【手続補正書】
【提出日】平成28年4月4日(2016.4.4)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
(a) マルウェア検体のマルウェア変種を生成するのに適合されたマルウェア進化エンジンと、
（b)悪意性レベルおよび回避性レベルから少なくとも1つに基づいて前記マルウェア変種を評価するように構成されたエバリュエーターと、を含むシステムであって、前記エバリュエーターが、
(a) 悪意性レベル判定および
(b)回避性レベル判定、の少なくとも1つに基づいて変種をランク付けする、システム。
【請求項２】
(c) リポジトリ、プロダクション装置およびサードパーティ製品から成る群から選択される少なくとも1つのソースから前記進化エンジンの為にマルウェア検体を集めるのに適合されたマルウェアフェッチャーを更に含むことを特徴とする請求項１に記載のシステム。
【請求項３】
(c) 前記進化エンジンによって生成され、前記エバリュエーターによって評価された前記マルウェア変種に基づいて検出器機構を生成するように構成された検出器ビルダーを更に含むことを特徴とする請求項１に記載のシステム。
【請求項４】
前記進化エンジンが、前記マルウェア検体の実行可能コードへの突然変異の適用、マルウェア放出されたネットワークトラフィックへの突然変異の適用、ソースコードへの突然変異の適用、アセンブリ言語コードへの突然変異の適用、及び、前記マルウェア変種の交互の組み合わせ、から成る群から選択される少なくとも1つの動作を行なうことにより、前記マルウェア変種を生成するように構成されることを特徴とする請求項1に記載のシステム。
【請求項５】
前記実行可能コードに適用された前記突然変異は、
(i)ランダム突然変異、
(ii)所定のコマンドシーケンスを別の機能的に同等なコマンドシーケンスに置換すること、
(iii)選択されたライブラリコールを異なる機能的に同等なライブラリコールに置換すること、
(iv)使用される選択されたライブラリを、異なる機能的に同等なライブラリに置換すること、
(v)悪意のある機能を持っているものとして識別されたエリアで前記突然変異のそれぞれの確率を増加させること;
(vi)前記実行可能コードの適切な実行を妨げないものとして識別されたエリアで前記突然変異のそれぞれの確率を増加させること;
(vii)セキュリティ製品によって署名されたエリアで前記突然変異の確率を増加させること;
(viii)以前の前記突然変異が、増加した適合性スコアをもたらしたエリアで、前記突然変異の確率を増加させること;
(ix)バイナリコードが加えられたセクションの為の前記実行可能コードのヘッダーを書き換えることで結果的に前記セクションの拡張をもたらすこと；
(x)前記実行可能コードを他の前記実行可能コードと組み合わせて、組み合わさったコードを生成し、関連するヘッダーを書き換えることによって、前記組み合わさったコードの適切な実行を可能にする;及び、
(xi)動的関数呼び出しを関連するオペレーティングシステムコールの静的な起動に変更するために前記実行可能コードの特定のセクションを修正すること、
からなる群から選択されることを特徴とする請求項４に記載のシステム。
【請求項６】
攻撃マシンは、前記マルウェア放出されたネットワークトラフィックを前記進化エンジンに送るように構成され、前記進化エンジンは、前記マルウェア放出されたネットワークトラフィックに前記突然変異を適用し、及び変異したマルウェア放出されたネットワークトラフィックを犠牲マシンに送るようにさらに構成され、
ここで、前記変異したマルウェア放出されたネットワークトラフィックの前記犠牲マシンについての結果は、前記悪意性レベルを判定するために前記エバリュエーターによって評価されることを特徴とする請求項4に記載のシステム。
【請求項７】
前記マルウェア放出されたネットワークトラフィックに適用された前記突然変異は、ネットワークパケットのペイロード又はヘッダー中の様々な突然変異の後に、CRC/チェック又は他のフィールドを有効にするために、前記CRC/チェックサムフィールド又は様々なプロトコルの中の前記ネットワークパケットの他のフィールドも修正することを含むことを特徴とする請求項6に記載のシステム。
【請求項８】
前記マルウェア放出されたネットワークトラフィックは、安全なチャネルにおいて、前記マルウェア放出されたネットワークトラフィックを含んでいるネットワーク通信を圧縮することにより、難読化されることを特徴とする請求項6に記載のシステム。
【請求項９】
前記マルウェア検体の前記実行可能コードが 、圧縮、暗号化および符号化を含む群から選択される技術を使用して、難読化されることを特徴とする請求項4に記載のシステム。
【請求項１０】
前記エバリュエーターは、前記変種に適合性スコアを与え、システムは、前記適合性スコアに基づいて、新しい前記マルウェア検体として前記変種の少なくとも一部を選択することを特徴とする請求項1に記載のシステム。
【請求項１１】
前記エバリュエーターは、前記変種に適合性スコアを与え、システムは、前記適合性スコアに基づいて、前記検出器ビルダーの為に、前記変種の少なくとも一部を選択することを特徴とする請求項3に記載のシステム。
【請求項１２】
前記悪意性レベル判定は、前記変種が前記マルウェア検体によって示された悪意のある特性の少なくとも一部を示すかどうかに基づいて、少なくとも部分的になされることを特徴とする請求項1に記載のシステム。
【請求項１３】
前記回避性レベル判定は、前記変種が少なくとも前記マルウェア検体によって示された回避的な特性の少なくとも一部を示すかどうかに基づいて、少なくとも部分的になされることを特徴とする請求項1に記載のシステム。
【請求項１４】
前記回避性レベルは、複数のマルウェア検出器システムの各々にマルウェア検体あるいは変種を送ることにより、少なくとも部分的に判定されることを特徴とする請求項1に記載のシステム。
【請求項１５】
前記検出器ビルダーは、検出器を作成するための以下の要素：
(a)マルウェア変種の実行可能なバイナリー、
(b)マルウェア変種によって放出されたか受け取られたネットワークトラフィック、
(c)マルウェア変種のシステムコール、
(d) マルウェア変種のAPI呼び出し、及び
(e)マルウェア変種のメモリフットプリントおよびコンテンツ、の少なくとも1つを処理するように適合されることを特徴とする請求項3に記載のシステム。
【請求項１６】
前記検出器ビルダーが、
(a)ネットワーク挙動シグネチャ、
(b)ネットワーク挙動パターン、
(c)実行可能なシグネチャ、
(d)実行可能なパターン、
(e)システムコールシグネチャ、
(f)システムコールパターン、
(g) CPU動作シグネチャ、
(h) CPU動作パターン、
(i) API呼び出しシグネチャ、及び
(j) API呼び出しパターン、の少なくとも1つを検出するのに適合された少なくとも1つの検出器を生成することを特徴とする請求項15に記載のシステム。
【請求項１７】
前記検出器は、エンドポイント、ゲートウエイ、ネットワークエレメント、ネットワーク機器および統合されたサードパーティ検出プラットフォームを含む群から選択されたプラットフォーム上のスタンドアロンの検出モジュールとして配置されるように適合されることを特徴とする請求項16に記載のシステム。
【請求項１８】
前記回避性レベルが、検出器ビルダーによって構築された検出器に対して前記マルウェア検体又は変種を実行することにより、さらに判定されることを特徴とする請求項11に記載のシステム。
【請求項１９】
前記エバリュエーターは、仮想マシン(VM)および物理的なコンピューターの少なくとも１つ上で前記変種を実行することにより、前記悪意性レベルを評価するようにさらに構成されることを特徴とする請求項12に記載のシステム。
【請求項２０】
マルウェア上で進化のプロセスを達成する方法であって、該方法は、
(a) マルウェア検体を受け取る工程;
(b) 前記マルウェア検体の変種を生成する工程;
(c) 前記変種を評価し個々の前記変種にそれぞれの適合性スコアを与える工程;
(d) 少なくとも予め定義された前記それぞれの適合性スコアを有する前記変種を選択する工程;及び
(e)前記選択された変種を工程(a)における前記マルウェア検体として使用して、そこから前記変種の新しい世代を生成する工程、
を含む方法。
【請求項２１】
前記マルウェア変種を生成する前記工程は、前記マルウェア検体の実行可能コードに突然変異を適用すること、マルウェア放出されたネットワークトラフィックに突然変異を適用すること、及び前記マルウェア変種を交互に組み合わせることから成る群から選択される少なくとも1つの動作を行なうことを含むことを特徴とする請求項20に記載の方法。
【請求項２２】
前記実行可能コードに前記突然変異を適用することが、
(i)ランダム突然変異、
(ii)所定のコマンドシーケンスを別の機能的に同等なコマンドシーケンスに置換すること
(iii)選択されたライブラリコールを異なる機能的に同等なライブラリコールに置換すること、
(iv)使用される選択されたライブラリを、異なる機能的に同等なライブラリに置換すること、
(v)悪意のある機能を持っているものとして識別されたエリアで前記突然変異のそれぞれの確率を増加させること;
(vi)前記実行可能コードの適切な実行を妨げないものとして識別されたエリアで前記突然変異のそれぞれの確率を増加させること;
(vii)セキュリティ製品によって署名されたエリアで前記突然変異の確率を増加させること;
(viii)以前の前記突然変異が、増加した適合性スコアをエリアで、前記突然変異の確率を増加させること;
(ix)バイナリコードが加えられたセクションの為の前記実行可能コードのヘッダーを書き換えることで結果的に前記セクションの拡張をもたらすこと；
(x)前記実行可能コードを他の前記実行可能コードと組み合わせて、組み合わさったコードを生成し、関連するヘッダーを書き換えることによって、前記組み合わさったコードの適切な実行を可能にすること;及び、
(xi) 動的関数呼び出しを関連するオペレーティングシステムコールの静的な起動に変更するために前記実行可能コードの特定のセクションを修正すること、の少なくとも1つを含むことを特徴とする請求項21に記載の方法。
【請求項２３】
マルウェア放出されたネットワークトラフィックに突然変異を適用することが、
(i)攻撃マシンからルーターまで前記マルウェア放出されたネットワークトラフィックを送る工程;
(ii) 前記マルウェア放出されたネットワークトラフィックの要素を変異する工程;及び
(iii)犠牲マシンに前記変異したマルウェア放出されたネットワークトラフィックを送る工程、を含むことを特徴とする請求項21に記載の方法。
【請求項２４】
前記変異したマルウェア放出されたネットワークトラフィックを評価する工程を更に含み、該評価する工程は、(iv) 前記犠牲マシン上で前記変異したマルウェア放出されたネットワークトラフィックの結果を登録する工程;及び、(v)前記適合性スコアを判定するために前記結果を評価する工程、を含むことを特徴とする請求項23に記載の方法。
【請求項２５】
前記変種を評価する工程は、前記変種の各々の少なくとも回避性と悪意性を評価することを含むことを特徴とする請求項20に記載の方法。
【請求項２６】
前記回避性は、前記変種を検出する前記セキュリティ製品の不能性に基づいて、セキュリティ製品の選択された群で各々の前記変種をスキャンし、回避性スコアを与えることにより、測定されることを特徴とする請求項25に記載の方法。
【請求項２７】
前記悪意性は、各々の前記変種について、前記変種が悪意のある活動を引き起こすかどうかを判定し、前記判定に基づいて、悪意性スコアを与えることによって測定されることを特徴とする請求項26に記載の方法。
【請求項２８】
前記変種は、仮想マシンと物理的なマシンの少なくとも１つ上で実行されることを特徴とする請求項27に記載の方法。
【請求項２９】
(f)実行されないコード領域を識別するために、前記変種を実行しながら、コードカバレッジをモニタリングする工程を更に含み、前記実行されないコード領域が、前記変種中で統合されたトリガーを示すことを特徴とする請求項28に記載の方法。
【請求項３０】
前記適合性スコアは、少なくとも前記回避性スコアおよび前記悪意性スコアに基づいて計算されることを特徴とする請求項27に記載の方法。
【請求項３１】
前記適合性スコアは、前記マルウェア検体からの前記変種の発散の程度に基づいて、さらに計算されることを特徴とする請求項30に記載の方法。
【請求項３２】
(f)前記変種、良性のファイルあるいはネットワークフローのトレースデータを集める工程;及び
(g)悪意のある変種のトレース、良性のファイルのトレース、前記進化プロセス間にそれらの悪意のあるアクティビティを失った退化したマルウェア変種のトレースのカテゴリーの少なくとも1つへ前記トレースデータを分類する工程、をさらに含むことを特徴とする請求項27に記載の方法。
【請求項３３】
(h)検出することができる、および前記悪意のある特性と前記悪意のない特性とを区別することができる検出器を構築する工程を更に含むことを特徴とする請求項32に記載の方法。
【請求項３４】
(i) 前記検出器の中から、所定のレベル以上の格付けがある少なくとも1つの検出器を選択する工程であって、前記格付けが、
(i) 正確に検出された前記悪意のある特性の数;
(ii) 不正確に検出された悪意のない特性の数;及び
(iii)前記検出器の短さであって、より高い格付けは、長さ、メモリおよび計算上の作業負荷、の少なくとも1つの点から判定された、より短いかより軽い検出器に対して与えられる、前記検出器の短さ、に基づく工程をさらに含むことを特徴とする請求項３３に記載の方法。
【請求項３５】
(d)前記変種の検出における成功のレベルに基づいて、前記セキュリティ製品の各々に格付けを与える工程を更に含むことを特徴とする請求項26に記載の方法。
【請求項３６】
前記格付けは、他の前記セキュリティ製品に関する前記成功のレベルに基づくことを特徴とする請求項35に記載の方法。
【請求項３７】
前記変種を前記仮想マシン(VM)及び前記物理的なマシンの両方上で実行する工程;及び
前記変種を前記VM上で実行した結果を比較し、前記結果間の相違を検出するために、前記変種を前記物理的なマシン上で実行する工程、をさらに含むことを特徴とする請求項28に記載の方法。
【請求項３８】
前記相違が見つかる場合に、前記変種は、前記物理的なマシン上での前記変種の実行の結果のみに関して評価されることを特徴とする請求項37に記載の方法。
【請求項３９】
(f)統合トリガーを中和するために、前記変種を実行しながら、予め定められたシステム信号、通信データ、引き数から選択された少なくとも1つのシグナルを送る工程を更に含み、
前記少なくとも1つのシグナルがエンドポイントデバイスまたはネットワークアプライアンス上でエージェントによってキャプチャされることを特徴とする請求項28に記載の方法。
【請求項４０】
バイトストリームに対してマルウェア検出器をトレーニングする方法であって、該方法は:
(a)ネットワークセッション又は他のバイナリデータのバイトストリームをキャプチャし、前記バイトストリームを整数の線形のベクトルで表わす工程であって、前記バイトストリームが、マルウェアの変種、又は良性のネットワーク活動、又はファイルのトレースを含む工程；
(b) 前記線形のベクトルを正方行列へと作り変え、それによって、グレイスケール画像を受け取る工程;
(c) 解像度を統一するために前記グレイスケール画像を正規化する工程;
(d)少なくとも1つの画像処理技術を使用して、前記正規化した画像から特性を抽出する工程;
(e)(ａ)乃至(ｄ)の工程を繰り返し、最初のデータベースに悪意のある変種を、及び2番目のデータベースに良性のトラフィックを格納する工程;
(f)前記マルウェア変種と前記良性のトラフィックとを識別するようにマルウェア検出器をトレーニングする工程、を含み、ここでトレーニングする工程が、サポートベクトルマシンで実行される、方法。
【請求項４１】
前記少なくとも1つの画像処理技術が、ガボールのウェーブレット係数、係数の統計、主成分分析、線形判別分析及び独立成分分析から成る群から選択されることを特徴とする請求項40に記載の方法。
【請求項４２】
マルウェア検体からマルウェア変種を生成する方法であって、該方法は、
突然変異を前記マルウェア検体の実行可能コードへ適用する工程、
前記突然変異をマルウェア放出されたネットワークトラフィックへ適用する工程、及び
前記マルウェア変種を交互に組み合わせる工程、から成る群から選択される少なくとも1つの動作を行うことによって前記マルウェア変種を生成する工程、を含み、
ここで前記突然変異を前記実行可能コードへ適用する工程が、
(i)ランダム突然変異、
(ii)所定のコマンドシーケンスを別の機能的に同等なコマンドシーケンスに置換すること、
(iii)選択されたライブラリコールを異なる機能的に同等なライブラリコールに置換すること、
(iv)使用される選択されたライブラリを、異なる機能的に同等なライブラリに置換すること、
(v)悪意のある機能を持っているものとして識別されたエリアで前記突然変異のそれぞれの確率を増加させること;
(vi)前記実行可能コードの適切な実行を妨げないものとして識別されたエリアで前記突然変異のそれぞれの確率を増加させること;
(vii)セキュリティ製品によって署名されたエリアで前記突然変異の確率を増加させること;
(viii)以前の前記突然変異が、増加した適合性スコアをもたらしたエリアで、前記突然変異の確率を増加させること;
(ix)バイナリコードが加えられたセクションの為の前記実行可能コードのヘッダーを書き換えることで結果的に前記セクションの拡張をもたらすこと；
(x)前記実行可能コードを他の前記実行可能コードと組み合わせて、組み合わさったコードを生成し、関連するヘッダーを書き換えることによって、前記組み合わさったコードの適切な実行を可能にすること;及び、
(xi)動的関数呼び出しを関連するオペレーティングシステムコールの静的な起動に変更するために前記実行可能コードの特定のセクションを修正すること、の少なくとも1つによって達成される、方法。
【請求項４３】
突然変異をマルウェア放出されたネットワークトラフィックへ適用する工程が、
(i)攻撃マシンからルーターまで前記マルウェア放出されたネットワークトラフィックを送る工程;
(ii) 前記マルウェア放出されたネットワークトラフィックの要素を変異する工程;及び
(iii)犠牲マシンに前記変異したマルウェア放出されたネットワークトラフィックを送る工程、を含むことを特徴とする請求項42に記載の方法。