計算装置上のネットワークアクセス試行を遮断することと、前記ネットワークアクセス試行と関連付けられたソフトウェアプログラムファイルを判定することと、第1の基準を評価して前記ネットワークアクセス試行が許可されるかどうかを判定することと、前記ネットワークアクセス試行が許可されない場合に、前記ネットワークアクセス試行を阻止することとを含み、前記第1の基準は、前記ソフトウェアプログラムファイルの信頼性状態を含む、方法。信頼できるソフトウェアプログラムファイルを識別するホワイトリストを検索して、前記ソフトウェアプログラムファイルが前記ホワイトリスト内で識別されているかどうかを判定することを更に含む、請求項1に記載の方法。前記ソフトウェアプログラムファイルの前記信頼性状態は、前記ソフトウェアプログラムファイルが前記ホワイトリストに含まれる場合に、信頼できると定義される、請求項2に記載の方法。前記ソフトウェアプログラムファイルの前記信頼性状態は、前記ソフトウェアプログラムファイルが前記ホワイトリストに含まれない場合に、信頼できないと定義される、請求項2に記載の方法。前記ソフトウェアプログラムファイルと関連付けられた所定のチェックサムを求めてキャッシュを検索することと、前記ソフトウェアプログラムファイルの所定のチェックサムが前記キャッシュ内に見つからない場合に、前記ソフトウェアプログラムファイルの新しいチェックサムを計算することとを更に含む、請求項2に記載の方法。前記ホワイトリストは、1つ又は複数のグローバルホワイトリストを含む、請求項2に記載の方法。前記ホワイトリストは、1つ又は複数の内部ホワイトリストを含む、請求項2に記載の方法。前記ソフトウェアプログラムファイルの前記信頼性状態が信頼できないと定義された場合に、前記ネットワークアクセス試行が阻止される、請求項4に記載の方法。前記ネットワークアクセス試行は、前記計算装置内に、前記計算装置から、ネットワークを介して前記計算装置に動作的に接続された第2の計算装置へのアウトバウンドネットワークアクセスを前記計算装置内で要求する電子データ要求を含む、請求項1に記載の方法。前記ネットワークアクセス試行は、前記計算装置へのインバウンドネットワークアクセスを要求する電子データ要求を含み、前記電子データ要求は、ネットワークを介して前記計算装置に動作的に接続された第2の計算装置から前記計算装置が受け取る、請求項1に記載の方法。前記ソフトウェアプログラムファイルは、実行可能ファイルであり、前記ネットワークアクセス試行は、前記計算装置上の前記実行可能ファイルによって開始された実行ソフトウェアプロセスと関連付けられる、請求項1に記載の方法。前記ソフトウェアプログラムファイルは、実行ソフトウェアプロセスのなかにロードされたライブラリモジュールであり、前記ネットワークアクセス試行は、前記実行ソフトウェアプロセスと関連付けられる、請求項1に記載の方法。ソフトウェアプログラムファイルの前記判定は、前記ネットワークアクセス試行にマッピングされたソフトウェアプロセスをプロセストラフィックマッピング要素に照会することを更に含み、前記ソフトウェアプログラムファイルは、前記ソフトウェアプロセスにマッピングされる、請求項1に記載の方法。第2の基準を評価して前記第2の基準が前記第1の基準を覆すかどうかを判定することを更に含み、前記第2の基準は、信頼できないと定義された信頼性状態を有する1つ又は複数のソフトウェアプログラムファイルについてのネットワークアクセスポリシーを含む、請求項1に記載の方法。前記ネットワークアクセスポリシーは、許可宛先アドレスの組を含み、前記ネットワークアクセス試行が、前記許可宛先アドレスの組の範囲内にある要求宛先アドレスを含む場合に、前記第2の基準が前記第1の基準を覆し、前記ネットワークアクセス試行が許可される、請求項14に記載の方法。前記許可宛先アドレスの組は、ローカルエリアネットワーク上のネットワークアドレスのサブネット、又は、広域ネットワークWAN上のインターネットプロトコルIPアドレスのサブネットである、請求項15に記載の方法。前記ネットワークアクセスポリシーは、ネットワークアクセスポリシーの群から選択され、前記群は、前記計算装置への全てのインバウンドネットワークアクセス試行と、前記計算装置からの全てのアウトバウンドネットワークアクセス試行とを阻止することと、前記計算装置への全てのインバウンドネットワークアクセス試行を阻止することと、前記計算装置からの全てのアウトバウンドネットワークアクセス試行を阻止することと、前記計算装置から指定ネットワークサブネットへの全てのアウトバウンドネットワークアクセス試行を阻止することと、前記計算装置からインターネットへの全てのアウトバウンドネットワークアクセス試行を阻止し、前記計算装置から指定サブネットへの全てのアウトバウンドネットワークアクセス試行を許可することと、ドメインネームシステムDNSサーバへの全てのアウトバウンドネットワークアクセス試行を阻止することと、簡易メール転送プロトコルSMTPを使用した全てのアウトバウンドネットワークアクセス試行を阻止することと、インターネットリレーチャットIRCサーバへの全てのアウトバウンドネットワークアクセス試行を阻止することとからなる、請求項14に記載の方法。第3の基準を評価して前記第3の基準が前記第1の基準を覆すかどうかを判定することを更に含み、前記第3の基準は、既定条件の群から選択された既定条件を含み、前記群は、前記ソフトウェアプログラムファイルの所有者特権と、前記ソフトウェアプログラムファイルのファイル属性と、前記ソフトウェアプログラムファイルの作成日と、前記ソフトウェアプログラムファイルの修正日とからなる、請求項1に記載の方法。前記ソフトウェアプログラムファイルの前記信頼性状態が、信頼できないと判定された場合に、前記ネットワークアクセス試行と関連した情報をメモリ要素内にログ記録することを含む、請求項1に記載の方法。1つ又は複数の有形媒体内に符号化されたロジックであって、実行するためのコードを含み、1つ又は複数のプロセッサによって実行されたとき、計算装置上のネットワークアクセス試行を遮断することと、前記ネットワークアクセス試行と関連付けられたソフトウェアプログラムファイルを判定することと、第1の基準を評価して前記ネットワークアクセス試行が許可されるかどうかを判定することと、前記ネットワークアクセス試行が許可されない場合に、前記ネットワークアクセス試行を阻止することとを含む操作をするように動作可能であり、前記第1の基準は、前記ソフトウェアプログラムファイルの信頼性状態を含む、ロジック。信頼できるソフトウェアプログラムファイルを識別するホワイトリストを検索して、前記ソフトウェアプログラムファイルが前記ホワイトリスト内で識別されているかどうかを判定することを含む更なる操作を前記1つ又は複数のプロセッサがするように動作可能である、請求項20に記載のロジック。前記ホワイトリストは、1つ又は複数のグローバルホワイトリストを含む、請求項21に記載のロジック。前記ソフトウェアプログラムファイルの前記信頼性状態は、前記ソフトウェアプログラムファイルが前記ホワイトリストに含まれない場合に、信頼できないと定義される、請求項21に記載のロジック。前記ソフトウェアプログラムファイルの前記信頼性状態が信頼できないと定義された場合に、前記ネットワークアクセス試行が阻止される、請求項23に記載のロジック。前記ソフトウェアプログラムファイルは、実行可能ファイルであり、前記ネットワークアクセス試行は、前記計算装置上の前記ソフトウェアプログラムファイルによって開始された実行ソフトウェアプロセスと関連付けられる、請求項20に記載のロジック。前記ソフトウェアプログラムファイルは、実行ソフトウェアプロセスのなかにロードされたライブラリモジュールであり、前記ネットワークアクセス試行は、前記実行ソフトウェアプロセスと関連付けられる、請求項20に記載のロジック。ソフトウェアプログラムファイルの前記判定は、前記ネットワークアクセス試行にマッピングされたソフトウェアプロセスをプロセストラフィックマッピング要素に照会することを更に含み、前記ソフトウェアプログラムファイルは、前記ソフトウェアプロセスにマッピングされる、請求項20に記載のロジック。第2の基準を評価して前記第2の基準が前記第1の基準を覆すかどうかを判定することを含む更なる操作を前記1つ又は複数のプロセッサがするように動作可能であり、前記第2の基準は、信頼できないと定義された信頼性状態を有する1つ又は複数のソフトウェアプログラムファイルについてのネットワークアクセスポリシーを含む、請求項20に記載のロジック。前記ネットワークアクセスポリシーは、許可宛先アドレスの組を含み、前記ネットワークアクセス試行が、前記許可宛先アドレスの組の範囲内にある要求宛先アドレスを含む場合に、前記第2の基準が前記第1の基準を覆し、前記ネットワークアクセス試行が許可される、請求項28に記載のロジック。前記許可宛先アドレスの組は、ローカルエリアネットワーク上のネットワークアドレスのサブネット、又は、広域ネットワークWAN上のインターネットプロトコルIPアドレスのサブネットである、請求項29に記載のロジック。前記ネットワークアクセスポリシーは、ネットワークアクセスポリシーの群から選択され、前記群は、前記計算装置への全てのインバウンドネットワークアクセス試行と、前記計算装置からの全てのアウトバウンドネットワークアクセス試行とを阻止することと、前記計算装置への全てのインバウンドネットワークアクセス試行を阻止することと、前記計算装置からの全てのアウトバウンドネットワークアクセス試行を阻止することと、前記計算装置から指定ネットワークサブネットへの全てのアウトバウンドネットワークアクセス試行を阻止することと、前記計算装置からインターネットへの全てのアウトバウンドネットワークアクセス試行を阻止し、前記計算装置から指定サブネットへの全てのアウトバウンドネットワークアクセス試行を許可することと、ドメインネームシステムDNSサーバへの全てのアウトバウンドネットワークアクセス試行を阻止することと、簡易メール転送プロトコルSMTPを使用した全てのアウトバウンドネットワークアクセス試行を阻止することと、インターネットリレーチャットIRCサーバへの全てのアウトバウンドネットワークアクセス試行を阻止することとからなる、請求項28に記載のロジック。保護モジュールと、前記保護モジュールと関連付けられた命令を実行するように動作可能な1つ又は複数のプロセッサとを含む装置であって、前記命令は、計算装置上のネットワークアクセス試行を遮断することと、前記ネットワークアクセス試行と関連付けられたソフトウェアプログラムファイルを判定することと、第1の基準を評価して前記ネットワークアクセス試行が許可されるかどうかを判定することと、前記ネットワークアクセス試行が許可されない場合に、前記ネットワークアクセス試行を阻止することとを含み、前記第1の基準は、前記ソフトウェアプログラムファイルの信頼性状態を含む、装置。前記ソフトウェアプログラムファイルの前記信頼性状態は、前記ソフトウェアプログラムファイルが、信頼できるソフトウェアプログラムファイルを識別するホワイトリストに含まれない場合に、信頼できないと定義される、請求項32に記載の装置。前記ホワイトリストは、1つ又は複数のグローバルホワイトリストを含む、請求項33に記載の装置。前記ホワイトリストは、前記計算装置に接続された1つ又は複数のローカルエリアネットワーク内で維持された1つ又は複数の内部ホワイトリストを含む、請求項33に記載の装置。前記ソフトウェアプログラムファイルは、実行可能ファイルであり、前記ネットワークアクセス試行は、前記計算装置上の前記ソフトウェアプログラムファイルによって開始された実行ソフトウェアプロセスと関連付けられる、請求項32に記載の装置。前記ソフトウェアプログラムファイルは、実行ソフトウェアプロセスのなかにロードされたライブラリモジュールであり、前記ネットワークアクセス試行は、前記実行ソフトウェアプロセスと関連付けられる、請求項32に記載の装置。ソフトウェアプログラムファイルの前記判定は、前記ネットワークアクセス試行にマッピングされたソフトウェアプロセスをプロセストラフィックマッピング要素に照会することを更に含み、前記ソフトウェアプログラムファイルは、前記ソフトウェアプロセスにマッピングされる、請求項32に記載の装置。第2の基準を評価して前記第2の基準が前記第1の基準を覆すかどうかを判定することを含む更なる命令を前記1つ又は複数のプロセッサが実行するように動作可能であり、前記第2の基準は、信頼できないと定義された信頼性状態を有する1つ又は複数のソフトウェアプログラムファイルについてのネットワークアクセスポリシーを含む、請求項32に記載の装置。前記ネットワークアクセスポリシーは、許可宛先アドレスの組を含み、前記ネットワークアクセス試行が、前記許可宛先アドレスの組の範囲内にある要求宛先アドレスを含む場合に、前記第2の基準が前記第1の基準を覆し、前記ネットワークアクセス試行が許可される、請求項39に記載の装置。前記許可宛先アドレスの組は、ローカルエリアネットワーク上のネットワークアドレスのサブネット、又は、広域ネットワークWAN上のインターネットプロトコルIPアドレスのサブネットである、請求項40に記載の装置。計算装置上のネットワークアクセス試行を遮断することと、前記ネットワークアクセス試行と関連付けられたソフトウェアプログラムファイルを判定することと、第1の基準を評価して前記ネットワークアクセス試行と関連した情報をログ記録するかどうかを判定することと、前記ソフトウェアプログラムファイルの信頼性状態が信頼できないと定義されたことを前記第1の基準が示す場合に、前記ネットワークアクセス試行と関連した前記情報をメモリ要素にログ記録することとを含む、方法。信頼できるソフトウェアプログラムファイルを識別するホワイトリストを検索して、前記ソフトウェアプログラムファイルが前記ホワイトリスト内で識別されているかどうかを判定することを更に含み、前記ソフトウェアプログラムファイルの前記信頼性状態は、前記ソフトウェアプログラムファイルが前記ホワイトリスト内で識別されていない場合に、信頼できないと定義される、請求項42に記載の方法。前記ログ記録された情報は、前記ソフトウェアプログラムファイルを識別するデータを含む、請求項42に記載の方法。前記ログ記録された情報が、前記計算装置を識別するデータを含む、請求項44に記載の方法。前記ソフトウェアプログラムファイルは、実行可能ファイルであり、前記ネットワークアクセス試行は、前記計算装置上の前記ソフトウェアプログラムファイルによって開始された実行ソフトウェアプロセスと関連付けられる、請求項44に記載の方法。前記ソフトウェアプログラムファイルは、実行ソフトウェアプロセスのなかにロードされたライブラリモジュールであり、前記ネットワークアクセス試行は、前記実行ソフトウェアプロセスと関連付けられる、請求項44に記載の方法。前記ログ記録された情報は、前記ネットワークアクセス試行と関連付けられた1つ又は複数の他のソフトウェアプログラムファイルを識別するデータを含む、請求項44に記載の方法。1つ又は複数の有形媒体内に符号化されたロジックであって、実行するためのコードを含み、1つ又は複数のプロセッサによって実行されたとき、計算装置上のネットワークアクセス試行を遮断することと、前記ネットワークアクセス試行と関連付けられたソフトウェアプログラムファイルを判定することと、第1の基準を評価して前記ネットワークアクセス試行と関連した情報をログ記録するかどうかを判定することと、前記ソフトウェアプログラムファイルの信頼性状態が信頼できないと定義されたことを前記第1の基準が示す場合に、前記ネットワークアクセス試行と関連した前記情報をメモリ要素にログ記録することとを含む操作をするように動作可能であり、ロジック。信頼できるソフトウェアプログラムファイルを識別するホワイトリストを検索して、前記ソフトウェアプログラムファイルが前記ホワイトリスト内で識別されているかどうかを判定することを含む更なる操作を前記1つ又は複数のプロセッサが実行するように動作可能であり、前記ソフトウェアプログラムファイルの前記信頼性状態は、前記ソフトウェアプログラムファイルが、前記ホワイトリスト内で識別されていない場合に、信頼できないと定義される、請求項49に記載のロジック。前記ログ記録された情報は、前記ソフトウェアプログラムファイルを識別するデータを含む、請求項49に記載のロジック。前記ソフトウェアプログラムファイルは、実行可能ファイルであり、前記ネットワークアクセス試行は、前記計算装置上の前記ソフトウェアプログラムファイルによって開始された実行ソフトウェアプロセスと関連付けられる、請求項51に記載のロジック。前記ソフトウェアプログラムファイルは、実行ソフトウェアプロセスのなかにロードされたライブラリモジュールであり、前記ネットワークアクセス試行は、前記実行ソフトウェアプロセスと関連付けられる、請求項51に記載のロジック。前記ログ記録された情報は、前記ネットワークアクセス試行と関連付けられた1つ又は複数の他のソフトウェアプログラムファイルを識別するデータを含む、請求項51に記載のロジック。保護モジュールと、前記保護モジュールと関連付けられた命令を実行するように動作可能な1つ又は複数のプロセッサとを含む装置であって、前記命令は、計算装置上のネットワークアクセス試行を遮断することと、前記ネットワークアクセス試行と関連付けられたソフトウェアプログラムファイルを判定することと、第1の基準を評価して前記ネットワークアクセス試行と関連した情報をログ記録するかどうかを判定することと、前記ソフトウェアプログラムファイルの信頼性状態が信頼できないと定義されたことを前記第1の基準が示す場合に、前記ネットワークアクセス試行と関連した、ログ記録されるべき前記情報をメモリ要素に提供することとを含む、装置。信頼できるソフトウェアプログラムファイルを識別するホワイトリストを検索して、前記ソフトウェアプログラムファイルが前記ホワイトリスト内で識別されているかどうかを判定することを含む更なる命令を前記1つ又は複数のプロセッサが実行するように動作可能であり、前記ソフトウェアプログラムファイルの前記信頼性状態は、前記ソフトウェアプログラムファイルが前記ホワイトリスト内で識別されていない場合に、信頼できないと定義される、請求項55に記載の装置。ログ記録されるべき前記情報は、前記ソフトウェアプログラムファイルを識別するデータを含む、請求項55に記載の装置。前記ソフトウェアプログラムファイルは、実行可能ファイルであり、前記ネットワークアクセス試行は、前記計算装置上の前記ソフトウェアプログラムファイルによって開始された実行ソフトウェアプロセスと関連付けられる、請求項57に記載の装置。前記ソフトウェアプログラムファイルは、前記計算装置上の実行ソフトウェアプロセスのなかにロードされたライブラリモジュールであり、前記ネットワークアクセス試行は、前記実行ソフトウェアプロセスと関連付けられる、請求項57に記載の装置。ログ記録されるべき前記情報は、前記ネットワークアクセス試行と関連付けられた1つ又は複数の他のソフトウェアプログラムファイルを識別するデータを含む、請求項57に記載の装置。したがって、ボットネットは、悪意のあるオペレータが他のコンピュータにアクセスし、それらのコンピュータを多数の悪意のある目的のために操作する強力な方法を提供する。セキュリティ専門家は、悪意のあるオペレータがコンピュータを搾取することを可能にするような戦略を根絶する革新的ツールを開発する必要がある。1つの例示的実施態様における方法は、計算装置上のネットワークアクセス試行を遮断し、ネットワークアクセス試行と関連付けられたソフトウェアプログラムファイルを決定することを含む。この方法は、また、第1の基準を評価してネットワークアクセス試行が許可されるかどうかを判定し、許可されない場合にネットワークアクセス試行を阻止することを含む。最終的に、第1の基準は、ソフトウェアプログラムファイルの信頼性状態を含む。特定の実施形態では、信頼性状態は、ソフトウェアプログラムファイルが、信頼できるソフトウェアプログラムファイルを識別するホワイトリストに含まれる場合に信頼できると定義され、ソフトウェアプログラムファイルが、ホワイトリストに含まれない場合に信頼できないと定義される。より特定の実施形態では、ネットワークアクセス試行は、ソフトウェアプログラムファイルが非信頼状態を有する場合に阻止される。別のより特定の実施形態では、方法は、更に、1つ又は複数のホワイトリストを検索して、ソフトウェアプログラムファイルが、ホワイトリストのうちの1つの中で識別されているかどうか判定することを含む。他のより特定の実施形態では、方法は、第2の基準を評価して、第2の基準が、第1の基準を覆すかを判定することを含み、第2の基準は、ソフトウェアプログラムファイルのネットワークアクセスポリシーを含む。更に別の実施形態では、ソフトウェアプログラムファイルの信頼性状態が信頼されないとして定義された場合にイベントがログ記録されてもよく、そのようなログ記録は、ネットワークアクセス試行を阻止する代わりに行われてもよく、ネットワークアクセス試行を阻止することに加えて行われてもよい。図1は、悪意のあるソフトウェアに対するローカル保護をするシステムの1つの実施形態を実現することができる代表的なネットワーク環境100を表す図である。ネットワーク環境100は、中央サーバ130と、実行可能ソフトウェア122a、122b及び122cをそれぞれ備えたホスト120a、120b及び120cとを有するローカルネットワーク110を含んでもよい。ローカルネットワーク110は、例えばインターネット150などの広域ネットワークを含む他のネットワークへの電子接続を備えてもよい。インターネット150は、多くの他のネットワーク、計算装置及びウェブサービスへのアクセスを提供する。例えば、グローバルサーバ160は、悪意のあるコードがないと評価及び判定されたソフトウェアプログラムファイルを示すグローバルホワイトリストを含むデータベース165を提供する。更に、ボットネットオペレータ175などの悪意のあるユーザは、指令制御サーバ170のほかにインターネット150へのアクセスを有してもよく、指令制御サーバ170は、ボットネットオペレータ175によって操作されて、ローカルネットワーク110などのネットワークを汚染することを試みる悪意のあるソフトウェア例えば、ボットを送信しその後制御してもよい。悪意のあるソフトウェアに対するローカル保護をするシステムの1つの代表的な実施形態では、ローカル保護構成要素124a、124b及び124cは、それぞれ各ホスト120a、120b及び120c内に組み込まれてもよく、また中央保護構成要素135が、中央サーバ130内に組み込まれてもよい。中央サーバ130は、また、ログイベントデータベース131、中央非信頼ソフトウェアインベントリ132、及び内部ホワイトリスト133へのアクセスを有してもよい。例示的実施形態では、ホスト120上のローカル保護構成要素124と、中央サーバ130内の中央保護構成要素135が協力して、悪意のあるソフトウェアからローカル保護するシステムを提供してもよい。一実施形態では、ホスト120a、120b及び120cの実行可能ソフトウェア122a、122b、122c内の各ソフトウェアプログラムファイルがそれぞれ、1つ又は複数の信頼評価技術例えば、ホワイトリスト比較、プログラムファイル変更比較、ブラックリスト比較などを使用して評価されて、信頼性状態即ち、信頼できるか信頼できないかが判定される。中央非信頼ソフトウェアインベントリ132は、信頼できないと分類された各プログラムファイルを識別するエントリを含むことができ、このインベントリは、対応するホスト120a、120b及び120c上にローカルに記憶されてもよい。他の実施形態では、信頼性状態を決定する実行可能ソフトウェア122a、122b及び122cのソフトウェアプログラムファイルの評価は、各ネットワークアクセス試行と関連付けられたプログラムファイルに対して実時間で行なわれる。本明細書で使用されるようなネットワークアクセス試行は、ホスト上の任意のインバウンド又はアウトバウンドネットワークアクセス試行例えば、接続要求の受け入れ、接続要求の作成、ネットワークから電子データの受信、ネットワークへの電子データの送信を含む。ホスト120a、120b又は120cのうちの1つの上のソフトウェアプロセスが、ネットワークアクセス試行と関連付けられたとき、ネットワークアクセスは、ソフトウェアプロセスと関連付けられたどれかのプログラムファイルの信頼性状態が信頼できないと判定された場合に阻止されることがある。例示的な実施形態では、信頼性状態は、非信頼ソフトウェアインベントリのうちの1つを使用して判定されてもよく、1つ又は複数の信頼評価技術を実時間で使用して判定されてもよい。非信頼プログラムファイルと関連付けられたソフトウェアプロセスの阻止規則を定義するためにポリシー例えば、ネットワークアドレスの指定されたサブネットへのアクセスだけを許可する、全てのインバウンド及びアウトバウンドネットワークアクセス試行を阻止する、インバウンド又はアウトバウンドネットワークアクセス試行だけを阻止する、全てのローカルネットワークアクセス試行を阻止する、インターネットトラフィックだけを許可する、などが使用されてもよい。報告のために、非信頼プログラムファイルと関連付けられたソフトウェアプロセスによる任意のネットワークアクセス試行がログ記録され、集計されてもよい。悪意のあるソフトウェアに対するローカル保護をするシステムの技術を示すために、所定のネットワーク内で行われるアクティビティを理解することが重要である。以下の基本的な情報は、本開示が適切に説明される基礎とみなすことができる。そのような情報は、単に説明のために提供され、したがって、本開示とその可能な用途の広い範囲を限定するようには決して解釈されるべきではない。更に、この開示の広い範囲は、例えば、実行可能ファイル、ライブラリモジュール、オブジェクトファイル、他の実行可能モジュール、スクリプトファイル、インタープリタファイルなど、コンピュータ上で理解され処理することができる命令を含む任意のソフトウェアファイルも包含するプログラムファイル、ソフトウェアプログラムファイル及び実行可能ソフトウェアを指すものであることを理解されよう。組織内又は個人によって使用される典型的なネットワーク環境は、例えばインターネットを使用して他のネットワークと電子的に通信して、インターネットに接続されたサーバ上にホストされたウェブページにアクセスし、電子メール即ち、emailメッセージを送信あるいは受信し、又はインターネットに接続されたエンドユーザあるいはサーバとファイルを交換する能力を含む。悪意のあるユーザは、インターネットを使用してマルウェアを拡散し、秘密情報へのアクセスを得るための新しい戦略を開発し続けている。コンピュータセキュリティに対する大きな脅威となる戦略は、多くの場合ボットネットを含む。ボットネットは、ある種の悪意のあるソフトウェア即ち、ボットがホストコンピュータに置かれて指令制御サーバと通信するクライアントサーバアーキテクチャを使用する。指令制御サーバは、悪意のあるユーザ例えば、ボットネットオペレータによって制御されてもよい。ボットは、特定の悪意のあるアクティビティを実行するコマンドを指令制御サーバから受け取り、それに応じてそのようなコマンドを実行してもよい。ボットは、任意の結果又は窃盗情報を指令制御サーバに返信してもよい。ボットは、悪意のあるアクティビティを行なうコマンドを受信する他に、典型的には、組織のネットワーク内で拡散し、又は他のネットワークを介して他の組織又は個人に拡散することができる1つ又は複数の伝搬ベクトルを含む。一般的な伝搬ベクトルは、ローカルネットワーク内のホスト上の既知の脆弱性を利用して、悪意のあるプログラムが添付され、又は電子メール内に悪意のあるリンクを提供する悪意のある電子メールを送信することを含む。ボットは、例えば、自動ダウンロード、ウィルス、ワーム、トロイの木馬などによりホストコンピュータに感染してもよい。ボットネットは、様々な攻撃を使用してボットネットオペレータがコンピュータシステムを危険にさらす強力な方法を提供する。ボットが一旦ホストコンピュータを感染すると、指令制御サーバは、ボットにコマンドを出して様々なタイプの攻撃を行なうことができる。一般に、ボットネットは、大量の電子メールを送信し分散型サービス妨害攻撃を行なうように使用されてきた。しかしながら、最近になって、ボットネットは、企業と個人に標的を絞った攻撃を行なって、知的財産や財務データなどの機密データや他の保護必要情報を得るために使用されようになった。既存のファイアウォール及びネットワーク侵入防止技術は、一般に、ボットネットを認識しくい止めるには不十分である。ボットは、多くの場合、指令制御サーバと通信を開始し、通常のウェブブラウザトラフィックを偽装するように設計される。ボットは、ボットがウェブサーバに正常なアウトバウンドネットワーク接続を行っているかのように見えるようにする指令制御プロトコルによって巧妙に作成されることがある。例えば、ボットは、ウェブサーバと通信するために通常使用されるポートを使用することがある。したがって、そのようなボットは、ウェブトラフィックのより詳しいパケット検査を行なわない既存の技術では検出されないことがある。更に、ボットが発見された後、ボットネットオペレータは、存在し続けるボットによるネットワークアクセス試行が、正常なウェブトラフィックを偽装する別の方法を単に見つけるだけでよい。最近になって、ボットネットオペレータは、例えばセキュアソケットレイヤーSSLなどの暗号化プロトコルを使用し、それにより悪意のあるネットワークアクセス試行を暗号化するボットを巧妙に作成した。そのような暗号化されたトラフィックは、暗号化セッションに関与するエンドポイントだけがデータを復号できるよう、ハイパーテキスト転送プロトコルセキュアHTTPSポートを使用することがある。したがって、既存のファイアウォールや他のネットワーク侵入防止技術は、ウェブトラフィックの如何なる有効な検査も実行できない。その結果、ボットは、ネットワーク内のホストコンピュータを汚染し続ける。無許可のプログラムファイルがホストコンピュータ上で実行されるのを防ぐことに焦点を当てた他のソフトウェアセキュリティ技術は、企業又は他の組織的実体のエンドユーザ又は従業員に対して望ましくない副作用を有することがある。ネットワーク又は情報技術IT管理者は、望ましく信頼できるネットワーク資源から従業員がソフトウェアや他の電子データを取得できるようにするために、企業実体の全ての側面と関連した広範なポリシーを巧妙に作成する責任を負っていることがある。広範なポリシーが適切でないと、従業員は、そのようなソフトウェアや他のデータが企業活動に正当かつ必要な場合でも、特に許可されていないネットワーク資源からのソフトウェアや他の電子データのダウンロードを妨げられることがある。更に、そのようなシステムは、無許可のソフトウェアがホストコンピュータ上に見つかった場合に、ホストコンピュータアクティビティが延期されてネットワーク管理者の介入が保留されるという大きな制限がある。企業の場合、このタイプのシステムは、正当かつ必要な企業活動を妨げることあり、その結果、労働者の稼働不能時間、収益損失、著しい情報技術ITオーバヘッドなどが生じることがある。図1に概略的に示されたような悪意のあるソフトウェアに対するローカル保護をするシステム及び方法は、感染したネットワークからのボットネットの伝搬及び悪意のあるアクティビティを減少させることができ、同時にITオーバヘッドをあまり必要とせずに、感染したネットワーク内で正当なアクティビティが継続することを可能にする。1つの例示的実施態様によれば、ネットワーク内の各ホスト上のどのソフトウェアプログラムファイルが危険即ち、信頼できないかを予め判定するシステムが提供される。一例では、この判定は、ホスト上に常駐する未知又は変更されたプログラムファイルを検出することにより行われる。ネットワークアクセス試行即ち、インバウンド又はアウトバウンドが、ネットワーク内のホストのうちの1つで行われるときは、ネットワークアクセス試行と関連付けられたプロセスが評価されてその対応プログラムファイル又はファイルが決定され、そのプログラムファイル又はファイルが評価されてその信頼性状態即ち、信頼できるか信頼できないかが判定される。各プログラムファイルが信頼できる場合は、そのプロセスと関連付けられたネットワークアクセス試行が、許可されることがある。しかしながら、プログラムファイルのどれかが信頼できない場合は、プロセスと関連付けられたネットワークアクセス試行が阻止され、それにより、可能性のあるボットの伝搬と悪意のあるアクティビティは防止されることがある。1つの例示的実施形態では、ネットワークアクセスは、ポリシー構成に基づいて、サブネットの定義された組に対して及び/又はその組から選択的に許可されることがある。したがって、ボットが指令制御サーバからのコマンドに応答し伝搬する能力が、大幅に縮小され、同時に必要な企業活動の中断又は妨害が最小になる。その結果、図1に実現されたようなシステムは、感染ホストがあるネットワーク、及び感染ホストがアクセスを試みる他のネットワークに対してよりよい保護を提供する。図1のインフラストラクチャに移ると、ローカルネットワーク110は、コンピュータシステムを保護するシステムを実現することができる例示的なアーキテクチャを表す。ローカルネットワーク110は、1つ又は複数のローカルエリアネットワークLAN、他の適切なネットワーク、又はこれらの任意の組み合わせ含む様々な形態で構成されてもよい。インターネット150は、ローカルネットワーク110が適切に接続されることがある広域ネットワークWANを表す。一実施形態では、ローカルネットワーク110は、インターネットサービスプロバイダISPによって、又は専用帯域幅を有するインターネットサーバを介して、インターネット150に動作的に結合されてもよい。ローカルネットワーク110とインターネット150間の接続は、例えばデジタル加入者線DSL、電話線、T1線、T3線、ワイヤレス、衛星、光ファイバ、ケーブル、イーサネット登録商標など、又はこれらの任意の組み合わせのような任意の適切な媒体も含んでもよい。更に、ゲートウェイ、スイッチ、ルータなどを使用して、ホスト120と中央サーバ130とインターネット150との間の電子通信を容易にしてもよい。ISP又はインターネットサーバは、ホスト120が伝送制御プロトコル/インターネットプロトコルTCP/IPを使用してインターネット上の他のノードと通信できるように構成されてもよく、メールサーバ図示せずは、ホスト120が簡易メール転送プロトコルSMTPを使用して電子メールメッセージを送受信できるようにしてもよい。1つの例示的実施形態では、ローカルネットワーク110は、組織例えば、企業、学校、政府実体、家族などと関連付けられた従業員又は他の個人によって操作されるエンドユーザコンピュータを表わすホスト120a、120b及び120cを有する組織のネットワーク環境を表わす。エンドユーザコンピュータは、デスクトップ、ラップトップ、可搬型又は携帯型計算装置例えば、携帯情報端末PDA又は携帯電話などの計算装置、又はローカルネットワーク110へのネットワークアクセスと関連付けられたソフトウェアプロセスを実行することができる他の計算装置を含んでもよい。ローカルネットワーク110内のホスト120a、120b及び120c、中央サーバ130、並びに任意の追加の構成要素の間の接続は、例えば、ケーブル、イーサネット登録商標、ワイヤレス例えば、WiFi、3G、4Gなど、ATM、光ファイバなどの任意の適切な媒体を含んでもよい。本明細書に示され述べられたネットワーク構成及び相互接続が、単に説明のためのものであることに注意されたい。図1は、例として意図され、本開示におけるアーキテクチャの限定を意味するように解釈されるべきではない。図1に示された例示的実施形態では、指令制御サーバ170とボットネットオペレータ175が、インターネット150に動作的に結合される。一例では、指令制御サーバ170は、分散型ボットにコマンドを出すようにボットネットオペレータ175によって制御又は使用されるウェブサーバでよい。別の例では、指令制御サーバ170は、大企業、教育機関あるいは政府機関のサイトに悪意を持ってインストールされ隠されていてもよい。ボットネットオペレータ175は、例えば、インターネット150を介して指令制御サーバ170にリモートでアクセスして、ホスト120a、120b又は120cなどの感染ホストコンピュータ上の分散型ボットを制御する命令を出してもよい。多数のボットネットオペレータと、何百万台ものボットを制御する指令制御サーバが、インターネット150に動作的に接続されてもよい。一例では、ボットが、ホスト120a、120b又は120cのうちの1つに感染すると、ボットネットオペレータ175は、指令制御サーバ170を介してコマンドを出して、ボットをローカルネットワーク110及び/又はの他のネットワークの全体に伝搬させ始める。更に、ボットネットオペレータ175は、感染ホスト120a、120b又は120cから、スパム電子メール、秘密情報の盗難、分散型サービス妨害攻撃などの悪意のあるアクティビティをボットが試みる命令を出すことがある。図1は、また、インターネット150に接続されたグローバルサーバ160を示す。多数のサーバがインターネット150に接続されてもよいが、グローバルサーバ160は、リスクが評価されたソフトウェアプログラムファイルに関係する情報を含む1つ又は複数のデータベースを提供するサービスを提供する。例えば、信頼できない例えば、ウィルス、ワームなどの悪意のあるコードを含むと評価及び判定されたソフトウェアプログラムファイルが、いわゆるブラックリストに含まれてもよい。信頼できる例えば、汚染されていない、悪意のあるコードを含まないなどと評価及び判定されたソフトウェアプログラムファイルが、いわゆるホワイトリストに含まれてもよい。ホワイトリストとブラックリストは、別々に実施されてもよいが、各ソフトウェアプログラムファイルが、ホワイトリストファイル又はブラックリストファイルとして識別されるデータベース内で結合されてもよい。ホワイトリスト及びブラックリストは、各プログラムファイルの固有チェックサムが記憶されたチェックサムを使用して実施されてもよく、このチェックサムは、評価されるプログラムファイルの計算済みチェックサムと容易に比較することができる。チェックサムは、ソフトウェアプログラムファイルにアルゴリズムを適用することによって導出された数値又はハッシュサム例えば、番号数字の固定文字列でよい。アルゴリズムが、第1のソフトウェアプログラムファイルと同一の第2のソフトウェアプログラムファイルに適用された場合は、チェックサムが合致しなければならない。しかしながら、第2のソフトウェアプログラムファイルが異なる場合例えば、第2のソフトウェアプログラムファイルが、何らかの方法で変更された場合、第1のソフトウェアプログラムファイルの異なるバージョンである場合、全く異なるタイプのソフトウェアである場合などは、チェックサムは合致しない可能性が極めて高い。図1のグローバルホワイトリスト165などのデータベースは、独立した第三者によって提供されてもよく、消費者が入手可能な信頼できるソフトウェアプログラムファイルの総合リストを提供するように定期的に更新されてもよい。同様に、ブラックリスト図示せずは、独立した第三者によって提供されてもよく、信頼できない悪意のあるソフトウェアプログラムファイルの総合リストを提供するように定期的に更新されてもよい。グローバルホワイトリスト及びブラックリストは、ローカルネットワーク110の外部にあってもよく、インターネット150などの他のネットワークを介して、又はローカルネットワーク110とグローバルホワイトリスト165との間の電子通信を可能にする任意の他の適切な接続を介してアクセス可能でよい。そのようなグローバルホワイトリスト及びブラックリストの例には、カリフォルニア州サンタクララのMcAfee社によって提供されるArtemisデータベースと、オレゴン州ポートランドのSignaCert社によって提供されるSignaCert登録商標データベースが含まれる。図1は、また、ローカルネットワーク110内に示された内部ホワイトリスト133を含む。内部ホワイトリスト133は、また、リスクが評価されたソフトウェアプログラムファイルに関係する情報を含んでもよく、チェックサムを使用してそのようなソフトウェアプログラムファイルを識別してもよい。内部ホワイトリスト133内で識別されるソフトウェアプログラムファイルは、1つ又は複数のグローバルホワイトリストからのソフトウェアプログラムファイルを包含してもよく、かつ/又は選択されたソフトウェアプログラムファイルを提供するようにカスタマイズされてもよい。詳細には、組織内部で開発されたが必ずしも一般大衆が入手できるとは限らないソフトウェアプログラムファイルが、内部ホワイトリスト133内で識別されてもよい。更に、信頼できないと評価及び判定された特定のソフトウェアプログラムファイルを識別するために、内部ブラックリストが提供されてもよい。図1に示された例示的実施形態では、ホスト120a、120b及び120cの実行可能ソフトウェア122a、122b及び122cは、本明細書で前に述べたように、任意の実行可能ファイル、ライブラリモジュール、オブジェクトファイル、他の実行可能モジュール、スクリプトファイル、インタープリタファイルなどを含むことがある複数のソフトウェアプログラムファイルをそれぞれ有してもよい。ホスト120a、120b及び120cのうちの1つにボットが感染した場合、ボットは、それぞれのホストの実行可能ソフトウェア122a、122b又は122c内のプログラムファイルとして記憶される可能性がある。ローカル保護構成要素124a、124b及び124cは、それぞれのホスト120a、120b及び120c上のインバウンドとアウトバウンド両方のネットワークアクセス試行を遮断することがある。ネットワークアクセス試行と関連付けられた任意のプログラムファイルが、非信頼状態を有する場合、ネットワークアクセスは、他の基準例えば、ポリシー、既定条件などに基づいて阻止されるか選択的に許可されてもよい。しかしながら、プログラムファイルが信頼状態を有する場合は、ネットワークアクセスは許可されることがある。幾つかの実施形態では、中央サーバ130の中央保護構成要素135は、実行可能ソフトウェア122a、122b及び122cの各プログラムファイルを評価し、各プログラムファイルを信頼できるか信頼できないか分類する。プログラムファイルは、内部ホワイトリスト133、グローバルホワイトリスト165、内部あるいは外部ブラックリスト、又はこれらの任意の組み合わせと比較されてもよい。評価されたプログラムファイルが、信頼できないと分類された場合、非信頼プログラムファイルを識別するエントリが、中央非信頼ソフトウェアインベントリ132に加えられることがある。中央サーバ130は、また、ローカルネットワーク110内の任意のホスト120a、120b及び120c上のネットワークアクセス試行に関係する情報を含むログイベントデータベース131を維持してもよい。ログイベントデータベース131、中央非信頼ソフトウェアインベントリ132及び内部ホワイトリスト133は、中央サーバ130にアクセス可能な任意のネットワーク及び装置内に提供されてもよい。図2に移ると、図2は、中央サーバ200及び関連したメモリ構成要素231、232及び233の概略図を示す。これは、図1に示された中央サーバ130及び関連したメモリ構成要素131、132及び133の詳細な例である。システムの1つの例示的実施形態では、中央サーバ200の中央保護構成要素は、管理保護モジュール220、ポリシーモジュール230、ポリシーデータベース235、及びソフトウェア信頼判定モジュール240を含んでもよい。1つの例示的実施形態では、ソフトウェア信頼判定モジュール240から信頼プログラムファイルキャッシュエントリを受け取るための中央信頼キャッシュ245を含んでもよい。しかしながら、他の実施形態では、中央サーバ200が、非信頼プログラムファイルエントリを記憶するための中央非信頼ソフトウェアインベントリ232を収容するメモリ構成要素を含むか又はそのメモリ構成要素へのアクセスを有してもよい。中央サーバ200は、また、プロセッサ280やメモリ要素290などの適切なハードウェア要素に加えて、ログイベントデータベース231や内部ホワイトリスト233などのメモリ構成要素を含むか又はそれらのメモリ構成要素へのアクセスを有してもよい。許可された人が、例えば管理保護モジュール220を介してシステムを展開し、構成し、維持するために、中央サーバ200が、管理コンソール210に適切に接続されてもよい。中央信頼キャッシュ245を使用する実施形態では、キャッシュは、グローバル及び/又は内部ホワイトリストを検索する際に見つかったプログラムファイルなど、以前に信頼状態を有すると判定されたプログラムファイルを識別するエントリ例えば、チェックサムを一時的に記憶するためのメモリのブロックとしてハードウェア内に実現されてもよい。中央信頼キャッシュ245は、以前に信頼性状態が評価されたプログラムファイルを示すデータに対する迅速かつ透明なアクセスを提供することができる。これにより、要求されたプログラムファイルが、中央信頼キャッシュ245内に見つかった場合は、グローバル及び/又は内部ホワイトリストの検索、又は任意の他の信頼評価が行なわれなくてもよいことがある。更に、中央信頼キャッシュ245を使用する実施形態は、中央非信頼ソフトウェアインベントリ232を維持しなくてもよい。図3に移ると、図3は、悪意のあるソフトウェアに対するローカル保護をするシステムが実現することができる、計算装置又はホスト300の一実施形態の概略図と中央サーバ200のブロック図とを示す。ホスト300は、図1のホスト120のより詳細な例である。ホスト300は、例えば、プログラムファイル1~nを含む1組の実行可能ソフトウェア340を含む。ホスト300内のローカルネットワーク保護構成要素は、ローカル保護モジュール310、ソフトウェア管理モジュール320、ローカル非信頼ソフトウェアインベントリ330、及びソフトウェアプログラムインベントリフィード335を含んでもよい。ソフトウェア管理モジュール320、ローカル非信頼ソフトウェアインベントリ330、及びソフトウェアプログラムインベントリフィード335は、ホスト300のユーザ空間内に常駐してもよい。また、ホスト300のユーザ空間内には、実行可能ソフトウェア340のプログラムファイルの1つ又は複数に対応する例示的な実行ソフトウェアプロセス345が示されている。参照し易くするため、実行可能ソフトウェア340は、ホスト300上のユーザ空間内に示されるが、ホスト300上のディスクドライブなどのメモリ要素に記憶されてもよい。ホスト300は、また、ネットワークインタフェースカードNIC装置370、プロセッサ380、メモリ要素390などのハードウェア構成要素を含んでもよい。ローカル保護モジュール310、及び伝送制御プロトコル/インターネットプロトコルTCP/IP350や他のプロトコル360などの伝送プロトコルは、ホスト300のカーネル空間内に常駐してもよく、NIC装置370とインタフェースするネットワークドライバインタフェース仕様NDISドライバスタックの一部として実現されてもよい。オペレーティングシステムカーネルは、ソフトウェアプロセスを実行可能ソフトウェア340のその対応プログラムファイルにマッピングするプロセストラフィックマッピング要素365を提供する。ソフトウェア管理モジュール320と中央サーバ200との間には、ポリシー更新フロー322、非信頼ソフトウェア更新フロー324及びイベントフロー326を含むデータフローが示される。ソフトウェア管理モジュール320とローカル保護モジュール310との間には、ポリシー更新フロー312、制御フロー318及びイベントフロー316を含むデータ及び制御フローも示される。最後に、ソフトウェアプログラムインベントリフィード335が、中央サーバ200へのデータフロー337と共に示される。図2と図3には、メモリ管理ユニットMMU、付加的対称型マルチプロセッシングSMP要素、物理メモリ、イーサネット登録商標、周辺構成要素相互接続PCIバス及び対応ブリッジ、小型コンピュータシステムインタフェースSCSI/IntegratedDriveElectronicsIDE要素などの形でプロセッサ280及び380に適切に結合されてもよい追加のハードウェアが示されていない。更に、ネットワークアクセスを可能にするため、適切なモデム及び/又は追加のネットワークアダプタを含んでもよい。中央サーバ200とホスト300は、意図された機能を適切に実行するのに必要な任意の追加のハードウェア及びソフトウェアを含んでもよい。更に、中央サーバ200及びホスト300内に、その中のハードウェア構成要素の動作を適切に管理するため、任意の適切なオペレーティングシステムが構成されてもよい。ハードウェア構成は異なってもよく、示された例がアーキテクチャの限定を意味するものではないことを理解されよう。実行可能ソフトウェア340の信頼判定及びログ記録アクティビティは、例示的な実施形態では、少なくとも部分的に、中央サーバ200の管理保護モジュール220とソフトウェア信頼判定モジュール240によって、またホスト300のソフトウェアプログラムインベントリフィード335、ソフトウェア管理モジュール320及びローカル保護モジュール310によって提供されてもよい。信頼判定及びログ記録アクティビティと関係した情報は、適切に描写されるか、特定の場所例えば、ローカル非信頼ソフトウェアインベントリ330、ログイベントデータベース231などに送信されるか、単純に記憶又はアーカイブされるか例えば、中央非信頼ソフトウェアインベントリ232など、かつ/又は任意の適切な形式で適切に表示されてもよい例えば、管理コンソール210など。1つ又は複数のそのような信頼判定及びログ記録アクティビティと関係したセキュリティ技術には、ePolicyOrchestratorソフトウェア、ApplicationControlソフトウェア、及び/又はChangeControlソフトウェア全てカリフォルニア州サンタクララのMcAfee社によって製造された、又は任意の他の類似ソフトウェアなどの要素を含むことができる。したがって、本明細書で使用されるような用語管理保護モジュール、ソフトウェア信頼判定モジュール、ソフトウェアプログラムインベントリフィード、ソフトウェア管理モジュール及びローカル保護モジュールの広い範囲には、任意のそのような構成要素が含まれることがある。ログイベントデータベース231、中央非信頼ソフトウェアインベントリ232、内部ホワイトリスト233、及びローカル非信頼ソフトウェアインベントリ330は、電子データの信頼判定及びログ記録と関連した情報例えば、プログラムファイルの信頼判定、ソフトウェアプロセスのネットワークアクセス試行などを含むことがあり、これらの要素は、中央サーバ200及びホスト300のモジュール及び構成要素と容易に協力し、連係し、その他相互作用することができる。ネットワークアクセス試行の遮断及び阻止アクティビティは、例示的な実施形態では、少なくとも部分的に、ホスト300のローカル保護モジュール310とソフトウェア管理モジュール320、及び中央サーバ200の管理保護モジュール220とポリシーモジュール230内で提供されてもよい。遮断及び阻止アクティビティと関連した情報は、特定の場所例えば、中央サーバ200、ログイベントデータベース231、ローカル保護モジュール310などにプッシュされ、単にローカルに記憶又はアーカイブされ、かつ/又は任意の適切な形式で適切に表示されてもよい例えば、管理コンソール210などにより。1つ又は複数のそのような遮断及び/又は阻止アクティビティと関連したセキュリティ技術は、McAfee登録商標ePolicyOrchestratorソフトウェアや他の類似のソフトウェアなどの要素を含んでもよい。したがって、本明細書で使用されるような用語ローカル保護モジュール、ソフトウェア管理モジュール、管理保護モジュール及びポリシーモジュールの広い範囲内に、任意のそのような構成要素が含まれることがある。ローカル非信頼ソフトウェアインベントリ330、中央非信頼ソフトウェアインベントリ232、及びポリシーデータベース235は、ネットワークアクセス試行の遮断及び阻止と関連した情報例えば、プログラムファイルの信頼判定、ポリシー構成などを含んでもよく、これらの要素は、中央サーバ200及びホスト300のモジュール及び構成要素により容易にアクセスされ、その他相互作用することができる。図4~図7は、悪意のあるソフトウェアからローカル保護するシステムの実施形態と関連付けられた例示的ステップのフローチャートを含む。参照し易くするため、図4から図7は、ここでは、図1のネットワーク環境100内の特定の構成要素、並びにサーバ200、ホスト300、及びその関連した構成要素、要素、モジュールに関して記述されるが、本明細書に示され記載されたシステムと方法を実現するために、様々な他の装置、構成要素、要素、モジュールなどが使用されてもよい。図4と図5はそれぞれ、中央非信頼ソフトウェアインベントリ232及び/又はローカル非信頼ソフトウェアインベントリ330を作成し維持する列挙フロー400と信頼判定フロー500を示す。フロー400は、少なくとも部分的に中央サーバ200のソフトウェア信頼判定モジュール240内で行われてもよい。最初にステップ410で、ホスト300上の実行可能ソフトウェアのインベントリが取得される。例示的な実施形態では、このソフトウェアインベントリは、ホスト300のソフトウェアインベントリフィード335から受け取ってもよい。ソフトウェアインベントリフィードは、ホスト300上の実行可能ソフトウェア340のプログラムファイルを全て列挙し、列挙したプログラムファイル即ち、ソフトウェアインベントリをデータフロー337によって中央サーバ200にプッシュしてもよい。他の実施形態では、実行可能ソフトウェア340の新しい及び変更されたプログラムファイルだけが中央サーバ200に列挙されプッシュされる。そのような列挙は、例えば、PolicyAuditorソフトウェアやApplicationControlソフトウェアなどの既存のセキュリティ技術によって達成することができる。これらのソフトウェアは両方とも、カリフォルニア州サンタクララのMcAfee社によって製造されたものである。ステップ410でプログラムファイルが列挙された後、ソフトウェアインベントリで識別されたプログラムファイルがそれぞれ評価され、信頼性状態が判定され、信頼できる即ち、ネットワークアクセスが許可されることがあるか信頼できない即ち、ネットワークアクセスが阻止されるか選択的に許可されることがあるかに分類される。ステップ410の後、フローはステップ420に進んでもよく、最初のプログラムファイルが、ソフトウェアインベントリから取り出される。次に、フローは、ステップ430に進み、プログラムファイルが、評価され、信頼できるか信頼できないかに分類される。これについては、図5と図6に関連して本明細書で更に示され述べられる。ステップ430でプログラムファイルが信頼できるか信頼できないかに分類された後、フローは、ステップ440に進み、現在評価されているプログラムファイルが、中央サーバ200がホスト300から受け取ったソフトウェアインベントリ内の最後のプログラムファイルかどうかの判定がされる。現在のプログラムファイルが、ソフトウェアインベントリ内の最後のプログラムファイルでない場合は、ステップ450でソフトウェアインベントリから次のプログラムファイルが取り出されることがあり、フローは、ステップ430にループして戻って次のプログラムの評価と信頼分類を開始する。しかしながら、ステップ440で、現在のプログラムファイルが、ソフトウェアインベントリ内の最後のプログラムファイルの場合、フローはステップ460に進む。ステップ460で、新しく分類された信頼できないプログラムファイルがホスト300にプッシュされ、ローカル非信頼ソフトウェアインベントリ330を更新することがある。プッシュは、非信頼ソフトウェア更新フロー324により、中央サーバ200のソフトウェア信頼判定モジュール240から、ホスト300のソフトウェア管理モジュール320に行われることがある。例示的実施形態では、中央サーバ200のソフトウェア信頼判定モジュール240は、ホスト300上の完全なソフトウェアインベントリのソフトウェアプログラムインベントリフィード335又はホスト300上の新しいか変更されたプログラムファイルのソフトウェアインベントリから、一定のフィード又はほぼ一定のフィードを受け取ることができ、その結果、中央非信頼ソフトウェアインベントリ232及び/又はローカル非信頼ソフトウェアインベントリ330は、実質的に実時間で最新になる。他の実施形態では、ソフトウェア信頼判定モジュール240は、列挙されたソフトウェアインベントリを定期的な間隔例えば、毎日、1時間毎、30分毎などで受け取ってもよい。図5に移ると、図5は、図4のステップ430に対応する信頼判定フロー500のより詳細なフローを示す。これは、中央サーバ200にプッシュされたソフトウェアインベントリ内の各プログラムファイルについて実行される。フローは、ステップ510で始まってもよく、現在のプログラムファイルが評価されて、それが、図1に示されたグローバルホワイトリスト165などの少なくとも1つのグローバルホワイトリスト上、及び/又はローカルネットワーク110外の他のホワイトリスト上で識別されたかどうかが判定される。本明細書で前に述べたように、プログラムファイルを識別するために、ホワイトリスト内でチェックサムが使用されてもよい。ステップ510でプログラムファイルがグローバル又は他の外部ホワイトリストのいずれかに見つかった場合は、プログラムファイルの信頼性状態が、信頼できると定義され、その結果、フローが終了し、中央非信頼ソフトウェアインベントリ232を更新しないことにより、プログラムファイルは、信頼できるとして分類される。しかしながら、ステップ510で、プログラムファイルが、グローバル又は他の外部ホワイトリスト上に見つからなかった場合は、フローはステップ520に進み、内部ホワイトリスト233などの1つ又は複数の内部ホワイトリストが検索されてもよい。組織は、複数のホワイトリスト例えば、組織全体のホワイトリスト、企業レベルのホワイトリストなどを使用してもよい。プログラムファイルが、内部ホワイトリストのどれかに見つかった場合、プログラムファイルの信頼性状態が、信頼できるとして定義され、その結果、フローは終了し、中央非信頼ソフトウェアインベントリ232は更新されない。しかしながら、ステップ510又は520で、プログラムファイルが内部又は外部ホワイトリストのどれにも見つからなかった場合、プログラムファイルは、非信頼状態を有する。次に、フローは、ステップ530に進んでもよく、プログラムファイルが評価されて、そのプログラムファイルが、プログラムファイルを非信頼状態から信頼状態に昇格させることができる任意の既定条件を満たすかどうかが判断されることがある。そのような既定条件には、例えば、管理者が所有するソフトウェア、ファイルアクセス制御、ファイル属性例えば、作成時刻、修正時刻などなどのヒューリスティックな検討事項が含まれてもよい。一例では、管理者が所有する非信頼プログラムファイルは、信頼状態に昇格されることがあり、その結果、フローは終了し、プログラムファイルは、中央非信頼ソフトウェアインベントリ232を更新しないことによって信頼できると分類される。しかしながら、ステップ530で、プログラムファイルが既定条件を満たさない場合は、非信頼状態が持続し、プログラムファイルは、最後のステップ540で、プログラムファイルを識別する中央非信頼ソフトウェアインベントリ232を更新することによって、信頼できないとして分類されてもよい。信頼判定フロー500は、また、ホワイトリストに加えてブラックリストを評価する追加の論理図示せずを含んでもよい。ブラックリストは、悪意のあることが分かっているソフトウェアプログラムファイルを識別する。ブラックリストは、McAfee社によって提供されるArtemis及びAnti-Virusデータベース、並びにローカルネットワーク内にローカルに維持されたブラックリストを含む多数のソースによって提供されてもよい。この実施形態では、プログラムファイルが、内部又は外部ブラックリストのどれかに見つかった場合、プログラムファイルは、プログラムファイルを識別する中央非信頼ソフトウェアインベントリ232を更新することにより、信頼できないと分類される。非信頼プログラムファイル情報は、ホスト300にプッシュされてローカル非信頼ソフトウェアインベントリ330が更新されてもよい。図6に移ると、図6は、図4のステップ430に対応する信頼判定フロー600の代替の実施形態を示す。これは、ソフトウェアインベントリ内の各プログラムファイルについて実行されてもよい。フローは、ステップ620で始まり、現在のプログラムファイルが評価されて、変化したかどうかが判定される。プログラムファイルの現在の状態が、前の状態から変化していない場合は、プログラムファイルの信頼性状態は、信頼できるとして定義され、フローが終了して、中央非信頼ソフトウェアインベントリ232が、プログラムファイルを識別するように更新されない。しかしながら、プログラムファイルの現在の状態が前の状態から変化した場合は、プログラムファイルは、非信頼状態を有する。既存の変更追跡製品例えば、McAfee登録商標ChangeControlソフトウェア、McAfee登録商標ApplicationControlソフトウェア、McAfee登録商標ePolicyOrchestratorソフトウェア、McAfee登録商標PolicyAuditorソフトウェア、オレゴン州ポートランドのTripwire社によって製造されたTripwire登録商標ソフトウェアなどを使用して、プログラムファイルの変更データを調べて変更が起きたかどうかを判定してもよい。一例では、変更レコードは、中央サーバ200で集中的に総計されてもよく、McAfee登録商標ePOソフトウェアが、プログラムファイルが変化したかどうかを判定してもよい。図6において、ステップ620で、プログラムファイルが非信頼状態を有すると判定された場合、フローはステップ630に進んでもよく、プログラムファイルが評価されて、図5のステップ530に関連して本明細書で前に述べたように、プログラムファイルをその非信頼状態から信頼状態に昇格させることができる既定条件が存在するかどうかが判断されてもよい。1つ又は複数の既定条件によって、プログラムファイルが信頼状態に昇格する場合は、フローは終了し、中央非信頼ソフトウェアインベントリ232が更新されない。しかしながら、既定条件がプログラムファイルに当てはまらない場合は、非信頼状態が持続し、プログラムファイルは、ステップ640で、プログラムファイルを識別する中央非信頼ソフトウェアインベントリ232を更新することによって、信頼できないとして分類されてもよい。別の実施形態では、図5又は図6の信頼判定フローは、以前に信頼できないと分類されたプログラムファイルを信頼できると定義するための追加の論理図示せずを含んでもよい。プログラムファイルが、図5と図6の信頼判定フロー500又は600のそれぞれから信頼できると定義された場合、プログラムファイルの信頼状態が以前に判定された非信頼状態から変化したものであるかどうかを判定する追加論理が、提供されてもよい。そのような場合、中央非信頼ソフトウェアインベントリ232は、プログラムファイルエントリの状態が信頼できないから信頼できるに変更された場合に、そのプログラムファイルエントリを除去するか適切にマークするように更新されてもよい。更に、任意のそのような更新をホスト300にプッシュして、ローカル非信頼ソフトウェアインベントリ330を更新してもよい。この実施形態により、以前に信頼できないと分類されたプログラムファイル例えば、内部ホワイトリスト内で更新されておらず、グローバル/外部ホワイトリストに知られていない新しい内部プログラムファイルなどを、新しいプログラムファイルを識別するために内部ホワイトリスト又は外部ホワイトリストの一方が更新された後で、信頼できると再分類することができる。プログラムファイルを列挙し、信頼性状態を判定し、それらのプログラムファイルを分類する代替の実施態様は、容易に明らかになる。本明細書で前に示され述べられた幾つかの実施形態は、ホスト300などのネットワーク内の各ホスト上で実行可能ソフトウェアのインベントリを列挙し、ソフトウェアインベントリを中央サーバ200にプッシュし、インベントリ内の各プログラムファイルと関連付けられた信頼性状態を判定し、それに応じて中央非信頼ソフトウェアインベントリ232を更新し、次に非信頼ソフトウェアインベントリ更新を適切なホストにプッシュしてローカル非信頼ソフトウェアインベントリ330内にローカルに維持されることに言及している。しかしながら、代替の実施形態では、ソフトウェアプログラムファイルの信頼判定及び分類が各ホストによってローカルに行なわれてもよく、得られた情報が別の場所例えば、中央非信頼ソフトウェアインベントリ232などにプッシュされ、かつ/又はローカル例えば、ローカル非信頼ソフトウェアインベントリ330などに維持されてもよい。ソフトウェアプログラムファイルの信頼性状態をローカルに判定し、次にプログラムファイルを適切に分類することは、ホワイトリスト評価、ブラックリスト評価、状態変更評価、又は任意の他の適切な信頼評価技術によって行なわれてもよい。そのような実施形態では、実行可能ソフトウェアのインベントリは、例えば、McAfee登録商標ソフトウェア例えば、PolicyAuditor、ApplicationControl、又はChangeControlによって列挙されてもよい。図5に示されたようなホワイトリスト評価を行なうとき、ホストは、ローカルネットワーク上の内部ホワイトリスト及び/又はインターネットなどの別のネットワークを介してアクセス可能な外部ホワイトリストにアクセスしてもよい。図6に示されたように、プログラムファイル状態変更評価は、プログラムファイルの現在と以前の変化状態を評価することによってローカルに行なわれてもよい。例えば、McAfee登録商標ChangeControlソフトウェアは、一連の変更レコードがホスト上にローカルに維持されることを可能にし、この変更レコードを評価して、特定のホスト上のプログラムファイルのどれかが変化したかどうかを判定することができる。更に、この開示の広い範囲により、例えば、ソフトウェアプログラムファイルのホワイトリスト評価と状態変更評価の両方を実行すること、及び/又はソフトウェアプログラムファイルのブラックリスト評価を実行することを含む多数の他の技術を使用して、ソフトウェアプログラムファイルを信頼できると分類すべきかどうかを判定することができる。1つ又は複数の非信頼ソフトウェアインベントリは、この開示による様々な形態で適切に構成されてもよい。例えば、非信頼ソフトウェアインベントリは、個別のホストのなか例えば、非信頼ソフトウェアインベントリ330だけ、別の場所のなか例えば、中央非信頼ソフトウェアインベントリ232だけ、又はこれらの何らかの組み合わせの中に常駐してもよい。一実施形態では、ローカル非信頼ソフトウェアインベントリ330は、ホスト300上に見つかった非信頼プログラムファイルを識別するエントリを含んでもよいが、中央非信頼ソフトウェアインベントリ232は、ネットワーク内の複数のホスト上に見つかった非信頼プログラムファイルへのエントリを含んでもよい。中央非信頼ソフトウェアインベントリ232の1つの代表的な実施形態は、ホスト名に対応する1つの列と、非信頼プログラムファイルのプログラムパスに対応する別の列とを有するデータベース表形式を含む。ローカル非信頼ソフトウェアインベントリ330は、類似の形式を有してもよく、例えば、プログラムファイルパスエントリだけを含むように単純化されてもよい。図4から図6に関連して示し述べた列挙、信頼判定及び分類の実施形態は、ソフトウェアインベントリを中央サーバ200に常にフィードすることによって、又はバッチ処理を所定の時間間隔で使用することによって実施されてもよい。バッチ処理の実施形態では、バッチ処理間の時間ウィンドウにより、非信頼ソフトウェアインベントリ330にまだ追加されていないボットが、ネットワークにアクセスして伝搬し、かつ/又は悪意のあるアクティビティを実行することができることがある。しかしながら、幾つかの企業では、この手法は、所定の時間間隔が重要でないか又は代替の手法が正当で必要な企業活動を妨げることがあるので、望ましい場合がある。しかしながら、別の実施形態は、これらの時間ウィンドウを閉じ、同時にバッチ処理を使用して非信頼ソフトウェアインベントリ330を更新することで実現されてもよい。この代替の実施形態では、非信頼ソフトウェアインベントリではなく、信頼ソフトウェアインベントリが作成され維持されてもよい。ネットワークアクセス試行と関連付けられたプログラムファイルを評価して、各プログラムファイルが、信頼ソフトウェアインベントリ上に識別されるかどうかを判定してもよい。プログラムファイルが全て、信頼ソフトウェアインベントリで識別されている場合は、ネットワークアクセスは許可されてもよい。しかしながら、プログラムファイルのどれも信頼ソフトウェアインベントリで識別されない場合は、本明細書で更に述べるように、ネットワークアクセスは、阻止されるか選択的に許可されることがある。信頼ソフトウェアインベントリは、集中的かつ/又はローカルに維持されてもよく、一実施形態では、ローカル信頼ソフトウェアインベントリは、対応するホスト上の信頼プログラムファイルのみ、ネットワーク内のホストからの全ての信頼プログラムファイル、及び/又はネットワーク管理者又は他の権限あるユーザによって判定された他の信頼プログラムファイルを含むように構成されてもよい。図7に移ると、単純化されたフローチャートは、ホスト300上の実行ソフトウェアプロセス345などのホスト上のソフトウェアプロセスと関連付けられたネットワークアクセス試行即ち、インバウンド又はアウトバウンドの遮断、阻止、及びログ記録アクティビティの保護フロー700を示す。一例では、保護フロー700は、少なくとも部分的にホスト300のローカル保護モジュール310として実現されてもよい。参照し易くするため、保護フロー700は、最初に、ホスト300上のソフトウェアプロセス345からホスト300に接続されたネットワークへのアウトバウンドネットワークアクセス試行に関して記述される。フローは、ステップ710で始まり、ローカル保護モジュール310は、ソフトウェアプロセス345によるアウトバウンドネットワークアクセス試行を遮断する。一実施形態では、実行可能ソフトウェア340からのプロセスは、NDISドライバスタックを使用して、ホスト300のNIC装置370を介してネットワークにアクセスする。これにより、ソフトウェアプロセス345は、NDISドライバスタックを介して電子データを送信することによってネットワークへのアクセスを試みてもよい。接続が、インターネットプロトコルスイートを使用している場合、TCP/IP350は、電子データをパケットに分解し、要求された宛先アドレスを提供する。あるいは、接続は、他のプロトコル360例えば、インターネットワークパケット交換IPX、NetBIOS拡張ユーザインタフェースNetBEUIなどを使用して送信する電子データを作成してもよい。発信パケットを作成した後で、ローカル保護モジュール310は、任意のタイプのネットワークアクセスの試み例えば、ドメインネームサービスDNSホスト名を参照する試み、リモートホストに接続する試み、ネットワークに既に接続されていたソケットに書き込む試み、などでよいパケットを遮断する。発信パケットが遮断された後、フローはステップ720に進み、実行ソフトウェアプロセス345と関連付けられた遮断パケットにどのプログラムファイル例えば、実行可能ファイル、ライブラリモジュール、オブジェクトファイル、他の実行可能モジュール、スクリプトファイル、インタープリタファイルなどが対応するかをオペレーティングシステムに照会してもよい。この例では、遮断パケットは、実行ソフトウェアプロセス345にマッピングされ、プロセス345にロードされる実行可能ファイルと1つ又は複数のライブラリモジュールにマッピングされることがある。ステップ720で、オペレーティングシスタムカーネルは、プロセストラフィックマッピング要素365を維持し、そのようなマッピング情報をローカル保護モジュール310に提供する。次に、フローは、ステップ730に進み、プロセス345からの遮断パケットに対応する1つ又は複数のプログラムファイルが信頼できるかどうかが照会される。一例では、ローカル保護モジュール310は、制御フロー318を介して、プログラムファイルに関する情報をソフトウェア管理モジュール320に照会してもよい。次に、ソフトウェア管理モジュール320は、ローカル非信頼ソフトウェアインベントリ330にアクセスして、プログラムファイルが信頼できないと分類されるか信頼できると分類されるかを判定し、次にその情報を制御フロー318を介してローカル保護モジュール310に返してもよい。ステップ730で、プログラムファイルのどれかが信頼できないと分類された即ち、プログラムファイルの1つ又は複数が、ローカル非信頼ソフトウェアインベントリ330上に見つかった場合、フローはステップ740に進んで、ログ記録が有効かどうかを判断する。ステップ740で、ログ記録が有効である場合、フローはステップ750に進み、ログ記録のためのイベント即ち、ネットワークアクセス試行を発生させる。例えば、イベントデータ例えば、ネットワークアクセス試行及びその関連プログラムファイルに関する情報が、イベントフロー316を介してソフトウェア管理モジュール320に送信されてもよく、次に、ソフトウェア管理モジュール320は、イベントデータをローカルにログ記録してもよく、イベントデータを、例えば中央サーバ200などのログ記録するための別の場所に、イベントフロー326を介して送信してもよい。例示的な実施形態では、中央サーバ200の管理保護モジュール220は、イベントデータをログイベントデータベース231などのメモリ要素に記憶するように適応されてもよい。ログイベントデータベース231に記憶されるイベントデータの例には、遮断パケットに関連付けられたプログラムファイルの識別及び/又はプログラムパス、イベントが生じたホストの識別、ネットワークアクセス試行の日時スタンプ、ネットワークアクセス試行のタイプ、ネットワークアクセス試行の宛先及び/又はソースアドレス、ネットワークアクセス試行と関連付けられたポート番号などが挙げられる。管理保護モジュール220は、また、管理コンソール210又は他の報告機構を介してログイベントデータベース231に対するアクセスを提供してもよい。次に、ステップ750でログ記録するイベントを生成した後、又はステップ740でログ記録が有効でない場合、フローはステップ760に進んで取り締まりが有効かどうか判定される。取り締まりが有効でない場合、フローはステップ790に進み、ソフトウェアプロセス345のネットワークへのアクセスが許可され、遮断パケットが、NIC装置370に渡される。しかしながら、ステップ760で取り締まりが有効である場合は、ステップ770でポリシーが評価されて、構成ポリシーが、プログラムファイルの非信頼状態を覆し、ソフトウェアプロセス345と関連付けられたネットワークアクセス又は選択的ネットワークアクセスが許可されるかどうか判定される。一実施形態では、ポリシー構成は、ネットワーク管理者によって巧妙に作成されてもよく、そのようなポリシーは、ホスト300などの各ホストにプッシュされてもよい。例えば、中央サーバ200のポリシーモジュール230は、管理者又は他の権限あるユーザが管理コンソール210を介してポリシー構成を巧妙に作成し、そのようなポリシーをポリシーデータベース235に記憶することを可能にしてもよい。次に、管理保護モジュール220は、ポリシー更新フロー322を介して、任意の関連ポリシー構成をホスト300のソフトウェア管理モジュール320にプッシュしてもよい。ソフトウェア管理モジュール320は、更に、ポリシー更新フロー312により、ポリシー構成をローカル保護モジュール310にプッシュしてもよい。あるいは、ポリシー構成は、例えばホスト300のディスクドライブに記憶されてもよく、ローカル保護モジュール310は、評価される特定のプロセスの関連ポリシーをソフトウェア管理モジュール320に照会してもよい。ポリシー構成は、特定のネットワーク所有者によって必要に応じて実施されてもよい。幾つかの例示的な実施形態では、ポリシー構成は、インバウンド及びアウトバウンドネットワークアクセスを全て阻止する、インバウンドネットワークアクセスを全て阻止しアウトバウンドネットワークアクセスを許可する、インバウンドネットワークアクセスを許可しアウトバウンドネットワークアクセスを阻止するなど、1つ又は複数の広範囲にわたる制限を含んでもよい。また、ローカルネットワークへのアウトバウンドネットワークアクセスを阻止するがインターネットへのアウトバウンドネットワークアクセスを許可する、又はソースアドレスの指定サブネットからのインバウンドネットワークアクセスを許可しかつ/又は宛先アドレスの指定サブネットへのアウトバウンドネットワークアクセスを許可するなど、より具体的な戦略が使用されてもよい。最終的に、指定されたインバウンド及び/又はアウトバウンドネットワーク接続例えば、ドメインネームサービスDNS、簡易メール転送プロトコルSMTP、インターネットリレーチャットIRCなどを阻止するなど、更に大雑把な戦略が使用されてもよい。これらの例のポリシー構成は、ネットワークアクセス制限の機能を示す説明のためのものであり、インバウンド及び/若しくはアウトバウンドネットワークアクセス又はこれらの任意の組み合わせを制限する任意の他のポリシー構成を含むように意図される。非信頼プログラムファイルのための特別なネットワークレベルポリシーが巧妙に作成されることもある。例えば、ポリシーは、非信頼プログラムファイルと関連付けられたネットワークアクセス試行を、セカンダリサーバなどの別の計算装置に転送するように巧妙に作成されることがある。一例では、この転送を使用するとき、非信頼プログラムファイルと関連付けられた潜在的に悪意のあるネットワークアクセス試行が、追加のファイアウォール、フィルタ、アンチスパム/アンチウイルスゲートウェイ、プロキシなどを介して強制される可能性がある。別の例では、セカンダリサーバは、ネットワーク接続を受け取ったときに1つ又は複数の所定のコマンドで応答するように構成されてもよい。幾つかのボットは、特定のコマンドを受け取ると自滅するように設計されており、セカンダリサーバは、ネットワーク接続にそのようなコマンドで応答するように構成されてもよく、それにより、セカンダリサーバに転送されたボットが破壊される。特定のポリシー構成は、非信頼ソフトウェアの伝搬及び潜在的に悪意のあるアクティビティを防ぐ必要性や、必要な企業活動を行なう必要性など、競合する関心の間で平衡がとられることがある。例えば、ホストサブネットとサーバサブネットを有するネットワークでは、ポリシーは、非信頼プログラムファイルと関連付けられたソフトウェアプロセスが、ホストサブネットではなくサーバサブネットだけにアクセスできるように構成されてもよい。これは、悪意のあるソフトウェアがネットワーク内の他のホストに伝搬するのを防ぐことができ、同時にホストがセキュアなサーバサブネットに中断なしにアクセスすることを可能にするので望ましいことがある。別のポリシーは、信頼できないプログラムファイルと関連付けられたソフトウェアプロセスが、既知のサブネットホスティングジョブクリティカルサービスを除いて、インターネットへアクセスするのを阻止してもよい。したがって、選択的なネットワークアクセスを許可するポリシーを巧妙に作成することにより、様々な阻止オプションを使用することができる。図7のステップ770に戻ると、実行ソフトウェアプロセス345に対応する1つ又は複数の非信頼プログラムファイルによる選択的なネットワークアクセスを許可するポリシーが巧妙に作成され、かつ遮断されたパケットが、特定のポリシー要件に適合する場合例えば、パケットが、非信頼プログラムファイルに適用されるポリシーによりアドレスの許可されたサブネットの範囲内にある宛先アドレスを有する場合、などは、フローは、ステップ790に進み、ソフトウェアプロセス345が、ネットワークアクセスを許可され、パケットがNIC装置370に渡される。しかしながら、ポリシーが、1つ又は複数のプログラムファイルの非信頼状態を覆さない場合即ち、ポリシーがネットワークアクセスを許可しないか、ポリシーが適用可能でない場合は、フローはステップ780に進み、ソフトウェアプロセス345は、ネットワークアクセスから阻止される。一例では、阻止は、TCP接続コールを失敗させエラーコードをソフトウェアプロセス345に返すことによって行われ、それにより、遮断パケットが、NIC装置370に渡されるのが防止される。ステップ730に再び関連して、プログラムファイルが、信頼できると分類された場合即ち、ローカル非信頼ソフトウェアインベントリ330にプログラムファイルが見つからない場合は、フローがステップ760に進んで、取り締まりが有効かどうか判断される。取り締まりが有効でない場合、フローはステップ790に進み、ソフトウェアプロセス345が、ネットワークアクセスを許可され、遮断パケットが、NIC装置370に渡される。しかしながら、ステップ760で取り締まりが有効である場合は、ステップ770で、ポリシーが評価されて、構成ポリシーが1つ又は複数のプログラムファイルの信頼状態を覆すかどうか判断されてもよい。例えば、非信頼プログラムファイルが、以前に遮断されており、ポリシーが、全てのアウトバウンドネットワークアクセス試行に適用される何らかのタイプの阻止を提供した場合は、後のネットワークアクセス試行と関連付けられた信頼できるプログラムファイルが評価され、そのポリシーによってネットワークアクセスから阻止される可能性がある。したがって、ポリシーが、1つ又は複数のプログラムファイルの信頼状態を覆す即ち、ポリシーが、ネットワークアクセスを許可しない場合は、フローはステップ780に進み、ソフトウェアプロセス345が、ネットワークアクセスから阻止される。しかしながら、ステップ770で信頼状態がポリシーによって覆されない即ち、ポリシーが、ネットワークアクセスを許可するか、ポリシーが適用できない場合、フローはステップ790に進み、ソフトウェアプロセス345は、ネットワークアクセスが許可され、遮断パケットが、NIC装置370に渡される。図7の保護フロー700は、また、ホスト300に対するインバウンドネットワークアクセス試行の遮断、阻止及びログ記録アクティビティに使用されるフローを表わす。ステップ710で、ローカル保護モジュール310は、NIC装置370からのインバウンドネットワークアクセス試行を遮断する。インバウンドネットワークアクセス試行は、例えばTCPリスン又はアクセプトコールであり、ソフトウェアプロセス345などのホスト300上の実行ソフトウェアプロセスと関連付けられることがある。着信遮断パケットは、ネットワークアクセス試行の発信遮断パケットに関して本明細書で前に述べたステップ720~770で評価される。ステップ720から770のフローがステップ790に進んだ場合は、着信遮断パケットが、ホスト300にアクセスすることを許可される。しかしながら、フローがステップ780に進んだ場合、着信遮断パケットは、ホスト300へのアクセスが阻止される。一例では、阻止は、リスン又はアクセプトコールを失敗させ、リスン又はアクセプトAPIの発呼者にエラーコードを返すことによって行われる。更に、本明細書で前に述べたように、インバウンドネットワークアクセス試行の多数のポリシー構成が可能である。一例では、ステップ770で、1つ又は複数の非信頼プログラムファイルと関連付けられた特定のインバウンドネットワークアクセス試行を許可するポリシーが巧妙に作成され、着信パケットが、その特定のポリシー要件に適合する例えば、パケットが、非信頼プログラムファイルに適用されるポリシーによりアドレスの許可されたサブネットの範囲内にあるソースアドレスを有すると判定された場合、フローはステップ790に進み、着信遮断パケットが、ホスト300へのアクセスを許可される。別の例では、ポリシーが、以前のネットワークアクセス試行即ち、インバウンド又はアウトバウンドに既に適用されており、後のネットワークアクセス試行に適用される何らかのタイプの阻止を提供した場合、後のインバウンドネットワークアクセス試行と関連付けられたプロセスは、対応するプログラムファイルが全て信頼状態を有する場合でも、そのポリシーによりホストへのアクセス又は選択的に許可されたアクセスが阻止されることがある。図8に移ると、図8は、悪意のあるソフトウェアからローカル保護するシステムの別の実施形態が実現されることがある、計算装置又はホスト800の別の実施形態の概略図と中央サーバ200のブロック図とを示す。ホスト800は、図1のホスト120の一実施形態のより詳細な例である。ホスト800は、例えばプログラムファイル1~nなどの1組の実行可能ソフトウェア840を含む。ホスト800内のローカルネットワーク保護構成要素は、ネットワークフック810、ソフトウェア管理モジュール820、ローカル非信頼ソフトウェアインベントリ830、及びソフトウェアプログラムインベントリフィード835を含んでもよい。参照し易くするため、実行可能ソフトウェア840は、ホスト800上のユーザ空間内に示されるが、ホスト800上のディスクドライブなどのメモリ要素に記憶されてもよい。ソフトウェアプロセス845などの任意の現在の実行ソフトウェアプロセスに加えて、ソフトウェア管理モジュール820、ローカル非信頼ソフトウェアインベントリ830、及びソフトウェアプログラムインベントリフィード835が、ホスト800のユーザ空間内に常駐してもよい。図8の実施形態で示されたように、プログラムファイルが実行され、実行ソフトウェアプロセス845を作成するときは、実行ソフトウェアプロセス845によってロードされる他のライブラリモジュールに加えて、Windows登録商標SocketsAPIWinsockライブラリ815が、従属物としてソフトウェアプロセス845にロードされ、ネットワークフック810が、従属物としてWinsockライブラリ815にロードされてもよい。ネットワークフック810を実施するには、McAfee社によって製造されたHostIntrusionPreventionSystemHIPSなどの既存のセキュリティ技術が使用されてもよい。ソフトウェア管理モジュール820と中央サーバ200との間に、ポリシー更新フロー822、非信頼ソフトウェア更新フロー824及びイベントフロー826を含むデータフローが示される。また、ソフトウェア管理モジュール820とネットワークフック810との間に、ポリシー更新フロー812、制御フロー818及びイベントフロー816を含むデータ及び制御フローが示される。ホスト800は、ネットワークインタフェースカードNIC装置870、プロセッサ880、メモリ要素890などのハードウェア構成要素を含んでもよい。ホスト800のカーネル空間は、伝送制御プロトコル/インターネットプロトコルTCP/IP850や他のプロトコル860などの伝送プロトコルを含んでもよい。図8には、図3のホスト300に関して述べたような追加のハードウェア及びソフトウェアは示されていない。ネットワークフック810とソフトウェア管理モジュール820は、ホスト800上のソフトウェアプロセス845などの実行可能ソフトウェア840のプログラムファイルからのプロセスと関連付けられたネットワークアクセス試行の遮断、阻止及びログ記録アクティビティを少なくとも部分的に提供するように構成されてもよい。遮断、阻止及びログ記録アクティビティと関連した情報は、特定の場所例えば、中央サーバ200、ログイベントデータベース231などにプッシュされ、単にローカルに記憶されるかアーカイブされ、かつ/又は任意の適切な形式で適切に表示され例えば、管理コンソール210などによっててもよい。1つ又は複数のそのような遮断、阻止及びログ記録アクティビティと関連したセキュリティ技術は、図3に関連して本明細書で前に述べたような要素を含んでもよく、McAfee登録商標HIPSソフトウェアを含んでもよい。したがって、本明細書で使用される用語ネットワークフック及びソフトウェア管理モジュールの広い範囲に、任意のそのような構成要素が含まれてもよい。ローカル非信頼ソフトウェアインベントリ830は、実行可能ソフトウェア840のプログラムファイルの信頼分類など、電子データの阻止及びログ記録と関連した情報を含んでもよく、これらの要素は、ネットワークフック810及びソフトウェア管理モジュール820と容易に協力し、連係し、その他相互作用することができる。図9に移ると、単純化されたフローチャートは、ホスト800上の実行ソフトウェアプロセス845などのホスト上のソフトウェアプロセスと関連付けられたネットワークアクセス試行即ち、インバウンド又はアウトバウンドの遮断、阻止、及びログ記録アクティビティの保護フロー900を示す。一例では、保護フロー900は、ネットワークフック810によって部分的に実行され、ホスト800のソフトウェア管理モジュール820によって部分的に実行されてもよい。参照し易くするために、最初に、保護フロー900は、ホスト800上のソフトウェアプロセス845からホスト800に接続されたネットワークへのアウトバウンドネットワークアクセス試行について述べられる。フローはステップ910で始まり、ネットワークフック810が、ソフトウェアプロセス845からのAPIアウトバウンドネットワークアクセス試行例えば、接続API、送信APIなどを遮断する。ネットワークフック810が、Winsockライブラリ815上の従属物としてソフトウェアプロセス845にロードされるので、ネットワークフック810は、TCP/IPプロトコルスタック850とインタフェースするWinsockライブラリ815に渡される前にAPIネットワークアクセス試行を遮断することができる。ネットワークアクセス試行は、任意のタイプのネットワークアクセス例えば、ドメインネームサービスDNSホスト名を参照する試み、リモートホストに接続する試み、ネットワークに既に接続されているソケットに書き込む試みなどでよい。APIが遮断された後で、フローはステップ920に進み、どのプログラムファイル例えば、実行可能ファイル、ライブラリモジュール、オブジェクトファイル、他の実行可能モジュール、スクリプトファイル、インタープリタファイルなどが、実行ソフトウェアプロセス845と関連付けられるか判定する。この例では、遮断されたAPIは、実行ソフトウェアプロセス845にマッピングされ、プロセス845にロードされた実行可能ファイル及び1つ又は複数のライブラリモジュールにマッピングされてもよい。例示的な実施形態では、ソフトウェア管理モジュール820は、どのプログラムファイルが実行ソフトウェアプロセス845にマッピングされ、遮断APIにマッピングされたかに関して、制御フロー818を介してネットワークフック810から照会される。ソフトウェア管理モジュール820は、オペレーティングシステムAPIを使用してそのようなマッピング情報を得ることがある。プログラムファイルが識別された後で、フローは、図7の保護フロー700のステップ730~790と類似していることがあるステップ930~990に進む。ステップ930で、ローカル非信頼ソフトウェアインベントリ830上に、ソフトウェアプロセス845に対応するプログラムファイルが見つかったかどうかが照会される。一例では、ソフトウェア管理モジュール820は、ローカル非信頼ソフトウェアインベントリ830にアクセスして、プログラムファイルが信頼できないと分類されるか信頼できると分類されるか判定してもよい。ステップ930で、プログラムファイルのどれかが信頼できないと分類された即ち、プログラムファイルの1つ又は複数がローカル非信頼ソフトウェアインベントリ830上に見つかった場合、フローはステップ940に進んで、ログ記録が有効かどうか判定する。ログ記録が有効である場合は、フローはステップ950に進んで、図7に関連して本明細書で前に述べたように、ログ記録のためのイベント即ち、ネットワークアクセス試行を発生させる。次に、ステップ950でログ記録のためのイベントが生成された後、フローがステップ960に進み、取り締まりが有効かどうか判定する。取り締まりが有効でない場合、ソフトウェアマネージャ820は、この情報を制御フロー818を介してネットワークフック810に渡してもよい。次に、フローはステップ990に進み、ソフトウェアプロセス845が、APIをWinsock815に渡すことによってネットワークへのアクセスを許可される。しかしながら、ステップ960で取り締まりが有効である場合は、図7に関連して本明細書で前に述べたように、ステップ970でポリシーが評価されて、構成ポリシーが、1つ又は複数の非信頼プログラムファイルの非信頼状態を覆すかどうか判定されてもよい。一実施形態では、ポリシー評価は、ソフトウェア管理モジュール820内で行われてもよく、その結果が、制御フロー818を介してネットワークフック810に渡されてもよい。ポリシー構成は、例えば中央サーバ200の管理保護モジュール220を介して、ネットワーク管理者又は他の権限あるユーザによって巧妙に作成されてもよい。管理保護モジュール220は、ポリシー更新フロー822を介して、任意の関連したポリシー構成を、ホスト800のソフトウェア管理モジュール820にプッシュしてもよい。ポリシーが、ソフトウェアプロセス845に対応する1つ又は複数の非信頼プログラムファイルによる選択的ネットワークアクセスを許可するように巧妙に作成されており、かつAPIが、特定のポリシー要件に適合する例えば、APIネットワークアクセス試行が、ポリシーにしたがってアドレスの許可されたサブネットの範囲内にある宛先アドレスを含む場合、ソフトウェア管理モジュール820は、そのような情報を制御フロー818を介してネットワークフック810に返してもよい。次に、フローはステップ990に進み、APIがWinsock815に渡され、ソフトウェアプロセス845は、ネットワークへのアクセスが許可される。しかしながら、ステップ970でポリシーがネットワークアクセスを許可しない場合、又は適用可能なポリシーが存在しない場合は、ソフトウェア管理モジュール820は、そのような情報を制御フロー818を介してネットワークフック810に返し、フローがステップ980に進み、APIは、Winsock815に渡されない。代わりに、ネットワークフック810が、エラー状態をソフトウェアプロセス845に返し、それにより、ネットワークアクセスが阻止されてもよい。ステップ930に再び関連して、プログラムファイルが、信頼できるとして分類された即ち、プログラムファイルが、ローカル非信頼ソフトウェアインベントリ830上に見つからない場合は、フローはステップ960に進み、取り締まりが有効かどうか判断する。取り締まりが有効でない場合、フローはステップ990に進み、APIがWinsock815に渡され、ソフトウェアプロセス845は、ネットワークへのアクセスを許可される。しかしながら、ステップ960で取り締まりが有効である場合は、図7に関連して本明細書で前に述べたように、ステップ970でポリシーが評価されて、構成ポリシーが信頼状態を覆すかどうか判断される。ポリシーが、1つ又は複数のプログラムファイルの信頼状態を覆す場合、フローはステップ980に進み、APIは、Winsock815に渡されない。代わりに、ネットワークフック810は、エラー状態をソフトウェアプロセス845に返し、それによりネットワークアクセスが阻止されてもよい。しかしながら、ステップ970で、1つ又は複数のプログラムファイルの信頼状態が、ポリシーによって覆されない場合、フローはステップ990に進み、APIが、Winsock815に渡され、ソフトウェアプロセス845は、ネットワークへのアクセスが許可される。保護フロー900は、また、ホスト300へのインバウンドネットワークアクセス試行の遮断、阻止及びログ記録アクティビティに使用されるフローを表わす。ステップ910で、ネットワークフック810は、Winsockライブラリ815からAPIインバウンドネットワークアクセス試行例えば、リッスンAPI、アクセプトAPIなどを遮断する。インバウンドネットワークアクセス試行は、アウトバウンド遮断APIに関して本明細書で前に述べたステップ920~970で評価される。ステップ920~970のフローがステップ990に進む場合、インバウンドネットワークアクセス試行は、ホスト300へのアクセスが許可される。しかしながら、フローが、ステップ980に進む場合、インバウンドネットワークアクセス試行は、ホスト300へのアクセスが阻止される。一例では、阻止は、リスン又はアクセプトコールを拒絶し、リスン又はアクセプトAPIの発呼者にエラーコードを返すことによって行われる。更に、図7に関して本明細書で前に述べたように、ステップ970で、インバウンドネットワークアクセスのポリシー構成が適用されてもよい。図10に移ると、図10は、悪意のあるソフトウェアからローカル保護するシステムを実現することができる計算装置又はホスト1000の別の実施形態の概略図と中央サーバ200のブロック図とを示す。ホスト1000は、図1のホスト120のより詳細な例である。ホスト1000は、例えばプログラムファイル1~nを含む1組の実行可能ソフトウェア1040を含んでもよい。ホスト1000内のローカルネットワーク保護構成要素は、ローカル保護モジュール1010、ソフトウェア管理モジュール1020、プログラムファイル変更モニタ1025、チェックサムキャッシュ1030、及びローカル信頼キャッシュ1035を含んでもよい。一実施形態では、チェックサムキャッシュ1030とローカル信頼キャッシュ1035は、対応するソフトウェアプログラムファイルのためのプログラムファイルパスとチェックサムで構成されてもよい。ソフトウェア管理モジュール1020とプログラムファイル変更モニタ1025は、ホスト1000のユーザ空間内に常駐してもよい。また、ホスト1000のユーザ空間内には、実行可能ソフトウェア1040のプログラムファイルの1つ又は複数に対応する例示的な実行ソフトウェアプロセス1045も示される。参照しやすいように、実行可能ソフトウェア1040は、ホスト1000上のユーザ空間内に示されているが、ホスト1000上のディスクドライブなどのメモリ要素内に記憶されてもよい。ホスト1000は、ネットワークインタフェースカードNIC装置1070、プロセッサ1080、メモリ要素1090などのハードウェア構成要素を含んでもよい。ローカル保護モジュール1010と、伝送制御プロトコル/インターネットプロトコルTCP/IP1050や他のプロトコル1060などの伝送プロトコルとは、ホスト1000のカーネル空間内に常駐してもよく、図3にホスト300と関連して示され記述された実施形態と類似の方式で、NIC装置1070とインタフェースするネットワークドライバインタフェース仕様NDISドライバスタックの一部として実現されてもよい。オペレーティングシステムカーネルは、ソフトウェアプロセスを実行可能ソフトウェア1040のその対応プログラムファイルにマッピングするプロセストラフィックマッピング要素1065を提供する。ソフトウェア管理モジュール1020と中央サーバ200との間に、ポリシー更新フロー1022、ホワイトリスト照会データフロー1024及びイベントフロー1026を含むデータフローが示される。また、ソフトウェア管理モジュール1020とローカル保護モジュール1010との間に、ポリシー更新フロー1012、制御フロー1018及びイベントフロー1016を含むデータ及び制御フローが示される。最終的に、チェックサムキャッシュ1030とローカル信頼キャッシュ1035は、ソフトウェア管理モジュール1020に対する双方向の流れを有することができ、プログラムファイル変更モニタ1025は、変更がプログラムファイルに行われたこと示すデータをソフトウェア管理モジュール1020に送る。図10には、図3のホスト300に関連して本明細書で前に述べた付加的なハードウェアと類似したホスト1000の付加的なハードウェアが示されていない。ローカル信頼キャッシュ1035とチェックサムキャッシュ1030は、ホスト1000のハードウェア内に、一時的記憶用のメモリのブロックとして構成されてもよい。ローカル信頼キャッシュ1035は、グローバルホワイトリストの検索、内部ホワイトリストの検索、ブラックリストの検索、プログラムファイル変更の評価、又はこれらの任意の組み合わせなどの信頼評価技術を使用して、信頼状態を有することが既に判定されているプログラムファイルを識別するエントリ例えば、チェックサムを含んでもよい。したがって、ローカル信頼キャッシュ1035内にプログラムファイルが見つかった場合は、その特定のプログラムファイルの信頼性状態を中央サーバ200に照会しなくてもよい。チェックサムキャッシュ1030は、ホスト1000上のソフトウェアプログラムファイルの以前に計算されたチェックサムを識別するエントリ例えば、チェックサム及びプログラムファイルパスを含んでもよい。チェックサムの計算が、貴重な処理リソースを使用する可能性があるので、計算されたチェックサムは、無駄な二重のチェックサム計算を防ぐために、対応するプログラムファイルパスと共にチェックサムキャッシュ1030に記憶されてもよい。キャッシュ1035及び1030に記憶されたそのようなデータによって、ネットワークアクセス試行とソフトウェア信頼判定処理の際の検索と全体的な処理が早くなる。プログラムファイルが変化したとき例えば、新しいソフトウェアバージョン、ソフトウェアアップグレードなどとき、その対応するチェックサムが変化し、したがって、チェックサムキャッシュ1030が更新されなければならない。例示的な実施形態では、プログラムファイル変更モニタ1025は、ホスト1000上のプログラムファイルの帯域外検査を実行し、変更されたプログラムファイルを示すデータフィードをソフトウェア管理モジュール1020に提供してチェックサムキャッシュ1030を更新することによって、チェックサムキャッシュ1030を更新することができる。ホスト1000上のプログラムファイルを調べて変更が行われたかどうかを判定するには、既存の変更追跡製品例えば、McAfee登録商標ChangeControlソフトウェア、McAfee登録商標ApplicationControlソフトウェア、McAfee登録商標ePolicyOrchestratorソフトウェア、McAfee登録商標PolicyAuditorソフトウェア、オレゴン州ポートランドのTripwire社によって製造されたTripwire登録商標ソフトウェアが使用されてもよい。例示的な実施形態では、プログラムファイル変更モニタ1025は、ホスト1000上のプログラムファイルへの変更を示す実時間データをソフトウェア管理モジュール1020に提供してもよい。変更されたプログラムファイルデータを受け取った後で、ソフトウェア管理モジュール1020は、変更されたプログラムファイルに対応するプログラムファイルパスをチェックサムキャッシュ1030内で探してもよく、見つかった場合に、そのプログラムファイルパスと関連付けられたチェックサムエントリを削除してもよい。チェックサムキャッシュ1030とプログラムファイル変更モニタ1025は、ホスト1000上のプログラムファイルのプログラムファイルチェックサムを提供し、維持し、更新する一実施形態を提供するが、与えられたプログラムファイルパスに置かれたプログラムファイルに適切なチェックサムを提供できる限り、多数の代替手法例えば、リモートチェックサムモジュール、データベース実装などを利用することができる。ホスト1000及び中央サーバ200の実施形態を実現するローカル保護システムでは、非信頼ソフトウェアインベントリ例えば、ローカル非信頼ソフトウェアインベントリ、中央非信頼ソフトウェアインベントリ232などは、不可欠な構成要素でないことがある。あるいは、中央サーバ200の中央信頼キャッシュ245、ホスト1000のローカル信頼キャッシュ1035、及びホスト1000のチェックサムキャッシュ1030は、ソフトウェア信頼判定処理の際に以前に計算され、その他判定された迅速なデータ検索に利用されてもよい。実行可能ソフトウェア1040の信頼判定、阻止、遮断及びログ記録アクティビティは、例示的な実施形態では、少なくとも部分的に、中央サーバ200の管理保護モジュール220とソフトウェア信頼判定モジュール240によって、またホスト1000のソフトウェア管理モジュール1020、プログラムファイル変更モニタ1025、及びローカル保護モジュール1010によって提供されてもよい。そのようなアクティビティと関連した情報は、適切に描写され、特定の場所例えば、チェックサムキャッシュ1030、ローカル信頼キャッシュ1035、中央信頼キャッシュ245、ログイベントデータベース231などに送られ、又は単に記憶若しくはアーカイブされ、かつ/又は例えば、管理コンソール210などにより任意の適切な形式で適切に表示されてもよい。1つ又は複数のそのような信頼判定、阻止、遮断及びログ記録アクティビティと関連したセキュリティ技術は、McAfee登録商標ePolicyOrchestratorソフトウェア、McAfee登録商標HostIntrusionPreventionSystemHIPSソフトウェアなどのファイアウォールソフトウェア、変更追跡ソフトウェア、及び/又は他の類似のソフトウェアなどの要素を含むことができる。したがって、本明細書で使用されるような用語管理保護モジュール、ソフトウェア信頼判定モジュール、プログラムファイル変更モニタ、ソフトウェア管理モジュール及びローカル保護モジュールの広い範囲には、任意のそのような構成要素が含まれることがある。ログイベントデータベース231、内部ホワイトリスト233、中央信頼キャッシュ245、チェックサムキャッシュ1030、及びローカル信頼キャッシュ1035は、電子データの信頼判定、阻止、遮断及びログ記録例えば、プログラムファイルの信頼判定、ソフトウェアプロセスのネットワークアクセス試行などと関連した情報を含んでもよく、これらの要素は、中央サーバ200とホスト1000のモジュール及び構成要素と容易に協力し、連係し、その他相互作用することができる。図11に移ると、単純化されたフローチャートは、ホスト1000上の実行ソフトウェアプロセス1045などのホスト上のソフトウェアプロセスと関連付けられたネットワークアクセス試行即ち、インバウンド又はアウトバウンドの遮断、阻止及びログ記録アクティビティの保護フロー1100を示す。一例では、保護フロー1100は、少なくとも部分的に、ホスト1000のローカル保護モジュール1010として実現されてもよい。参照し易くするため、最初に、保護フロー1100が、ホスト1000上のソフトウェアプロセス1045からホスト1000に接続されたネットワークへのアウトバウンドネットワークアクセス試行に関して述べられる。フローはステップ1110で始まり、ローカル保護モジュール1010が、ソフトウェアプロセス1045によってアウトバウンドネットワークアクセス試行を遮断する。一例では、実行可能ソフトウェア1040からのプロセスは、NDISドライバスタックを使用して、ホスト1000のNIC装置1070を介してネットワークにアクセスする。したがって、ソフトウェアプロセス1045は、図3と図7に関連して本明細書で前に述べたように、NDISドライバスタックを介して電子データを送信することによってネットワークにアクセスすることを試みてもよい。発信パケットが遮断された後、フローはステップ1120に進み、実行ソフトウェアプロセス1045からの遮断パケットにどのプログラムファイル例えば、実行可能ファイル、ライブラリモジュール、オブジェクトファイル、他の実行可能モジュール、スクリプトファイル、インタープリタファイルなどが対応するかをオペレーティングシステムに照会してもよい。この例では、遮断パケットは、実行ソフトウェアプロセス1045にマッピングされ、プロセス1045にロードされる実行可能ファイル及び1つ又は複数のライブラリモジュールにマッピングされてもよい。オペレーティングシステムカーネルは、ステップ1120で、プロセストラフィックマッピング要素1065を維持し、そのようなマッピング情報をローカル保護モジュール1010に提供する。次に、フローは、1130で示されたステップ1132~1136に進んでもよい。これは、ネットワークアクセス試行と関連付けられた各プログラムファイルについて実行されてもよい。ステップ1132では、ネットワークアクセス試行と関連付けられた最初のプログラムファイルのチェックサムが、チェックサムキャッシュ1030内に見つかるかどうかの照会がされる。一実施形態では、チェックサムキャッシュ1030から、最初のプログラムファイルのプログラムファイルパスを検索する。プログラムファイルパスが見つからない場合は、ステップ1134で最初のプログラムファイルのチェックサムが計算される。ステップ1136で、チェックサムキャッシュ1030は、プログラムファイルパスと新しく計算されたチェックサムで更新される。ネットワークアクセス試行と関連付けられた追加のプログラムファイルのそれぞれについて、ステップ1132~1136が繰り返される。1つの例示的シナリオでは、ソフトウェア管理モジュール1020が、プログラムファイルが変更されたことを示すデータフィードをプログラムファイル変更モニタ1025から受け取ったときに、チェックサムがチェックサムキャッシュ1030から以前に取り除かれている場合は、ステップ1132で、チェックサムが見つからないことがある。したがって、このシナリオでは、ステップ1134で、新しいチェックサムが、変更されたプログラムファイルに関して計算され、次にステップ1136で、チェックサムキャッシュ1030に記憶される。本明細書で前に述べたように、与えられたプログラムファイルパスにあるプログラムファイルについて適切なチェックサムを提供できる限り、任意の代替の手法を利用してチェックサムを提供することができる。ステップ1132~1136が、ネットワークアクセス試行と関連付けられた各プログラムファイルに行なわれた後で、フローはステップ1140に進む。ステップ1140で、ネットワークアクセス試行と関連付けられた全てのプログラムファイルが、ローカル信頼キャッシュ1035内に見つかるかどうかの照会がされる。見つかった場合は、各プログラムファイルが信頼状態を有すると以前に判定されており、フローはステップ1170に進み、取り締まりが有効かどうかが判定される。取り締まりが有効でない場合、フローはステップ1190に進み、ソフトウェアプロセス1045は、ネットワークアクセスを許可され、遮断パケットが、NIC装置1070に渡される。しかしながら、ステップ1170で取り締まりが有効である場合は、図7に関連して本明細書で前に述べたように、ステップ1175でポリシーが評価されて、ポリシーが、1つ又は複数のプログラムファイルの信頼状態を覆すかどうか判断されてもよい。本明細書で前に述べたように、ポリシー構成は、ネットワーク管理者によって巧妙に作成されてもよく、そのようなポリシーは、ポリシー更新フロー1022を介してホスト1000にプッシュされてもよい。ソフトウェア管理モジュール1020は、更に、ポリシー更新フロー1012により、ポリシー構成をローカル保護モジュール1010にプッシュしてもよい。あるいは、ポリシー構成は、例えばホスト1000のディスクドライブ内などのメモリ要素に記憶されてもよく、ローカル保護モジュール1010は、評価される特定のプロセス及び/又はプログラムファイルの任意の関連ポリシーに関してソフトウェア管理モジュール1020に照会してもよい。本明細書で前に述べたように、ポリシーが、1つ又は複数のプログラムファイルの信頼状態を覆す即ち、ポリシーが、ネットワークアクセスを許可しない場合は、フローはステップ1180に進み、ソフトウェアプロセス1045は、ネットワークアクセスから阻止され、発信パケットが、NIC装置1070に渡されない。しかしながら、ステップ1175で、1つ又は複数のプログラムファイルの信頼状態が、ポリシーによって覆されない即ち、ポリシーがネットワークアクセスを許可するか、ポリシーが適用できない場合は、フローはステップ1190に進み、発信パケットが、NIC装置1070に渡され、ソフトウェアプロセス1045は、ネットワークへのアクセスを許可される。ステップ1140に再び関連して、ネットワークアクセス試行と関連付けられたプログラムファイルが、ローカル信頼キャッシュ1035内に見つからない場合は、フローがステップ1145に進み、ローカル信頼キャッシュ1035内に見つからなかったプログラムファイルの信頼判定が中央サーバ200に照会される。これは、図12に関連して本明細書で更に詳しく示され説明される。ローカル信頼キャッシュ1135内に見つからなかった各プログラムファイルの信頼性状態が、中央サーバ200から返された後で、フローはステップ1150に進み、ローカル信頼キャッシュ1035が、信頼状態を有するプログラムファイルで更新される。次に、フローはステップ1155に進み、全てのプログラムファイルが信頼できるかどうか即ち、ネットワークアクセス試行と関連付けられたプログラムファイルが、中央サーバ200への照会により非信頼状態を有すると判定されなかったかの照会がされる。プログラムファイルが全て信頼できる場合は、フローはステップ1170に進んで、取り締まりが有効かどうか判定される。取り締まりが有効でない場合は、フローはステップ1190に進み、ソフトウェアプロセス1045は、ネットワークアクセスを許可され、遮断パケットが、NIC装置1070に渡される。しかしながら、ステップ1170で取り締まりが有効である場合は、ステップ1175でポリシーが評価されて、本明細書で前に述べたように、ポリシーが信頼状態を覆すかどうか判断される。ポリシーが、その1つ又は複数のプログラムファイルの信頼状態を覆す場合は、フローはステップ1180に進み、ソフトウェアプロセス1045のネットワークアクセスが阻止される。しかしながら、ステップ1175で、その1つ又は複数のプログラムファイルの信頼状態が、ポリシーによって覆されない場合、フローはステップ1190に進み、ソフトウェアプロセス1045は、ネットワークアクセスを許可され、発信パケットが、NIC装置1070に渡される。ステップ1155に再び関連して、プログラムファイルが全て信頼状態を有するとは限らない即ち、中央サーバ200への照会により、ネットワークアクセス試行と関連付けられた少なくとも1つのプログラムファイルが非信頼状態を有すると判定された場合は、フローはステップ1160に進んで、ログ記録が有効かどうかが判断される。ログ記録が有効である場合は、フローはステップ1165に進み、図7に関連して本明細書で前に述べたように、ログ記録のためのイベント即ち、ネットワークアクセス試行を発生させる。次に、ログ記録のためのイベントが生成された後、又はステップ1160でログ記録が有効でない場合、フローはステップ1170に進み、取り締まりが有効かどうか判定される。取り締まりが有効でない場合、フローはステップ1190に進み、遮断パケットが、NIC装置1070に渡され、ソフトウェアプロセス1045は、ネットワークへのアクセスを許可される。しかしながら、ステップ1170で取り締まりが有効である場合は、図7に関連して本明細書で前に述べたように、ステップ1175でポリシーが評価されて、任意の構成ポリシーが、1つ又は複数のプログラムファイルの非信頼状態を覆し、ソフトウェアプロセス1045によるネットワークアクセス又は選択的なネットワークアクセスが許可されるかどうかが判断される。ポリシーが、ソフトウェアプロセス1045に対応する1つ又は複数の非信頼プログラムファイルによる選択的なネットワークアクセスを許可するよう巧妙に作成されており、遮断パケットが、その特定のポリシー要件に適合する場合例えば、パケットが、ポリシーによりアドレスの許可されたサブネットの範囲内にある宛先アドレスを含む、などは、フローはステップ1190に進み、遮断パケットが、NIC装置1070に渡され、ソフトウェアプロセス1045は、ネットワークへのアクセスを許可される。しかしながら、プログラムファイルの非信頼状態が、ポリシーによって覆されない即ち、ポリシーがアクセスを許可しないか、ポリシーが適用できない場合は、フローはステップ1180に進み、遮断パケットがNIC装置1070に渡されず、ソフトウェアプロセス1045は、ネットワークアクセスから阻止される。また、図11の保護フロー1100は、ホスト1100へのインバウンドネットワークアクセス試行の遮断、阻止及びログ記録アクティビティに使用されるフローを表わす。ステップ1110で、ローカル保護モジュール1010が、NIC装置1070からのインバウンドネットワークアクセス試行を遮断する。インバウンドネットワークアクセス試行は、例えば、TCPリスン又はアクセプトコールでよく、ソフトウェアプロセス1045などの実行ソフトウェアプロセスと関連付けられてもよい。着信遮断パケットは、ネットワークアクセス試行の発信遮断パケットに関連して本明細書で前に述べたステップ1120~1175で評価される。ステップ1120~1175のフローがステップ1190に進む場合、着信遮断パケットは、ホスト1000へのアクセスを許可される。しかしながら、フローが、ステップ1180に進む場合は、着信遮断パケットは、ホスト1000へのアクセスを阻止される。一例では、阻止は、リスン又はアクセプトコールを失敗させ、リスン又はアクセプトAPIの発呼者にエラーコードを返すことによって行われる。更に、本明細書で前に述べたように、インバウンドネットワークアクセス試行のための多数のポリシー構成が可能であり、インバウンドネットワークアクセス試行に適用されてもよい。例えば、ステップ1175で、ポリシーが、1つ又は複数の非信頼プログラムファイルと関連付けられた、選択されたインバウンドネットワークアクセス試行を許可するように巧妙に作成されており、着信パケットが、その特定のポリシー要件に適合する例えば、パケットが、非信頼プログラムファイルに適用されるポリシーによりアドレスの許可されたサブネットの範囲内にあるソースアドレスを有するなどと判断された場合、フローはステップ1190に進み、着信遮断パケットは、ホスト1000へのアクセスを許可される。別の例では、ポリシーが、前のネットワークアクセス試行即ち、インバウンド又はアウトバウンドに適用され、また後のネットワークアクセス試行に適用される何らかのタイプの阻止に提供される場合は、後のインバウンドネットワークアクセス試行と関連付けられたプロセスが、対応するプログラムファイルが全て信頼状態を有する場合でも、そのポリシーによりホストへのアクセス又は選択的に許可されたアクセスが阻止されることがある。図12に移ると、図12は、図11のステップ1145に対応する信頼判定フロー1200の詳細なフローを示し、ホスト1000によって提供されるプログラムファイル例えば、インバウンド又はアウトバウンドネットワークアクセス試行と関連付けられ、かつローカル信頼キャッシュ1035内に見つからなかったプログラムファイルについて、中央サーバ200のソフトウェア信頼判定モジュール240によって行なわれることがある。フローは、ステップ1210で始まり、ホスト1000が、ローカル信頼キャッシュ1035内に見つからなかったプログラムファイルの信頼判定を中央サーバ200に照会する。ステップ1210で、中央サーバ200は、ローカル信頼キャッシュ1035内で見つからなかった各プログラムファイルについて、ホワイトリストデータフロー1024によりデータ例えば、プログラムファイルのチェックサムを受け取る。フローは、ステップ1220に進み、中央信頼キャッシュ245が、受け取ったプログラムファイルチェックサムを探すために検索されることがある。中央信頼キャッシュ245は、内部又はグローバルホワイトリストへの照会を必要とせずに迅速に取り出すために、プログラムファイルの信頼性状態をキャッシュできるように使用されてもよい。ホスト1000から受け取ったプログラムファイルチェックサムが全て、ステップ1220の中央信頼キャッシュ245内に見つかった場合、フローはステップ1250に進み、各プログラムファイルの信頼状態が、ホスト1000に返される。しかしながら、ステップ1220で、プログラムファイルチェックサムが全て中央信頼キャッシュ245内で見つかったとは限らない場合、フローはステップ1230に進み、更なる評価が行なわれる。ステップ1230で、図1に示されたグローバルホワイトリスト165などの1つ又は複数のグローバルホワイトリスト、及び/又は図1に示された内部ホワイトリスト133などの1つ又は複数の内部ホワイトリストを検索して、中央信頼キャッシュ245内に見つからなかった各プログラムファイルを探してもよい。一実施形態では、プログラムファイルを識別するためにホワイトリスト内でチェックサムが使用され、したがって、ステップ1210で中央サーバ200に提供されたチェックサムが、ホワイトリストを検索するために使用される。プログラムファイルチェックサムがホワイトリストに見つかった場合は、対応するプログラムファイルの信頼性状態が、信頼できると定義されるが、プログラムファイルチェックサムがどのホワイトリストにも見つからなかった場合は、対応するプログラムファイルの信頼性状態が、信頼できないと定義される。ホワイトリストが検索された後、フローはステップ1240に進み、中央信頼キャッシュ245が、信頼状態を有する即ち、内部及び/又は外部ホワイトリストのうちの1つに見つかったプログラムファイルで更新される。中央信頼キャッシュ245が更新された後で、フローはステップ1250に進み、各プログラムファイルの信頼性状態即ち、信頼できないか信頼できるかをホスト1000に返す。図10~図12に述べた実施形態は、悪意のあるソフトウェアからローカル保護するシステムを強化するように多くの方法で改良されてもよいことは明白であろう。例えば、ホスト1000又は中央サーバ200のモジュールには、図5と図6に関連して本明細書で前に述べたように、非信頼状態を有すると判定されたソフトウェアプログラムファイルのヒューリスティックな条件例えば、プログラムファイルの所有者、修正日、作成日、プログラムファイル属性などの評価を提供するロジックが含まれてもよい。1つ又は複数の既定条件が存在する場合は、プログラムファイルが、信頼状態に昇格されてもよい。しかしながら、プログラムファイルに適用される既定条件がない場合は、非信頼状態が持続し、プログラムファイルは、信頼できないと定義されてもよい。本明細書で前に述べたように、ホワイトリストに加えて、ブラックリストを評価する追加のロジックを含んでもよい。また、代替のホスト構成を使用してシステムの様々な実施形態が実現されることが理解されよう。例えば、NDISドライバスタックとAPIフック構成とを有するホストを含むネットワーク内に実現された非信頼ソフトウェアインベントリを有する実施形態が示され説明された。非信頼ソフトウェアインベントリのないシステムの実施形態が、NDISドライバスタックホスト構成を有するネットワーク内に実現されるように示され説明された。しかしながら、NDISドライバスタック、APIフッキング、又は様々な他のホスト構成例えば、トランスポートドライバインタフェースTDI、Unix登録商標Streams、カーネル空間ネットワークスタックフッキングなどを有するネットワーク内に、実施形態のいずれかが実現されてもよい。例えば、TDIインプリメンテーションでは、ローカル保護構成要素は、図3と図10に示されたものに類似の方式で実施され機能してもよい。しかしながら、TDIインプリメンテーションでは、ローカル保護モジュールが、TCP/IPプロトコルの下ではなく上にあってもよい。悪意のあるソフトウェアからローカル保護するためのシステム及び方法の1つの代替の実施形態において、システムは、帯域外のプログラムファイルを列挙し、それらの列挙されたプログラムファイルの信頼性状態を判定し、カリフォルニア州サンタクララのIntel社によって製造されたIntel登録商標ActiveManagementTechnologyAMTを使用して非信頼プログラムファイルによるネットワークアクセスを阻止するように構成されてもよい。この例示的実施形態では、AMTは、ホスト120a、120b又は120cなどのホストのプログラムファイルの帯域外検査を実行し、ソフトウェアインベントリを作成するために使用されてもよい。この列挙が行われた後で、ソフトウェアインベントリ内のプログラムファイルが評価されて本明細書で述べたような信頼性状態が判定されてもよく、ローカル及び/又は中央非信頼ソフトウェアインベントリが作成され更新されてもよい。AMTを使用することにより、非信頼プログラムファイルと関連したファイアウォール規則が、それぞれのホストのハードウェア内に構成されてもよい。具体的には、ホストのNIC装置上に配置されたフィルタが、非信頼プログラムファイルを阻止するように構成されてもよい。この構成は、指定された時間例えば、所定の時間間隔、非信頼ソフトウェアインベントリが更新されたとき、オンデマンドなどで行なわれてもよい。代替のAMT実施形態では、NIC装置上のフィルタの構成が、実時間で行なわれてもよい。ネットワークアクセス試行が行われるたびに、例えば、図10~図12の実施形態に関連して本明細書で示し述べたように、遮断、関連プログラムファイルの判定、及びプログラムファイルの信頼判定が行なわてもよい。その場合、オペレーティングシステムは、関連プログラムファイルのどれかが信頼できないと判定された場合に、AMTファイアウォール規則を更新してもよい。AMTを使用する更に別の実施形態では、実行可能ソフトウェアの列挙が、帯域外で行われてもよく、1つ又は複数の非信頼ソフトウェアインベントリが、作成され維持されてもよく、阻止が、本明細書に示し述べた他の実施形態例えば、NDISドライバスタック、APIフッキングなどによって行われてもよい。別の実施形態では、図1のローカル保護構成要素124a、124b及び124cなどのローカル保護構成要素内で、アプリケーションレベルのフィルタリングが使用されてもよい。アプリケーションレベルのフィルタリングでは、Windows登録商標Firewallカリフォルニア州レドモンドのMicrosoft社により製造されたなどの特定の許可及び/又は阻止アプリケーションに対応するように適応されたファイアウォールが、ローカル又は中央非信頼ソフトウェアインベントリと共に使用されてもよい。例えば、ローカル非信頼ソフトウェアインベントリが、本明細書に記載されたように作成されてもよい。非信頼ソフトウェアインベントリが読み込まれた後で、インベントリが更新されたとき、ブロック規則例えば、特定のアプリケーションの阻止、プログラムファイルと関連付けられたポートの阻止などが、非信頼ソフトウェアインベントリで識別されたソフトウェアプログラムファイルのために作成され、次にファイアウォール内で非信頼ソフトウェアプログラムファイルと関連付けられたネットワークアクセス試行を阻止するように更新されてもよい。したがって、ネットワークアクセス試行が、1つ又は複数の非信頼プログラムファイルにマッピングされた実行ソフトウェアプロセスと関連付けられたときは、ファイアウォールは、ネットワークアクセス試行を阻止する。更に別の実施形態では、コンピュータネットワークを保護するシステム及び方法が、仮想環境で実現されてもよい。この例示的実施形態では、仮想機械に対応するハードディスクファイルの帯域外検査を行なうことができる。ホスト120a、120b又は120cなどのホストのディスクファイルは、仮想機械が動作しているハイパーバイザーから開かれてもよく、その結果、全ての実行可能ソフトウェアを見て列挙することができる。列挙されたソフトウェアプログラムファイルを評価して本明細書に記載された信頼性状態を判定することができ、また非信頼ソフトウェアインベントリを作成し維持することができる。また、ハイパーバイザーを使用してネットワークアクセス試行をフィルタリングして、非信頼ソフトウェアプログラムファイルと関連付けられたインバウンド及びアウトバウンドネットワークアクセス試行を阻止することができる。この実施形態は、データセンター又は仮想デスクトップインタフェースVDI環境で実施されてもよい。代替の実施形態では、仮想機械ディスクファイルの帯域外検査を使用して非信頼ソフトウェアインベントリが作成された後で、本明細書で述べた他の技術例えば、NDISスタック、APIフッキングなどを使用して取り締まりが実行されてもよい。本明細書で概説された操作を達成するソフトウェアは、様々な場所例えば、企業IT本部、エンドユーザコンピュータ、クラウド内の分散サーバなどに提供することができる。他の実施形態では、このソフトウェアは、悪意のあるソフトウェアに対するローカル保護をするこのシステムを提供するために、例えば、別個のネットワーク、装置、サーバなどの個別のエンドユーザライセンスを購入する状況でウェブサーバから受け取られ、又はダウンロードされてもよい。1つの例示的実施態様では、このソフトウェアは、セキュリティ攻撃から保護しようとする又は、データの望ましくないか又は無許可の操作から保護された1つ又は複数のコンピュータ内に常駐する。他の例では、悪意のあるソフトウェアに対するローカル保護をするシステムのソフトウェアは、知的所有権下にある要素例えば、McAfee登録商標ApplicationControlソフトウェア、McAfee登録商標ChangeControlソフトウェア、McAfee登録商標ePolicyOrchestratorソフトウェア、McAfee登録商標PolicyAuditorソフトウェア、McAfee登録商標ArtemisTechnologyソフトウェア、McAfee登録商標HostIntrusionPreventionソフトウェア、McAfee登録商標VirusScanソフトウェアなどによるネットワークセキュリティソリューションの一部としてを含むことがあり、これらの識別された要素内又はその近くに提供されてもよく、任意の他の装置、サーバ、ネットワーク機器、コンソール、ファイアウォール、スイッチ、ルータ、情報技術IT装置、分散サーバなどの中に提供されてもよく、相補的ソリューション例えば、ファイアウォールと関連として提供されてもよく、ネットワーク内のどこかに提供されてもよい。図1に示したような例示的なローカルネットワーク110において、ホスト120及び中央サーバ130は、悪意のあるソフトウェアからコンピュータネットワークを保護することを容易にするコンピュータ又は計算装置である。本明細書で使用されるとき、用語コンピュータ及び計算装置は、パーソナルコンピュータ、ネットワーク機器、ルータ、スイッチ、ゲートウェイ、プロセッサ、サーバ、ロードバランサ、ファイアウォール、又はネットワーク環境で電子情報に影響を及ぼすか又は処理するように動作可能な他の適切な装置、構成要素、要素又は物体を包含することを意図する。更に、このコンピュータ及び計算装置は、その動作を容易にする任意の適切なハードウェア、ソフトウェア、構成要素、モジュール、インタフェース、又は物体を含んでもよい。これは、データの有効な保護及び通信を可能にする適切なアルゴリズム及び通信プロトコルを含んでもよい。特定の例示的な実施態様では、本明細書で概説した悪意のあるソフトウェアに対するコンピュータネットワークの保護に関係するアクティビティは、ソフトウェアで実現されてもよい。これは、中央サーバ130例えば、中央保護構成要素135とホスト120例えば、ローカル保護構成要素124内に提供されたソフトウェアを含むことができる。これらの構成要素、要素及び/又はモジュールは、互いに協力して、本明細書で述べたように、ボットネットなどの悪意のあるソフトウェアに対するローカル保護を提供するアクティビティを実行することができる。他の実施形態では、これらの特徴は、これらの要素の外部に提供されもよく、これらの意図された機能を達成する他の装置に含まれてもよく、任意の適切な方法で統合されてもよい。例えば、保護アクティビティは、更にホスト120内に局在化されるか中央サーバ130内に更に集中されてもよく、図示されたプロセッサの幾つかは、除去され、その他特定のシステム構成に適応するように統合されてもよい。一般的な意味において、図1に示された機構は、その説明がより論理的であってもよいが、物理的アーキテクチャは、これらの構成要素、要素及びモジュールの様々な順列/組み合わせ/混合物を含んでもよい。これらの要素ホスト120及び中央サーバ130は全て、本明細書に概説されたような信頼判定、ログ記録及び取り締まりを含む保護アクティビティを達成するために連係し、管理し、その他協力することができるソフトウェア又は、レシプロケーティングソフトウェアを含む。更に他の実施形態では、これらの要素の1つ又は全ては、その動作を容易にする任意の適切なアルゴリズム、ハードウェア、ソフトウェア、構成要素、モジュール、インタフェース、又はオブジェクトを含んでもよい。ソフトウェアを含む実施態様において、そのような構成は、1つ又は複数の有形媒体内に符号化されたロジック例えば、特定用途向け集積回路ASIC内に提供された埋込みロジック、デジタルシグナルプロセッサDSP命令、プロセッサや他の類似の装置によって実行されるソフトウェアオブジェクトコード及びソースコードを含む可能性があるなどを含んでもよく、有形媒体は持続的媒体を含む。これらの例の幾つかでは、1つ又は複数のメモリ要素図1、図2、図3、図8及び図10を含む様々な図に示されたようなは、本明細書に詳述された操作に使用されるデータを記憶することができる。これは、本明細書に記載されたアクティビティを行うために実行されるソフトウェア、ロジック、コード又はプロセッサ命令を記憶することができるメモリ要素を含む。プロセッサは、本明細書に記載された操作を達成するデータと関連付けられた任意のタイプの命令を実行することができる。一例では、プロセッサ図2、図3、図8及び図10に示されたようなは、要素又は物品例えば、データをある状態又は物事から別の状態又は物事に変換することができる。別の例では、本明細書で概説されたアクティビティは、固定ロジック又はプログラマブルロジック例えば、プロセッサによって実行されるソフトウェア/コンピュータ命令で実現されてもよく、本明細書に識別された要素は、デジタルロジック、ソフトウェア、コード、電子命令、又はこれらの任意の適切な組み合わせを含む何らかのタイプのプログラマブルプロセッサ、プログラマブルデジタルロジック例えば、フィールドプログラマブルゲートアレイFPGA、消去可能なプログラマブル読み取り専用メモリEPROM、電気的に消去可能なプログラマブル読み取り専用メモリEEPROM、又はASICで実現されてもよい。これらの要素例えば、コンピュータ、ホスト、サーバ、分散サーバなどはどれも、本明細書に概説されたような保護アクティビティの達成に使用される情報を記憶するためのメモリ要素を含むことができる。更に、これらの装置はそれぞれ、本明細書で述べたような保護アクティビティを行うソフトウェア又はアルゴリズムを実行することができるプロセッサを含んでもよい。これらの装置は、更に、情報を、必要に応じかつ特定の要求に基づいて、任意の適切なメモリ要素例えば、ランダムアクセスメモリRAM、ROM、EPROM、EEPROM、ASICなど、ソフトウェア、ハードウェア、あるいは他の適切な構成要素、装置、要素又はオブジェクト内に維持してもよい。本明細書で述べたメモリ項目例えば、ログイベントデータベース、中央非信頼ソフトウェアインベントリ、ローカル非信頼ソフトウェアインベントリ、内部ホワイトリスト、ポリシーデータベース、プロセストラフィックマッピングデータベース、チェックサムキャッシュ、ローカル信頼キャッシュ、中央信頼キャッシュなどはいずれも、幅広い用語メモリ要素に包含されるように解釈されるべきである。同様に、本明細書に述べた潜在的な処理要素、モジュール及び機械はいずれも、幅広い用語プロセッサに包含されるように解釈されるべきである。また、コンピュータ、ホスト、サーバ、分散サーバなどはそれぞれ、ネットワーク環境でデータ又は情報を受信し、送信し、その他通信するのに適切なインタフェースを含んでもよい。本明細書に提供された例では、2つ、3つ、4つ、又はこれより多くのネットワーク構成要素に関する相互作用が記述されていることに注意されたい。しかしながら、これは、明瞭さと単なる例のために行われた。悪意のあるソフトウェアに対するローカル保護をするシステムは、任意の適切な方法で統合できることを理解されたい。類似の設計選択に沿って、図の示されたコンピュータ、モジュール、構成要素及び要素はいずれも、様々な可能な構成で組み合わされてもよく、これらは全て、本明細書の広い範囲内にあることは明らかである。特定の事例では、限られた数の構成要素又はネットワーク要素だけを参照して所定の組のフローの機能の1つ又は複数について記述する方が容易なことがある。したがって、図1及びその教示のシステムが、容易に拡張可能であることを理解されたい。システムは、多数の構成要素、並びにより複雑又は高度な機構及び構成に適応することができる。したがって、提供された例は、範囲を制限せず、また様々な他のアーキテクチャに潜在的に適用されるようなローカル保護をするシステムの幅広い教示を妨げるべきではない。また、以上の図に関連して述べた操作が、悪意のあるソフトウェアに対するローカル保護をするシステムによって又はそのシステム内で実行される可能性のあるシナリオの一部だけを示すことに注意することが重要である。これらの操作の幾つかは、必要に応じて削除又は除去されてもよく、あるいはこれらの操作は、述べた概念の範囲を逸脱せずに大幅に修正又は変更されてもよい。更に、これらの操作と様々なステップのタイミングは、この開示に教示された結果を達成するように大幅に変更されてもよい。例えば、信頼判定処理は、グローバル又は外部ホワイトリストより前に内部ホワイトリストを評価してもよい。したがって、以上の動作フローは、例示と検討のために提示された。システムは、述べた概念の教示から逸脱することなく任意の適切な機構、時系列、構成及びタイミングが提供されるという点で、実質的な柔軟性を提供する。