(57)【要約】  本明細書に説明される特定の実施形態は、システムにおけるオブジェクトのアクティビティを監視し、監視されるアクティビティをシステムに関するメタデータと比較し、潜在的に悪意のあるアクティビティを検知するように低拡散度外れ値を特定するように構成され得る、電子デバイスを提供する。監視されるアクティビティは、ポリモーフィック型の脅威を特定するようにシステムにおけるオブジェクトのメタデータを分析することと、別のオブジェクトからのメタデータを再使用するオブジェクトを検知するようにシステムのオブジェクト再使用を分析することと、システムのファイル名を分析することと、を含み得る。
2018524716.tif 000002
【特許請求の範囲】
【請求項１】
少なくとも１つのプロセッサに、
システムにおけるオブジェクトのアクティビティを監視する手順と、
監視される前記アクティビティを前記システムに関するメタデータと比較する手順と、
潜在的に悪意のあるアクティビティを検知すべく低拡散度外れ値を特定する手順と、
を実行させるための、コンピュータプログラム。
【請求項２】
監視される前記アクティビティを前記システムに関するメタデータと比較する手順が、ポリモーフィック型の脅威を特定すべく前記システムにおける前記オブジェクトのメタデータを分析する手順を含む、請求項１に記載のコンピュータプログラム。
【請求項３】
監視される前記アクティビティを前記システムに関するメタデータと比較する手順が、別のオブジェクトからのメタデータを再使用するオブジェクトを検知すべく、前記システムのオブジェクト再使用を分析する手順を含む、請求項１または２に記載のコンピュータプログラム。
【請求項４】
前記低拡散度外れ値の年代が、前記潜在的に悪意のあるアクティビティを検知すべく少なくとも部分的に用いられる、請求項１から３のいずれか一項に記載のコンピュータプログラム。
【請求項５】
監視される前記アクティビティが前記システムのファイル名分析を含む、請求項１から４のいずれか一項に記載のコンピュータプログラム。
【請求項６】
前記潜在的に悪意のあるアクティビティがオブジェクトと関連づけられ、前記オブジェクトがマルウェアスキャンされる、請求項１から５のいずれか一項に記載のコンピュータプログラム。
【請求項７】
前記システムに関する前記メタデータが、前記システム上で監視された前のアクティビティから生成される、請求項１から６のいずれか一項に記載のコンピュータプログラム。
【請求項８】
前記システムに関する前記メタデータが、少なくとも部分的に、同様のシステムに関する他のメタデータに基づく、請求項１から７のいずれか一項に記載のコンピュータプログラム。
【請求項９】
システムにおけるオブジェクトのアクティビティを監視し、
監視される前記アクティビティを前記システムに関するメタデータと比較し、
潜在的に悪意のあるアクティビティを検知すべく低拡散度外れ値を特定する、
外れ値検知モジュールを含む、装置。
【請求項１０】
監視される前記アクティビティを前記システムに関するメタデータと比較することが、ポリモーフィック型の脅威を特定すべく前記システムにおける前記オブジェクトのメタデータを分析することを含む、請求項９に記載の装置。
【請求項１１】
監視される前記アクティビティを前記システムに関するメタデータと比較することが、別のオブジェクトからのメタデータを再使用するオブジェクトを検知すべく、前記システムのオブジェクト再使用を分析することを含む、請求項９または１０に記載の装置。
【請求項１２】
前記低拡散度外れ値の年代が、少なくとも部分的に、前記潜在的に悪意のあるアクティビティを検知すべく用いられる、請求項９から１１のいずれか一項に記載の装置。
【請求項１３】
監視される前記アクティビティが前記システムのファイル名分析を含む、請求項９から１２のいずれか一項に記載の装置。
【請求項１４】
前記潜在的に悪意のあるアクティビティがオブジェクトと関連づけられ、前記オブジェクトがマルウェアスキャンされる、請求項９から１３のいずれか一項に記載の装置。
【請求項１５】
前記システムに関する前記メタデータが、前記システム上で監視された前のアクティビティから生成される、請求項９から１４のいずれか一項に記載の装置。
【請求項１６】
前記システムに関する前記メタデータが、少なくとも部分的に、同様のシステムに関する他のメタデータに基づく、請求項９から１５のいずれか一項に記載の装置。
【請求項１７】
システムにおけるオブジェクトのアクティビティを監視する段階と、
監視される前記アクティビティを前記システムに関するメタデータと比較する段階と、
潜在的に悪意のあるアクティビティを検知すべく低拡散度外れ値を特定する段階と、
を含む、方法。
【請求項１８】
監視される前記アクティビティを前記システムに関するメタデータと比較する前記段階が、ポリモーフィック型の脅威を特定すべく前記システムにおける前記オブジェクトのメタデータを分析する段階を含む、請求項１７に記載の方法。
【請求項１９】
監視される前記アクティビティを前記システムに関するメタデータと比較する前記段階が、別のオブジェクトからのメタデータを再使用するオブジェクトを検知すべく、前記システムのオブジェクト再使用を分析する段階を含む、請求項１７または１８に記載の方法。
【請求項２０】
前記低拡散度外れ値の年代が、前記潜在的に悪意のあるアクティビティを検知すべく少なくとも部分的に用いられる、請求項１７から１９のいずれか一項に記載の方法。
【請求項２１】
監視される前記アクティビティが前記システムのファイル名分析を含む、請求項１７から２０のいずれか一項に記載の方法。
【請求項２２】
前記潜在的に悪意のあるアクティビティをオブジェクトと関連づける段階と、
潜在的に悪意のあるオブジェクトをマルウェアスキャンする段階と、
をさらに含む、請求項１７から２１のいずれか一項に記載の方法。
【請求項２３】
前記システムに関する前記メタデータが、前記システム上で監視された前のアクティビティから生成される、請求項１７から２２のいずれか一項に記載の方法。
【請求項２４】
マルウェアを特定するためのアノマリ検知のためのシステムであって、前記システムは、外れ値検知モジュールを含み、
前記外れ値検知モジュールは、
前記システムにおけるオブジェクトのアクティビティを監視し、
監視される前記アクティビティを前記システムに関するメタデータを比較し、
潜在的に悪意のあるアクティビティを検知すべく低拡散度外れ値を特定する、
システム。
【請求項２５】
監視される前記アクティビティを前記システムに関するメタデータと比較することが、ポリモーフィック型の脅威を特定すべく前記システムにおける前記オブジェクトのメタデータを分析することと、別のオブジェクトからのメタデータを再使用するオブジェクトを検知すべく、前記システムのオブジェクト再使用を分析することと、前記システムのファイル名を分析することと、を含む、請求項２４に記載のシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
［関連出願への相互参照］
本出願は、２０１５年６月２７日に出願された、「マルウェアを特定するためのアノマリ検知」と題された米国非仮（実用）特許出願第１４／７５２，８９３号の利益および優先権を主張し、それはその全体において参照によって本明細書に組み込まれる。
【０００２】
本開示は、概して、情報セキュリティの分野に関し、より具体的には、マルウェアを特定するためのアノマリ検知に関する。
【背景技術】
【０００３】
今日の社会において、ネットワークセキュリティの分野はますます重要になってきている。インターネットは、世界中の異なるコンピュータネットワークの相互接続を可能にしている。特に、インターネットは、様々なタイプのクライアントデバイスを介して、異なるコンピュータネットワークに接続された異なるユーザの間でデータを交換するための媒体を提供する。インターネットの使用が企業のコミュニケーションおよび個人のコミュニケーションを変えた一方、それは、また、悪意のある操作者がコンピュータおよびコンピュータネットワークへの不正アクセスを得るための、および、機密情報の意図的なまたは不注意による開示のための、手段として使用されている。
【０００４】
ホストコンピュータに感染する、悪意のあるソフトウェア（「マルウェア」）は、ホストコンピュータと関連づけられた企業または個人から機密情報を盗取する、他のホストコンピュータに伝播する、および／または、分散型サービス妨害攻撃を支援する、ホストコンピュータからのスパムまたは悪意のあるｅメールを送信する、などの、任意の数の悪意のある動作を実行することが可能であり得る。従って、コンピュータおよびコンピュータネットワークを、悪意のあるソフトウェアおよびデバイスによる、悪意のある、および不注意なエクスプロイトから保護するための、著しい管理課題が残っている。
【図面の簡単な説明】
【０００５】
本開示、ならびにその特徴および利点のより完全な理解を提供するように、添付の図面と共に用いられる以下の説明が参照される。同様の参照符号は同様の部分を表す。
【０００６】
【図１Ａ】本開示の一実施形態による、マルウェアを特定するためのアノマリ検知のための通信システムの簡略ブロック図である。
【０００７】
【図１Ｂ】本開示の一実施形態による、マルウェアを特定するためのアノマリ検知のための通信システムの一部分の簡略ブロック図である。
【０００８】
【図２】一実施形態による通信システムに関連づけられ得る、潜在的な操作を示す簡略フローチャートである。
【０００９】
【図３】一実施形態による通信システムに関連づけられ得る、潜在的な操作を示す簡略フローチャートである。
【００１０】
【図４】一実施形態によるポイントツーポイント構成に配置された、例示的なコンピューティングシステムを示すブロック図である。
【００１１】
【図５】本開示の例示的なＡＲＭエコシステム・システムオンチップ（ＳｏＣ）に関連づけられる、簡略ブロック図である。
【００１２】
【図６】一実施形態による例示的なプロセッサコアを示すブロック図である。
【００１３】
図面は、それらの寸法が本開示の範囲から大幅に逸脱することなく変わり得るので、必ずしも縮尺通りに描かれてはいない。
【発明を実施するための形態】
【００１４】
［例示的な実施形態］
図１Ａは、本開示の一実施形態による、マルウェアを特定するためのアノマリ検知のための通信システム１００ａの簡略ブロック図である。図１Ａに示されるように、通信システム１００ａは、電子デバイス１０２ａ−１０２ｄ、クラウドサービス１０４、およびサーバ１０６を含み得る。１または複数の電子デバイス１０２ａ−１０２ｄは各々、メモリ１１０、プロセッサ１１２、外れ値検知モジュール１１４、１または複数のプロセス１１６ａ−１１６ｃ、および複数のハードウェア１１８ａおよび１１８ｂを含み得る。外れ値検知モジュール１１４は、メタデータデータベース１２０を含み得る。１または複数の周辺機器１２２ａおよび１２２ｂは、１または複数の電子デバイス１０２ａ−１０２ｄと接続し得る。クラウドサービス１０４およびサーバ１０６は各々、ネットワーク外れ値検知モジュール１２４を含み得る。ネットワーク外れ値検知モジュール１２４は、メタデータデータベース１２０を含み得る。電子デバイス１０２ａ−１０２ｄと、クラウドサービス１０４と、サーバ１０６とは、ネットワーク１０８を用いて互いに通信し得る。
【００１５】
図１Ｂは、本開示の一実施形態による、マルウェアを特定するためのアノマリ検知のための通信システム１００ｂの簡略ブロック図である。図１Ｂに示されるように、通信システム１００ｂは、電子デバイス１０２ｅ−１０２ｇ、クラウドサービス１０４、およびサーバ１０６を含み得る。電子デバイス１０２ｅ−１０２ｇは、ローカルネットワーク１２８を用いて互いに通信し得る。ローカルネットワーク１２８は、電子デバイス１０２ｈを含み得る。電子デバイス１０２ｈは、ローカルネットワーク外れ値検知モジュール１３０を含み得る。ローカルネットワーク外れ値検知モジュール１３０は、メタデータデータベース１２０を含み得る。ローカルネットワーク１２８は、ネットワーク１０８を用いて、クラウドサービス１０４およびサーバ１０６と通信し得る。
【００１６】
例示的な実施形態において、通信システム１００ａおよび１００ｂは、本開示の一実施形態によるマルウェアを特定するためのアノマリ検知のために構成され得る。外れ値検知モジュール１１４、ネットワーク外れ値検知モジュール１２４、およびローカルネットワーク外れ値検知モジュール１３０は、ネットワーク上の各デバイスに関するデバイスの挙動を理解し、デバイスレピュテーション値を評価するように構成され得る。通信システム１００ａおよび１００ｂは、また、アプリケーションまたはアクティビティに関連づけられたネットワークトラフィックにおけるコンテンツに基づいて、不審なアプリケーションまたはアクティビティを特定するように構成される。例えば、通信システム１００ａおよび１００ｂは、システムのアクティビティを監視し、監視されるアクティビティをシステムに関するメタデータと比較し、潜在的に悪意のあるオブジェクトを検知するように低拡散度外れ値（ｌｏｗ  ｐｒｅｖａｌｅｎｃｅ  ｏｕｔｌｉｅｒｓ）を特定するように構成され得る。例えば、外れ値検知モジュール１１４は、プロセス１１６ａ−１１６ｃ、ハードウェア１１８ａおよび１１８ｂ、および周辺機器１２２ａおよび１２２ｂの挙動を理解し、プロセス１１６ａ−１１６ｃ、ハードウェア１１８ａおよび１１８ｂ、ならびに周辺機器１２２ａおよび１２２ｂからの低拡散度外れ値またはアノマリ挙動の認識によって、不審なアクティビティを特定するように構成され得る。また、ネットワーク外れ値検知モジュール１２４は、電子デバイス１０２ａ−１０２ｄの挙動を理解し、電子デバイス１０２ａ−１０２ｄからの低拡散度外れ値またはアノマリ挙動の認識によって、不審なアクティビティを特定するように構成され得る。さらに、ローカルネットワーク外れ値検知モジュール１３０は電子デバイス１０２ｅ−１０２ｇの挙動を理解し、電子デバイス１０２ｅ−１０２ｇからの低拡散度外れ値またはアノマリ挙動の認識によって、不審なアクティビティを特定するように構成され得る。メタデータデータベース１２０は、システム上のオブジェクトの挙動の理解を容易にするための、システム内の各オブジェクトに関するメタデータを含み得る。一例において、メタデータデータベース１２０は、通信システム１００ａおよび１００ｂにおいて発見された各外れ値の拡散度および年代、または、通信システム１００ａおよび１００ｂに存在するかもしれない共通に知られた外れ値の共通の拡散度および年代（可能ならば）を含み得る。
【００１７】
外れ値検知モジュール１１４およびネットワーク外れ値検知モジュール１２４は、低拡散度外れ値を判断するために、および、低拡散度外れ値がデバイス、プロセス、またはオブジェクトからの悪意のあるアクティビティをいつ示し得るかを判断するために、メタデータデータベース１２０を用い得る。例えば、外れ値検知モジュール１１４およびネットワーク外れ値検知モジュール１２４は、通信システム１００ａおよび１００ｂ（例えば、電子デバイス１０２ａ−１０２ｇ、プロセス１１６ａ−１１６ｃ、ハードウェア１１８ａおよび１１８ｂ、周辺機器１２２ａおよび１２２ｂなど）におけるオブジェクトのアクティビティを監視し、監視されるアクティビティをシステムに関するメタデータと比較し、潜在的に悪意のあるアクティビティを検知するように低拡散度外れ値を特定するように構成され得る。一例において、監視されるアクティビティは、ポリモーフィック型の脅威を特定するように、システムにおけるオブジェクト（例えば、電子デバイス、プロセス、ハードウェア、周辺機器など）のメタデータの分析を含み得る。より具体的には、ファイル名の再使用、複数のオブジェクト上でフィンガープリントが同様だがハッシュが異なりその他の点では同一であるオブジェクト、などの、ポリモーフィックの指標を特定することによって、ポリモーフィック型の脅威の特定を容易にするように、複数のシステムからのオブジェクトメタデータが比較され得る。ポリモーフィック型のオブジェクトは、別のオブジェクトと同様であるが、ファイル形状、ファイル暗号ハッシュなどの領域で僅かにのみ異なり、相違は、オブジェクトが各システム上にどのように示されるかの指標となり得る。監視されるアクティビティは、別のオブジェクトからのメタデータを再使用するオブジェクトを検知するように、システムのオブジェクト再使用分析をまた含み得る。例えば、拡散度のあるオブジェクトによって用いられるファイル名などのメタデータを再使用するがその他の点では低拡散度オブジェクトである、低拡散度オブジェクトは、かなり異なる（例えば、ｓｖｃｈｏｓｔ．ｅｘｅが、悪意の用途によって再使用される共通ファイル名である）。低拡散度外れ値の年代は、潜在的に悪意のあるアクティビティを検知するように、少なくとも部分的に用いられ得る。一例において、各外れ値の拡散度および年代は、外れ値検知モジュール１１４および／またはネットワーク外れ値検知モジュール１２４によって判断され得、比較的拡散度のある、新しい外れ値は、悪意のあるアクティビティの指標となり得る。
【００１８】
図１Ａおよび図１Ｂの複数の要素は、任意の好適な（有線または無線）接続を採用する１または複数のインタフェースを通じて互いに結合され得、それはネットワーク（例えば、ネットワーク１０８、ローカルネットワーク１２８など）通信のための実行可能な経路を提供する。加えて、図１Ａおよび図１Ｂのそれらの要素の任意の１または複数は、特定の構成の必要性に基づいて、組み合わされ得、または、アーキテクチャから取り除かれ得る。通信システム１００ａおよび１００ｂは、ネットワークにおけるパケットの送信または受信のための、伝送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）通信が可能な構成を含み得る。通信システム１００ａおよび１００ｂは、必要に応じて、および特定の必要性に基づいて、ユーザデータグラムプロトコル／ＩＰ（ＵＤＰ／ＩＰ）または任意の他の好適なプロトコルと共に、また動作し得る。
【００１９】
通信システム１００ａおよび１００ｂの特定の例の技術を示す目的で、ネットワーク環境をトラバースし得る通信を理解することが重要である。以下の基礎的情報は、本開示が適切に説明され得る根拠とみなされ得る。
【００２０】
現在、マルウェアはしばしば、マルウェアが動作している環境において見つけられることが予期されるオブジェクトを擬態することによって、マルウェア自体を隠すことを試みる。マルウェアが模倣し得るオブジェクトは、様々なメタデータ、ファイル名、プロセス名、ファイルプロパティ、レジスタキーなどであり得る。この技術は、しばしば、ユーザおよび管理者からマルウェアを隠すためにうまく動作する。必要とされることは、マルウェアを検知および特定するために、マルウェアによって用いられる模倣の処理を利用することを可能にする方法である。
【００２１】
図１Ａおよび図１Ｂに概説されるような、マルウェアを特定するためのアノマリ検知のための通信システムが、これらの（および他の）課題を解決し得る。通信システム１００ａおよび１００ｂは、集中化されたデータストア（例えば、メタデータデータベース１２０）を用いて、共通の用途および処理のメタデータを特定し、外れ値を特定するように構成され得る。検知アルゴリズムは、環境において高度な拡散度の一様なオブジェクトを発見するように、および、低拡散度外れ値を探して潜在的に悪意のあるオブジェクトを特定するように、集中化されたデータストア（例えば、メタデータデータベース１２０）と共に動作し得る。この処理は、システム上で普通でない挙動を検査する場合に人間の研究者が体験するであろうことと同様であり、通信システム１００ａおよび１００ｂが、研究者および管理者が実現不可能な規模でこのタイプのロジックを自動化することを、可能にし得る。
【００２２】
メタデータ外れ値を特定するように、集中化されたデータストア（例えば、メタデータデータベース１２０）を用いて、外れ値検知モジュール１１４およびローカルネットワーク外れ値検知モジュール１３０は、通信システム１００ａおよび１００ｂにおける高度な拡散度の一様なオブジェクトを特定し、潜在的に悪意のあるオブジェクトを特定するように低拡散度外れ値を探す。通信システム１００ａおよび１００ｂ、または通信システム１００ａおよび１００ｂの一部分の分析は、高度な拡散度であり、仮にあるとしても履歴的にわずかな外れ値しかない、オブジェクトへの外れ値を探すスケジュール処理であり得る。（例えば、ＭＳＩＥｘｅｃは常に署名される。署名されていないＭＳＩＥｘｅｃの１つの一意的なインスタンスは、悪意のあるアクティビティを示し得る最新の分析の最中に出現した）これの拡張は、コンテキストにおける新しい外れ値の上位集合を検査することである。例えば、最新の分析の最中に単一のシステムがＶＳＥまたはＨＩＰｓの脅威イベントを有し、外れ値検知モジュール１１４が高度な普通でない１７個の外れ値を特定したならば、システムは悪意のあるアクティビティを最も体験しそうである。分析はまた、電子デバイスからのクエリへの応答などの、オンデマンドであり得る。クエリは、デバイスまたはネットワーク上で、潜在的に悪意のある挙動に応答し得、クエリは、通信システム１００ａおよび１００ｂにおいて潜在的に悪意のある挙動、または普通の挙動の位置の、妥当性を確認するように用いられ得る。例えば、ネットワーク外れ値検知モジュール１２４がローカルネットワークから普通でない量の外れ値アクティビティを検知している場合、ローカルネットワーク外れ値検知モジュール１３０は、普通でなく高い外れ値アクティビティを電子デバイス１０２ｅにトレースすることが可能であり得る。電子デバイス１０２ｅは、外れ値検知モジュール１１４を含み得、普通でなく高い外れ値アクティビティのソースをプロセス、周辺機器またはハードウェアにトレースし得る。
【００２３】
外れ値検知モジュール１１４およびローカルネットワーク外れ値検知モジュール１３０による分析は、環境内のバイナリの１つおきのインスタンス毎に有効な署名がある、ポリモーフィック型であり得る。分析はまた、オートランレジストリキーが環境内の他のものと合致しない一意的な値である、オブジェクト再使用を探していてもよい。例えば、オートランレジストリキーのためのターゲットファイルはＡｄｏｂｅによって署名され、問題になっているターゲットバイナリは一意的であり署名されていない。分析はまた、ファイル名を含み得る。例えば、一般に用いられるファイル（例えば、ｍｓｉｅｘｅｃ．ｅｘｅ）は一意的な位置にあり、一意的なバイナリプロパティ（例えば、パック／アンパック、３２／６４ビットなど）を有する。一例において、ロジックの組み合わせは、外れ値検知モジュール１１４およびローカルネットワーク外れ値検知モジュール１３０によって成され得る。いくつかのプロパティは、ダイナミックでありユビキタスではない（例えば、ファイルバージョン情報）ように意図される。他の点では同一のバイナリが、ネイティブなＷｉｎ３２から．ＮＥＴファイル構造に変化するであろうことはありそうにない。一例において、ロジックエンジンは、メタデータの変化に異なる重みづけをするように構成され得る。
【００２４】
一実施形態において、ネットワーク外れ値検知モジュール１２４およびローカルネットワーク外れ値検知モジュール１３０は、ネットワークトラフィックを受動的にリッスンして、各電子デバイスとの間を行き来するネットワークトラフィックを監視するように構成され得る。一例において、ネットワークにおける１または複数の電子デバイス（例えば、電子デバイス１０２ａ−１０２ｄ）は、ネットワークトラフィックを監視して、各々の電子デバイスとの間を行き来するネットワークトラフィックに基づいてアラートを提供するための、外れ値検知モジュール１１４を各々含み得る。別の例において、中央ネットワークゲートウェイデバイス（例えば、電子デバイス１０２ｈ）は、トラフィックを監視するように、および、情報アラートの提供に加えて不審な挙動に自動的に作動するように、ローカルネットワーク外れ値検知モジュール１３０を用い得る。
【００２５】
図１Ａおよび図１Ｂのインフラストラクチャに移ると、例示的な実施形態による通信システム１００ａおよび１００ｂが示される。概して、通信システム１００ａおよび１００ｂは、任意の種類またはトポロジのネットワークにおいて実装され得る。ネットワーク１０８は、通信システム１００ａおよび１００ｂを通じて伝播する情報のパケットを受信および送信する、相互接続された通信経路の一連のポイントまたはノードを示す。ネットワーク１０８は、ノード間の通信インタフェースを提供し、任意のローカルエリアネットワーク（ＬＡＮ）、仮想ローカルエリアネットワーク（ＶＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、無線ローカルエリアネットワーク（ＷＬＡＮ）、メトロポリタンエリアネットワーク（ＭＡＮ）、イントラネット、エクストラネット、仮想プライベートネットワーク（ＶＰＮ）、および、ネットワーク環境において通信を容易にする任意の他の適切なアーキテクチャまたはシステム、または、それらの任意の好適な組み合わせとして、有線および／または無線通信を含んで構成され得る。ローカルネットワーク１２８は、電子デバイス１０２ｅ−１０２ｇを通じて伝播する情報のパケットを受信および送信する、相互接続された通信経路の一連のポイントまたはノードを示す。ローカルネットワーク１２８は、ノード間の通信インタフェースを提供し、任意のローカルエリアネットワーク（ＬＡＮ）、仮想ローカルエリアネットワーク（ＶＬＡＮ）、および、ネットワーク環境において通信を容易にする任意の他の適切なアーキテクチャまたはシステム、または、それらの任意の好適な組み合わせとして、有線および／または無線通信を含んで構成され得る。
【００２６】
通信システム１００ａおよび１００ｂにおいて、パケット、フレーム、信号、データなどを含むネットワークトラフィックは、任意の好適な通信メッセージングプロトコルによって送信され得、および受信され得る。好適な通信メッセージングプロトコルは、開放型システム間相互接続（ＯＳＩ）モデル、または、それらの任意の派生または変形（例えば、伝送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）、ユーザデータグラムプロトコル／ＩＰ（ＵＤＰ／ＩＰ））、などの多層スキームを含み得る。加えて、セルラネットワークにわたる無線信号通信もまた、通信システム１００ａおよび１００ｂにおいて、提供されてよい。好適なインタフェースおよびインフラストラクチャが、セルラネットワークとの通信を可能にするように提供されてよい。
【００２７】
本明細書で用いられる用語「パケット」は、パケット交換ネットワーク上のソースノードと宛先ノードとの間でルーティングされ得るデータの単位を指す。パケットは、ソースネットワークアドレスおよび宛先ネットワークアドレスを含む。これらのネットワークアドレスは、ＴＣＰ／ＩＰメッセージングプロトコルにおけるインターネットプロトコル（ＩＰ）アドレスであり得る。本明細書で用いられる用語「データ」は、電子デバイスおよび／またはネットワークにおいて、１つのポイントから別のポイントへ通信され得る任意の適切なフォーマットの、任意の種類のバイナリ、数値、音声、ビデオ、テキスト、もしくはスクリプトデータ、もしくは、任意の種類のソースもしくはオブジェクトコード、または、任意の他の好適な情報を指す。加えて、メッセージ、要求、応答、およびクエリはネットワークトラフィックの形態であり、従って、パケット、フレーム、信号、データなどを備え得る。
【００２８】
例示的な実装において、電子デバイス１０２ａ−１０２ｈ、クラウドサービス１０４、およびサーバ１０６はネットワーク要素であり、それらは、ネットワーク環境において情報を交換するように操作可能な、ネットワーク機器、サーバ、ルータ、スイッチ、ゲートウェイ、ブリッジ、ロードバランサ、プロセッサ、モジュール、または、任意の他の好適なデバイス、コンポーネント、要素、もしくはオブジェクトを包含することが意図される。ネットワーク要素は、それらの操作を容易にする、任意の好適なハードウェア、ソフトウェア、コンポーネント、モジュール、または、オブジェクト、ならびに、ネットワーク環境においてデータまたは情報を受信、送信、および／または別の方法で通信するために好適なインタフェースを含み得る。これは、データまたは情報の効果的な交換を可能にする適切なアルゴリズムおよび通信プロトコルを含み得る。
【００２９】
通信システム１００ａおよび１００ｂに関連づけられた内部構造に関して、電子デバイス１０２ａ−１０２ｈ、クラウドサービス１０４、およびサーバ１０６の各々は、本明細書に概説される操作において用いられる情報を格納するための複数のメモリ要素を含み得る。電子デバイス１０２ａ−１０２ｈ、クラウドサービス１０４、およびサーバ１０６の各々は、任意の好適なメモリ要素（例えば、ランダムアクセスメモリ（ＲＡＭ）、リードオンリメモリ（ＲＯＭ）、消去可能プログラマブルＲＯＭ（ＥＰＲＯＭ）、電気的消去可能プログラマブルＲＯＭ（ＥＥＰＲＯＭ）、特定用途向け集積回路（ＡＳＩＣ）など）、ソフトウェア、ハードウェア、ファームウェア、または、必要に応じて、および特定の必要性に基づいて、任意の他の好適なコンポーネント、デバイス、要素、もしくはオブジェクトに、情報を保持し得る。本明細書で説明された任意のメモリアイテムは、広義の用語「メモリ要素」の中に包含されると解釈されるべきである。さらに、通信システム１００ａおよび１００ｂにおいて用いられ、トラッキングされ、送信され、または受信される情報は、任意のデータベース、レジスタ、キュー、テーブル、キャッシュ、制御リスト、または他のストレージ構造において提供され得、それらの全ては、任意の好適な時間枠で参照され得る。任意のそのようなストレージの選択肢が、本明細書で用いられる広義の用語「メモリ要素」の中に、また含まれ得る。
【００３０】
特定の例示的な実装において、本明細書に概説される機能は、非一時的コンピュータ読み取り可能媒体を含み得る１または複数の有形媒体において符号化されるロジック（例えば、ＡＳＩＣに提供される組み込みロジック、デジタル信号プロセッサ（ＤＳＰ）命令、プロセッサまたは他の同様の機械によって実行されるソフトウェア（オブジェクトコードおよびソースコードを潜在的に含む）、など）によって実装され得る。これらの例のいくつかにおいて、メモリ要素は、本明細書に説明された操作のために用いられるデータを格納し得る。これは、本明細書に説明されたアクティビティを遂行するように実行される、ソフトウェア、ロジック、コード、またはプロセッサ命令を格納可能なメモリ要素を含む。
【００３１】
例示的な実装において、電子デバイス１０２ａ−１０２ｈ、クラウドサービス１０４、およびサーバ１０６などの通信システム１００ａおよび１００ｂのネットワーク要素は、本明細書に概説される操作を実現または促進する、ソフトウェアモジュール（例えば、外れ値検知モジュール１１４およびネットワーク外れ値検知モジュール１２４）を含み得る。これらのモジュールは、特定の構成および／またはプロビジョニングの必要性に基づき得る、任意の適切な態様で好適に組み合わされ得る。例示的な実施形態において、そのような操作は、ハードウェアによって遂行され得、それらの要素の外部に実装され得、または、意図される機能を実現する何らかの他のネットワークデバイスに含まれ得る。さらに、モジュールは、ソフトウェア、ハードウェア、ファームウェア、またはそれらの任意の好適な組み合わせとして実装され得る。これらの要素は、本明細書に概説されるような動作を実現させるように、他のネットワーク要素と連携し得るソフトウェア（またはレシプロケーティングソフトウェア（ｒｅｃｉｐｒｏｃａｔｉｎｇ  ｓｏｆｔｗａｒｅ））をまた含み得る。
【００３２】
加えて、電子デバイス１０２ａ−１０２ｈ、クラウドサービス１０４、およびサーバ１０６の各々は、本明細書に説明されたようなアクティビティを実行するソフトウェアまたはアルゴリズムを実行可能なプロセッサを含み得る。プロセッサは、本明細書で詳述された操作を実現するように、データと関連づけられた任意の種類の命令を実行し得る。一例において、プロセッサは、要素または物品（例えば、データ）を、１つの状態または物から、別の状態または物に変換し得る。別の例において、本明細書に概説されるアクティビティは、固定されたロジックまたはプログラム可能なロジック（例えば、プロセッサによって実行されるソフトウェア／コンピュータ命令）によって実装され得、本明細書において特定される要素は、デジタルロジック、ソフトウェア、コード、電子命令、またはそれらの任意の好適な組み合わせを含む、何らかのタイプのプログラム可能なプロセッサ、プログラム可能なデジタルロジック（例えば、フィールドプログラマブルゲートアレー（ＦＰＧＡ）、ＥＰＲＯＭ、ＥＥＰＲＯＭ）、またはＡＳＩＣであり得る。本明細書で説明される、任意の潜在的な処理要素、モジュールおよび機械は、広義の用語「プロセッサ」の中に包含されると解釈されるべきである。
【００３３】
電子デバイス１０２ａ−１０２ｈは各々、ネットワーク要素であり得、例えば、デスクトップコンピュータ、ラップトップコンピュータ、モバイルデバイス、パーソナルデジタルアシスタント、スマートフォン、タブレット、または他の同様のデバイスを含む。クラウドサービス１０４は、クラウドサービスを電子デバイス１０２ａ−ｈに提供するように構成される。クラウドサービス１０４は、インターネットなどのネットワークにわたるサービスとして供給されるコンピューティングリソースの使用として、概して定義され得る。通常、計算、ストレージ、およびネットワークリソースがクラウドインフラストラクチャにおいて提供され、ワークロードをローカルネットワークからクラウドネットワークへ効果的にシフトする。サーバ１０６は、サーバまたは仮想サーバなどのネットワーク要素であり得、何らかのネットワーク（例えば、ネットワーク１０８）を介して通信システム１００ａおよび１００ｂにおいて通信を開始することを所望しているクライアント、顧客、エンドポイント、またはエンドユーザに関連づけられ得る。用語「サーバ」は、通信システム１００ａおよび１００ｂの中のクライアントの要求を果たす、および／または、クライアントの代わりにいくらかの計算のタスクを実行するように用いられるデバイスを含む。外れ値検知モジュール１１４が電子デバイス１０２ａに位置するものとして図１Ａに表されているが、これは例示目的のみである。外れ値検知モジュール１１４は、任意の好適な構成において組み合わされ、または分離され得る。さらに、ローカルネットワーク外れ値検知モジュール１３０が電子デバイス１０２ｈに位置するものとして図１Ｂに表されているが、これは例示のみの目的である。ローカルネットワーク外れ値検知モジュール１３０は、任意の好適な構成において組み合わされ、または分離され得る。さらに、外れ値検知モジュール１１４およびローカルネットワーク外れ値検知モジュール１３０は各々、クラウドサービス１０４またはサーバ１０６などの電子デバイス１０２ａ−ｆによってアクセス可能な別のネットワークと統合され得、または、別のネットワーク内に分散され得る。
【００３４】
図２に移ると、図２は、一実施形態による、マルウェアを特定するためのアノマリ検知に関連づけられ得るフロー２００の可能な操作を示す、例示的なフローチャートである。一実施形態において、フロー２００の１または複数の工程は、外れ値検知モジュール１１４、ローカルネットワーク外れ値検知モジュール１３０、およびネットワーク外れ値検知モジュール１２４によって実行され得る。２０２において、デバイスがネットワークに接続される。２０４において、システムは、デバイスに関するメタデータが、ネットワークの外部で利用可能かどうか判断する。例えば、システムは、デバイスに関する拡散度、年代、および他のメタデータが、ネットワークの外部で利用可能かどうか判断し得る。デバイスに関するメタデータがネットワークの外部で利用可能でない場合、２０８に示されるように、その後、システムは、同様のタイプのデバイスがネットワークに接続されているかどうか判断する。デバイスに関するメタデータがネットワークの外部で利用可能である場合、２０６に示されるように、その後、デバイスに関するメタデータがネットワークの外部から得られる。２０８において、システムは、同様のタイプのデバイスがネットワークに接続されているかどうか判断する。
【００３５】
同様のタイプのデバイスがネットワークに接続されていない場合、２１２に示されるように、その後、デバイスのアクティビティがネットワーク上で観測される。同様のタイプのデバイスがネットワークに接続されている場合、その後、同様のタイプのデバイスのメタデータが、デバイスに関するメタデータに追加される。２１２において、デバイスのアクティビティがネットワーク上で観測される。
【００３６】
２１４において、デバイスからのメタデータが生成される。２１６において、システムは、デバイスに関する生成されたメタデータが変更される必要があるかどうか判断する。デバイスに関する生成されたメタデータが変更される必要がある場合、２１８に示されるように、その後、デバイスに関するメタデータは必要に応じて変更される。デバイスに関する生成されたメタデータが変更される必要がない場合、その後、フローは終了し、デバイスに関するメタデータは変更されない。
【００３７】
図３に移ると、図３は、一実施形態による、マルウェアを特定するためのアノマリ検知に関連づけられ得るフロー３００の可能な操作を示す、例示的なフローチャートである。一実施形態において、フロー３００の１または複数の工程は、外れ値検知モジュール１１４、ローカルネットワーク外れ値検知モジュール１３０、およびネットワーク外れ値検知モジュール１２４によって実行され得る。３０２において、システムに関するメタデータが判断される。３０４において、システムのアクティビティが監視される。３０６において、システムは、システムのアクティビティが、システムに関する判断されたメタデータの中にあるかどうか判断する。システムのアクティビティが、システムに関する判断されたメタデータの中にある（例えば、外れ値がない）場合、３０４に示されるように、その後、システムのアクティビティは監視され続ける。システムのアクティビティが、システムに関する判断されたメタデータの中にない（例えば外れ値が存在する）場合、３０６に示されるように、その後、是正措置がとられる。例えば、是正措置は、マルウェアのためにシステムをスキャンすること、または、ソースをトレースすること、または、なぜシステムのアクティビティがシステムに関する判断されたメタデータの中にないかに関して推論することであり得る。
【００３８】
図４は、一実施形態による、ポイントツーポイント（ＰｔＰ）構成に配置された、コンピューティングシステム４００を示す。特に、図４は、プロセッサ、メモリ、および入力／出力デバイスが、複数のポイントツーポイントインタフェースによって相互結合されるシステムを示す。概して、通信システム１００ａおよび１００ｂのネットワーク要素の１または複数は、コンピューティングシステム４００と同じ、または同様の態様で構成され得る。
【００３９】
図４に示されるように、システム４００は、いくつかのプロセッサを含み得、明確さのために、それらのうちプロセッサ４７０および４８０の２つのみが示される。２つのプロセッサ４７０および４８０が示される一方、システム４００の実施形態は、また、そのようなプロセッサを１つのみ含み得ることが、理解されるべきである。プログラムの複数のスレッドを実行するように、プロセッサ４７０および４８０は各々、一組のコア（すなわち、プロセッサコア４７４Ａおよび４７４Ｂ、ならびにプロセッサコア４８４Ａおよび４８４Ｂ）を含み得る。コアは、図１Ａから図３を参照して上に説明されたものと同様の態様で、命令コードを実行するように構成され得る。各プロセッサ４７０、４８０は、少なくとも１つの共有キャッシュ４７１、４８１を含み得る。共有キャッシュ４７１、４８１は、プロセッサコア４７４および４８４などの、プロセッサ４７０、４８０の１または複数のコンポーネントによって利用されるデータ（例えば、命令）を格納し得る。
【００４０】
プロセッサ４７０および４８０は各々、メモリ要素４３２および４３４と通信するための、統合されたメモリコントローラロジック（ＭＣ）４７２および４８２をまた含み得る。メモリ要素４３２および／または４３４は、プロセッサ４７０および４８０によって用いられる様々なデータを格納し得る。代替的な実施形態において、メモリコントローラロジック４７２および４８２は、プロセッサ４７０および４８０から独立した、個別のロジックであり得る。
【００４１】
プロセッサ４７０および４８０は、任意の種類のプロセッサであり得、ポイントツーポイントインタフェース回路４７８および４８８をそれぞれ用いて、ポイントツーポイント（ＰｔＰ）インタフェース４５０を介してデータを交換し得る。プロセッサ４７０および４８０は各々、ポイントツーポイントインタフェース回路４７６、４８６、４９４および４９８を用いて、個別のポイントツーポイントインタフェース４５２および４５４を介して、チップセット４９０とデータを交換し得る。チップセット４９０は、ＰｔＰインタフェース回路であり得るインタフェース回路４９２を用いて、高性能グラフィックインタフェース４３９を介して、高性能グラフィック回路４３８とデータをまた交換し得る。代替的な実施形態において、図４に示されたＰｔＰリンクのいずれかまたは全ては、ＰｔＰリンクではなくマルチドロップバスとして実装され得る。
【００４２】
チップセット４９０は、インタフェース回路４９６を介してバス４２０と通信し得る。バス４２０は、バスブリッジ４１８およびＩ／Ｏデバイス４１６などの、それを介して通信する１または複数のデバイスを有し得る。バス４１０を介して、バスブリッジ４１８は、キーボード／マウス４１２（または、タッチスクリーン、トラックボールなどの他の入力デバイス）、通信デバイス４２６（モデム、ネットワークインタフェースデバイス、または、コンピュータネットワーク４６０を通じて通信し得る他のタイプの通信デバイスなど）、オーディオＩ／Ｏデバイス４１４、および／またはデータストレージデバイス４２８などの、他のデバイスと通信し得る。データストレージデバイス４２８は、プロセッサ４７０および／または４８０によって実行され得る、コード４３０を格納し得る。代替的な実施形態において、バスアーキテクチャの任意の部分は、１または複数のＰｔＰリンクで実装され得る。
【００４３】
図４に図示されたコンピュータシステムは、本明細書に説明された様々な実施形態を実装するように利用され得るコンピューティングシステムの実施形態の、概略的な例示である。図４に図示されたシステムの様々なコンポーネントは、システムオンチップ（ＳｏＣ）アーキテクチャ、または任意の他の好適な構成で組み合わされ得ることが、理解されるであろう。例えば、本明細書に開示された実施形態は、スマートセルラ電話、タブレットコンピュータ、パーソナルデジタルアシスタント、携帯可能ゲームデバイスなどの、モバイルデバイスを含むシステム内に組み込まれ得る。これらのモバイルデバイスは、少なくともいくつかの実施形態において、ＳｏＣアーキテクチャを備え得ることが理解されるであろう。
【００４４】
図５に移ると、図５は、本開示の例示的なＡＲＭエコシステムＳｏＣ５００と関連づけられた簡略ブロック図である。本開示の少なくとも１つの例示的な実装は、本明細書で説明されたアノマリ検知機能、およびＡＲＭコンポーネントを含み得る。例えば、図５の例は、任意のＡＲＭコア（例えば、Ａ−７、Ａ−１５など）に関連づけられ得る。さらに、アーキテクチャは、任意の種類のタブレット、スマートフォン（Ａｎｄｒｏｉｄ（登録商標）  ｐｈｏｎｅ、ｉＰｈｏｎｅ（登録商標）を含む）、ｉＰａｄ（登録商標）、Ｇｏｏｇｌｅ  Ｎｅｘｕｓ（登録商標）、Ｍｉｃｒｏｓｏｆｔ  Ｓｕｒｆａｃｅ（登録商標）、パーソナルコンピュータ、サーバ、ビデオ処理コンポーネント、ラップトップコンピュータ（任意の種類のノートブックを含む）、Ｕｌｔｒａｂｏｏｋ（登録商標）システム、任意の種類のタッチ対応入力デバイスなどの一部であり得る。
【００４５】
図５のこの例において、ＡＲＭエコシステムＳＯＣ５００は、液晶ディスプレイ（ＬＣＤ）に結合するモバイルインダストリープロセッサインタフェース（ＭＩＰＩ）／高精細度マルチメディアインタフェース（ＨＤＭＩ（登録商標））リンクと関連づけられ得る、複数のコア５０６−５０７、Ｌ２キャッシュ制御５０８、バスインタフェースユニット５０９、Ｌ２キャッシュ５１０、グラフィック処理ユニット（ＧＰＵ）５１５、インターコネクト５０２、ビデオコーデック５２０、およびＬＣＤ  Ｉ／Ｆ５２５を含み得る。
【００４６】
ＡＲＭエコシステムＳＯＣ５００は、加入者識別モジュール（ＳＩＭ）Ｉ／Ｆ５３０、ブートリードオンリメモリ（ＲＯＭ）５３５、シンクロナスダイナミックランダムアクセスメモリ（ＳＤＲＡＭ）コントローラ５４０、フラッシュメモリコントローラ５４５、シリアル周辺機器インタフェース（ＳＰＩ）マスター５５０、好適な電力制御５５５、ダイナミックＲＡＭ（ＤＲＡＭ）５６０、およびフラッシュメモリ５６５を、また含み得る。加えて、１または複数の例示的な実施形態は、１または複数の通信機能、インタフェース、ならびに、Ｂｌｕｅｔｏｏｔｈ（登録商標）５７０、３Ｇモデム５７５、全地球測位システム（ＧＰＳ）５８０、および８０２．１１Ｗｉ−Ｆｉ５８５という例などの機能を含み得る。
【００４７】
操作において、図５の例は、様々なタイプのコンピューティング（例えば、モバイルコンピューティング、ハイエンドデジタルホーム、サーバ、無線インフラストラクチャなど）を可能にする比較的低い電力消費と共に、処理機能を提供し得る。さらに、そのようなアーキテクチャは、任意の数のソフトウェアアプリケーション（例えば、Ａｎｄｒｏｉｄ（登録商標）、Ａｄｏｂｅ（Ｒ）  Ｆｌａｓｈ（Ｒ）プレーヤ、Ｊａｖａ（登録商標）プラットフォームスタンダードエディション（Ｊａｖａ（登録商標）ＳＥ）、Ｊａｖａ（登録商標）ＦＸ、Ｌｉｎｕｘ（登録商標）、Ｍｉｃｒｏｓｏｆｔ  Ｗｉｎｄｏｗｓ（登録商標）  Ｅｍｂｅｄｄｅｄ、ＳｙｍｂｉａｎおよびＵｂｕｎｔｕなど）を可能にし得る。少なくとも１つの例示的な実施形態において、コアプロセッサは、結合された低レイテンシのレベル２キャッシュを有するアウトオブオーダー・スーパースカラー・パイプラインを実装し得る。
【００４８】
図６は、一実施形態によるプロセッサコア６００を示す。プロセッサコア６００は、マイクロプロセッサ、組み込まれたプロセッサ、デジタル信号プロセッサ（ＤＳＰ）、ネットワークプロセッサ、またはコードを実行する他のデバイスなど、任意の種類のプロセッサのためのコアであり得る。１つのみのプロセッサコア６００が図６に示されているが、プロセッサは、図６に示されたプロセッサコア６００のうちの１つより多くを、代替的に含み得る。例えば、プロセッサコア６００は、図４のプロセッサ４７０および４８０を参照して示されおよび説明された、プロセッサコア４７４ａ、４７４ｂ、４８４ａおよび４８４ｂの１つの例示的な実施形態を示す。プロセッサコア６００は、シングルスレッドコアであり得、または、少なくとも１つの実施形態に関して、プロセッサコア６００は、コア毎に１つより多いハードウェアスレッドコンテキスト（または「論理プロセッサ」）を含み得るという点で、マルチスレッドであり得る。
【００４９】
図６は、一実施形態によるプロセッサコア６００に結合されるメモリ６０２を、また示す。メモリ６０２は、知られているような、そうでなければ当業者に利用可能なような、任意の多種多様なメモリ（メモリ階層の様々な層を含む）であり得る。メモリ６０２は、プロセッサコア６００によって実行される、１または複数の命令であり得るコード６０４を含み得る。プロセッサコア６００は、コード６０４によって示される命令のプログラムシーケンスをたどり得る。各命令はフロントエンドロジック６０６に入り、１または複数のデコーダ６０８によって処理される。デコーダは、その出力として、予め定義されたフォーマットの固定幅マイクロオペレーションなどの、マイクロオペレーションを生成し得、または、オリジナルのコード命令を反映する他の命令、マイクロ命令、または制御信号を生成し得る。フロントエンドロジック６０６は、レジスタリネーミングロジック６１０およびスケジューリングロジック６１２をまた含み、それは概して、リソースを割り当て、実行のための命令に対応する操作をキューに登録する。
【００５０】
プロセッサコア６００は、一組の実行ユニット６１６−１から６１６−Ｎを有する実行ロジック６１４を、また含み得る。いくつかの実施形態は、特定の機能または機能の組に専用の、複数の実行ユニットを含み得る。他の実施形態は、１つの実行ユニットのみ、または、特定の機能を実行し得る１つの実行ユニットを含み得る。実行ロジック６１４は、コード命令によって指定される動作を実行する。
【００５１】
コード命令によって指定される動作の実行の完了後、バックエンドロジック６１８は、コード６０４の命令をリタイアし得る。一実施形態において、プロセッサコア６００は、アウトオブオーダー実行を可能にするが、命令のインオーダーリタイアメントを必要とする。リタイアメントロジック６２０は、様々な知られている形態（例えば、リオーダーバッファまたは同様のもの）を取り得る。本態様において、プロセッサコア６００は、少なくとも、デコーダによって生成される出力、レジスタリネーミングロジック６１０によって利用されるハードウェアレジスタおよびテーブル、および実行ロジック６１４によって書き換えられた任意のレジスタ（示されない）の観点から、コード６０４の実行の最中に変換される。
【００５２】
図６には示されないが、プロセッサは、プロセッサコア６００を有するチップ上の他の要素を含み得、その少なくともいくらかが図６を参照して本明細書で示されて説明される。例えば、図６に示されるように、プロセッサは、プロセッサコア６００と共にメモリ制御ロジックを含み得る。プロセッサは、Ｉ／Ｏ制御ロジックを含み得、および／または、メモリ制御ロジックと統合されたＩ／Ｏ制御ロジックを含み得る。
【００５３】
本明細書に提供された例と共に、相互作用は、２つ、３つ、またはより多くのネットワーク要素の観点から説明され得ることに留意する。しかしながら、これは、明確さおよび例示のみの目的で成されている。特定の場合には、限られた数のネットワーク要素を参照するのみによって、所与の組のフローの機能の１または複数の説明がより容易になり得る。通信システム１００ａおよび１００ｂおよびそれらの教示は、容易に拡張可能であり、多数のコンポーネント、ならびに、より複雑な／洗練された配置及び構成に対応し得ることが、理解されるべきである。従って、提供された例は、無数の他のアーキテクチャに潜在的に適用されるものとしての通信システム１００ａおよび１００ｂの、範囲を制限すべきではなく、または、広い教示を阻むべきではない。
【００５４】
前述のフロー図（すなわち、図２および図３）における操作は、通信システム１００ａおよび１００ｂによって、または通信システム１００ａおよび１００ｂの中で実行され得る、起こり得る相関するシナリオおよびパターンのいくつかのみを示すことに留意することが、また重要である。これらの操作のいくつかは、必要に応じて削除され得、または取り除かれ得、または、これらの操作は、本開示の範囲から逸脱することなく、大幅に書き換えられ得、または変更され得る。加えて、これらの操作の多数は、１または複数の追加の動作と同時に、またはそれと並行して実行されるものとして、説明されてきた。しかしながら、これらの操作のタイミングは大幅に変更され得る。前述の操作フローは、例示および説明の目的で提供されている。任意の好適な配置、時系列、構成、およびタイミング機構が、本開示の教示から逸脱することなく提供され得るという点で、かなりの柔軟性が、通信システム１００ａおよび１００ｂによって提供される。
【００５５】
本開示は特定の配置及び構成を参照して詳細に説明されているが、これらの例示的な構成および配置は、本開示の範囲から逸脱することなく、大幅に変更され得る。さらに、特定のコンポーネントが、特定の必要性および実装に基づいて、組み合わされ、分離され、除去され、または追加され得る。加えて、通信システム１００ａおよび１００ｂは、通信処理を容易にする特定の要素及び動作を参照して示されるが、これらの要素及び動作は、通信システム１００ａおよび１００ｂの意図される機能を実現する任意の好適なアーキテクチャ、プロトコル、および／またはプロセスによって置換され得る。
【００５６】
数多くの他の変化、代替、変形、変更、および修正が、本分野の当業者に確認され得、本開示は、添付の特許請求の範囲の中に属するそのような変化、代替、変形、変更、および修正を、全て包含することが意図されている。米国特許商標庁（ＵＳＰＴＯ）、および加えて、本出願に関して発行される任意の特許の任意の読者の助力となるように、本明細書に添付の特許請求の範囲の解釈において、出願人は、以下に留意することを望む。（ａ）出願人は、添付のいかなる請求項も、文言「ための手段」または「ための段階」が特定の請求項において具体的に用いられない限り、本明細書の出願の日において存在する米国特許法第１１２条第６パラグラフを発動させる意図はない。（ｂ）出願人は、添付の特許請求の範囲に反映されない限り、本明細書におけるいかなる発言によっても、いかなる方法でも、本開示を限定する意図はない。
［他の注記および例］
【００５７】
例Ｃ１は、少なくとも１つのプロセッサによって実行された場合、少なくとも１つのプロセッサに、システムにおけるオブジェクトのアクティビティを監視させ、監視されるアクティビティをシステムに関するメタデータと比較させ、潜在的に悪意のあるアクティビティを検知するように低拡散度外れ値を特定させる、１または複数の命令を有する少なくとも１つの機械可読媒体である。
【００５８】
例Ｃ２において、例Ｃ１の主題は、監視されるアクティビティをシステムに関するメタデータと比較することが、ポリモーフィック型の脅威を特定するようにシステムにおけるオブジェクトのメタデータを分析することを含むことを、随意に含み得る。
【００５９】
例Ｃ３において、例Ｃ１−Ｃ２のうちの任意の１つの主題は、監視されるアクティビティをシステムに関するメタデータと比較することが、別のオブジェクトからのメタデータを再使用するオブジェクトを検知するように、システムのオブジェクト再使用を分析することを含むことを、随意に含み得る。
【００６０】
例Ｃ４において、例Ｃ１−Ｃ３のうちの任意の１つの主題は、低拡散度外れ値の年代が、少なくとも部分的に、潜在的に悪意のあるアクティビティを検知するように用いられることを、随意に含み得る。
【００６１】
例Ｃ５において、例Ｃ１−Ｃ４のうちの任意の１つの主題は、監視されるアクティビティがシステムのファイル名分析を含むことを、随意に含み得る。
【００６２】
例Ｃ６において、例Ｃ１−Ｃ５のうちの任意の１つの主題は、潜在的に悪意のあるアクティビティがオブジェクトと関連づけられ、オブジェクトがマルウェアスキャンされることを、随意に含み得る。
【００６３】
例Ｃ７において、例Ｃ１−Ｃ６のうちの任意の１つの主題は、システムに関するメタデータが、システム上で監視された、前のアクティビティから生成されることを、随意に含み得る。
【００６４】
例Ｃ８において、例Ｃ１−Ｃ７のうちの任意の１つの主題は、システムに関するメタデータが、少なくとも部分的に、同様のシステムに関する他のメタデータに基づくことを、随意に含み得る。
【００６５】
例Ａ１において、電子デバイスは外れ値検知モジュールを含み得、外れ値検知モジュールは、システムにおけるオブジェクトのアクティビティを監視し、監視されるアクティビティをシステムに関するメタデータと比較し、潜在的に悪意のあるアクティビティを検知するように低拡散度外れ値を特定するように構成される。
【００６６】
例Ａ２において、例Ａ１の主題は、監視されるアクティビティをシステムに関するメタデータと比較することが、ポリモーフィック型の脅威を特定するようにシステムにおけるオブジェクトのメタデータを分析することを含むことを、随意に含み得る。
【００６７】
例Ａ３において、例Ａ１−Ａ２のうちの任意の１つの主題は、監視されるアクティビティをシステムに関するメタデータと比較することが、別のオブジェクトからのメタデータを再使用するオブジェクトを検知するように、システムのオブジェクト再使用を分析することを含むことを、随意に含み得る。
【００６８】
例Ａ４において、例Ａ１−Ａ３のうちの任意の１つの主題は、低拡散度外れ値の年代が、少なくとも部分的に、悪意のあるアクティビティを検知するように用いられることを、随意に含み得る。
【００６９】
例Ａ５において、例Ａ１−Ａ４のうちの任意の１つの主題は、監視されるアクティビティがシステムのファイル名分析を含むことを、随意に含み得る。
【００７０】
例Ａ６において、例Ａ１−Ａ５のうちの任意の１つの主題は、潜在的に悪意のあるアクティビティがオブジェクトと関連づけられ、オブジェクトがマルウェアスキャンされることを、随意に含み得る。
【００７１】
例Ａ７において、例Ａ１−Ａ６のうちの任意の１つの主題は、システムに関するメタデータが、システム上で監視された、前のアクティビティから生成されることを、随意に含み得る。
【００７２】
例Ａ８において、例Ａ１−Ａ７のうちの任意の１つの主題は、システムに関するメタデータが、少なくとも部分的に、同様のシステムに関する他のメタデータに基づくことを、随意に含み得る。
【００７３】
例Ｍ１は、システムにおけるオブジェクトのアクティビティを監視することと、監視されるアクティビティをシステムに関するメタデータと比較することと、潜在的に悪意のあるアクティビティを検知するように低拡散度外れ値を特定することと、を含む方法である。
【００７４】
例Ｍ２において、例Ｍ１の主題は、監視されるアクティビティをシステムに関するメタデータと比較することが、ポリモーフィック型の脅威を特定するようにシステム上のオブジェクトのメタデータを分析することを含むことを、随意に含み得る。
【００７５】
例Ｍ３において、例Ｍ１−Ｍ２のうちの任意の１つの主題は、監視されるアクティビティをシステムに関するメタデータと比較することが、別のオブジェクトからのメタデータを再使用するオブジェクトを検知するように、システムのオブジェクト再使用を分析することを含むことを、随意に含み得る。
【００７６】
例Ｍ４において、例Ｍ１−Ｍ３のうちの任意の１つの主題は、低拡散度外れ値の年代が、少なくとも部分的に、潜在的に悪意のあるアクティビティを検知するように用いられることを、随意に含み得る。
【００７７】
例Ｍ５において、例Ｍ１−Ｍ４のうちの任意の１つの主題は、監視されるアクティビティがシステムのファイル名分析を含むことを、随意に含み得る。
【００７８】
例Ｍ６において、例Ｍ１−Ｍ５のうちの任意の１つの主題は、潜在的に悪意のあるアクティビティをオブジェクトと関連づけることと、潜在的に悪意のあるオブジェクトをマルウェアスキャンすることとを、随意に含み得る。
【００７９】
例Ｍ７において、例Ｍ１−Ｍ６のうちの任意の１つの主題は、システムに関するメタデータが、システム上で監視された、前のアクティビティから生成されることを、随意に含み得る。
【００８０】
例Ｓ１は、マルウェアを特定するためのアノマリ検知のためのシステムであり、システムは、システムにおけるオブジェクトのアクティビティを監視し、監視されるアクティビティをシステムに関するメタデータと比較し、潜在的に悪意のあるアクティビティを検知するように低拡散度外れ値を特定するように構成された、外れ値検知モジュールを含む。
【００８１】
例Ｓ２において、例Ｓ１の主題は、監視されるアクティビティをシステムに関するメタデータと比較することが、ポリモーフィック型の脅威を特定するようにシステムにおけるオブジェクトのメタデータを分析することと、別のオブジェクトからのメタデータを再使用するオブジェクトを検知するように、システムのオブジェクト再使用を分析することと、システムのファイル名を分析することとを随意に含み得る。
【００８２】
例Ｘ１は、例Ａ１−Ａ８、またはＭ１−Ｍ７のうちの任意の１つに示されるような方法を実装するための、または装置を実現するための、機械可読命令を含む機械可読記憶媒体である。例Ｙ１は、例の方法Ｍ１−Ｍ７のうちのいずれかを実行するための手段を含む装置である。例Ｙ２において、例Ｙ１の主題は、方法を実行するための、プロセッサおよびメモリを含む手段を随意に含み得る。例Ｙ３において、例Ｙ２の主題は、機械可読命令を含むメモリを随意に含み得る。
【図１Ａ】
2018524716.tif 000003
【図１Ｂ】
2018524716.tif 000004
【図２】
2018524716.tif 000005
【図３】
2018524716.tif 000006
【図４】
2018524716.tif 000007
【図５】
2018524716.tif 000008
【図６】
2018524716.tif 000009
【国際調査報告】
2018524716.tif 000010
2018524716.tif 000011