JP2010527075A

JP2010527075A - マルウェア検出のための信頼できる動作環境

Info

Publication number: JP2010527075A
Application number: JP2010507569A
Authority: JP
Inventors: キルナニレシュマ; エヌ．アイバーソンクリストファー
Original assignee: Microsoft Corp
Current assignee: Microsoft Corp
Priority date: 2007-05-11
Filing date: 2008-05-02
Publication date: 2010-08-05
Also published as: EP2156357B1; WO2008140977A1; CN101681407B; EP2156357A4; CN101681407A; US8230511B2; US20080282351A1; US20110078796A1; US7853999B2; EP2156357A1

Abstract

マルウェアに関してコンピューティングデバイスをスキャンするための技術および装置について記載する。１つの実装形態では、信頼できるオペレーティングシステムと、信頼できるウィルス対策ツールとを含む信頼できる動作環境が、取り外し可能なデータ記憶媒体上で具現化される。次いでコンピューティングデバイスが、信頼できるオペレーティングシステムを使用して取り外し可能なデータ記憶媒体から起動される。信頼できるウィルス対策ツールが、マルウェアの定義の更新（例えば、ウィルスシグネチャの更新）に関してコンピューティングデバイスを検索し、信頼できるオペレーティングシステムを使用して、マルウェアに関してコンピューティングデバイスをスキャンする。他の実装形態では、コンピューティングデバイスが、取り外し可能なデバイス上の信頼できるオペレーティングシステムから起動され、取り外し可能なデバイス上の信頼できるウィルス対策ツールが、マルウェアに関してコンピューティングデバイスをスキャンする。取り外し可能なデバイスは、更新に関してコンピューティングデバイスまたはリモートリソースを検索し、探し出される任意の更新を認証することによって、それ自体の内部コンポーネント（例えば、ウィルスシグネチャおよびウィルス対策ツール）を更新することができる。

Description

コンピュータセキュリティは、今日の技術主導の文化の中で重大な懸念事項である。

コンピュータのセキュリティの侵害は、コンピュータがウィルスおよび他の形式の悪意のあるソフトウェア（マルウェア）に感染しているときに生じうる。この種の感染は、例えばマルウェアに感染したファイル（例えば、電子メール）がダウンロードされて開かれるときに生じうる、または感染は、マルウェアがいかなる直接のユーザ介入もなしにネットワークを介してコンピュータにアクセスするときに生じうる。いずれの場合でも、これらのセキュリティの脅威の蔓延は、コンピュータに利用できる多種多様のセキュリティ関連のツールをもたらしている。これらのツールの例は、ウィルス対策プログラム、アドウェアスキャナ、ファイアウォールなどを含む。これらのツールの可用性にもかかわらず、コンピュータは、依然としてマルウェアに感染している。

マルウェア感染の永続性に関する１つの理由は、あるマルウェアがセキュリティツールから隠れる能力があることである。マルウェアは、概して言えば、コンピュータのオペレーティングシステムからプロセス、ファイルまたはシステムデータを実行することを隠すものである１組のソフトウェアツールであるルートキットの使用により多くのセキュリティツールから隠れることができる。ルートキットは、コンピュータのシステム内で非常に低くそれ自体を接続し（例えば、カーネルレベルで）、コンピュータのオペレーティングシステムおよび他のアプリケーションがコンピュータ上で実行する間に使用する主要のシステムサービスを妨害しうる。一例では、コンピュータ上に存在するウィルス対策ツールが、ウィルスに関してコンピュータのハードディスクをスキャンする。スキャンプロセスの一部としてコンピュータのオペレーティングシステムは、あるファイルに対して「ファイルを開く」呼出しなどの１つまたは複数の機能呼出しを行う。しかし、コンピュータ上に存在するマルウェアは、ルートキットを使用して「ファイルを開く」呼出しを妨害し、「ファイルが見つからない」エラーを戻しうるまたは誤ったファイルを戻しうる。したがってウィルス対策ツールは、要求されたファイルにアクセスすることができず、ウィルス感染に関して要求されたファイルをチェックすることができない。要求されたファイルがウィルスに感染している場合、感染は未検出のままである。

マルウェアに関してコンピューティングデバイスをスキャンするための技術および装置について記載する。１つの実装形態では、信頼できるオペレーティングシステムと、信頼できるウィルス対策ツールとを含む信頼できる動作環境が、取り外し可能なデータ記憶媒体上で具現化される。次いでコンピューティングデバイスが、信頼できるオペレーティングシステムを使用して取り外し可能なデータ記憶媒体から起動される。信頼できるウィルス対策ツールが、マルウェアの定義の更新（例えば、ウィルスシグネチャの更新）に関してコンピューティングデバイスを検索し、信頼できるオペレーティングシステムと対話して、マルウェアに関してコンピューティングデバイスをスキャンする。他の実装形態は、マイクロコントローラを有するユニバーサルシリアルバス（ＵＳＢ）ドライブなどの取り外し可能なデバイスを使用して、信頼できる動作環境を保存する。コンピューティングデバイスが、信頼できるオペレーティングシステムを使用して起動され、信頼できるウィルス対策ツールが、マルウェアに関してコンピューティングデバイスをスキャンする。取り外し可能なデバイスは、更新に関してコンピューティングデバイスまたはリモートリソースを検索し、探し出される任意の更新を認証することによって、それ自体の内部コンポーネント（例えば、ウィルスシグネチャおよびウィルス対策ツール）を更新することができる。

この要約は、「発明を実施するための形態」にて下記でさらに説明される概念の選択を簡略化された形で紹介するために提供されている。この要約は、特許請求された内容の重要な特徴または不可欠な特徴を識別するものではなく、特許請求された内容の範囲を判定する助けとして使用されるものでもない。

詳細な説明が添付図面を参照して説明される。図面内では参照番号の１つまたは複数の最左の桁は、参照番号が最初に現れる図面を識別する。様々な図面内の同一の参照番号の使用は類似の項目または同一の項目を示す。

マルウェアに関してコンピューティングデバイスをスキャンする技術を実現するための例示のアーキテクチャおよび取り外し可能なデータ記憶媒体を示す図である。マルウェアに関してコンピューティングデバイスをスキャンする技術を実現するための例示のアーキテクチャおよび取り外し可能なデバイスを示す図である。マルウェアの更新を検索し、マルウェアに関してコンピューティングデバイスをスキャンするための例示のプロセスの流れ図である。マルウェアに関してコンピューティングデバイスをスキャンし、取り外し可能なデバイスのコンポーネントを更新するための例示のプロセスの流れ図である。取り外し可能なデバイスのコンポーネントの更新を認証するための例示のプロセスの流れ図である。ファイル記憶装置を安全にするための例示のプロセスの流れ図である。

本明細書に記載の装置および技術は、ウィルスおよび他の形式の悪意のあるソフトウェア（マルウェア）に関してコンピューティングデバイスをスキャンして、任意のこの種のエンティティを駆除することができる信頼できる動作環境を提供する。本明細書では用語「ウィルス」および「マルウェア」は互換的に使用され、概して両方とも所有者の説明に基づく同意なしにコンピュータシステムに侵入するおよび／または損害を与えるように設計されているコンピュータコードの集合体を意味する。マルウェアの他の例は、トロイの木馬、ワーム、スパイウェアなどを含む。信頼できる動作環境は、ソフトウェアまたはハードウェアの製造業者などの信頼できる機関によって生成され、次いでコンピューティングデバイスとインターフェースされることができる装置またはコンピュータ可読媒体上で具現化される。信頼できる動作環境に対する無許可のアクセスは、信頼できるデータだけが信頼できる動作環境にアクセスすることができる読取り専用媒体、認証プロトコル、およびマイクロコントローラの使用により防止される。本明細書で使用される際、認証という用語は、通信またはデータファイルの源であるエンティティの識別情報を検証し、その通信もしくはデータファイルが無許可のエンティティによって改ざんされていないことまたは容認できないほどに変更されていないことを保証するために実施することができる任意の適切な方法またはプロトコルを意味する。

一例では、信頼できる動作環境は信頼できるオペレーティングシステムおよび信頼できるウィルス対策ツールを含む。コンピューティングデバイスが、信頼できるオペレーティングシステムを使用して起動され、したがってコンピューティングデバイス上で隠れていることができるルートキットおよび他のマルウェアの問題を回避することができる。次いで信頼できるウィルス対策ツールが、コンピューティングデバイスをスキャンし、信頼できるオペレーティングシステムとのその対話がコンピューティングデバイスの状態を正確に反映することを保証されることができる。

例示のアーキテクチャ
図１は、説明されるプロセスおよび技術を実現することができるアーキテクチャ１００を示す。アーキテクチャ１００の一部としてコンピューティングデバイス１０２がある。デスクトップＰＣとして示されているがコンピューティングデバイス１０２は、例えば、サーバ、ノートブックまたはポータブルコンピュータ、ワークステーション、メインフレームコンピュータ、モバイル通信装置、ＰＤＡ、エンターテイメントデバイス、セットトップボックス、インターネット機器、ゲーム機などを含む様々な従来のコンピューティングデバイスのうちのいずれかとして実現されることができる。

コンピューティングデバイス１０２は、限定されないが１つまたは複数のプロセッサ１０４、メモリ１０６、入力／出力（Ｉ／Ｏ）装置１０８（例えば、キーボードおよびマウス）、およびメモリ１０６に１つまたは複数のプロセッサ１０４を含む様々なコンポーネントを動作するように結合するシステムバス（図示せず）を含むことができる。コンピューティングデバイス１０２のメモリは、ランダムアクセスメモリ（ＲＡＭ）などの揮発性メモリおよび／または読取り専用メモリ（ＲＯＭ）もしくはフラッシュＲＡＭなどの不揮発性メモリの形のコンピュータ可読媒体を含む。典型的にはメモリ１０６は、オペレーティングシステム１１０およびウィルス更新パッケージ１１２などのデータおよび／またはプログラムモジュールを含む。ウィルス更新パッケージ１１２の一部として、下記でより詳細に議論されることになるデジタル署名１１４およびウィルスシグネチャの更新１１６がある。

ウィルススキャンプロセスを実現するためにユーザは、取り外し可能なデータ記憶媒体１１８をコンピューティングデバイス１０２内にロードして、コンピューティングデバイスが取り外し可能な媒体を読み取ることができるようにする。取り外し可能なデータ記憶媒体１１８は、コンピューティングデバイスとインターフェースされ（例えば、それをディスクドライブの中に挿入することによって）、コンピューティングデバイスを解体する必要なしに除去されることができるデータ記憶媒体である。本明細書では取り外し可能なデータ記憶媒体１１８はコンパクトディスク（ＣＤ）またはデジタルバーサタイルディスク（ＤＶＤ）として示されているが、任意の適切なコンピュータ可読の取り外し可能なデータ記憶媒体が、他の光学記憶媒体、フラッシュメモリ、磁気カセット、磁気テープ、磁気ディスク記憶装置もしくは他の磁気記憶装置、またはデータを保存するために使用されることができ、コンピュータによってアクセスされることができる他の任意の取り外し可能な記憶媒体を含んで使用されることができる。さらに取り外し可能なデータ記憶媒体１１８は、その上に含まれるデータおよびファイルが記憶媒体を感染させようとする感染したソース（例えば、コンピューティングデバイス１０２）からマルウェアによって感染されることができないように読取り専用媒体であってよい。

次いでユーザは、取り外し可能なデータ記憶媒体１１８からコンピューティングデバイス１０２を起動する。取り外し可能なデータ記憶媒体１１８は、説明されるプロセスを実現するためにデータならびに／またはプログラムモジュールおよびコンポーネントを保存する取り外し可能な媒体メモリ１２０を含む。概して本明細書で使用される用語「モジュール」または「コンポーネント」は、ソフトウェア、ファームウェア、またはソフトウェアとファームウェアとの組合せを表す。起動プロセスの一部としてコンピューティングデバイス１０２は、取り外し可能な媒体メモリ１２０から信頼できるオペレーティングシステム（ＯＳ）１２２をロードする。次いで信頼できるウィルス対策ツール１２４が、自動的にまたはユーザによる明示的な動作のいずれかによって取り外し可能な媒体メモリ１２０から起動される。

次いで信頼できるウィルス対策ツール１２４は、取り外し可能な媒体メモリ１２０上に保存されているウィルスシグネチャ１２６をロードする。ウィルスシグネチャ１２６は、ウィルスを識別するために使用される１組のウィルスの「指紋」である。例示のウィルスシグネチャは、ウィルスのコンピュータコードのすべてまたは一部のバイナリパターンである。また信頼できるウィルス対策ツール１２４は、コンピューティングデバイス１０２を検索し、取り外し可能な媒体メモリ１２０上に現在保存されていない任意のウィルスシグネチャを識別する。一例では信頼できるウィルス対策ツール１２４が、メモリ１０６上でウィルスシグネチャの更新１１６を含むウィルス更新パッケージ１１２を探し出す。ウィルスシグネチャの更新１１６は１つまたは複数のウィルスシグネチャを含み、ウィルスシグネチャの一部は取り外し可能なデータ記憶媒体１１８上に保存された任意のものと異なってよい（例えば、それらがより最近のカタログ化されたウィルスを識別することができる）。ウィルススキャンでウィルスシグネチャの更新１１６を使用する前に信頼できるウィルス対策ツール１２４は、認証ツール１２８を使用してウィルス更新パッケージ１１２の信頼性を検証する。

ウィルス更新パッケージ１１２を検証するおよび／または認証するために認証ツール１２８は、取り外し可能な媒体メモリ１２０からのルート証明書１３０を使用してデジタル署名１１４を認証する。概して言えばデジタル署名１１４は、ウィルス更新パッケージ１１２が信頼できる機関からのものであるかどうか、そして改ざんされていないかどうかを判定するためにルート証明書１３０と比較されるコード化されたメッセージまたは他部のデータである。一例ではデジタル署名１１４は、ウィルス更新パッケージ１１２の一部であるＸ．５０９証明書などのデジタル証明書の一部である。デジタル署名１１４が認証されていると判定される場合、信頼できるウィルス対策ツール１２４は、ウィルスシグネチャの更新を認証されたものとして指定し、ウィルスシグネチャの更新をロードする。この認証方法は、例のためだけに提供され、ウィルスシグネチャの更新が信頼できる機関からのものであることを検証するために、任意の適切な暗号、検証および／または認証のプロトコルを使用することができる。

次いで信頼できるウィルス対策ツール１２４は、コンピューティングデバイス１０２上で実行し、ウィルスシグネチャ１２６およびウィルス更新パッケージ１１２からの任意の認証されたウィルスシグネチャの更新を使用してウィルスに関してコンピューティングデバイス１０２をスキャンする。ウィルススキャンで信頼できるオペレーティングシステム１２２と対話することによってユーザは、ウィルススキャンプロセス中に行われたオペレーティングシステム呼出しが、要求されたファイルを正しく戻し、コンピューティングデバイス１０２の正確な説明を与えることを保証されることができる。

アーキテクチャ１００にさらに付け加えるとコンピューティングデバイス１０２は、１つまたは複数のネットワーク１３２を使用してリモートリソース１３４にアクセスすることができる。１つまたは複数のネットワーク１３２は、限定されないがローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、およびメトロポリタンエリアネットワーク（ＭＡＮ）を含むことができる。リモートリソース１３４は、ｗｅｂサーバ、サーバファーム、メインフレームコンピュータ、データセンタ、またはデータを保存するおよび／または送信することができる他の任意のリソースであってよい。したがって信頼できるウィルス対策ツール１２４は、コンピューティングデバイス１０２および１つまたは複数のネットワーク１３２を使用してリモートリソース１３４にアクセスし、リモートリソース上に存在する１つまたは複数のウィルスシグネチャの更新を識別しダウンロードすることができる。上記で議論されたように、リモートリソース１３４上で識別される任意のウィルスシグネチャの更新は認証されているであろう。

図２は、説明されるプロセスおよび技術ならびにその変形形態を実現することができる例示のアーキテクチャ２００を示す。アーキテクチャ２００は、図１で紹介されたコンピューティングデバイス１０２を含む。取り外し可能なデバイス２０２も示されている。本明細書では取り外し可能なデバイス２０２はユニバーサルシリアルバス（ＵＳＢ）デバイスとして示されているが、ＰＣカード、スマートカード、ファイアワイアデバイスなどの任意の適切な取り外し可能なおよび／またはポータブルデバイスが使用されてよい。動作中、取り外し可能なデバイス２０２はコンピューティングデバイス１０２とインターフェースされ、コンピューティングデバイスは取り外し可能なデバイスから起動される。起動プロセスの一部としてコンピューティングデバイス１０２は、取り外し可能なデバイス２０２上のメモリ２０４にアクセスし、信頼できるオペレーティングシステム２０６をロードする。典型的にはメモリ２０４は、マイクロコントローラ２１６および／もしくはコンピューティングデバイス１０２によってすぐにアクセス可能であるならびに／または現在動作されている説明されるプロセスを実現するためのデータ、プログラムモジュールおよびコンポーネントを含む。

次いで信頼できるウィルス対策ツール２０８がメモリ２０４から起動され、信頼できるウィルス対策ツールはメモリ２０４からウィルスシグネチャ２１０をロードする。任意選択で信頼できるウィルス対策ツール２０８は、図１に対して上記で議論されたものと同様のプロセスを使用してコンピューティングデバイス１０２上でウィルスシグネチャの更新を探し出し認証することができる。次いで信頼できるウィルス対策ツール２０８は、ロードされたウィルスシグネチャを使用してウィルスに関してコンピューティングデバイス１０２をスキャンし始める。コンピューティングデバイス１０２上で実行している信頼できるオペレーティングシステム２０６と対話することによって信頼できるウィルス対策ツール２０８は、任意の記憶装置（例えば、ハードドライブ）、基本入力／出力システム（ＢＩＯＳ）、ハードウェア、ファームウェアなどを含んでコンピューティングデバイス１０２の完全なウィルススキャンを実行することができる。任意のウィルスが探し出される場合、ウィルスはコンピューティングデバイス１０２から除去される。次いでコンピューティングデバイス１０２は、それ自体の内部のオペレーティングシステムを使用してクリーン（ｃｌｅａｎ）な動作環境内に再起動されることができる。

取り外し可能なデバイス２０２は、更新エージェント２１４およびマイクロコントローラ２１６を使用してそれ自体の内部コンポーネントを安全に更新する能力を有する。マイクロコントローラ２１６は、取り外し可能なデバイス２０２のある種の手順および動作を制御する必要があるコンポーネントを含む集積回路またはマイクロプロセッサである。図２に示されていないがマイクロコントローラ２１６のコンポーネントは、１つまたは複数のプロセッサ、１つまたは複数の形のメモリ（例えば、読取り専用メモリおよび／またはランダムアクセスメモリ）、入力／出力ポート、タイマなどを含む。

取り外し可能なデバイス２０２の任意のコンポーネントは、ウィルスシグネチャ２１０および信頼できるウィルス対策ツール２０８を含んで更新されることができる。更新プロセスの一部としてマイクロコントローラ２１６は、更新エージェント２１４を使用して１つまたは複数の取り外し可能なデバイスのコンポーネントの更新に関してコンピューティングデバイス１０２を検索することができる。またマイクロコントローラ２１６は、更新エージェント２１４を使用して所望のコンポーネントの更新を取得するためにコンピューティングデバイス１０２および１つまたは複数のネットワーク１３２を介してリモートリソース１３４にアクセスすることができる。任意のコンポーネントの更新が探し出される場合、認証ツール２１２は、任意の適切な認証および／または暗号のプロトコルを使用してコンポーネントの更新が信頼できる機関からのものであることを検証することができる。コンポーネントの更新が認証ツール２１２によって認証されていると判定される（すなわち、それが認証プロセスで合格する）場合、コンポーネントの更新はメモリ２０４に書き込まれる。そうでない場合、マイクロコントローラ２１６は、任意の無認証のおよび無許可のデータ（例えば、認証プロセスで合格していないコンポーネントの更新）がメモリ２１６上に書き込まれることを防止する。マイクロコントローラ２１６を「ゲートキーパ」として活用することによって取り外し可能なデバイス２０２は、その内部コンポーネントの信頼できる態様を維持しながら動的に更新されることができる。

例示のプロセス
図３は、ウィルススキャンを実行するための例示のプロセス３００を示す。プロセス３００は、ハードウェア、ソフトウェア、またはその組合せで実現されることができる動作のシーケンスを表す論理流れ図内のブロックの集合体として示されている。ソフトウェアの文脈ではブロックは、１つまたは複数のプロセッサによって実行されるとき、列挙された動作を実行するコンピュータ命令を表す。下記のプロセスは個々の動作に関して議論されるが、これは限定しているものではなく、いくつかの例では議論された動作は組み合わされることができる。議論のためにプロセス３００は、図１に示されるアーキテクチャ１００を参照して説明される。

３０２では、取り外し可能なデータ記憶媒体（取り外し可能なデータ記憶媒体１１８など）がコンピューティングデバイス内にロードされる。３０４ではコンピューティングデバイスが、取り外し可能なデータ記憶媒体上の信頼できる動作環境から起動される。この起動プロセスの一部として信頼できるオペレーティングシステムが、取り外し可能なデータ記憶媒体からコンピューティングデバイス上にロードされる。３０６では、信頼できるウィルス対策ツールが取り外し可能なデータ記憶媒体から起動される。動作３０６は、取り外し可能なデータ記憶媒体から信頼できるウィルス対策ツールを実行すること、または信頼できるウィルス対策ツールをコンピューティングデバイス上にロードし、そのツールをコンピューティングデバイスから実行することによって達成されることができる。３０８では信頼できるウィルス対策ツールは、コンピューティングデバイスを検索し、任意のウィルスシグネチャの更新を探し出す。ウィルスシグネチャの更新は、ウィルスシグネチャの更新および更新を認証するために使用されることができるデジタル署名を含むウィルス更新パッケージの一部であってよい。デジタル署名は、ウィルス更新パッケージの一部としてまたはコンピューティングデバイス上の他の場所に保存されるＸ．５０９証明書などの認証証明書の一部でありうる。また信頼できるウィルス対策ツールは、コンピューティングデバイスおよびネットワークを使用してウィルスシグネチャの更新に関してリモートリソースを検索することができる。任意のウィルスシグネチャの更新が探し出されるおよび／または識別される場合、３１０で更新は認証される。一例では動作３１０は、ウィルスシグネチャの更新が信頼できる機関からのものであるかどうかを判定するためにデジタル署名を処理することを含む。

３１２では信頼できるウィルス対策ツールは、任意の認証されたウィルスシグネチャの更新と共に取り外し可能なデータ記憶媒体上に保存されている任意のウィルスシグネチャをロードする。３１４では信頼できるウィルス対策ツールは、コンピューティングデバイス上にロードされた信頼できるオペレーティングシステムと対話してロードされたウィルスシグネチャと合致する任意のウィルスに関してコンピューティングデバイスをスキャンする。信頼できるウィルス対策ツールは、任意の記憶装置（例えば、ハードドライブ）、ＢＩＯＳ、ハードウェア、ファームウェアなどを含んでコンピューティングデバイスの包括的なスキャンを実行することができる。３１６では、探し出される任意のウィルスがコンピューティングデバイスから除去される。３１８では、コンピューティングデバイスがクリーンな内部の動作環境内に再起動される。内部の動作環境は、本明細書で議論される技術を使用して任意のウィルスまたは他のマルウェアがスキャンされ除去されているオペレーティングシステムを含む。

図４は、ウィルススキャンを実行するための例示のプロセス４００を示す。プロセス４００は、ハードウェア、ソフトウェア、またはその組合せで実現されることができる動作のシーケンスを表す論理流れ図内のブロックの集合体として示されている。ソフトウェアの文脈ではブロックは、１つまたは複数のプロセッサによって実行されるとき、列挙された動作を実行するコンピュータ命令を表す。議論のためにプロセス４００は、図２に示されるアーキテクチャ２００を参照して説明される。

４０２では取り外し可能なデバイス（例えば、取り外し可能なデバイス２０２）が、ユーザがウィルスに関してスキャンすることを望むコンピューティングデバイスとインターフェースされる。一例では動作４０２は、取り外し可能なデバイスをコンピューティングデバイス上の適切なポート（例えば、ＵＳＢポート）に差し込むことによって達成される。４０４では、コンピューティングデバイスが取り外し可能なデバイスから起動される。起動プロセスの一部として信頼できるオペレーティングシステムが、取り外し可能なデバイスからコンピューティングデバイス上にロードされる。４０６では、信頼できるウィルス対策ツールが取り外し可能なデバイスから起動される。動作４０６は、取り外し可能なデバイスから信頼できるウィルス対策ツールを実行すること、または信頼できるウィルス対策ツールをコンピューティングデバイス上にロードし、そのツールをコンピューティングデバイスから実行することによって達成されることができる。動作４０６の一部として信頼できるウィルス対策ツールは、取り外し可能なデバイス上に保存されている１つまたは複数のウィルスシグネチャをロードする。また取り外し可能なデバイスは、コンピューティングデバイスおよび／またはリモートリソース上に保存されている１つまたは複数のウィルスシグネチャの更新を探し出し、ウィルスシグネチャの更新を認証し、任意の認証されたウィルスシグネチャの更新をロードすることができる。４０８では信頼できるウィルス対策ツールは、コンピューティングデバイス上にロードされた信頼できるオペレーティングシステムと対話して任意のウィルスに関してコンピューティングデバイスをスキャンする。ウィルス対策ツールは、コンピューティングデバイスからの任意の認証されたウィルスシグネチャの更新に加えて取り外し可能なデバイス上に保存されたウィルスシグネチャに基づいて任意のウィルスを識別する。４１０で探し出される任意のウィルスが除去される。

４１２ではコンピューティングデバイスが、ウィルスに関してスキャンされ除去されているオペレーティングシステムを含むクリーンな内部環境内に再起動される。内部のオペレーティングシステムは、コンピューティングデバイス上に存在するオペレーティングシステムである（すなわち、それは取り外し可能なデバイスからロードされたオペレーティングシステムではない）。４１４では、次いで取り外し可能なデバイスがその内部コンポーネント（例えば、ウィルスシグネチャおよびウィルス対策ツール自体）に対する更新に関してチェックする。取り外し可能なデバイスは、コンポーネントの更新に関してコンピューティングデバイスを検索することができる、または任意選択でリモートリソースにアクセスしてコンポーネントの更新を検索することができる。任意のコンポーネントの更新が探し出される場合、４１６でコンポーネントの更新は、任意の適切な認証および／または暗号のプロセスを使用して認証される。任意のコンポーネントの更新が認証プロセスで合格する場合、４１８でコンポーネントの更新は取り外し可能なデバイス上にインストールされる。本明細書では示されていないが任意選択でプロセスは、動作４０４に戻り、４１８で取り外し可能なデバイス上にインストールされた任意のウィルスシグネチャの更新（または他のコンポーネントの更新）を使用してウィルスに関してコンピューティングデバイスを再スキャンすることができる。

したがって、例示のようにプロセス４００によってウィルススキャンが、取り外し可能なデバイスからロードされた信頼できるオペレーティングシステムを使用してコンピューティングデバイス上で実行されることができる。コンピューティングデバイスが任意のウィルスをスキャンされ駆除されていると、次いで取り外し可能なデバイスは、それ自体の内部コンポーネントに対する任意の更新を検索し、探し出される任意の更新を認証し、認証された更新をロードすることができる。いくつかの実装形態ではこのプロセスが、ほとんどの通常のファイルシステム動作中（例えば、ウィルススキャン中）に読取り専用モードで取り外し可能なデバイスを動作することによって達成され、したがってウィルスおよび他のマルウェアが取り外し可能なデバイスを感染させることを防止する。更新動作中、コンポーネントの更新パッケージが取り外し可能なデバイスに転送され認証される。取り外し可能なデバイス上のマイクロコントローラが、認証プロセスを制御し、シグネチャおよび／または証明書に関してコンポーネントの更新パッケージをチェックする。マイクロコントローラが、特定の更新パッケージに関するシグネチャおよび／または証明書が有効であると判定する場合、マイクロコントローラによって更新パッケージは取り外し可能なデバイスに書き込まれることができることになる。そうでない場合、取り外し可能なデバイスは、その信頼できる動作環境の保全性を維持するために読取り専用状態のままである。

図５は、図４の動作４１６で上述された取り外し可能なデバイスのコンポーネントの更新を認証するためのプロセスの一例を示す。５００では、任意の取り外し可能なデバイスのコンポーネントの更新に関連しているデジタル署名が探し出され取得される。上記で議論されたように、このデジタル署名は全体の認証証明書の一部であってよい。５０２ではデジタル署名が、任意の適切な認証および／または暗号のプロトコルにより処理される。一例ではデジタル署名は、取り外し可能なデバイス上に保存されているルート証明書を用いて検証される。５０４では、デジタル署名が認証プロセスで合格しているかどうかが判定される。デジタル署名が、信頼できる機関からのものであると判定される（すなわち、認証していると指定される）場合、５０６でデジタル署名に関連した取り外し可能なデバイスのコンポーネントの更新は取り外し可能なデバイスに書き込まれる。デジタル署名が認証プロセスで不合格する場合、５０８では取り外し可能なデバイスのコンポーネントの更新は取り外し可能なデバイスに書き込まれない。一例では動作５０８は、認証プロセスで不合格した任意の取り外し可能なデバイスのコンポーネントの更新をコンピューティングデバイスから削除することを含むことができる。

安全な記憶装置
図６は、安全な記憶装置を実現するための例示のプロセス６００を示す。プロセス６００は、ハードウェア、ソフトウェア、またはその組合せで実現されることができる動作のシーケンスを表す論理流れ図内のブロックの集合体として示されている。ソフトウェアの文脈ではブロックは、１つまたは複数のプロセッサによって実行されるとき、列挙された動作を実行するコンピュータ命令を表す。議論のためにプロセス６００は、図２に示される取り外し可能なデバイス２０２を参照して説明される。

６０２では、取り外し可能なデバイスがコンピューティングデバイスとインターフェースされる。一例では動作６０２は、取り外し可能なデバイスをコンピューティングデバイス上の適切なポート（例えば、ＵＳＢポート）に差し込むことによって達成される。６０４では、ユーザが取り外し可能なデバイスにコピーするおよび／または転送することを望む少なくとも１つのデータファイルがコンピューティングデバイス上で探し出される。一例では、複数のファイルが探し出されてよく、したがって例示のプロセスはファイルごとに実行されるであろう。データファイルは、コンピューティングデバイス上に局所的に保存されていてよいまたはコンピューティングデバイスにアクセス可能であるリモートリソース上に配置されていてよい。６０６ではデータファイルが、取り外し可能なデバイス上に存在するウィルス対策ツールを用いてウィルスに関してスキャンされる。６０８では、データファイルがウィルスまたは他のマルウェアに感染しているかどうかが判定される。任意のウィルス／マルウェアがデータファイル内で検出される場合、６１０でデータファイルはウィルス対策ツールを使用してウィルスに関して駆除される（すなわち、ウィルスがファイルから除去される）。ウィルスまたは他のマルウェアがファイル内で検出されない場合、６１６でファイルは取り外し可能なデバイスにコピーされる。６１２では、感染したファイルが首尾よく駆除されたかどうかが判定される。ファイルが首尾よく駆除されなかった場合、６１４ではファイルが、取り外し可能なデバイスにコピーされることを防止される。任意選択でファイルは、さらにファイルを駆除しようとしてウィルス対策ツールを用いて再スキャンされることができる。ファイルが首尾よく駆除された場合、６１６では駆除されたデータファイルが取り外し可能なデバイスにコピーされる。次いで取り外し可能なデバイスは、ファイルに感染されている可能性がある任意のウィルスの蔓延を恐れることなく他の装置にコピーされたファイルを転送することができる。これは、多くの様々なユーザが特定の装置にアクセスする公共の端末装置のシナリオ（例えば、図書館）で特に有用である。この種の状態ではユーザは、感染したファイルに知らずにアクセスし、公共の端末装置上にダウンロードしうる。安全な保存プロセスを使用してユーザは、この種の端末装置からダウンロードされた任意のファイルが、ウィルス感染がないことを保証することができる。

結論
本発明は構造的特徴および／または方法のステップに対する特定の言語で説明されているが、添付の「特許請求の範囲」で定義された本発明は、説明された特定の特徴またはステップに必ずしも限定されないことを理解されたい。むしろ特定の特徴およびステップは、特許請求された本発明を実現する好ましい形として開示されている。

Claims

コンピューティングデバイスの起動プロセスの一部として、取り外し可能なデバイスから前記コンピューティングデバイス上に信頼できるオペレーティングシステムをロードするステップ（４０４）であって、前記取り外し可能なデバイスは、前記信頼できるオペレーティングシステムと、ウィルス対策ツールとを含む（２０２）ステップと、
前記取り外し可能なデバイスから前記ウィルス対策ツールを起動するステップ（４０６）と、
前記ウィルス対策ツールを用いて前記コンピューティングデバイスをスキャンするステップ（４０８）と、
１つまたは複数の取り外し可能なデバイスのコンポーネントの更新を検索するステップ（４１４）と、
任意の取り外し可能なデバイスのコンポーネントの更新が探し出される場合、前記取り外し可能なデバイスのコンポーネントの更新のうちの１つまたは複数を前記取り外し可能なデバイスに書き込むステップ（４１６、４１８）とを備えることを特徴とする方法。
前記取り外し可能なデバイスから前記ウィルス対策ツールを起動するステップは、前記取り外し可能なデバイスから１つまたは複数のウィルスシグネチャをロードするステップを含むことを特徴とする請求項１に記載の方法。
前記取り外し可能なデバイスから前記ウィルス対策ツールを起動するステップは、
前記コンピューティングデバイス上で１つまたは複数のウィルスシグネチャの更新を検索するステップと、
任意のウィルスシグネチャの更新が探し出される場合、前記ウィルスシグネチャの更新を認証するステップと、
前記コンピューティングデバイスをスキャンするために任意の認証されたウィルスシグネチャの更新を使用するステップとを含むことを特徴とする請求項１に記載の方法。
前記ウィルス対策ツールを用いて前記コンピューティングデバイスをスキャンするステップは、検出される任意のウィルスを除去するステップと、前記コンピューティングデバイスの内部にあるオペレーティングシステムを使用して前記コンピューティングデバイスを再起動するステップとを含むことを特徴とする請求項１に記載の方法。
前記取り外し可能なデバイスのコンポーネントの更新は、ウィルスシグネチャの更新であることを特徴とする請求項１に記載の方法。
前記取り外し可能なデバイスのコンポーネントの更新は、ウィルス対策ツールの更新であることを特徴とする請求項１に記載の方法。
１つまたは複数の取り外し可能なデバイスのコンポーネントの更新の前記検索するステップは、前記取り外し可能なデバイス上の更新エージェントによって少なくとも一部実行されることを特徴とする請求項１に記載の方法。
前記取り外し可能なデバイスのコンポーネントの更新のうちの１つまたは複数を前記取り外し可能なデバイスに書き込むステップは、
前記取り外し可能なデバイスのコンポーネントの更新を認証するステップと、
前記認証された取り外し可能なデバイスのコンポーネントの更新だけを前記取り外し可能なデバイスに書き込むステップとを含むことを特徴とする請求項１に記載の方法。
前記認証は、前記取り外し可能なデバイス上で認証ツールによって実施されることを特徴とする請求項８に記載の方法。
ポータブルデバイスであって、
外部のコンピューティングデバイスを起動するための信頼できるオペレーティングシステムコンポーネント（２０６）と、
前記外部のコンピューティングデバイスをスキャンするためのウィルス対策ツールコンポーネント（２０８）と、
当該ポータブルデバイスの１つまたは複数のコンポーネントを更新するための更新エージェントコンポーネント（２１４）とを含むコンピュータ可読メモリ（２０４）と、
前記取り外し可能なデバイスの前記コンポーネントへのアクセスを制御するためのプロセッサ（２１６）とを備えることを特徴とするポータブルデバイス。
前記コンピュータ可読メモリは、前記ウィルス対策ツールによって使用されるための１つまたは複数のウィルスシグネチャをさらに備えることを特徴とする請求項１０に記載のポータブルデバイス。
前記更新エージェントは、ポータブルデバイスコンポーネントの更新を検索するように構成されていることを特徴とする請求項１０に記載のポータブルデバイス。
前記更新エージェントは、前記外部のコンピューティングデバイスおよび前記外部のコンピューティングデバイスに対してリモートのリソースのうちの少なくとも１つ上で前記ポータブルデバイスコンポーネントの更新を検索するように構成されていることを特徴とする請求項１２に記載のポータブルデバイス。
前記コンポーネントの更新は、１つまたは複数のウィルスシグネチャの更新を含むことを特徴とする請求項１２に記載のポータブルデバイス。
前記コンポーネントの更新は、１つまたは複数のウィルス対策ツールの更新を含むことを特徴とする請求項１２に記載のポータブルデバイス。
前記コンピュータ可読メモリは、前記更新エージェントによって探し出された任意のポータブルデバイスコンポーネントの更新を認証するための認証ツールをさらに含むことを特徴とする請求項１２に記載のポータブルデバイス。
取り外し可能なデバイスをコンピューティングデバイスとインターフェースするステップ（６０２）と、
前記取り外し可能なデバイス上に保存されるべき１つまたは複数のデータファイルを前記コンピューティングデバイス上で探し出すステップ（６０４）と、
前記取り外し可能なデバイス上に存在するウィルス対策ツールを用いて前記データファイルをスキャンするステップ（６０６）と、
前記データファイルを前記取り外し可能なデバイスに書き込むステップ（６１６）とを備えることを特徴とする方法。
前記スキャンするステップは、前記ファイル内で検出される任意のウィルスを除去するステップをさらに含むことを特徴とする請求項１７に記載の方法。
前記取り外し可能なデバイスは、コンピュータ可読メモリおよびプロセッサを含むことを特徴とする請求項１７に記載の方法。
前記取り外し可能なデバイスは、ユニバーサルシリアルバスデバイスであることを特徴とする請求項１７に記載の方法。