジュールは、分析結果を生成するために挙動ベクトルを分類器モデルに適用し、ソフトウェアアプリケーションまたはデバイスの挙動が良性であるか、または非良性である(たとえば、悪意がある、不十分に書き込まれている、性能を劣化させるなど)かどうかを決定するために、分析結果を使用することができる。デバイスプロセッサは、次いで、特定された問題(たとえば、非良性であると決定される挙動)を補正、修復、是正、隔離、またはさもなければ解決するための様々な動作を実行することができる。
【００３２】
各挙動ベクトルは、1つまたは複数の「挙動の特徴」を含むか、またはカプセル化する情報構造であり得る。挙動特徴は、コンピューティングデバイス内の観測されたイベント、条件、活動、動作、関係、対話、または挙動のすべてまたは一部を表す数またはシンボルであり得る。各挙動の特徴は、可能な値の範囲、それらの値に対して実行され得る動作、値の意味、および他の同様の情報を特定するデータタイプと関連付けられ得る。データタイプは、対応する挙動特徴(または特徴値)がどのように測定され、分析され、重み付けられ、または使用されるべきかを決定するために、コンピューティングデバイスによって使用され得る。
【００３３】
分類器モデルは、特定の特徴、要因、データ点、エントリ、API、状態、条件、挙動、ソフトウェアアプリケーション、プロセス、動作、構成要素(本明細書で、集合的に「特徴」)など、またはデバイスの挙動の他の態様を迅速かつ効率的にテストまたは評価するためにデバイスプロセッサによって使用され得るデータ、エントリ、判定ノード、判定基準、および/または情報構造を含む挙動モデルであり得る。分類器モデルは、ソフトウェアアプリケーション間の関係および/またはモバイルデバイス内で監視されるべき挙動の性質を決定するためにデバイスプロセッサによって使用され得る情報を含むことも可能である。
【００３４】
各分類器モデルは、完全な分類器モデルまたは簡潔な分類器モデルとして類別され得る。完全な分類器モデルは、数千の特徴および数十億のエントリを含み得る大きいトレーニングデータセットに応じて生成される、ロバストなデータモデルであり得る。簡潔な分類器モデルは、特定のモバイルデバイスの挙動が良性でないかどうかを決定することに最も関連がある特徴/エントリに対するテストを含むかまたは優先順位付ける、縮小されたデータセットから生成された、より専心的なデータモデルであり得る。ローカル分類器モデルは、コンピューティングデバイスにおいて生成される簡潔な分類器モデルであり得る。ユーザ固有の分類器モデルは、デバイス挙動が特定のユーザによるコンピューティングデバイスの通常の使用に整合するかどうかを決定するために最も関連するデバイス特徴/エントリをテストまたは評価する判定ノードを含むか、または優先順位付けする非常に専心的なデータモデルを含むローカル分析器モデルであり得る。
【００３５】
一態様では、完全な分類器モデルは、挙動情報の大きいコーパスの有限状態機械の記述または表現であり得る。一態様では、有限状態機械は、各々が1つまたは複数の特徴をテストする複数のノード、ブーストされた判定木、または判定株としての表現に適した情報を含む場合がある。たとえば、有限状態機械は、コンピューティングデバイス挙動が良性であるかどうか、またはそのコンピューティングデバイスの性能の劣化に経時的に寄与するかどうかを決定することに関連するすべてまたは多くの特徴およびデータポイントを一括して特定、記述、テスト、または評価するブーストされた判定株のファミリーとして表示され得る情報構造であってよい。
【００３６】
ブーストされた判定株は、厳密に1つのノード(したがって、1つのテスト質問またはテスト条件)および重み値を有する1レベルの判定木であり、したがって、データ/挙動の二項分類における使用に好適である。すなわち、挙動ベクトルをブーストされた判定株に適用することで、2値の回答(たとえば、YesまたはNo)がもたらされる。たとえば、ブーストされた判定株によってテストされる質問/条件が「ショートメッセージサービス(SMS)送信の頻度が毎分x回未満であるか」である場合、「3」の値をブーストされた判定株に適用することで、(「3回未満」のSMS送信の場合)「yes」の回答または(「3回以上」のSMS送信の場合)「no」の回答のいずれかがもたらされる。
【００３７】
各回答(yesまたはno)に関して、良性値(benign value)および非良性値に(non-benign value)(または、良性値および異常値、良性値および悪意値(malicious value)、等々に)など、分類値に重み値を加えることができる。たとえば、特徴SendSMSの値が5を超える場合、0.9の重みが悪意のある量(malicious quantity)に(すなわち、第1の分類値に)加えられ、-0.9が良性量に(すなわち、第2の分類値に)加えられる。すべての特徴がテストされた後で、悪意のある量を良性量と比較して、挙動が、悪意があるか、または良性かを決定することができる。たとえば、悪意のある量が.5であり、悪意のある量が-.3である場合、コンピューティングデバイスはその挙動を悪意があると分類することができる。
【００３８】
上記で説明した挙動ベースの解決法は、概して、(信頼性値を用いて)挙動を良性、疑わしい、または非良性として分類するために非常に効果的であるが、システムは、挙動が良性または非良性と決定された特定の理由を十分に識別することができない可能性がある。結果として、システムは、コンピューティングデバイスのユーザに、特定の挙動またはソフトウェアアプリケーションが良性または非良性として分類される特定の理由について十分に知らせることができない。同様に、システムは、非良性挙動およびその挙動によって生じるリスク/脅威の重大度を特定するため、分析するため、またはそれに応じるために使用されるデバイスの限定された処理リソースの量、メモリリソースの量、またはエネルギーリソースの量の間のトレードオフのバランスを十分にとることができない。
【００３９】
様々な態様では、コンピューティングデバイスは、アプリケーションが良性または非良性として分類されることに最も寄与した特徴(たとえば、2値の判定木)を追跡するように構成され得る。具体的には、コンピューティングデバイスは、その出力が非良性結果(または、任意の他の分類決定)に寄与した、ブーストされた判定株を追跡し、1つまたは複数のブーストされた判定株によってテストされた各特徴がどの程度挙動の分類に寄与したかを決定する(たとえば、その挙動が非良性であると決定する)ために、それらのブーストされた判定株に割り当てられた重みを使用するように構成され得る。ブーストされた判定株の結果および重みのそのような説明を用いて、コンピューティングデバイスは、挙動の分類に最も寄与した上位「n」個(たとえば、3個)の特徴(または、特徴の組合せ)を選択し、これらの特徴をユーザに提示することができる。たとえば、コンピューティングデバイスは、次のようなプロンプトを表示することができる。
アプリケーションXが良性方法で動作していない理由は、以下の通りである。
1.  アプリケーションXがユーザ対話なしで6つ以上のSMSメッセージを送っている(30%)。
2.  アプリケーションXがあなたの連絡先を未知サーバにアップロードすることを試みた(20%)。
3.  アプリケーションXが、10分間に16回以上GPSからロケーション情報を捕捉した(18%)。
【００４０】
これを達成するために、いくつかの態様では、コンピューティングデバイスは、(挙動観測器モジュールを介して)その挙動を監視して、挙動情報を収集し、(挙動観測器モジュールを介して)収集された挙動情報に基づいて挙動(たとえば、ソフトウェアアプリケーションの活動など)を特徴付ける挙動ベクトル情報構造を生成し、(挙動分析モジュールを介して)分析結果を生成するために挙動ベクトル情報構造を分類器モデルに適用し、監視または観測された挙動のうちの1つを(たとえば、良性として、非良性として、異常としてなど)分類するために、分析結果を使用し、挙動の分類に最も寄与した分類器モデルによって評価される特徴(たとえば、ユーザ対話なしに送られたSMSメッセージ数など)を決定するために分析結果を使用し、挙動の分類に最も寄与した特徴を選択し、(たとえば、コンピューティングデバイスの電子ディスプレイを介してなど)選択された特徴をユーザに表示するように構成され得る。
【００４１】
いくつかの態様では、コンピューティングデバイスは、分類器モデルをデバイス内にローカルに生成するように構成され得る。たとえば、コンピューティングデバイスは、コンピューティングデバイスが、各々がテスト条件と第1の重み値と第2の重み値とを含む、複数のブーストされた判定株を生成するために使用することができる情報を含む有限状態機械(または、別の情報構造)を含む完全な分類器モデルを受信するように構成され得る。コンピューティングデバイスは、ブーストされた判定株を生成し、ブーストされた判定株を優先順位付け、ブーストされた判定株のすべてまたはサブセットを分類器モデルとして使用することができる。たとえば、コンピューティングデバイスは、挙動ベクトル情報構造内に含まれる収集された挙動情報を生成された分類器モデル内のブーストされた判定株の各々に適用し、収集された挙動情報をブーストされた判定株に適用した結果の第1の加重平均を計算するために、ブーストされた判定株の第1の重み値を使用し、挙動が良性(または、非良性、異常など)であるかどうかを決定するために、第1の重み値をしきい値と比較し、挙動の分類に最も寄与した特徴を決定するためにブーストされた判定株の第1および/または第2の重み値を使用するように構成され得る。
【００４２】
(図2〜図7を参照して説明する態様を含めて)様々な態様は、単一のプロセッサシステムおよび多重プロセッサのシステムを含む、いくつかの異なるモバイルデバイス、ならびにシステムオンチップ(SOC)において実装され得る。図1は、様々な態様を実装するコンピューティングデバイス内で使用され得る例示的なシステムオンチップ(SOC)100アーキテクチャを示すアーキテクチャ図である。SOC100は、デジタル信号プロセッサ(DSP)102、モデムプロセッサ104、グラフィックスプロセッサ106、およびアプリケーションプロセッサ108のような、いくつかの異質のプロセッサを含み得る。SOC100はまた、異種プロセッサ102、104、106、108のうちの1つまたは複数に接続された1つまたは複数のコプロセッサ110(たとえば、ベクトルコプロセッサ)を含んでもよい。各プロセッサ102、104、106、108、110は、1つまたは複数のコアを含み得、各プロセッサ/コアは、他のプロセッサ/コアとは無関係に動作を実行できる。たとえば、SOC100は、第1のタイプのオペレーティングシステム(たとえば、FreeBSD、LINUX、OS Xなど)を実行するプロセッサと、第2のタイプのオペレーティングシステム(たとえば、Microsoft Windows 10)を実行するプロセッサとを含み得る。
【００４３】
SOC100はまた、センサデータ、アナログデジタル変換、ワイヤレスデータ送信を管理し、ゲームおよび映画用の符号化されたオーディオ信号を処理することのような他の特殊な動作を実行するための、アナログ回路およびカスタム回路114を含み得る。SOC100は、電圧調整器、発振器、位相ロックループ、周辺ブリッジ、データコントローラ、メモリコントローラ、システムコントローラ、アクセスポート、タイマ、およびコンピューティングデバイス上で実行するプロセッサおよびクライアントをサポートするために使用される他の同様の構成要素のような、システム構成要素/リソース116をさらに含み得る。
【００４４】
システム構成要素/リソース116およびカスタム回路114は、カメラ、電子ディスプレイ、ワイヤレス通信デバイス、外部メモリチップなどの周辺デバイスとインターフェースする回路を含み得る。プロセッサ102、104、106、108は、再構成可能な論理ゲートのアレイを含み、かつ/またはバスアーキテクチャ(たとえば、CoreConnect、AMBAなど)を実装し得る、相互接続/バスモジュール124を介して、1つまたは複数のメモリ要素112、システム構成要素/リソース116、およびカスタム回路114に相互接続され得る。通信は、高性能ネットワークオンチップ(NoCs)などの高度な相互接続によって提供され得る。
【００４５】
SOC100は、クロック118および電圧調整器120のような、SOCの外部のリソースと通信するための入力/出力モジュール(図示せず)をさらに含んでもよい。SOCの外部のリソース(たとえば、クロック118、電圧調整器120)は、内部SOCプロセッサ/コア(たとえば、DSP102、モデムプロセッサ104、グラフィックプロセッサ106、アプリケーションプロセッサ108など)のうちの2つ以上によって共有され得る。
【００４６】
SOC100はまた、スピーカ、ユーザインターフェース要素(たとえば、入力ボタン、タッチスクリーンディスプレイなど)、マイクロフォンアレイ、物理条件(たとえば、位置、方向、動き、方位、振動、圧力など)を監視するためのセンサ、カメラ、コンパス、GPS受信機、通信回路(たとえば、Bluetooth(登録商標)、WLAN、WiFiなど)、および現代の電子デバイスの他のよく知られている構成要素(たとえば、加速度計など)を含む、センサからセンサデータを収集するのに適したハードウェアおよび/またはソフトウェア構成要素を含み得る。
【００４７】
上で論じたSOC100に加えて、様々な態様が、単一のプロセッサ、複数のプロセッサ、マルチコアプロセッサ、またはこれらの任意の組合せを含み得る、多種多様なコンピューティングシステムにおいて実装され得る。
【００４８】
図2は、非良性デバイス挙動を特定し、それらに応じるために、挙動分析技法を使用するように構成された挙動ベースのセキュリティモジュール214を含む、ある態様のコンピューティングデバイス内の例示的な論理構成要素および情報フローを示す。図2に示す例では、コンピューティングデバイスは、挙動観測器モジュール202、挙動抽出器モジュール204、挙動分析器モジュール206、およびアクチュエータモジュール208を含む実行可能命令モジュールで構成されたデバイスプロセッサ(たとえば、モバイルデバイスプロセッサ)を含むモバイルデバイス200である。モジュール202〜208の各々は、ソフトウェア、ハードウェア、またはこれらの組合せにおいて実装される、スレッド、プロセス、デーモン、モジュール、サブシステム、または構成要素であり得る。様々な態様では、モジュール202〜208は、オペレーティングシステムの部分内(たとえば、カーネル内、カーネル空間内、ユーザ空間内など)で、個別のプログラムもしくはアプリケーション内で、専用のハードウェアバッファもしくはプロセッサ内で、またはそれらの任意の組合せにて実装され得る。ある態様では、モジュール202〜208のうちの1つまたは複数は、モバイルデバイス200の1つまたは複数のプロセッサ上で実行するソフトウェア命令として実装される場合がある。
【００４９】
挙動観測器モジュール202は、デバイスの様々なレベル/モジュールにおいてアプリケーションプログラミングインターフェース(API)、カウンタ、ハードウェアモニタなどを計測し、ある時間期間にわたって様々なレベル/モジュールにおいて活動、条件、動作、およびイベント(たとえば、システムイベント、状態変化など)を監視するように構成され得る。挙動観測器モジュール202は、監視された活動、条件、動作、またはイベントに関係する挙動情報を収集し、収集された情報をメモリ(たとえば、ログファイルなど)に記憶することができる。
【００５０】
いくつかの態様では、挙動観測器モジュール202は、コンピュータデバイス内で動作するソフトウェアアプリケーション、コンピューティングデバイスのセンサから、かつ/またはコンピューティングデバイスまたはそのソフトウェアアプリケーションとのユーザ対話からユーザベースの情報(たとえば、ユーザペルソナ情報など)を収集するように構成され得る。ユーザベースの情報は、デバイスユーザの活動、デバイス使用パターン、習慣、ムード、職業、および/または感情の状態を特定または特徴付けるのに適した任意の情報を含み得る。例として、ユーザベースの情報は、デバイスとのユーザの対話、デバイス上で実行されるカスタマイズの数およびタイプ、ユーザによってダウンロードまたは使用されるソフトウェアアプリケーションのタイプ、ユーザがスクリーンに触れるかまたはスクリーンと対話する率、デバイスのグラフィックス処理ユニット(GPU)の使用レベル、ユーザが他者と通信するためにデバイスをどの程度頻繁に使用するか、ユーザが好む通信方法(たとえば、テキスト対音声)、ユーザがどの程度速く通信するか、デバイスのメモリサイズなどを特定する情報を含み得る。デバイスプロセッサは、収集されたユーザベースの情報を使用して、ユーザが一般にコンピューティングデバイスとどのように対話するかを学習し、デバイスの通常のオペレーティングパターンを決定すること、および/または活動、タスク、または挙動がUIイベントに関連付けられるべきかどうかを決定することができる。たとえば、デバイスプロセッサは、ユーザベースの情報を使用して、デバイスの通常のオペレーティングパターンが、特定の活動が特定のUIイベントに関連付けられること、および/またはその対応するUIイベントを伴わない特定の活動の性能がデバイスの通常の動作パターンに整合しないことを指示するかどうかを決定することができる。
【００５１】
挙動観測器モジュール202は、カレンダーアプリケーション、リマインダーアプリケーション、通信アプリケーション、金融アプリケーション、特定のタスク(たとえば、ワードプロセッシング、納税申告書の準備、プレゼンテーションアプリケーション、会計アプリケーションなど)を達成するためのアプリケーション、ロケーションベースのアプリケーション(たとえば、マッピングおよびジオロケーションアプリケーションなど)、ソーシャルメディアアプリケーション、(たとえば、過去の検索、ブラウジング履歴、訪問したウェブサイトのタイプ、訪問したウェブサイトのコンテンツなどに関する情報を取得するための)ウェブブラウザ、娯楽アプリケーション(たとえば、オーディオプレーヤまたはマルチメディアプレーヤのアプリケーション)、ユーザアカウントにアクセスするためのアプリケーション(たとえば、バンキングアプリなど)、個人的なトレーニングおよび開発アプリケーションなどを含めて、様々なソフトウェアアプリケーション(または、ソフトウェアアプリケーションタイプ)のうちのいずれかを監視することによって、ユーザのペルソナ情報を収集するように構成され得る。
【００５２】
挙動観測器モジュール202は、心拍数モニタ、血圧モニタ、温度計、歩数計、血糖メータ、湿度センサ、飲酒探知機、電気皮膚反応センサ、またはデバイス内の他のセンサからデータを取得することによって、ユーザのペルソナ情報を収集することもできる。たとえば、挙動観測器モジュール202は、ユーザの現在のロケーション(たとえば、オフィスにおける、自宅における、レストランにおける、事務、旅行中など)、ユーザの現在の移動(たとえば、現在旅行中である、運動している、動いていないなど)、移動の履歴(たとえば、広範囲に旅行する、町を離れたことがないなど)、ユーザがその確立されたルーチンに従っているかどうか(たとえば、時間通りに職場に到着した、依然として仕事中である)またはそのルーチンからはずれている(たとえば、通常より遅く到着した、通常よりも早く去った)を決定するために、デバイスのジオ空間測位およびナビゲーションシステムを監視することによってユーザのペルソナ情報を収集することができる。
【００５３】
いくつかの態様では、モバイルデバイス200のデバイスプロセッサは、ユーザペルソナ情報および/またはデバイスとのユーザの対話を特徴付ける情報を使用して、挙動ベクトルおよび/または分類器モデルを生成するように構成され得る。たとえば、デバイスプロセッサは、監視されるデバイス特徴、挙動ベクトル内に含まれる挙動情報、分類器モデル内に含まれる(したがって、分類器モデルによって評価される)特定のデバイス特徴などを動的に決定するためにユーザ対話情報を使用するように構成され得る。別の例として、デバイスプロセッサは、あるタイプのソフトウェアアプリケーション(たとえば、ゲームなど)の使用または実行中にUIイベントのプレゼンスを特定することに専心する条件/特徴を評価する分類器モデルを生成するように構成され得る。
【００５４】
いくつかの態様では、デバイスプロセッサは、ユーザ対話情報が収集された挙動情報のすべてまたは一部を分析することに関連するかどうかを決定し、ユーザ対話(関連する場合)に関するデバイス特徴を評価する判定ノードを含む分類器モデルを生成し、ユーザ対話が関連する、収集された挙動情報を相関させる挙動ベクトルを生成し、デバイス挙動が非良性であるかどうかを決定するために、生成された挙動ベクトルを生成された分類器モデルに適用するように構成され得る。
【００５５】
挙動観測器モジュール202はまた、アプリケーションフレームワークまたはランタイムライブラリ、システムコールAPI、ファイルシステムおよびネットワーキングサブシステム動作、デバイス(センサデバイスを含む)状態変化、ならびに他の同様のイベント内のライブラリアプリケーションプログラミングインターフェース(API)コールに関する情報を収集することによって、モバイルデバイス200の活動を監視するように構成され得る。さらに、挙動観測器モジュール202は、ファイルシステムの活動を監視することができ、ファイルシステムの活動は、ファイル名、ファイルアクセスのカテゴリ(個人情報または通常のデータファイル)を探索すること、ファイル(たとえば、type exe、zipなど)を作成または削除すること、ファイル読出し/書込み/探索動作、ファイルパーミッションを変更することなどを含み得る。
【００５６】
挙動観測器モジュール202はまた、接続のタイプ、プロトコル、ポート番号、デバイスが接続されるサーバ/クライアント、接続の数、通信の量または頻度などを含み得るデータネットワーク活動を監視することによって、モバイルデバイス200の活動を監視することもできる。挙動観測器モジュール202は、電話ネットワーク活動を監視することができ、電話ネットワーク活動は、送出、受信、または傍受された通話またはメッセージ(たとえば、SMSなど)のタイプおよび数(たとえば、かけられたプレミアムコールの数)を監視することを含み得る。
【００５７】
挙動観測器モジュール202はまた、フォークの数、メモリアクセス動作、開かれたファイルの数などを監視することを含み得るシステムリソース使用を監視することによって、モバイルデバイス200の活動を監視することもできる。挙動観測器モジュール202は、ディスプレイがオンかまたはオフか、デバイスがロックされているかまたはロックされていないか、バッテリの残量、カメラの状態など様々な要因を監視することを含み得る、モバイルデバイス200の状態を監視することができる。挙動観測器モジュール202はまた、たとえば、重要なサービス(ブラウザ、契約プロバイダなど)に対する意図、プロセス間通信(IPC)の程度、ポップアップウィンドウなどを監視することによって、プロセス間通信を監視することができる。
【００５８】
挙動観測器モジュール202はまた、カメラ、センサ、電子ディスプレイ、WiFi通信構成要素、データコントローラ、メモリコントローラ、システムコントローラ、アクセスポート、タイマ、周辺デバイス、ワイヤレス通信構成要素、外部メモリチップ、電圧レギュレータ、発振器、フェーズロックループ、周辺ブリッジ、ならびに、プロセッサ、およびモバイルデバイス200上で実行するクライアントをサポートするために使用される他の同様の構成要素を含み得る、1つまたは複数のハードウェア構成要素のドライバの統計データおよび/またはステータスを監視することによって、モバイルデバイス200の活動を監視することもできる。
【００５９】
挙動観測器モジュール202はまた、モバイルデバイス200および/またはコンピューティングデバイスのサブシステムの状態またはステータスを示す、1つまたは複数のハードウェアカウンタを監視することによって、モバイルデバイス200の活動を監視することもできる。ハードウェアカウンタは、モバイルデバイス200内で発生するハードウェア関連の活動またはイベントのカウント値または状態を記憶するように構成されたプロセッサ/コアの専用レジスタを含み得る。
【００６０】
挙動観測器モジュール202はまた、ソフトウェアアプリケーションの活動または動作、アプリケーションダウンロードサーバ(たとえば、Apple(登録商標) App Storeサーバ)からのソフトウェアダウンロード、ソフトウェアアプリケーションによって使用されるコンピューティングデバイス情報、呼情報、テキストメッセージング情報(たとえば、SendSMS、BlockSMS、ReadSMSなど)、メディアメッセージング情報(たとえば、ReceiveMMS)、ユーザアカウント情報、位置情報、カメラ情報、加速度計情報、ブラウザ情報、ブラウザベースの通信の内容、音声ベースの通信の内容、短距離無線通信(たとえば、Bluetooth(登録商標)、WiFiなど)、テキストベースの通信の内容、記録されたオーディオファイルの内容、電話帳または連絡先情報、連絡先リストなどを監視することによって、モバイルデバイス200の活動を監視することもできる。
【００６１】
挙動観測器モジュール202は、ボイスメールを含む通信(VoiceMailComm)、デバイス識別子を含む通信(DeviceIDComm)、ユーザアカウント情報を含む通信(UserAccountComm)、カレンダー情報を含む通信(CalendarComm)、ロケーション情報を含む通信(LocationComm)、記録されたオーディオ情報を含む通信(RecordAudioComm)、加速度計情報を含む通信(AccelerometerComm)などを含む、モバイルデバイス200の送信または通信を監視することによって、モバイルデバイス200の活動を監視することもできる。
【００６２】
挙動観測器モジュール202は、コンパス情報、コンピューティングデバイスの設定、バッテリ寿命、ジャイロスコープ情報、圧力センサ、磁気センサ、スクリーン活動などの使用とそれらに対する更新/変更とを監視することによって、モバイルデバイス200の活動を監視することもできる。挙動観測器モジュール202は、ソフトウェアアプリケーションとの間で通信される通知(AppNotifications)、アプリケーション更新などを監視することができる。挙動観測器モジュール202は、第2のソフトウェアアプリケーションのダウンロードおよび/またはインストールを要求している第1のソフトウェアアプリケーションに関する条件またはイベントを監視することができる。挙動観測器モジュール202は、パスワードの入力のような、ユーザ検証に関する条件またはイベントを監視することができる。
【００６３】
挙動観測器モジュール202はまた、アプリケーションレベル、無線レベル、およびセンサレベルを含む、モバイルデバイス200の複数のレベルにおいて条件またはイベントを監視することによって、モバイルデバイス200の活動を監視することもできる。アプリケーションレベルの観測には、顔認識ソフトウェアを介してユーザを観測すること、ソーシャルストリームを観測すること、ユーザによって入力された注釈を観測すること、PassBook(登録商標)、Google(登録商標) Wallet、Paypal(登録商標)、および他の類似のアプリケーションまたはサービスの使用に関するイベントを観測することなどが含まれ得る。アプリケーションレベルの観測には、仮想プライベートネットワーク(VPN)の使用に関するイベント、および同期、音声探索、音声制御(たとえば、1語を発することによる電話のロック/アンロック)、言語翻訳機、計算用のデータのオフローディング、ビデオストリーミング、ユーザ活動なしでのカメラの使用、ユーザ活動なしでのマイクロフォンの使用などに関するイベントを観測することも含まれ得る。
【００６４】
無線レベルの観測には、無線通信リンクを確立するかまたは情報を送信する前のモバイルデバイス200とのユーザの対話、デュアル/マルチ加入者識別モジュール(SIM)カード、インターネット無線、モバイルフォンテザリング、計算のためのデータのオフロード、デバイス状態通信、ゲームコントローラまたはホームコントローラとしての使用、車両通信、コンピューティングデバイス同期などのうちのいずれかまたは複数の存在、実在、または量を決定することが含まれ得る。無線レベルの観測にはまた、測位、ピアツーピア(p2p)通信、同期、車両対車両通信、および/または機械対機械(m2m)のための、無線(WiFi、WiMax、Bluetooth(登録商標)など)の使用を監視することも含まれ得る。無線レベルの観測には、ネットワークトラフィックの使用、統計データ、またはプロファイルを監視することがさらに含まれ得る。
【００６５】
センサレベルの観測には、モバイルデバイス200の使用環境および/または外部環境を判断するために、磁気センサまたは他のセンサを監視することが含まれ得る。たとえば、コンピューティングデバイスプロセッサは、デバイスが(たとえば、ホルスタ内の磁石を検知するように構成された磁石センサを介して)ホルスタ内にあるか、または(たとえば、カメラもしくは光センサによって検出される光の量を介して)ユーザのポケット内にあるかを判断するように構成される場合がある。たとえば、モバイルデバイス200がホルスタに入れられている間に発生する、ユーザによるアクティブな使用(たとえば、写真またはビデオを撮ること、メッセージを送ること、音声通話を行うこと、音を録音することなど)に関連する活動および機能は、(たとえば、ユーザを追跡またはスパイするために)デバイス上で実行している不正なプロセスのサインである可能性があるので、モバイルデバイス200がホルスタ内にあることを検出することは、疑わしい挙動を認識することに関係する場合がある。
【００６６】
使用環境または外部環境に関連するセンサレベルの観測の他の例には、近距離無線通信(NFC)シグナリングを検出すること、クレジットカードスキャナ、バーコードスキャナ、またはモバイルタグリーダから情報を収集すること、ユニバーサルシリアルバス(USB)電力充電源の存在を検出すること、キーボードまたは補助デバイスがモバイルデバイス200に結合されていることを検出すること、モバイルデバイス200が(たとえば、USBなどを介して)別のコンピューティングデバイスに結合されていることを検出すること、LED、フラッシュ、フラッシュライト、または光源が変更または(たとえば、緊急シグナリングアプリケーションなどを、悪意をもって無効にして)無効化されているかどうかを決定すること、スピーカまたはマイクロフォンがオンにされているかまたは電源投入されていることを検出すること、充電または電力供給イベントを検出すること、モバイルデバイス200がゲームコントローラとして使用されていることを検出することなどが含まれ得る。センサレベルの観測には、医療もしくはヘルスケアのセンサから、またはユーザの体をスキャンすることから情報を収集すること、USB/オーディオジャックに差し込まれた外部センサから情報を収集すること、(たとえば、振動インターフェースなどを介して)触知センサまたは触覚センサから情報を収集すること、モバイルデバイス200の熱状態に関する情報を収集することなども含まれ得る。
【００６７】
監視される要因の数を管理可能レベルまで削減するために、ある態様では、挙動観測器モジュール202は、コンピューティングデバイスの劣化に寄与する可能性があるすべての要因の小さいサブセットである、挙動または要因の初期セットを監視/観測することによって、粗い観測を実施するように構成され得る。ある態様では、挙動観測器モジュール202は、挙動および/または要因の初期セットをサーバおよび/またはクラウドサービスもしくはネットワーク内の構成要素から受信することができる。ある態様では、挙動/要因の初期セットは、機械学習分類器モデル内で指定され得る。
【００６８】
挙動観測器モジュール202は、収集された挙動情報を挙動抽出器モジュール204に(たとえば、メモリ書込み動作、関数呼出しなどを介して)通信することができる。挙動抽出器モジュール204は、収集された挙動情報を受信および取り出し、1つまたは複数の挙動ベクトルを生成するためにこの情報を使用するように構成され得る。各挙動ベクトルは、デバイス、ソフトウェアアプリケーション、またはプロセスの挙動を、値またはベクトルデータ構造で簡潔に記述することができる。ベクトルデータ構造は、一連の数字を含んでよく、その各々は、モバイルデバイスのカメラが使用されているかどうか(たとえば、ゼロであるか、または1であるか)、モバイルデバイスからどの程度のネットワークトラフィックが送信されているか、またはコンピューティングデバイスによってどの程度のネットワークトラフィックが生成されているか(たとえば、毎秒20KBなど)、どれだけ多くのインターネットメッセージが通信されているか(たとえば、SMSメッセージの数など)、および/または挙動観測器モジュール202によって収集された任意の他の挙動情報など、モバイルデバイスの特徴または挙動を示す。ある態様では、挙動抽出器モジュール204は、挙動ベクトルが、モバイルデバイスシステム(たとえば、挙動分析器モジュール206)がデバイスの挙動を迅速に認識すること、特定すること、または分析することを可能にする識別子として機能するように挙動ベクトルを生成するように構成可能である。
【００６９】
ある態様では、挙動抽出器モジュール204は、監視された1つまたは複数の活動に関するクエリに対する回答を生成するために、機械学習分類器における特徴/判定ノードに入力され得る情報を含むように挙動ベクトルを生成するように構成され得る。
【００７０】
ある態様では、挙動抽出器モジュール204は、実行情報を含むように挙動ベクトルを生成するように構成され得る。実行情報は、挙動の一部(たとえば、バックグラウンドプロセスによって3秒間に5回使用されたカメラ、フォアグラウンドプロセスによって3秒間に3回使用されたカメラなど)として、または無関係の特徴の一部として、挙動ベクトル内に含まれてよい。ある態様では、実行状態情報は、影の特徴値サブベクトルまたはデータ構造として、挙動ベクトル内に含まれてよい。ある態様では、挙動ベクトルは、実行状態が関連のある特徴、活動、タスクに関連して、影の特徴値サブベクトル/データ構造を記憶し得る。
【００７１】
挙動抽出器モジュール204は、生成された挙動ベクトルを挙動分析器モジュール206に(たとえば、メモリ書込み動作、関数呼出しなどを介して)通信することができる。挙動分析器モジュール206は、デバイス挙動が、経時的にデバイスの劣化に寄与する(または、寄与する可能性が高い)かつ/またはさもなければ、デバイス上に問題を生じさせる可能性がある非良性挙動であるかどうかを決定するために、挙動ベクトルを分類器モデルに適用するように構成され得る。デバイス挙動が非良性として分類されるとき、適切な措置をとるために、アクチュエータモジュール208によって挙動および/またはその分類を使用することができる。
【００７２】
一態様では、挙動分析器モジュール206は、アカウンティングモジュール(accounting module)を含めることによってなど、非良性結果に寄与している特徴を追跡し、グラフィカル出力モジュール210を介してなど、特定された挙動の重要な原因またはコントリビュータを特定する出力をユーザに対して生成するために、その情報を使用するように構成され得る。
【００７３】
各分類器モデルは、コンピューティングデバイスの挙動の特定の特徴または態様を評価するために、コンピューティングデバイスプロセッサによって使用され得る、データおよび/または情報構造(たとえば、特徴ベクトル、挙動ベクトル、構成要素リストなど)を含む挙動モデルであり得る。各分類器モデルはまた、コンピューティングデバイス内のいくつかの特徴、要因、データ点、エントリ、API、状態、条件、挙動、アプリケーション、プロセス、動作、構成要素など(本明細書では総称して「特徴」)を監視するための判定基準を含み得る。分類器モデルは、コンピューティングデバイスにプレインストールされてよく、ネットワークサーバからダウンロードもしくは受信されてよく、コンピューティングデバイス内で生成されてよく、またはそれらの任意の組合せであってよい。分類器モデルは、クラウドソーシングソリューション、挙動モデル化技法、機械学習アルゴリズムなどを使用することによって、生成され得る。
【００７４】
各分類器モデルは、完全な分類器モデルまたは簡潔な分類器モデルとして類別され得る。完全な分類器モデルは、数千の特徴および数十億のエントリを含み得る大きいトレーニングデータセットに応じて生成される、ロバストなデータモデルであり得る。簡潔な分類器モデルは、特定の活動が進行中のクリティカルな活動であるかどうか、および/または特定のモバイルデバイスの挙動が良性ではないかどうかを決定することに最も関連がある特徴/エントリのみを含む/テストする、縮小されたデータセットから生成された、より専心的なデータモデルであり得る。一例として、デバイスプロセッサは、ネットワークサーバから完全な分類器モデルを受信し、完全な分類器に基づいて、モバイルデバイス内で学習分類器モデルを生成し、デバイスの挙動を良性または非良性(すなわち、悪意がある、性能を劣化させるなど)のいずれかであるとして分類するために、ローカルに生成された学習分類器モデルを使用するように構成され得る。
【００７５】
ローカルに生成される簡潔な分類器モデルは、コンピューティングデバイスにおいて生成される簡潔な分類器モデルである。すなわち、モバイルデバイスは非常に構成可能かつ複雑なシステムであるため、特定のデバイス挙動が非良性(たとえば、悪意がある、または性能劣化である)かどうかを決定するために最も重要な特性は各デバイスにおいて異なり得る。さらに、特徴の異なる組合せは、特定の挙動が非良性であるかどうかをそのデバイスが迅速かつ効率的に決定するために、各デバイスにおける監視および/または分析を必要とすることがある。しかし、監視および分析を必要とする特徴の的確な組合せ、ならびに各特徴または特徴の組合せの相対的な優先順位または重要性は、しばしば、それにおいて挙動が監視または分析されるべきである特定のデバイスから取得された情報を使用してのみ決定され得る。これらのおよび他の理由で、様々な態様は、モデルが使用されるモバイルデバイス内に分類器モデルを生成することができる。これらのローカル分類器モデルは、そのデバイスプロセッサが、その特定のデバイス上の挙動が非良性である(デバイスの性能の劣化に寄与している)かを決定する際に最も重要である特定の特徴を正確に特定することを可能にする。ローカル分類器モデルはまた、デバイスプロセッサが、その特定のデバイス内の挙動を分類するためのその相対的な重要性に従ってテストまたは評価される特徴を優先順位付けすることを可能にする。
【００７６】
デバイス固有の分類器モデルは、特定のコンピューティングデバイス内で活動または挙動を分類することに最も関連があると決定される、コンピューティングデバイス固有の特徴/エントリのみを含む/テストする専心的なデータモデルを含む分類器モデルである。
【００７７】
アプリケーション固有の分類器モデルは、特定のソフトウェアアプリケーションを評価することに最も関連がある特徴/エントリのみを含む/テストする専心的なデータモデルを含む分類器モデルである。
【００７８】
ユーザ固有の分類器モデルは、デバイスのユーザを特定するため、ユーザのペルソナを決定するため、デバイス挙動が特定されたユーザのペルソナと整合するかどうかを決定するため、デバイス挙動がその特定されたユーザのうちの1人によるそのデバイスの通常の使用と整合するかどうかを決定するため、またはユーザの活動が非良性のデバイス挙動を示すかどうかを決定するために最も関連する特徴/エントリに関するテストを含むか、または優先順位付けする専心的データモデルを含むローカル分類器モデルであり得る。
【００７９】
モバイルデバイスにおいてローカルにユーザ固有の、デバイス固有の、および/またはアプリケーション固有の分類器モデルを動的に生成することによって、様々な態様は、デバイスプロセッサが、その監視および分析動作をその特定のモバイルデバイスの、かつ/またはそのデバイス内で動作する特定のソフトウェアアプリケーションの動作がその特定のデバイスの知られているユーザの性格、習慣、または通常の使用パターンと整合するかどうかを決定するために最も重要な小数の特徴に専心することを可能にする。
【００８０】
ある態様では、その挙動分析動作の結果が良性または非良性のいずれかとしてデバイス挙動を分類するために十分な情報を提供しないとき、挙動分析器モジュール206は「疑いがある」として挙動を分類し、(たとえば、アカウンティングモジュール207内で)この分類に寄与する特徴を追跡するように構成され得る。挙動分析器モジュール206は、デバイス挙動が疑わしいと決定することに応答して、挙動観測器モジュール202に通知するように構成され得る。それに応答して、挙動観測器モジュール202は、その観測の粒度(すなわち、コンピューティングデバイスの特徴が監視される際の詳細度のレベル)を調節し、かつ/または、挙動分析器モジュール206から受信された情報(たとえば、リアルタイム分析動作の結果)に基づいて監視される要因または挙動を変更し、新たな情報または追加の挙動情報を生成または収集し、さらなる分析/分類のために新たな/追加の情報を挙動分析器モジュール206に送ることができる。挙動観測器モジュール202と挙動分析器モジュール206との間のそのようなフィードバック通信により、集合的挙動が良性または非良性として分類されるまで、疑わしいかもしくは性能を劣化させる挙動の根源が特定されるまで、処理もしくはバッテリの消費しきい値に到達するまで、または、観測の細分性のさらなる変化、調整、または向上から、疑わしいかもしくは性能を劣化させる挙動の根源が特定され得ないとデバイスプロセッサが決定するまで、モバイルデバイス200が観測の細分性を繰り返し向上させる(すなわち、より微細にまたはより詳細に観測する)こと、または観測される特徴/挙動を変更することが可能になる。そのようなフィードバック通信により、モバイルデバイス200が、コンピューティングデバイスの過剰な量の処理リソース、メモリリソース、またはエネルギーリソースを消費することなく、挙動ベクトルおよび分類器モデルを調整または修正することも可能になる。
【００８１】
ある態様では、挙動分析器モジュール206は、様々なモバイルデバイスのサブシステムによって、かつ/または様々な時間期間にわたって収集された情報を受信して、分析し、様々な状況および条件のもとでのモバイルデバイスの通常の動作的な挙動を学習し、様々な状況/条件のもとでの通常のモバイルデバイスの挙動のモデルを(たとえば、分類器モデルの形態でなど)生成するように構成され得る。ある態様では、挙動分析器モジュール206は、収集された挙動情報または挙動ベクトルを生成された挙動モデルと相関付け、その相関に基づいて挙動分析動作を実行し、受信された観測結果が学習された通常の動作的な挙動と矛盾する(または、一致しない)かどうかを決定するように構成され得る。
【００８２】
高レベルの例として、モバイルデバイス200は、カメラが使用されていること、モバイルデバイス200が写真をサーバにアップロードすることを試みていること、およびモバイルデバイスがホルスタ内にあり、ユーザのベルトに取り付けられていた間に、デバイス上のアプリケーションが写真を撮ったことを(収集された挙動情報を介して)検出することができる。モバイルデバイス200は、この検出された挙動(たとえば、ホルスタ内にある間のカメラの使用)がユーザに受け入れられるかまたはユーザにとって一般的な挙動であるかどうかを決定することができる。これは、検出された挙動(たとえば、生成された挙動ベクトル)をモバイルデバイス200またはユーザの過去の挙動と比較することによって達成され得る。ホルスタに入れられている間に写真を撮り、それらをサーバにアップロードすることは、(ホルスタに入れられている状況で観測される通常の挙動から決定され得るように)異常な挙動であるので、この状況では、コンピューティングデバイスは、これを、ユーザによるコンピューティングデバイスの通常の使用のパターンに整合しないとして認識し、適切な対応(たとえば、カメラを遮断する、警報を鳴らすなど)を開始することができる。
【００８３】
様々な態様では、モバイルデバイス200は、活動または挙動が非良性であるかどうかを決定することに最も関連のある特徴、要因、およびデータ点をインテリジェントにかつ効率的に特定するために、ネットワークサーバと連動して動作するように構成され得る。たとえば、デバイスプロセッサは、ネットワークサーバから完全な分類器モデルを受信し、デバイスのユーザならびに/またはデバイスもしくはそのソフトウェアアプリケーションの特徴および機能性に固有である簡潔な分類器モデル(すなわち、データ/挙動モデル)を生成するために、受信された完全な分類器モデルを使用するように構成され得る。デバイスプロセッサは、様々なレベルの複雑さ(または「簡潔さ」)の簡潔な分類器モデルのファミリーを生成するために、完全な分類器モデルを使用することができる。簡潔な分類器モデルの最も簡潔なファミリー(すなわち、最も少数のテスト条件に基づく簡潔な分類器モデル)は、分類器モデルが良性または非良性のいずれかとして類別することができない(したがって、モデルによって疑わしいものとして類別される)挙動に遭遇するまで、ルーチン的に適用されてよく、遭遇した時点で、よりロバストな(すなわち、より簡潔ではない)簡潔な分類器モデルが、挙動を類別する試みにおいて適用され得る。生成された簡潔な分類器モデルのファミリー内の一層ロバストな簡潔な分類器モデルの適用は、挙動の最終的な分類が達成されるまで適用され得る。このようにして、デバイスプロセッサは、挙動を最終的に分類するためにロバストな分類器モデルが必要とされる状況に、最も完全だがリソース集約的な簡潔な分類器モデルの使用を制限することによって、効率と精度との間でバランスをとることができる。
【００８４】
様々な態様では、デバイスプロセッサは、完全な分類器モデル内に含まれた有限状態機械表示または表現をブーストされた判定株に変換することによって、簡潔な分類器モデルを生成するように構成され得る。デバイスプロセッサは、ユーザのペルソナ情報またはユーザ固有のデバイス特徴に基づいて、ブーストされた判定株の完全セットを剪定するかまたは選別し、完全な分類器モデル内に含まれたブーストされた判定株のサブセットを含む簡潔な分類器モデルを生成することができる。デバイスプロセッサは、次いで、デバイス挙動をインテリジェントに監視、分析、および/または分類するために、簡潔な分類器モデルを使用することができる。
【００８５】
ブーストされた判定株は、厳密に1つのノード(および、したがって、1つのテスト質問またはテスト条件)と重み値とを有し、したがって、データ/挙動の二項分類における使用に十分に適した1レベル判定木である。すなわち、挙動ベクトルをブーストされた判定株に適用することで、2値の回答(たとえば、YesまたはNo)がもたらされる。たとえば、ブーストされた判定株によってテストされる質問/条件が「ショートメッセージサービス(SMS)送信の頻度が毎分x回未満であるか」である場合、「3」という値をブーストされた判定株に適用することで、(「3回未満」のSMS送信に対して)「yes」の回答または(「3回以上」のSMS送信に対して)「no」の回答のいずれかがもたらされる。ブーストされた判定株は、非常に簡単かつ根本的である(したがって、著しい処理リソースを必要としない)ので効率的である。ブーストされた判定株はまた非常に並列化可能であり、したがって、(たとえば、コンピューティングデバイス内の複数のコアまたはプロセッサによって)多くの株が並列に/同時に適用またはテストされ得る。
【００８６】
一態様では、挙動分析器モジュール206は、アカウンティングモジュール207など、その出力が非良性挙動分類に寄与するブーストされた判定株を追跡するための機構を含み得る。アカウンティングモジュール207または挙動分析器モジュール206は、重み付けされた寄与を計算することができるように、その出力が非良性挙動分類に寄与するブーストされた判定株に割り当てられた重みを追跡することもできる。
【００８７】
一態様では、アカウンティングモジュール207または挙動分析器モジュール206は、非良性分類の原因またはそれに対するコントリビュータに関するより高いレベルの全体像を提供するために、その出力が非良性挙動分類に寄与するブーストされた判定株をカテゴリまたは関連特徴ごとにグループ化することができる。特定のコンピューティングデバイスの機能または構成要素をいくつかの挙動ベクトルエントリを用いて監視することができる。たとえば、ディスプレイをベクトル値によって監視し、オン/オフ状態、輝度、スチール/ビデオなどに関連するブーストされた判定株によって分析することができる。別の例として、通信(たとえば、モデム使用またはデータ送信)をベクトル値によって監視し、オン/オフ状態、最後の1秒内の送信数、最後の1分内の送信数、最後の2分内の送信数、データ送信の平均サイズ、着信データに対する送信データの比率などに関連するブーストされた判定株によって分析することができる。その出力が非良性挙動分類に寄与するブーストされた判定株(および、その関連する重み)をグループまたは関連性ごとに追跡することによって、プロセッサは、複数の挙動ベクトル要素を用いて監視される分類に寄与する機能または構成要素を特定することができる。
【００８８】
図3は、一態様による、良性または非良性としての挙動の分類に最も寄与した特徴を決定する方法300を示す。方法300は、モバイルコンピューティングデバイスまたはリソース制約のあるコンピューティングデバイスのデバイスプロセッサによって実行することができる。ブロック302で、デバイスプロセッサは、挙動情報を収集するためにデバイス挙動を監視することができる。ブロック304で、デバイスプロセッサは、収集された挙動情報に基づいて挙動ベクトルを生成することができる。ブロック306で、デバイスプロセッサは、分析情報を生成するために挙動ベクトルを分類器モデルに適用することができる。ブロック308で、デバイスプロセッサは、デバイスの挙動を良性または非良性として分類するために分析結果を使用することができる。
【００８９】
ブロック310で、デバイスプロセッサは、良性または非良性としての挙動の分類に最も寄与した分類器モデルによって評価される特徴を決定するために分析結果を使用することができる。上述のように、これは、その出力が非良性挙動分類に寄与するブーストされた判定株、およびその割り当てられた重みを追跡することを伴い得る。さらに、これは、その出力が共通の特徴、機能、または構成要素に関する非良性挙動分類に寄与するブーストされた判定株を特定することを伴い得る。ブロック312で、デバイスプロセッサは、良性または非良性としての挙動の分類に最も寄与した上位「n」個(たとえば、3個)の特徴、機能、および/または構成要素を選択することができる。ブロック314で、デバイスプロセッサは、選択された特徴をコンピューティングデバイスの電子ディスプレイ上に表示することができる。
【００９０】
図4は、別の態様による、良性または非良性としての挙動の分類に最も寄与した特徴を決定する方法400を示す。方法400は、モバイルコンピューティングデバイスまたはリソース制約のあるコンピューティングデバイスのデバイスプロセッサによって実行することができる。ブロック402で、デバイスプロセッサは、ブーストされた判定株に重みを割り当てるか、または別のプロセスによってまたは分類モードのインスタンス化の一部として、ブーストされた判定株に割り当てられた重みにアクセスすることができる。
【００９１】
ブロック404で、デバイスプロセッサは、その特徴が、挙動が非良性であるという決定にどの程度寄与したかを決定するために、ブーストされた判定数に割り当てられた重みを使用することができる。一態様では、ブロック404でこの動作は、その出力が共通の特徴、機能、または構成要素に関する非良性挙動分類に寄与するブーストされた判定株を特定することを伴い得る。
【００９２】
ブロック406で、デバイスプロセッサは、挙動の分類に最も寄与した上位「n」個(たとえば、4個)の特徴、機能、および/または構成要素を選択することができる。ブロック408で、デバイスプロセッサは、(コンピューティングデバイスの電子ディスプレイ上にそれらをレンダリングすることによって)選択された特徴をユーザに提示することができる。
【００９３】
図5は、コンピューティングデバイスのデバイス挙動を分類するための簡潔な分類器モデルのファミリーを使用する態様の方法500を示す。方法500は、方法の動作を実行するためのプロセッサ実行可能命令で構成されたモバイルコンピューティングデバイスまたはリソース制約されたコンピューティングデバイスのデバイスプロセッサによって実行され得る。
【００９４】
ブロック502で、デバイスプロセッサは、観測を実行して、モバイルデバイスシステムの様々なレベルにおいて計測された様々な構成要素から挙動情報を収集することができる。ある態様では、これは、図2を参照して上で論じた挙動観測器モジュール202を介して達成され得る。ブロック504で、デバイスプロセッサは、収集された挙動情報、および/またはモバイルデバイスの挙動を特徴付ける、挙動ベクトルを生成することができる。また、ブロック504で、デバイスプロセッサは、簡潔な分類器モデル、または複雑さ(または「簡潔さ」)のレベルが様々である簡潔な分類器モデルのファミリーを生成するために、ネットワークサーバから受信された完全な分類器モデルを使用することができる。これを達成するために、デバイスプロセッサは、完全な分類器モデル内に含まれるブーストされた判定株のファミリーを選別して、減らされた数のブーストされた判定株を含む、かつ/または限られた数のテスト条件を評価する、簡潔な分類器モデルを生成することができる。ある態様では、簡潔な分類器モデルのうちの1つまたは複数は、ユーザ固有の分類器モデルであり得る。
【００９５】
ブロック506で、デバイスプロセッサは、モバイルデバイスによってまだ評価または適用されていない簡潔な分類器モデルのファミリー内で最も簡潔な分類器(すなわち、最少の数の異なるモバイルデバイスの状態、特徴、挙動、または条件に基づくモデル)を選択することができる。ある態様では、これは、デバイスプロセッサが分類器モデルの順位付けられたリスト内の最初の分類器モデルを選択することによって達成され得る。ブロック508で、デバイスプロセッサは、収集された挙動情報または挙動ベクトルを選択された簡潔な分類器モデル内の各々のブーストされた判定株に適用することができる。ブーストされた判定株は2値の判定であり、簡潔な分類器モデルは同じテスト条件に基づく多くの2値の判定を選択することによって生成されるので、簡潔な分類器モデル内のブーストされた判定株に挙動ベクトルを適用する処理は、並列動作で実行され得る。代替的に、挙動ベクトルは、簡潔な分類器モデル内に含まれる限られた数のテスト条件パラメータをちょうど含むように切り捨てられてよく、またはフィルタリングされてよく、それによってモデルを適用する際の計算量はさらに低減される。
【００９６】
ブロック510で、デバイスプロセッサは、収集された挙動情報を簡潔な分類器モデル内の各々のブーストされた判定株に適用した結果の加重平均を計算または決定することができる。ブロック512で、デバイスプロセッサは、計算された加重平均としきい値とを比較することができる。決定ブロック514で、デバイスプロセッサは、この比較の結果、および/または選択された簡潔な分類器モデルを適用することによって生成された結果が疑わしいかどうかを決定することができる。たとえば、デバイスプロセッサは、これらの結果が、高い信頼度で悪意があるまたは良性のいずれかであるとして挙動を分類するために使用され得るかどうかを決定することができ、そうでない場合、挙動を疑わしいものとして扱う。
【００９７】
結果が疑わしいとデバイスプロセッサが決定する(たとえば、決定ブロック514=「Yes」の)場合、デバイスプロセッサは、ブロック506〜512における動作を繰り返して、挙動が高い信頼度で悪意があるまたは良性であるとして分類されるまで、より多くのデバイスの条件、特徴、挙動、または条件を評価するより強い(すなわち、より簡潔ではない)分類器モデルを選択および適用することができる。挙動が高い信頼度で悪意があるまたは良性のいずれかであるとして分類され得ると決定することなどによって、結果が疑わしくない(たとえば、決定ブロック514=「No」)とデバイスプロセッサが決定する場合、ブロック516において、デバイスプロセッサは、良性であるまたは潜在的に悪意があるとしてモバイルデバイスの挙動を分類するために、ブロック512において生成された比較の結果を使用することができる。
【００９８】
ある代替的な態様の方法では、上で説明した動作は、簡潔な分類器モデル内にまだ存在しないブーストされた判定株を順次選択し、選択された判定株と同じモバイルデバイスの状態、特徴、挙動または条件に依存する(および、したがって、1つの決定結果に基づいて適用され得る)すべての他のブーストされた判定株を特定し、同じモバイルデバイスの状態、特徴、挙動または条件に依存する選択されたすべての特定された他のブーストされた判定株を簡潔な分類器モデルに含め、テスト条件の決定された数に等しい回数、プロセスを繰り返すことによって、達成され得る。選択されたブーストされた判定株と同じテスト条件に依存するすべてのブーストされた判定株が毎回簡潔な分類器モデルに追加されるので、このプロセスが実行される回数を限定することは、簡潔な分類器モデルに含まれるテスト条件の数を限定することになる。
【００９９】
図6は、様々な態様に従って使用するのに適した、判定木/分類器を生成するのに適した例示的な方法600を示す。方法600は、方法の動作を実行するためのプロセッサ実行可能命令で構成されたモバイルコンピューティングデバイスまたはリソース制約されたコンピューティングデバイスのデバイスプロセッサによって実行され得る。ブロック602で、デバイスプロセッサは、判定木/分類器を生成および/または実行し、判定木/分類器の実行によってトレーニングサンプルを収集し、トレーニングサンプルに基づいて新しい分類器モデル(h1(x))を生成することができる。トレーニングサンプルは、モバイルデバイスの挙動、ソフトウェアアプリケーション、またはモバイルデバイスにおけるプロセスの、以前の観測または分析から収集された情報を含み得る。トレーニングサンプルおよび/または新しい分類器モデル(h1(x))は、以前の分類器に含まれる質問またはテスト条件のタイプに基づいて、および/または、以前のデータ/挙動モデルまたは分類器の実行/適用から収集された正確さまたは性能の特性に基づいて生成され得る。
【０１００】
ブロック604で、デバイスプロセッサは、第2の新しい木/分類器(h2(x))を生成するために、生成された判定木/分類器(h1(x))によって誤分類されたエントリの重みをブーストする(または増大させる)ことができる。ある態様では、トレーニングサンプルおよび/または新しい分類器モデル(h2(x))は、分類器の以前の実行または使用(h1(x))の誤り率に基づいて生成され得る。ある態様では、トレーニングサンプルおよび/または新しい分類器モデル(h2(x))は、分類器の以前の実行または使用においてデータ点の誤り率または誤分類に寄与したと判定される属性に基づいて生成され得る。
【０１０１】
ある態様では、誤分類されたエントリは、それらの相対的な正確さまたは有効性に基づいて重み付けられ得る。動作606で、プロセッサは、第3の新しい木/分類器(h3(x))を生成するために、生成された第2の木/分類器(h2(x))によって誤分類されたエントリの重みをブーストする(または増大させる)ことができる。動作608で、604〜606の動作が、数「t」の新しい木/分類器(ht(x))を生成するために繰り返され得る。
【０１０２】
第1の判定木/分類器(h1(x))によって誤分類されたエントリの重みをブーストし、または増大させることによって、第2の木/分類器(h2(x))は、第1の判定木/分類器(h1(x))によって誤分類されたエントリをより正確に分類することができるが、第1の判定木/分類器(h1(x))によって正しく分類されたエントリのいくつかを誤分類することもある。同様に、第3の木/分類器(h3(x))は、第2の判定木/分類器(h2(x))によって誤分類されたエントリをより正確に分類することができるが、第2の判定木/分類器(h2(x))によって正しく分類されたエントリのいくつかを誤分類することがある。すなわち、木/分類器のファミリーh1(x)〜ht(x)を生成することは、全体として収束するシステムをもたらさないことがあり、並列に実行され得るいくつかの判定木/分類器をもたらす。
【０１０３】
図7は、ある態様による動的および適応的な観測を実行するための例示的な方法700を示す。方法700は、方法の動作を実行するためのプロセッサ実行可能命令で構成されたモバイルコンピューティングデバイスまたはリソース制約されたコンピューティングデバイスのデバイスプロセッサによって実行され得る。ブロック702で、デバイスプロセッサは、モバイルデバイスの劣化に寄与し得る多数の要因、挙動、および活動のサブセットを監視/観測することによって、粗い観測を実行することができる。ブロック703で、デバイスプロセッサは、粗い観測に基づいて、粗い観測および/またはモバイルデバイスの挙動を特徴付ける挙動ベクトルを生成することができる。ブロック704で、デバイスプロセッサは、モバイルデバイスの劣化に潜在的に寄与し得る、粗い観測と関連付けられるサブシステム、プロセス、および/またはアプリケーションを特定することができる。これは、たとえば、複数のソースから受信された情報とモバイルデバイスのセンサから受信された状況的情報とを比較することによって達成され得る。ブロック706で、デバイスプロセッサは、粗い観測に基づいて挙動分析動作を実行することができる。
【０１０４】
決定ブロック708で、デバイスプロセッサは、疑わしい挙動または潜在的な問題が挙動分析の結果に基づいて特定され補正され得るかどうかを決定することができる。疑わしい挙動または潜在的な問題が挙動分析の結果に基づいて特定され補正され得るとデバイスプロセッサが決定する(すなわち、決定ブロック708=「Yes」)とき、ブロック718で、プロセッサは、挙動を補正するためのプロセスを開始し、ブロック702に戻って追加の粗い観測を実行することができる。
【０１０５】
疑わしい挙動または潜在的な問題が挙動分析の結果に基づいて特定および/または補正され得ないとデバイスプロセッサが決定する(すなわち、決定ブロック708=「No」)とき、決定ブロック709で、デバイスプロセッサは、問題の可能性があるかどうかを決定できる。ある態様では、デバイスプロセッサは、モバイルデバイスが潜在的な問題に遭遇することおよび/または疑わしい挙動に関与することの確率を計算し、計算された確率が所定のしきい値よりも大きいかどうかを決定することによって、問題の可能性があるかどうかを決定することができる。計算された確率が所定のしきい値よりも大きくない、および/または、疑わしい挙動または潜在的問題が存在するおよび/または検出可能である可能性はないとデバイスプロセッサが決定する(すなわち、決定ブロック709=「No」)とき、プロセッサは、ブロック702に戻って追加の粗い観測を実行することができる。
【０１０６】
疑わしい挙動または潜在的問題が存在するおよび/または検出可能である可能性があるとデバイスプロセッサが決定する(すなわち、決定ブロック709=「Yes」)とき、ブロック710で、デバイスプロセッサは、特定されたサブシステム、プロセス、またはアプリケーションに対して、より深いログ取得/観測または最終的なログ取得を実行することができる。ブロック712で、デバイスプロセッサは、特定されたサブシステム、プロセス、またはアプリケーションに対して、より深くより詳細な観測を実行することができる。ブロック714で、デバイスプロセッサは、より深くより詳細な観測に基づいて、さらなるおよび/またはより深い挙動分析を実行することができる。決定ブロック708で、デバイスプロセッサは、より深い挙動分析の結果に基づいて、疑わしい挙動または潜在的な問題が特定され補正され得るかどうかを再び決定することができる。より深い挙動分析の結果に基づいて疑わしい挙動または潜在的な問題が特定され補正され得ないとデバイスプロセッサが決定する(すなわち、決定ブロック708=「No」)とき、詳細さのレベルが問題を特定するのに十分に微細になるまで、または、詳細さを追加しても問題が特定され得ないかまたは問題が存在しないと決定されるまで、プロセッサはブロック710〜714の動作を繰り返すことができる。
【０１０７】
より深い挙動分析の結果に基づいて疑わしい挙動または潜在的な問題が特定され補正され得るとデバイスプロセッサが決定する(すなわち、決定ブロック708=「Yes」)とき、ブロック718で、デバイスプロセッサは、問題/挙動を補正するための動作を実行することができ、プロセッサはブロック702に戻って追加の動作を実行することができる。
【０１０８】
ある態様では、方法700のブロック702〜718の一部として、デバイスプロセッサは、限られた粗い観測値から疑わしい挙動を特定するため、より詳細に観測するために挙動を動的に決定するため、および観測のために必要な詳細さの的確なレベルを動的に決定するために、システムの挙動のリアルタイム挙動分析を実行することができる。これは、デバイス上で大量のプロセッサリソース、メモリリソース、またはバッテリリソースを使用する必要なく、デバイスプロセッサが問題を効率的に特定し、問題が発生するのを防止することを可能にする。
【０１０９】
様々な態様は、ソフトウェアアプリケーションの選択グループの集合的挙動を監視および分析するために(許可、ポリシー、またはルールベースの手法ではなく)挙動分析および/または機械学習技法を使用することによって、既存のソリューションを改善する。現代のコンピューティングデバイスは高度に構成可能で複雑なシステムであり、ソフトウェアアプリケーションが結託しているかどうかを決定するために最も重要である要因が各デバイスにおいて異なり得るので、挙動分析または機械学習技法の使用は重要である。さらに、デバイスの特徴/要因の異なる組合せは、ソフトウェアアプリケーションが結託しているかどうかをそのデバイスが決定するために、各デバイスにおける分析を必要とし得る。さらに、しばしば監視および分析を必要とする特徴/要因の的確な組合せは、1つまたは複数の活動が進行中であるとき、1つまたは複数の活動が実行される特定のコンピューティングデバイスから得られる情報を使用して決定することしかできない。これらのまたは他の理由で、既存のソリューションは、挙動が進行中の間、コンピュータデバイスのかなりの処理リソース量、メモリリソース量、または電力リソース量を消費せずに、コンピューティングデバイス内の複数のソフトウェアソリューションの集合的挙動、またはソフトウェアアプリケーション間の関係をリアルタイムで監視し、検出し、特徴付けるために十分ではない。
【０１１０】
図2〜図7を参照して上で論じた態様を含む様々な態様は、プロセッサ実行可能命令で構成された様々なコンピューティングデバイス上で実装される場合があり、その一例がスマートフォンの形で図8に示される。スマートフォン800は、内部メモリ804と、ディスプレイ812と、スピーカ814とに結合されたプロセッサ802を含み得る。加えて、スマートフォン800は、プロセッサ802に結合されたワイヤレスデータリンクおよび/または携帯電話トランシーバ808に接続され得る、電磁放射を送り、受信するためのアンテナを含み得る。スマートフォン800は通常、ユーザ入力を受信するためのメニュー選択ボタンまたはロッカースイッチ820も含む。
【０１１１】
典型的なスマートフォン800はまた、マイクロフォンから受信された音をワイヤレス送信に適したデータパケットにデジタル化し、受信された音のデータパケットを復号し、スピーカに供給されて音を発生させるアナログ信号を生成する、音声符号化/復号(コーデック)回路806を含む。また、プロセッサ802、ワイヤレストランシーバ808、およびコーデック806のうちの1つまたは複数は、デジタル信号プロセッサ(DSP)回路(個別に図示せず)を含んでよい。
【０１１２】
プロセッサ802は、以下で説明する様々な態様の動作を含む、種々の機能および動作を実行するようにプロセッサ実行可能命令(アプリケーション)によって構成され得る任意のプログラマブルマイクロプロセッサ、マイクロコンピュータ、または1つまたは複数の多重プロセッサチップであり得る。いくつかのモバイルデバイスでは、1つのプロセッサをワイヤレス通信機能専用にし、1つのプロセッサを他のアプリケーションの実行専用にするというように、複数のプロセッサ802が設けられ得る。通常、ソフトウェアアプリケーションは、それらがアクセスされ、プロセッサ802にロードされる前に、内部メモリ804内に記憶され得る。プロセッサ802は、アプリケーションソフトウェア命令を記憶するのに十分な内部メモリを含み得る。様々な態様では、プロセッサ802は、デバイスプロセッサ、処理コア、または(図1に示した例示的なSOC100など)SOCであってよい。ある態様では、スマートフォン800はSOCを含んでよく、プロセッサ802は(図1に示したプロセッサ102、104、106、108、110のうちの1つなど)SOC内に含まれるプロセッサのうちの1つであってよい。
【０１１３】
様々な態様は、分析結果を生成するために、ユーザ入力デバイスから受信された生データをユーザ対話イベント情報と比較するための手段と、ユーザ対話(UI)イベントがコンピューティングデバイスのユーザと相関するかどうかを決定するために、生成された分析結果を使用するための手段とを含むコンピューティングデバイスをさらに含み得る。いくつかの態様では、分析結果を生成するために、ユーザ入力デバイスから受信された生データをユーザ対話イベント情報と比較するための手段は、デバイスドライバから受信された生データをハイレベルオペレーティングシステムから受信された対話情報と比較するための手段を含み得る。いくつかの態様では、このコンピューティングデバイスは、UIイベントがコンピューティングデバイスのユーザと相関しないとの決定に応じて、ソフトウェアアプリケーションの活動が非良性として分類するための手段をさらに含み得る。いくつかの態様では、このコンピューティングデバイスは、ソフトウェアアプリケーションの活動を特徴付ける挙動ベクトルを生成するための手段と、UIイベントがコンピューティングデバイスのユーザと相関しないとの決定に応じて、生成された挙動ベクトルを、活動に対応するUIイベントが存在するかどうかを評価する判定ノードを含む分類器モデルに適用するための手段と、ソフトウェアアプリケーションの活動が非良性であるかどうかを決定するために、生成された挙動ベクトルを分類器モデルに適用した結果を使用するための手段とをさらに含み得る。いくつかの態様では、このコンピューティングデバイスは、ソフトウェアアプリケーションの活動を特徴付ける挙動ベクトルを生成するための手段と、UIイベントがコンピューティングデバイスのユーザと相関しないとの決定に応じて、活動に対応するUIイベントが存在するかどうかをテストする判定ノードを含まない分類器モデルを選択するための手段と、追加の分析結果を生成するために、生成された挙動ベクトルを選択された分類器モデルに適用するための手段と、ソフトウェアアプリケーションの活動が非良性であるかどうかを決定するために、生成された追加の分析結果を使用するための手段とをさらに含み得る。いくつかの態様では、このコンピューティングデバイスは、UIイベントがコンピューティングデバイスのユーザと相関しないとの決定に応じて、ロバストな分類器モデルのファミリーを選択するための手段と、ソフトウェアアプリケーションの活動が非良性であるかどうかを決定するために、複数の挙動ベクトルをロバストな分類器モデルの選択されたファミリーに適用するための手段とをさらに含み得る。
【０１１４】
本出願で使用する「構成要素」、「モジュール」などの用語は、限定はされないが、特定の動作もしくは機能を実行するように構成された、ハードウェア、ファームウェア、ハードウェアとソフトウェアの組合せ、ソフトウェア、または実行中のソフトウェアなどの、コンピュータ関連のエンティティを含むものとする。たとえば、構成要素は、プロセッサ上で実行するプロセス、プロセッサ、オブジェクト、実行ファイル、実行スレッド、プログラム、および/またはコンピュータであってもよいが、それらに限定されない。例として、コンピューティングデバイス上で実行するアプリケーションとコンピューティングデバイスの両方は、構成要素と呼ばれる場合がある。1つまたは複数の構成要素が、プロセスおよび/または実行スレッド内に存在することがあり、1つの構成要素が、1つのプロセッサもしくはコアに局在することがあり、かつ/または2つ以上のプロセッサもしくはコアに分散されることがある。加えて、これらの構成要素は、様々な命令および/またはデータ構造が記憶された様々な非一時的コンピュータ可読媒体から実行することができる。構成要素は、ローカルプロセスおよび/またはリモートプロセス、関数呼出しまたはプロシージャ呼出し、電子信号、データパケット、メモリ読出し/書込み、ならびに他の知られているネットワーク、コンピュータ、プロセッサ、および/またはプロセス関連の通信方法によって通信することができる。
【０１１５】
様々な態様の動作を実行するためのプログラマブルプロセッサ上での実行のためのコンピュータプログラムコードまたは「プログラムコード」は、C、C++、C#、Smalltalk、Java(登録商標)、JavaScript(登録商標)、Visual Basic、構造化照会言語(たとえば、Transact-SQL)、Perlなどの高水準プログラミング言語または様々な他のプログラミング言語で記述され得る。本出願で使用する場合、コンピュータ可読記憶媒体上に記憶されたプログラムコードまたはプログラムは、そのフォーマットがプロセッサによって理解可能である(オブジェクトコードなどの)機械語コードを指し得る。
【０１１６】
多くのモバイルコンピューティングデバイスのオペレーティングシステムのカーネルは、(非特権コードが実行する場合)ユーザ空間内に編成され、(特権コードが実行する場合)カーネル空間内に編成される。この分離は、カーネル空間の一部であるコードが一般公有使用許諾(GPL)で許諾される必要がある一方で、ユーザ空間において実行するコードがGPL許諾されなくてもよい、Android(登録商標)および他のGPL環境において特に重要である。本明細書で論じた様々なソフトウェア構成要素/モジュールは、明示的に別段の記述がない場合、カーネル空間またはユーザ空間のいずれかに実装され得ることを理解されたい。
【０１１７】
上記の方法の説明およびプロセスフロー図は、単に説明のための例として提供したものであり、様々な態様の動作を提示された順序で実行しなければならないことを要求または暗示するものではない。当業者なら諒解するように、上記の態様における動作の順番は、任意の順番で実行可能である。「その後」、「次いで」、「次」などの語は、動作の順番を限定するものではなく、これらの語は単に、読者に本方法の説明を案内するために使用される。さらに、たとえば冠詞「a」、「an」、または「the」を使用する、請求項の要素に対する単数形でのいかなる参照も、要素を単数形に限定すると解釈されるべきではない。
【０１１８】
本明細書で開示する態様に関して説明した様々な例示的な論理ブロック、モジュール、回路、およびアルゴリズム動作は、電子ハードウェア、コンピュータソフトウェア、またはその両方の組合せとして実装される場合がある。ハードウェアとソフトウェアのこの互換性を明確に示すために、様々な例示的な構成要素、ブロック、モジュール、回路、および動作を、一般にそれらの機能性に関して上述した。そのような機能性がハードウェアとして実装されるか、ソフトウェアとして実装されるかは、特定の用途およびシステム全体に課せられる設計制約によって決まる。当業者は、説明した機能性を特定のアプリケーションごとに様々な方法で実装し得るが、そのような実装決定は特許請求の範囲からの逸脱を引き起こすものと解釈されるべきではない。
【０１１９】
本明細書で開示した態様に関して説明した様々な例示的論理、論理ブロック、モジュール、および回路を実装するために使用されるハードウェアは、汎用プロセッサ、デジタル信号プロセッサ(DSP)、特定用途向け集積回路(ASIC)、フィールドプログラマブルゲートアレイ(FPGA)もしくは他のプログラマブル論理デバイス、個別ゲートもしくはトランジスタ論理、個別ハードウェア構成要素、または本明細書で説明した機能を実行するように設計されたそれらの任意の組合せを用いて実装もしくは実行され得る。汎用プロセッサはマルチプロセッサであり得るが、代替的に、プロセッサはいかなる従来のプロセッサ、コントローラ、マイクロコントローラ、またはステートマシンであってもよい。プロセッサは、コンピューティングデバイスの組合せ、たとえば、DSPとマルチプロセッサとの組合せ、複数のマルチプロセッサ、DSPコアと連携する1つもしくは複数のマルチプロセッサ、または任意の他のそのような構成としても実装され得る。代替的に、いくつかの動作または方法は、所与の機能に特有の回路によって実行され得る。
【０１２０】
1つまたは複数の例示的な態様では、説明した機能は、ハードウェア、ソフトウェア、ファームウェア、またはそれらの任意の組合せにおいて実装されてもよい。ソフトウェアで実装される場合、機能は、非一時的コンピュータ可読記憶媒体または非一時的プロセッサ可読記憶媒体上に1つまたは複数のプロセッサ実行可能命令またはコードとして記憶され得る。本明細書で開示した方法またはアルゴリズムの動作は、非一時的コンピュータ可読記憶媒体またはプロセッサ可読記憶媒体上の記憶されたプロセッサ実行可能ソフトウェア命令の形態であってよいプロセッサ実行可能ソフトウェアモジュールで具現化され得る。非一時的コンピュータ可読記憶媒体または非一時的プロセッサ可読記憶媒体は、コンピュータまたはプロセッサによってアクセスされる場合がある任意の記憶媒体であってもよい。限定ではなく例として、そのような非一時的コンピュータ可読記憶媒体または非一時的プロセッサ可読記憶媒体は、RAM、ROM、EEPROM、FLASHメモリ、CD-ROMもしくは他の光ディスクストレージ、磁気ディスクストレージもしくは他の磁気ストレージデバイス、または命令もしくはデータ構造の形態で所望のプログラムコードを記憶するために使用され得、コンピュータによってアクセスされ得る任意の他の媒体を含み得る。ディスク(disk)およびディスク(disc)は、本明細書で使用するとき、コンパクトディスク(disc)(CD)、レーザーディスク(登録商標)(disc)、光ディスク(disc)、デジタル多用途ディスク(disc)(DVD)、フロッピー(登録商標)ディスク(disk)、およびブルーレイディスク(disc)を含み、ディスク(disk)は通常、データを磁気的に再生し、ディスク(disc)は、レーザーを用いてデータを光学的に再生する。上記の組合せも、非一時的コンピュータ可読記憶媒体およびプロセッサ可読記憶媒体の範囲内に含まれる。加えて、方法またはアルゴリズムの動作は、コンピュータプログラム製品に組み込まれる場合がある、非一時的プロセッサ可読媒体および/または非一時的コンピュータ可読媒体上のコードおよび/または命令の1つまたは任意の組合せまたはセットとして存在する場合がある。
【０１２１】
開示した態様の前述の説明は、いかなる当業者も本発明を作成または使用することができるように与えたものである。これらの態様に対する様々な修正は当業者には容易に明らかとなり、本明細書で定義した一般原理は、本発明の趣旨または範囲から逸脱することなく、他の態様に適用され得る。したがって、本発明は、本明細書に示す態様に限定されるものではなく、以下の特許請求の範囲、ならびに本明細書で開示する原理および新規の特徴と一致する最も広い範囲を与えられるべきである。
【符号の説明】
【０１２２】
100  システムオンチップ(SOC)
102  デジタル信号プロセッサ(DSP)、異種プロセッサ、プロセッサ、DSP
104  モデムプロセッサ、異種プロセッサ、プロセッサ
106  グラフィックスプロセッサ、異種プロセッサ、プロセッサ
108  アプリケーションプロセッサ、異種プロセッサ、プロセッサ
110  コプロセッサ、プロセッサ
112  メモリ要素
114  アナログ回路およびカスタム回路
116  システム構成要素/リソース
118  クロック
120  電圧調整器
124  相互接続/バスモジュール
200  モバイルデバイス
202  挙動観測器モジュール、モジュール
204  挙動抽出器モジュール、モジュール
206  挙動分析器モジュール、モジュール
207  アカウンティングモジュール
208  アクチュエータモジュール、モジュール
210  グラフィカル出力モジュール
214  セキュリティモジュール
500  方法
600  方法
700  方法
800  スマートフォン
802  プロセッサ
804  内部メモリ
806  音声符号化/復号(コーデック)回路、コーデック
808  ワイヤレスデータリンクおよび/または携帯電話トランシーバ、ワイヤレストラ
812  ディスプレイ
814  スピーカ
820  メニュー選択ボタンまたはロッカースイッチ
【図１】
2018522319.tif 000003
【図２】
2018522319.tif 000004
【図３】
2018522319.tif 000005
【図４】
2018522319.tif 000006
【図５】
2018522319.tif 000007
【図６】
2018522319.tif 000008
【図７】
2018522319.tif 000009
【図８】
2018522319.tif 000010
【手続補正書】
【提出日】平成29年11月1日(2017.11.1)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
挙動情報を収集するためにコンピューティングデバイスの挙動を監視するステップと、
前記収集された挙動情報に基づいて挙動ベクトル情報構造を生成するステップと、
分析結果を生成するために前記挙動ベクトル情報構造を分類器モデルに適用するステップと、
前記コンピューティングデバイスの挙動を分類するために前記分析結果を使用するステップと、
前記挙動の分類に最も寄与した前記分類器モデルによって評価される特徴を決定するために前記分析結果を使用するステップと、
前記挙動の前記分類に最も寄与した前記特徴を選択するステップと、
前記選択された特徴を前記コンピューティングデバイスの電子ディスプレイ上に表示するステップと
を含む、方法。
【請求項２】
前記コンピューティングデバイスの前記挙動を分類するために前記分析結果を前記使用するステップが、前記挙動を異常として分類するために前記分析結果を使用するステップを含む、請求項1に記載の方法。
【請求項３】
前記コンピューティングデバイスの前記挙動を分類するために前記分析結果を前記使用するステップが、前記挙動を非良性として分類するために前記分析結果を使用するステップを含み、
前記挙動の前記分類に最も寄与した前記分類器モデルによって評価される前記特徴を決定するために前記分析結果を前記使用するステップが、非良性としての前記挙動の前記分類に最も寄与した前記分類器モデルによって評価される前記特徴を決定するために前記分析結果を使用するステップを含み、
前記挙動の前記分類に最も寄与した前記特徴を前記選択するステップが、非良性としての前記挙動の前記分類に最も寄与した前記特徴を選択するステップを含む
請求項1に記載の方法。
【請求項４】
前記収集された挙動情報に基づいて前記挙動ベクトル情報構造を前記生成するステップが、ソフトウェアアプリケーションの活動を特徴付ける挙動ベクトルを生成するステップを含む、請求項1に記載の方法。
【請求項５】
前記挙動の前記分類に最も寄与した前記特徴の相対的な重要性を決定するステップ
をさらに含む、請求項1に記載の方法。
【請求項６】
前記挙動の前記分類に最も寄与した前記特徴に基づいて、前記挙動を特定する、分析する、またはそれに応じるために使用されるコンピューティングデバイスの処理リソースの量と、メモリリソースの量と、エネルギーリソースの量との間のトレードオフのバランスをとるステップ
をさらに含む、請求項1に記載の方法。
【請求項７】
前記分析結果を生成するために前記挙動ベクトル情報構造を前記分類器モデルに前記適用するステップが、
ロバストな分類器モデルのファミリーを選択するステップと、
前記分析結果を生成するために、複数の挙動ベクトルをロバストな分類器モデルの前記選択されたファミリーに適用するステップと
を含む、請求項1に記載の方法。
【請求項８】
有限状態機械を含む完全な分類器モデルを受信するステップであって、前記有限状態機械が、複数のブーストされた判定株として表現するのに適した情報を含み、各ブーストされた判定株が、テスト条件と第1の重み値と第2の重み値とを含む、受信するステップと、
前記完全な分類器モデル内に含まれる前記有限状態機械を前記複数のブーストされた判定株に変換することによって、ブーストされた判定株のリストを生成するステップと、
ブーストされた判定株の前記リスト内に含まれるブーストされた判定株に基づいて、前記コンピューティングデバイス内に簡潔な分類器モデルを生成するステップと
をさらに含み、
前記分析結果を生成するために前記挙動ベクトル情報構造を前記分類器モデルに前記適用するステップが、前記挙動ベクトル情報構造を前記生成された簡潔な分類器モデルに適用するステップを含む
請求項1に記載の方法。
【請求項９】
前記挙動ベクトル情報構造を前記生成された簡潔な分類器モデルに前記適用するステップが、
前記挙動ベクトル情報構造内に含まれる前記収集された挙動情報を前記生成された簡潔な分類器モデル内の前記ブーストされた判定株の各々に適用するステップと、
前記収集された挙動情報を前記生成された簡潔な分類器モデル内の前記ブーストされた判定株の各々に適用した結果の第1の加重平均を計算するために、前記ブーストされた判定株の第1の重み値を使用するステップと、
前記挙動が良性であるかどうかを決定するために、前記第1の加重平均をしきい値と比較するステップと
を含む、請求項8に記載の方法。
【請求項１０】
前記挙動の前記分類に最も寄与した前記特徴を前記選択するステップが、良性としての前記挙動の前記分類に最も寄与した前記特徴を決定するために前記ブーストされた判定株の第2の重み値を使用するステップを含む、請求項9に記載の方法。
【請求項１１】
コンピューティングデバイスであって、
プロセッサを含み、前記プロセッサが、
挙動情報を収集するためにデバイス挙動を監視し、
前記収集された挙動情報に基づいて挙動ベクトル情報構造を生成し、
分析結果を生成するために前記挙動ベクトル情報構造を分類器モデルに適用し、
前記コンピューティングデバイスの挙動を分類するために前記分析結果を使用し、
前記挙動の分類に最も寄与した前記分類器モデルによって評価される特徴を決定するために前記分析結果を使用し、
前記挙動の前記分類に最も寄与した前記特徴を選択し、
前記選択された特徴を前記コンピューティングデバイスの電子ディスプレイ上に表示する
ためのプロセッサ実行可能命令で構成される、コンピューティングデバイス。
【請求項１２】
前記プロセッサが、前記挙動を異常として分類するために前記分析結果を使用することによって、前記コンピューティングデバイスの前記挙動を分類するために前記分析結果を使用するためのプロセッサ実行可能命令でさらに構成される、請求項11に記載のコンピューティングデバイス。
【請求項１３】
前記プロセッサが、
前記挙動を非良性として分類するために前記分析結果を使用することによって、前記コンピューティングデバイスの前記挙動を分類するために前記分析結果を使用し、
非良性としての前記挙動の前記分類に最も寄与した前記分類器モデルによって評価される前記特徴を決定するために前記分析結果を使用することによって、前記挙動の前記分類に最も寄与した前記分類器モデルによって評価される前記特徴を決定するために前記分析結果を前記使用し、
非良性としての前記挙動の前記分類に最も寄与した前記特徴を選択することによって、前記挙動の前記分類に最も寄与した前記特徴を前記選択する
ためのプロセッサ実行可能命令でさらに構成される、請求項11に記載のコンピューティングデバイス。
【請求項１４】
前記プロセッサが、
前記挙動の前記分類に最も寄与した前記特徴の相対的な重要性を決定する
ためのプロセッサ実行可能命令でさらに構成される、請求項11に記載のコンピューティングデバイス。
【請求項１５】
前記プロセッサが、
前記挙動の前記分類に最も寄与した前記特徴に基づいて、前記挙動を特定する、分析する、またはそれに応じるために使用されるコンピューティングデバイスの処理リソースの量と、メモリリソースの量と、エネルギーリソースの量との間のトレードオフのバランスをとる
ためのプロセッサ実行可能命令でさらに構成される、請求項11に記載のコンピューティングデバイス。
【請求項１６】
前記プロセッサが、
有限状態機械を含む完全な分類器モデルを受信することであって、前記有限状態機械が、複数のブーストされた判定株として表現するのに適した情報を含み、各ブーストされた判定株が、テスト条件と第1の重み値と第2の重み値とを含む、受信することと、
前記完全な分類器モデル内に含まれる前記有限状態機械を前記複数のブーストされた判定株に変換することによって、ブーストされた判定株のリストを生成することと、
ブーストされた判定株の前記リスト内に含まれるブーストされた判定株に基づいて、前記コンピューティングデバイス内に簡潔な分類器モデルを生成することと
を行うためのプロセッサ実行可能命令でさらに構成され、
前記プロセッサが、
前記挙動ベクトル情報構造内に含まれる前記収集された挙動情報を前記生成された簡潔な分類器モデル内の前記ブーストされた判定株の各々に適用し、
前記収集された挙動情報を前記生成された簡潔な分類器モデル内の前記ブーストされた判定株の各々に適用した結果の第1の加重平均を計算するために、前記ブーストされた判定株の第1の重み値を使用し、
前記挙動が良性であるかどうかを決定するために、前記第1の加重平均をしきい値と比較すること
によって、前記分析結果を生成するために前記挙動ベクトル情報構造を前記分類器モデルに前記適用するためのプロセッサ実行可能命令でさらに構成される、請求項11に記載のコンピューティングデバイス。
【請求項１７】
前記プロセッサが、良性としての前記挙動の前記分類に最も寄与した前記特徴を決定するために前記ブーストされた判定株の第2の重み値を使用することによって、前記挙動の前記分類に最も寄与した前記特徴を前記選択するためのプロセッサ実行可能命令でさらに構成される、請求項16に記載のコンピューティングデバイス。
【請求項１８】
コンピューティングデバイスのプロセッサに動作を実行させるように構成されたプロセッサ実行可能ソフトウェア命令を記憶した非一時的コンピュータ可読記憶媒体であって、前記動作が、
挙動情報を収集するためにデバイス挙動を監視することと、
前記収集された挙動情報に基づいて挙動ベクトル情報構造を生成することと、
分析結果を生成するために前記挙動ベクトル情報構造を分類器モデルに適用することと、
前記コンピューティングデバイスの挙動を分類するために前記分析結果を使用することと、
前記挙動の分類に最も寄与した前記分類器モデルによって評価される特徴を決定するために前記分析結果を使用することと、
前記挙動の前記分類に最も寄与した前記特徴を選択することと、
前記選択された特徴を前記コンピューティングデバイスの電子ディスプレイ上に表示することと
を含む、非一時的コンピュータ可読記憶媒体。
【請求項１９】
前記記憶されたプロセッサ実行可能ソフトウェア命令が、前記コンピューティングデバイスの前記挙動を分類するために前記分析結果を前記使用することが、前記挙動を異常として分類するために前記分析結果を使用することを含むような動作を前記プロセッサに実行させるように構成される、請求項18に記載の非一時的コンピュータ可読記憶媒体。
【請求項２０】
前記記憶されたプロセッサ実行可能ソフトウェア命令が、
前記コンピューティングデバイスの前記挙動を分類するために前記分析結果を前記使用することが、前記挙動を非良性として分類するために前記分析結果を使用することを含み、
前記挙動の前記分類に最も寄与した前記分類器モデルによって評価される前記特徴を決定するために前記分析結果を前記使用することが、非良性としての前記挙動の前記分類に最も寄与した前記分類器モデルによって評価される前記特徴を決定するために前記分析結果を使用することを含み、
前記挙動の前記分類に最も寄与した前記特徴を前記選択することが、非良性としての前記挙動の前記分類に最も寄与した前記特徴を選択することを含む
ような動作を前記プロセッサに実行させるように構成される、請求項18に記載の非一時的コンピュータ可読記憶媒体。
【請求項２１】
前記記憶されたプロセッサ実行可能ソフトウェア命令が、
前記挙動の前記分類に最も寄与した前記特徴の相対的な重要性を決定すること
をさらに含む動作を前記プロセッサに実行させるように構成される、請求項18に記載の非一時的コンピュータ可読記憶媒体。
【請求項２２】
前記記憶されたプロセッサ実行可能ソフトウェア命令が、
前記挙動の前記分類に最も寄与した前記特徴に基づいて、前記挙動を特定する、分析する、またはそれに応じるために使用されるコンピューティングデバイスの処理リソースの量と、メモリリソースの量と、エネルギーリソースの量との間のトレードオフのバランスをとること
をさらに含む動作を前記プロセッサに実行させるように構成される、請求項18に記載の非一時的コンピュータ可読記憶媒体。
【請求項２３】
前記記憶されたプロセッサ実行可能ソフトウェア命令が、
有限状態機械を含む完全な分類器モデルを受信することであって、前記有限状態機械が、複数のブーストされた判定株として表現するのに適した情報を含み、各ブーストされた判定株が、テスト条件と第1の重み値と第2の重み値とを含む、受信することと、
前記完全な分類器モデル内に含まれる前記有限状態機械を前記複数のブーストされた判定株に変換することによって、ブーストされた判定株のリストを生成することと、
ブーストされた判定株の前記リスト内に含まれるブーストされた判定株に基づいて、前記コンピューティングデバイス内に簡潔な分類器モデルを生成することと
をさらに含む動作を前記プロセッサに実行させるように構成され、
前記記憶されたプロセッサ実行可能ソフトウェア命令が、前記分析結果を生成するために前記挙動ベクトル情報構造を前記分類器モデルに前記適用することが、
前記挙動ベクトル情報構造内に含まれる前記収集された挙動情報を前記生成された簡潔な分類器モデル内の前記ブーストされた判定株の各々に適用することと、
前記収集された挙動情報を前記生成された簡潔な分類器モデル内の前記ブーストされた判定株の各々に適用した結果の第1の加重平均を計算するために、前記ブーストされた判定株の第1の重み値を使用することと、
前記挙動が良性であるかどうかを決定するために、前記第1の加重平均をしきい値と比較することと
を含むような動作を前記プロセッサに実行させるように構成される、請求項18に記載の非一時的コンピュータ可読記憶媒体。
【請求項２４】
前記記憶されたプロセッサ実行可能ソフトウェア命令が、前記挙動の前記分類に最も寄与した前記特徴を前記選択することが、良性としての前記挙動の前記分類に最も寄与した前記特徴を決定するために前記ブーストされた判定株の第2の重み値を使用することを含むような動作を前記プロセッサに実行させるように構成される、請求項23に記載の非一時的コンピュータ可読記憶媒体。
【請求項２５】
コンピューティングデバイスであって、
挙動情報を収集するためにデバイス挙動を監視するための手段と、
前記収集された挙動情報に基づいて挙動ベクトル情報構造を生成するための手段と、
分析結果を生成するために前記挙動ベクトル情報構造を分類器モデルに適用するための手段と、
前記コンピューティングデバイスの挙動を分類するために前記分析結果を使用するための手段と、
前記挙動の分類に最も寄与した前記分類器モデルによって評価される特徴を決定するために前記分析結果を使用するための手段と、
前記挙動の前記分類に最も寄与した前記特徴を選択するための手段と、
前記選択された特徴を表示するための手段とを含む、コンピューティングデバイス。
【請求項２６】
前記コンピューティングデバイスの前記挙動を分類するために前記分析結果を前記使用するための手段が、前記挙動を異常として分類するために前記分析結果を使用するための手段を含む、請求項25に記載のコンピューティングデバイス。
【請求項２７】
前記コンピューティングデバイスの前記挙動を分類するために前記分析結果を前記使用するための手段が、前記挙動を非良性として分類するために前記分析結果を使用するための手段を含み、
前記挙動の前記分類に最も寄与した前記分類器モデルによって評価される前記特徴を決定するために前記分析結果を前記使用するための手段が、非良性としての前記挙動の前記分類に最も寄与した前記分類器モデルによって評価される前記特徴を決定するために前記分析結果を使用するための手段を含み、
前記挙動の前記分類に最も寄与した前記特徴を前記選択するための手段が、非良性としての前記挙動の前記分類に最も寄与した前記特徴を選択するための手段を含む
請求項25に記載のコンピューティングデバイス。
【請求項２８】
前記挙動の前記分類に最も寄与した前記特徴の相対的な重要性を決定するための手段
をさらに含む、請求項25にコンピューティングデバイス。
【請求項２９】
有限状態機械を含む完全な分類器モデルを受信するための手段であって、前記有限状態機械が、複数のブーストされた判定株として表現するのに適した情報を含み、各ブーストされた判定株が、テスト条件と第1の重み値と第2の重み値とを含む、受信するための手段と、
前記完全な分類器モデル内に含まれる前記有限状態機械を前記複数のブーストされた判定株に変換することによって、ブーストされた判定株のリストを生成するための手段と、
ブーストされた判定株の前記リスト内に含まれるブーストされた判定株に基づいて、前記コンピューティングデバイス内に簡潔な分類器モデルを生成するための手段と
をさらに含み、
分析結果を生成するために前記挙動ベクトル情報構造を前記分類器モデルに前記適用するための手段が、
前記挙動ベクトル情報構造内に含まれる前記収集された挙動情報を前記生成された簡潔な分類器モデル内の前記ブーストされた判定株の各々に適用するための手段と、
前記収集された挙動情報を前記生成された簡潔な分類器モデル内の前記ブーストされた判定株の各々に適用した結果の第1の加重平均を計算するために、前記ブーストされた判定株の第1の重み値を使用するための手段と、
前記挙動が良性であるかどうかを決定するために、前記第1の加重平均をしきい値と比較するための手段と
を含む、請求項25に記載のコンピューティングデバイス。
【請求項３０】
前記挙動の前記分類に最も寄与した前記特徴を前記選択するための手段が、良性としての前記挙動の前記分類に最も寄与した前記特徴を決定するために前記ブーストされた判定株の第2の重み値を使用するための手段を含む、請求項29に記載のコンピューティングデバイス。
【国際調査報告】
2018522319.tif 000011
2018522319.tif 000012
2018522319.tif 000013