2016-003621

特願２０１４－５１２８９３「マルウェア解析システム」拒絶査定不服審判事件〔平成２４年１１月２９日国際公開，ＷＯ２０１２／１６２１０２，平成２６年　８月　７日国内公表，特表２０１４－５１９１１３〕について，次のとおり審決する。

【結　論】 本件審判の請求は，成り立たない。

【理　由】 第１　手続の経緯 本件審判請求に係る出願（以下，「本願」という。）は，２０１２年５月１７日（パリ条約による優先権主張外国庁受理２０１１年５月２４日（以下，「優先日」という。），米国）を国際出願日とする出願であって，その手続の経緯は以下のとおりである。 平成２５年１１月２１日　　　：国内書面の提出 平成２６年　１月２０日　　　：翻訳文，出願審査請求書の提出 平成２７年　１月２１日付け　：拒絶理由の通知 平成２７年　４月２０日　　　：意見書，手続補正書の提出 平成２７年　５月１４日付け　：拒絶理由（最後）の通知 平成２７年　８月１１日　　　：意見書，手続補正書の提出 平成２７年１１月　５日付け　：平成２７年８月１１日の手続補正に ついての補正却下の決定，拒絶査定 平成２８年　３月　９日　　　：審判請求書，手続補正書の提出 平成２８年　４月１４日　　　：前置報告 第２　平成２８年３月９日付けの手続補正についての補正却下の決定 ［補正却下の決定の結論］ 平成２８年３月９日付けの手続補正を却下する。 ［理由］ １　補正の内容 平成２８年３月９日付けの手続補正（以下，「本件補正」という。）の内容は，平成２７年４月２０日付けの手続補正により補正された特許請求の範囲の請求項１乃至２３の記載 「　　【請求項１】 システムであって， ファイアウォールを実行するように構成された第１プロセッサを有する第１の装置と， 仮想マシンを実行するように構成された第２プロセッサを有する第２の装置と， 前記第１プロセッサに接続され，前記第１プロセッサに命令を提供するように構成されているメモリと，を備え， 前記第１の装置の前記第１プロセッサを用いる前記ファイアウォールの実行は， 暗号化ネットワークトラフィックフローを復号することによって，既存のシグネチャーに一致しないマルウェア候補サンプルを生成するために前記ファイアウォールを使用することと， 前記マルウェア候補サンプルを前記ファイアウォールから前記仮想マシンに送信することと，を含み， 前記第２の装置の前記第２プロセッサを用いる前記仮想マシンの実行は， 前記マルウェア候補サンプルがマルウェアであるか否かを判定するために前記仮想マシンを用いて前記マルウェア候補サンプルを解析することと， 前記仮想マシンを用いて監視される前記マルウェア候補サンプルに関連するスコアを算出することと， 前記マルウェア候補サンプルがマルウェアであるかを少なくとも前記スコアに基づき判定し，前記マルウェア候補サンプルがマルウェアであると判定された場合に，前記仮想マシンを使用してシグネチャーを自動的に生成することと， 前記シグネチャーを強制するように構成されている前記ファイアウォールに，前記シグネチャーを前記仮想マシンから送信することと，を含む システム。 【請求項２】 請求項１に記載のシステムであって， 前記マルウェアはゼロデイ攻撃のためのプログラムである，システム。 【請求項３】 請求項１に記載のシステムであって， 前記ファイアウォールに関連する前記第１の装置は，セキュリティ機器によって構成される，システム。 【請求項４】 請求項１に記載のシステムであって， 前記仮想マシンに関連する前記第２の装置は，仮想マシン機器によって実装される，システム。 【請求項５】 請求項１に記載のシステムであって， 前記ファイアウォールは，ホスト型ファイアウォールである，システム。 【請求項６】 請求項１に記載のシステムであって， 前記仮想マシンに関連する前記第２の装置は，セキュリティクラウドサービスによって構成される，システム。 【請求項７】 請求項１に記載のシステムであって， 前記ファイアウォールは，１つ又は複数のファイアウォールポリシー内に前記シグネチャーを備える，システム。 【請求項８】 請求項１に記載のシステムであって， 前記ファイアウォールに関連する前記第１の装置は，ゲートウェイセキュリティ装置，セキュリティ機器，ネットワーク・ルーティング装置，又は，ホスト型ファイアウォールを実行する汎用コンピュータによって構成される，システム。 【請求項９】 請求項１に記載のシステムであって， 前記第２の装置の前記第２プロセッサを用いる前記仮想マシンであって，前記シグネチャーをクラウドセキュリティサービスに送信するように構成されている前記仮想マシンを実行する，システム。 【請求項１０】 請求項１に記載のシステムであって， 前記第２の装置の前記第２プロセッサを用いる前記仮想マシンであって，ヒューリスティックスに基づいて，マルウェアを特定するために，前記仮想マシンを用いるエミュレーションの際に，前記マルウェア候補サンプルの挙動を監視するように構成されている前記仮想マシンを実行する，システム。 【請求項１１】 請求項１に記載のシステムであって， 前記第２の装置の前記第２プロセッサを用いる前記仮想マシンを実行することによって，さらに，マルウェアを特定するために，前記仮想マシンを用いるエミュレーションの際に，前記マルウェア候補サンプルの挙動を監視するように構成され， 前記マルウェア候補サンプルを示す監視対象となる挙動は，HTTPトラフィック用の非標準的なHTTPポートに接続すること，架空ドメインにアクセスすること，非標準的な実行ファイル拡張子を有する実行ファイルをダウンロードすること，ｅメールサーバ用のDNSクエリを実行すること，一般的な長さよりも短い長さのHTTPヘッダを用いて通信を行うこと，HTTPトラフィックにおいてポスト法で通信を行うこと，IRCトラフィック用の非標準的なIRCポートに接続すること，侵入防止システム回避手法を用いて通信を行うこと，及び，HTTPポートを介して分類されていないトラフィックの通信を行うことの１つ以上を含む，システム。 【請求項１２】 請求項１に記載のシステムであって， 前記第２の装置の前記第２プロセッサを用いる前記仮想マシンを実行することによって，さらに，マルウェアを特定するために，前記仮想マシンを用いるエミュレーションの際に，前記マルウェア候補サンプルの挙動を監視するように構成され， 前記マルウェア候補サンプルを示す監視対象となる挙動は，通常のドメイン名の長さよりも長いドメイン名を持つドメインにアクセスすること，ダイナミックDNSドメインにアクセスすること，ファストフラックスドメインにアクセスすること及び最近作成されたドメインにアクセスすることの１つ以上を含む，システム。 【請求項１３】 請求項１に記載のシステムであって， 前記第２の装置の前記第２プロセッサを用いる前記仮想マシンを実行することによって，さらに，悪質なドメインを特定するために，前記仮想マシンを用いるエミュレーションの際に，前記マルウェア候補サンプルの挙動を監視するように構成され， アクセスされたドメインが閾値を超える長さのドメイン名を持つこと，アクセスされたドメインがダイナミックDNSドメインであるか否か，アクセスされたドメインがファストフラックスドメインであるか否か，及びアクセスされたドメインが最近作成されたドメインであるか否かのうちの１つ以上に基づいて， 監視対象となるドメインアクセスに関連する挙動は，悪質なドメインである可能性を示す，システム。 【請求項１４】 請求項１に記載のシステムであって， 前記第２プロセッサは，さらに，ハッシュ関数またはファイルヘッダ情報のダイジェストを用いて，ファイル型シグネチャーを生成するように構成されている，システム。 【請求項１５】 請求項１に記載のシステムであって， 前記第２プロセッサは，さらに，前記マルウェア候補サンプルに関するログ情報を前記仮想マシンに送信するように構成され， 前記ログ情報は，セッション情報，アプリケーション識別情報，ＵＲＬカテゴリー情報，及び，脆弱性警告情報の１つ以上を含む，システム。 【請求項１６】 請求項１に記載のシステムであって， 前記第２プロセッサは，さらに，前記マルウェア候補サンプルに関するログ情報を前記仮想マシンに送信するように構成され， 前記仮想マシンは，前記ログ情報を用いた事後解析を行って，前記マルウェア候補サンプルがマルウェアであるか否かを判定する，システム。 【請求項１７】 方法であって， ファイアウォールからマルウェア候補サンプルを受信することと， 暗号化ネットワークトラフィックフローを復号することによって，既存のシグネチャーに一致しないマルウェア候補サンプルを生成するために，第１の装置によって実行するファイアウォールを使用することと， 第２の装置によって実行する仮想マシンに，前記ファイアウォールから前記マルウェア候補サンプルを送信することと， 前記マルウェア候補サンプルがマルウェアであるか否かを判定するために，前記仮想マシンを用いて前記マルウェア候補サンプルを解析することと， 前記仮想マシンを用いて監視される前記マルウェア候補サンプルに関連するスコアを算出することと， 前記マルウェア候補サンプルがマルウェアであるかを少なくとも前記スコアに基づき判定し，前記マルウェア候補サンプルがマルウェアであると判定された場合に，前記仮想マシンを使用してシグネチャーを自動的に生成することと， 前記シグネチャーを強制するように構成されている前記ファイアウォールに，前記シグネチャーを送信することと，を含む方法。 【請求項１８】 請求項１７に記載の方法であって， さらに，マルウェアを特定するために，前記仮想マシンを用いるエミュレーションの際に，前記マルウェア候補サンプルの挙動を監視する，方法。 【請求項１９】 コンピュータプログラムであって， ファイアウォールからマルウェア候補サンプルを受信することと， 暗号化ネットワークトラフィックフローを復号することによって，既存のシグネチャーに一致しないマルウェア候補サンプルを生成するために，第１の装置によって実行するファイアウォールを使用することと， 第２の装置によって実行される仮想マシンに，前記ファイアウォールから前記マルウェア候補サンプルを送信することと， 前記仮想マシンを用いて監視される前記マルウェア候補サンプルに関連するスコアを算出することと， 前記マルウェア候補サンプルがマルウェアであるか否かを判定するために，前記仮想マシンを用いて前記マルウェア候補サンプルを解析することと， 前記マルウェア候補サンプルがマルウェアであるかを少なくとも前記スコアに基づき判定し，前記マルウェア候補サンプルがマルウェアであると判定された場合に，前記仮想マシンを使用してシグネチャーを自動的に生成することと， 前記シグネチャーを強制するように構成されている前記ファイアウォールに，前記シグネチャーを送信することと，をコンピュータに実行させるためのコンピュータプログラム。 【請求項２０】 請求項１９に記載のコンピュータプログラムであって， さらに，マルウェアを特定するために，前記仮想マシンを用いるエミュレーションの際に，前記マルウェア候補サンプルの挙動を監視するためのコンピュータプログラム。 【請求項２１】 システムであって， ファイアウォールを実行するように構成された第１プロセッサを有する第１の装置と， 仮想マシンを実行するように構成された第２プロセッサを有する第２の装置と， 前記第１プロセッサに接続され，前記第１プロセッサに命令を提供するように構成されているメモリと，を備え， 前記第１の装置の前記第１プロセッサを用いる前記ファイアウォールの実行は， 暗号化ネットワークトラフィックフローを復号することによって，既存のシグネチャーに一致しないマルウェア候補サンプルを生成するために前記ファイアウォールを使用することと， 前記マルウェア候補サンプルを前記ファイアウォールから前記仮想マシンに送信することと，を含み， 前記第２の装置の前記第２プロセッサを用いる前記仮想マシンの実行は， 前記マルウェア候補サンプルがマルウェアであるか否かを判定するために，前記仮想マシンを用いて前記マルウェア候補サンプルを解析することと， 前記仮想マシンを用いて監視される前記マルウェア候補サンプルに関連するスコアを算出することと， 前記マルウェア候補サンプルがマルウェアであるかを少なくとも前記スコアに基づき判定し，前記マルウェア候補サンプルがマルウェアであると判定された場合に，前記仮想マシンを使用してシグネチャーを自動的に生成することと， 前記第１の装置を含む複数のセキュリティ装置に，前記ファイアウォールによって実行される前記シグネチャーを配布することと，を含む システム。 【請求項２２】 システムであって， ファイアウォールを実行するように構成された第１プロセッサを有する第１の装置と， 仮想マシンを実行するように構成された第２プロセッサを有するマルウェア解析装置と， 前記第１プロセッサに接続され，前記第１プロセッサに命令を提供するように構成されているメモリと，を備え， 前記第１の装置の前記第１プロセッサを用いる前記ファイアウォールの実行は， 前記ファイアウォールを使用する複数のネットワークトラフィックフローを監視することと， 暗号化ネットワークトラフィックフローを復号することによって，既存のシグネチャーと一致しないマルウェア候補サンプルを生成するために，前記ファイアウォールを使用することと， 前記ファイアウォールから前記マルウェア解析装置にマルウェア候補サンプルを送信することと，を含み， 前記マルウェア解析装置の前記第２プロセッサを用いる前記仮想マシンの実行は， 前記マルウェア候補サンプルがマルウェアであるかを判定するために，前記仮想マシンを用いて前記マルウェア候補サンプルを解析することと， 前記仮想マシンを用いて監視される前記マルウェア候補サンプルに関連するスコアを算出することと， 前記マルウェア候補サンプルがマルウェアであるかを少なくとも前記スコアに基づき判定し，前記マルウェア候補サンプルがマルウェアであると判定された場合に，前記仮想マシンを使用してシグネチャーを自動的に生成することと， 前記シグネチャーに基づいてネットワークアクセス用のセキュリティポリシーを実行するように構成されている前記ファイアウォールに，前記仮想マシンから前記シグネチャーを送信することと，を含む システム。 【請求項２３】 システムであって， ファイアウォールを実行するように構成された第１プロセッサを有する第１の装置と， 仮想マシンを実行するように構成された第２プロセッサを有する第２の装置と， 前記第１プロセッサに接続され，前記第１プロセッサに命令を提供するように構成されているメモリと，を備え， 前記第１の装置の前記第１プロセッサを用いる前記ファイアウォールの実行は， 暗号化ネットワークトラフィックフローを復号することによって，既存のシグネチャーに一致しないマルウェア候補サンプルを生成するために前記ファイアウォールを使用することと， 前記マルウェア候補サンプルを前記ファイアウォールから前記仮想マシンに送信することと，を含み， 前記第２の装置の前記第２プロセッサを用いる前記仮想マシンの実行は， 前記マルウェア候補サンプルがマルウェアであるか否かを判定するために，前記仮想マシンを用いて前記マルウェア候補サンプルを解析することと， 前記マルウェア候補サンプルがマルウェアであると判定された場合に，前記仮想マシンを使用してシグネチャーを自動的に生成することと， 前記シグネチャーに基づくファイアウォールルールを追加し，前記シグネチャーを用いて前記ファイアウォールルールを実行するように構成されている前記ファイアウォールに，前記シグネチャーを前記仮想マシンから送信することと，を含む システム。」 （以下，この特許請求の範囲に記載された請求項を「補正前の請求項」という。） を， 「　　【請求項１】 システムであって， ホスト型のファイアウォールを実行するように構成された第１プロセッサを有する第１の装置と， 仮想マシンを実行するように構成された第２プロセッサを有する第２の装置と， 前記第１プロセッサに接続され，前記第１プロセッサに命令を提供するように構成されているメモリと，を備え， 前記第１の装置の前記第１プロセッサを用いる前記ファイアウォールの実行は， 暗号化ネットワークトラフィックフローを復号することによって，既存のシグネチャーに一致しないマルウェア候補サンプルを生成するために前記ファイアウォールを使用することと， 前記マルウェア候補サンプルを前記ファイアウォールから前記仮想マシンに送信することと，を含み， 前記第２の装置の前記第２プロセッサを用いる前記仮想マシンの実行は， 前記マルウェア候補サンプルがマルウェアであるか否かを判定するために前記仮想マシンを用いて前記マルウェア候補サンプルを解析することと， 前記仮想マシンを用いて監視される前記マルウェア候補サンプルに関連するスコアを算出することと， 前記マルウェア候補サンプルがマルウェアであるかを少なくとも前記スコアに基づき判定し，前記マルウェア候補サンプルがマルウェアであると判定された場合に，前記仮想マシンを使用してシグネチャーを自動的に生成することと， 前記シグネチャーを強制するように構成されている前記ファイアウォールに，前記シグネチャーを前記仮想マシンから送信することと，を含み， 前記マルウェア候補サンプルを解析することは，マルウェアを特定するために，前記仮想マシンを用いるエミュレーションの際に，前記マルウェア候補サンプルの挙動を監視することを含み， 前記マルウェア候補サンプルを示す監視対象となる挙動は，アクセスされたドメインが閾値を超える長さのドメイン名を持つことと，閾値よりも短い長さのHTTPヘッダを用いて通信を行うことの１つ以上を含む システム。 【請求項２】 請求項１に記載のシステムであって， 前記マルウェアはゼロデイ攻撃のためのプログラムである，システム。 【請求項３】 請求項１に記載のシステムであって， 前記ファイアウォールに関連する前記第１の装置は，セキュリティ機器によって構成される，システム。 【請求項４】 請求項１に記載のシステムであって， 前記仮想マシンに関連する前記第２の装置は，仮想マシン機器によって実装される，システム。 【請求項５】 システムであって， ホスト型のファイアウォールを実行するように構成された第１プロセッサを有する第１の装置と， 仮想マシンを実行するように構成された第２プロセッサを有する第２の装置と， 前記第１プロセッサに接続され，前記第１プロセッサに命令を提供するように構成されているメモリと，を備え， 前記第１の装置の前記第１プロセッサを用いる前記ファイアウォールの実行は， 暗号化ネットワークトラフィックフローを復号することによって，既存のシグネチャーに一致しないマルウェア候補サンプルを生成するために前記ファイアウォールを使用することと， 前記マルウェア候補サンプルを前記ファイアウォールから前記仮想マシンに送信することと，を含み， 前記第２の装置の前記第２プロセッサを用いる前記仮想マシンの実行は， 前記マルウェア候補サンプルがマルウェアであるか否かを判定するために，前記仮想マシンを用いて前記マルウェア候補サンプルを解析することと， 前記マルウェア候補サンプルがマルウェアであると判定された場合に，前記仮想マシンを使用してシグネチャーを自動的に生成することと， 前記シグネチャーに基づくファイアウォールルールを追加し，前記シグネチャーを用いて前記ファイアウォールルールを実行するように構成されている前記ファイアウォールに，前記シグネチャーを前記仮想マシンから送信することと，を含み， 前記マルウェア候補サンプルを解析することは，マルウェアを特定するために，前記仮想マシンを用いるエミュレーションの際に，前記マルウェア候補サンプルの挙動を監視することを含み， 前記マルウェア候補サンプルを示す監視対象となる挙動は，アクセスされたドメインが閾値を超える長さのドメイン名を持つことと，閾値よりも短い長さのHTTPヘッダを用いて通信を行うことの１つ以上を含む システム。 【請求項６】 請求項１に記載のシステムであって， 前記仮想マシンに関連する前記第２の装置は，セキュリティクラウドサービスによって構成される，システム。 【請求項７】 請求項１に記載のシステムであって， 前記ファイアウォールは，１つ又は複数のファイアウォールポリシー内に前記シグネチャーを備える，システム。 【請求項８】 請求項１に記載のシステムであって， 前記ファイアウォールに関連する前記第１の装置は，ゲートウェイセキュリティ装置，セキュリティ機器，ネットワーク・ルーティング装置，又は，ホスト型ファイアウォールを実行する汎用コンピュータによって構成される，システム。 【請求項９】 請求項１に記載のシステムであって， 前記第２の装置の前記第２プロセッサを用いる前記仮想マシンであって，前記シグネチャーをクラウドセキュリティサービスに送信するように構成されている前記仮想マシンを実行する，システム。 【請求項１０】 請求項１に記載のシステムであって， 前記第２の装置の前記第２プロセッサを用いる前記仮想マシンであって，ヒューリスティックスに基づいて，マルウェアを特定するために，前記仮想マシンを用いるエミュレーションの際に，前記マルウェア候補サンプルの挙動を監視するように構成されている前記仮想マシンを実行する，システム。 【請求項１１】 請求項１に記載のシステムであって， 前記第２の装置の前記第２プロセッサを用いる前記仮想マシンを実行することによって，さらに，マルウェアを特定するために，前記仮想マシンを用いるエミュレーションの際に，前記マルウェア候補サンプルの挙動を監視するように構成され， 前記マルウェア候補サンプルを示す監視対象となる挙動は，HTTPトラフィック用の非標準的なHTTPポートに接続すること，架空ドメインにアクセスすること，非標準的な実行ファイル拡張子を有する実行ファイルをダウンロードすること，ｅメールサーバ用のDNSクエリを実行すること，HTTPトラフィックにおいてポスト法で通信を行うこと，IRCトラフィック用の非標準的なIRCポートに接続すること，侵入防止システム回避手法を用いて通信を行うこと，及び，HTTPポートを介して分類されていないトラフィックの通信を行うことの１つ以上を含む，システム。 【請求項１２】 請求項１に記載のシステムであって， 前記第２の装置の前記第２プロセッサを用いる前記仮想マシンを実行することによって，さらに，マルウェアを特定するために，前記仮想マシンを用いるエミュレーションの際に，前記マルウェア候補サンプルの挙動を監視するように構成され， 前記マルウェア候補サンプルを示す監視対象となる挙動は，ダイナミックDNSドメインにアクセスすること，ファストフラックスドメインにアクセスすること及び最近作成されたドメインにアクセスすることの１つ以上を含む，システム。 【請求項１３】 請求項１に記載のシステムであって， 前記第２の装置の前記第２プロセッサを用いる前記仮想マシンを実行することによって，さらに，悪質なドメインを特定するために，前記仮想マシンを用いるエミュレーションの際に，前記マルウェア候補サンプルの挙動を監視するように構成され， アクセスされたドメインがダイナミックDNSドメインであるか否か，アクセスされたドメインがファストフラックスドメインであるか否か，及びアクセスされたドメインが最近作成されたドメインであるか否かのうちの１つ以上に基づいて， 監視対象となるドメインアクセスに関連する挙動は，悪質なドメインである可能性を示す，システム。 【請求項１４】 請求項１に記載のシステムであって， 前記第２プロセッサは，さらに，ハッシュ関数またはファイルヘッダ情報のダイジェストを用いて，ファイル型シグネチャーを生成するように構成されている，システム。 【請求項１５】 請求項１に記載のシステムであって， 前記第２プロセッサは，さらに，前記マルウェア候補サンプルに関するログ情報を前記仮想マシンに送信するように構成され， 前記ログ情報は，セッション情報，アプリケーション識別情報，ＵＲＬカテゴリー情報，及び，脆弱性警告情報の１つ以上を含む，システム。 【請求項１６】 請求項１に記載のシステムであって， 前記第２プロセッサは，さらに，前記マルウェア候補サンプルに関するログ情報を前記仮想マシンに送信するように構成され， 前記仮想マシンは，前記ログ情報を用いた事後解析を行って，前記マルウェア候補サンプルがマルウェアであるか否かを判定する，システム。 【請求項１７】 方法であって， ホスト型のファイアウォールからマルウェア候補サンプルを受信することと， 暗号化ネットワークトラフィックフローを復号することによって，既存のシグネチャーに一致しないマルウェア候補サンプルを生成するために，第１の装置によって実行するファイアウォールを使用することと， 第２の装置によって実行する仮想マシンに，前記ファイアウォールから前記マルウェア候補サンプルを送信することと， 前記マルウェア候補サンプルがマルウェアであるか否かを判定するために，前記仮想マシンを用いて前記マルウェア候補サンプルを解析することと， 前記仮想マシンを用いて監視される前記マルウェア候補サンプルに関連するスコアを算出することと， 前記マルウェア候補サンプルがマルウェアであるかを少なくとも前記スコアに基づき判定し，前記マルウェア候補サンプルがマルウェアであると判定された場合に，前記仮想マシンを使用してシグネチャーを自動的に生成することと， 前記シグネチャーを強制するように構成されている前記ファイアウォールに，前記シグネチャーを送信することと，を含み， 前記マルウェア候補サンプルを解析することは，マルウェアを特定するために，前記仮想マシンを用いるエミュレーションの際に，前記マルウェア候補サンプルの挙動を監視することを含み， 前記マルウェア候補サンプルを示す監視対象となる挙動は，アクセスされたドメインが閾値を超える長さのドメイン名を持つことと，閾値よりも短い長さのHTTPヘッダを用いて通信を行うことの１つ以上を含む方法。 【請求項１８】 請求項１７に記載の方法であって， さらに，ヒューリスティックスに基づいて，マルウェアを特定するために，前記仮想マシンを用いるエミュレーションの際に，前記マルウェア候補サンプルの挙動を監視する，方法。 【請求項１９】 ホスト型のファイアウォールからマルウェア候補サンプルを受信することと， 暗号化ネットワークトラフィックフローを復号することによって，既存のシグネチャーに一致しないマルウェア候補サンプルを生成するために，第１の装置によって実行するファイアウォールを使用することと， 第２の装置によって実行される仮想マシンに，前記ファイアウォールから前記マルウェア候補サンプルを送信することと， 前記仮想マシンを用いて監視される前記マルウェア候補サンプルに関連するスコアを算出することと， 前記マルウェア候補サンプルがマルウェアであるか否かを判定するために，前記仮想マシンを用いて前記マルウェア候補サンプルを解析することと， 前記マルウェア候補サンプルがマルウェアであるかを少なくとも前記スコアに基づき判定し，前記マルウェア候補サンプルがマルウェアであると判定された場合に，前記仮想マシンを使用してシグネチャーを自動的に生成することと， 前記シグネチャーを強制するように構成されている前記ファイアウォールに，前記シグネチャーを送信することと，をコンピュータに実行させるためのコンピュータプログラムであって， 前記マルウェア候補サンプルを解析することは，マルウェアを特定するために，前記仮想マシンを用いるエミュレーションの際に，前記マルウェア候補サンプルの挙動を監視することを含み， 前記マルウェア候補サンプルを示す監視対象となる挙動は，アクセスされたドメインが閾値を超える長さのドメイン名を持つことと，閾値よりも短い長さのHTTPヘッダを用いて通信を行うことの１つ以上を含むコンピュータプログラム。 【請求項２０】 請求項１９に記載のコンピュータプログラムであって， さらに，ヒューリスティックスに基づいて，マルウェアを特定するために，前記仮想マシンを用いるエミュレーションの際に，前記マルウェア候補サンプルの挙動を監視するためのコンピュータプログラム。 【請求項２１】 システムであって， ホスト型のファイアウォールを実行するように構成された第１プロセッサを有する第１の装置と， 仮想マシンを実行するように構成された第２プロセッサを有する第２の装置と， 前記第１プロセッサに接続され，前記第１プロセッサに命令を提供するように構成されているメモリと，を備え， 前記第１の装置の前記第１プロセッサを用いる前記ファイアウォールの実行は， 暗号化ネットワークトラフィックフローを復号することによって，既存のシグネチャーに一致しないマルウェア候補サンプルを生成するために前記ファイアウォールを使用することと， 前記マルウェア候補サンプルを前記ファイアウォールから前記仮想マシンに送信することと，を含み， 前記第２の装置の前記第２プロセッサを用いる前記仮想マシンの実行は， 前記マルウェア候補サンプルがマルウェアであるか否かを判定するために，前記仮想マシンを用いて前記マルウェア候補サンプルを解析することと， 前記仮想マシンを用いて監視される前記マルウェア候補サンプルに関連するスコアを算出することと， 前記マルウェア候補サンプルがマルウェアであるかを少なくとも前記スコアに基づき判定し，前記マルウェア候補サンプルがマルウェアであると判定された場合に，前記仮想マシンを使用してシグネチャーを自動的に生成することと， 前記第１の装置を含む複数のセキュリティ装置に，前記ファイアウォールによって実行される前記シグネチャーを配布することと，を含み， 前記マルウェア候補サンプルを解析することは，マルウェアを特定するために，前記仮想マシンを用いるエミュレーションの際に，前記マルウェア候補サンプルの挙動を監視することを含み， 前記マルウェア候補サンプルを示す監視対象となる挙動は，アクセスされたドメインが閾値を超える長さのドメイン名を持つことと，閾値よりも短い長さのHTTPヘッダを用いて通信を行うことの１つ以上を含む システム。 【請求項２２】 システムであって， ホスト型のファイアウォールを実行するように構成された第１プロセッサを有する第１の装置と， 仮想マシンを実行するように構成された第２プロセッサを有するマルウェア解析装置と， 前記第１プロセッサに接続され，前記第１プロセッサに命令を提供するように構成されているメモリと，を備え， 前記第１の装置の前記第１プロセッサを用いる前記ファイアウォールの実行は， 前記ファイアウォールを使用する複数のネットワークトラフィックフローを監視することと， 暗号化ネットワークトラフィックフローを復号することによって，既存のシグネチャーと一致しないマルウェア候補サンプルを生成するために，前記ファイアウォールを使用することと， 前記ファイアウォールから前記マルウェア解析装置にマルウェア候補サンプルを送信することと，を含み， 前記マルウェア解析装置の前記第２プロセッサを用いる前記仮想マシンの実行は， 前記マルウェア候補サンプルがマルウェアであるかを判定するために，前記仮想マシンを用いて前記マルウェア候補サンプルを解析することと， 前記仮想マシンを用いて監視される前記マルウェア候補サンプルに関連するスコアを算出することと， 前記マルウェア候補サンプルがマルウェアであるかを少なくとも前記スコアに基づき判定し，前記マルウェア候補サンプルがマルウェアであると判定された場合に，前記仮想マシンを使用してシグネチャーを自動的に生成することと， 前記シグネチャーに基づいてネットワークアクセス用のセキュリティポリシーを実行するように構成されている前記ファイアウォールに，前記仮想マシンから前記シグネチャーを送信することと，を含み， 前記マルウェア候補サンプルを解析することは，マルウェアを特定するために，前記仮想マシンを用いるエミュレーションの際に，前記マルウェア候補サンプルの挙動を監視することを含み， 前記マルウェア候補サンプルを示す監視対象となる挙動は，アクセスされたドメインが閾値を超える長さのドメイン名を持つことと，閾値よりも短い長さのHTTPヘッダを用いて通信を行うことの１つ以上を含む システム。」 （当審注：下線は，請求人が付与したものである。以下，この特許請求の範囲に記載された請求項を「補正後の請求項」という。） に補正するものである。 そして，本件補正は，願書に最初に添付した明細書，特許請求の範囲又は図面に記載した事項の範囲内においてなされており，特許法第１７条の２第３項の規定に適合している。 また，本件補正は，特別な技術的特徴を変更（シフト補正）をしようとするものではなく，特許法第１７条の２第４項の規定に適合している。 ２　目的要件 本件補正は上記「１　補正の内容」のとおり，本件審判の請求と同時にする補正であり，特許請求の範囲について補正をしようとするものであるから，本件補正が，特許法第１７条の２第５項の規定を満たすものであるか否か，すなわち，本件補正が，特許法第１７条の２第５項に規定する請求項の削除，特許請求の範囲の減縮（特許法第３６条第５項の規定により請求項に記載した発明を特定するために必要な事項を限定するものであって，その補正前の当該請求項に記載された発明とその補正後の当該請求項に記載される発明の産業上の利用分野及び解決しようとする課題が同一であるものに限る），誤記の訂正，或いは，明りょうでない記載の釈明（拒絶理由通知に係る拒絶の理由に示す事項についてするものに限る）の何れかを目的としたものであるかについて，以下に検討する。 （１）補正前の請求項と補正後の請求項とを比較すると，補正後の請求項１乃至４はそれぞれ，補正前の請求項１乃至４に対応し，補正後の請求項５は，補正前の請求項２３に対応し，補正後の請求項６乃至２２はそれぞれ，補正前の請求項６乃至２２に対応することは明らかである。 （２）よって，本件補正は，下記の補正事項１乃至４よりなるものである。 ＜補正事項１＞ 補正前の請求項１，２３，１７，１９，２１，２２の 「ファイアウォールを実行するように構成された第１プロセッサを有する第１の装置と，」との記載を， 補正後の請求項１，５，１７，１９，２１，２２の 「ホスト型のファイアウォールを実行するように構成された第１プロセッサを有する第１の装置と，」との記載に変更する補正。 ＜補正事項２＞ 補正前の請求項１，２３，１７，２１，２２の 「前記マルウェア候補サンプルがマルウェアであるか否かを判定するために前記仮想マシンを用いて前記マルウェア候補サンプルを解析することと，」…（中略）…「を含む」との記載を， 補正後の請求項１，５，１７，２１，２２の 「前記マルウェア候補サンプルがマルウェアであるか否かを判定するために前記仮想マシンを用いて前記マルウェア候補サンプルを解析することと，」…（中略）…「を含み， 前記マルウェア候補サンプルを解析することは，マルウェアを特定するために，前記仮想マシンを用いるエミュレーションの際に，前記マルウェア候補サンプルの挙動を監視することを含み， 前記マルウェア候補サンプルを示す監視対象となる挙動は，アクセスされたドメインが閾値を超える長さのドメイン名を持つことと，閾値よりも短い長さのHTTPヘッダを用いて通信を行うことの１つ以上を含む」との記載に変更する補正。 ＜補正事項３＞ 補正前の請求項１９の 「前記マルウェア候補サンプルがマルウェアであるか否かを判定するために前記仮想マシンを用いて前記マルウェア候補サンプルを解析することと，」…（中略）…「をコンピュータに実行させるためのコンピュータプログラム。」との記載を， 補正後の請求項１９の 「前記マルウェア候補サンプルがマルウェアであるか否かを判定するために，前記仮想マシンを用いて前記マルウェア候補サンプルを解析することと，」…（中略）…「をコンピュータに実行させるためのコンピュータプログラムであって， 前記マルウェア候補サンプルを解析することは，マルウェアを特定するために，前記仮想マシンを用いるエミュレーションの際に，前記マルウェア候補サンプルの挙動を監視することを含み， 前記マルウェア候補サンプルを示す監視対象となる挙動は，アクセスされたドメインが閾値を超える長さのドメイン名を持つことと，閾値よりも短い長さのHTTPヘッダを用いて通信を行うことの１つ以上を含むコンピュータプログラム。」との記載に変更する補正。 ＜補正事項４＞ 補正前の請求項５を削除する補正。 （３）補正事項１乃至３について 補正事項１は，発明特定事項である「ファイアウォールを実行するように構成された第１プロセッサを有する第１の装置と，」に，「ホスト型の」との限定を加えることを目的とするものであり， また，補正事項２，３は，発明特定事項である「前記マルウェア候補サンプルがマルウェアであるか否かを判定するために前記仮想マシンを用いて前記マルウェア候補サンプルを解析することと，」に，「前記マルウェア候補サンプルを解析することは，マルウェアを特定するために，前記仮想マシンを用いるエミュレーションの際に，前記マルウェア候補サンプルの挙動を監視することを含み，前記マルウェア候補サンプルを示す監視対象となる挙動は，アクセスされたドメインが閾値を超える長さのドメイン名を持つことと，閾値よりも短い長さのHTTPヘッダを用いて通信を行うことの１つ以上を含む」との限定を加えることを目的とするものであり，本件補正によっても，補正前の請求項に記載された発明とその補正後の請求項に記載される発明の産業上の利用分野及び解決しようとする課題は同一であることは明らかである。 （４）したがって，上記補正事項１乃至３は限定的減縮を目的とするものであり，また，上記補正事項４は請求項の削除を目的とするものであるから，本件補正は，特許法第１７条の２第５項第２号に掲げる特許請求の範囲の減縮，及び特許法第１７条の２第５項第１号に掲げる請求項の削除を目的とするものに該当するといえることから，特許法第１７条の２第５項の規定に適合するものである。 ３　独立特許要件 以上のように，本件補正は，特許法第１７条の２第５項第２号に掲げる特許請求の範囲の減縮（限定的減縮）を目的とする上記補正事項１乃至３を含むものである。そこで，限定的減縮を目的として補正された補正後の請求項１に記載された発明（以下，「本件補正発明」という。）が特許出願の際独立して特許を受けることができるものであるか（特許法第１７条の２第６項において準用する同法第１２６条第７項の規定に適合するか）以下に検討する。 （１）本件補正発明 本件補正発明は，上記平成２８年３月９日付けの手続補正により補正された特許請求の範囲，明細書及び図面の記載からみて，その特許請求の範囲の請求項１に記載された以下のとおりのものと認める。 「　　【請求項１】 システムであって， ホスト型のファイアウォールを実行するように構成された第１プロセッサを有する第１の装置と， 仮想マシンを実行するように構成された第２プロセッサを有する第２の装置と， 前記第１プロセッサに接続され，前記第１プロセッサに命令を提供するように構成されているメモリと，を備え， 前記第１の装置の前記第１プロセッサを用いる前記ファイアウォールの実行は， 暗号化ネットワークトラフィックフローを復号することによって，既存のシグネチャーに一致しないマルウェア候補サンプルを生成するために前記ファイアウォールを使用することと， 前記マルウェア候補サンプルを前記ファイアウォールから前記仮想マシンに送信することと，を含み， 前記第２の装置の前記第２プロセッサを用いる前記仮想マシンの実行は， 前記マルウェア候補サンプルがマルウェアであるか否かを判定するために前記仮想マシンを用いて前記マルウェア候補サンプルを解析することと， 前記仮想マシンを用いて監視される前記マルウェア候補サンプルに関連するスコアを算出することと， 前記マルウェア候補サンプルがマルウェアであるかを少なくとも前記スコアに基づき判定し，前記マルウェア候補サンプルがマルウェアであると判定された場合に，前記仮想マシンを使用してシグネチャーを自動的に生成することと， 前記シグネチャーを強制するように構成されている前記ファイアウォールに，前記シグネチャーを前記仮想マシンから送信することと，を含み， 前記マルウェア候補サンプルを解析することは，マルウェアを特定するために，前記仮想マシンを用いるエミュレーションの際に，前記マルウェア候補サンプルの挙動を監視することを含み， 前記マルウェア候補サンプルを示す監視対象となる挙動は，アクセスされたドメインが閾値を超える長さのドメイン名を持つことと，閾値よりも短い長さのHTTPヘッダを用いて通信を行うことの１つ以上を含む システム。」 （２）引用例 （２－１）引用例１に記載されている技術的事項および引用発明 ア　本願の優先日前に頒布又は電気通信回線を通じて公衆に利用可能となり，原審の拒絶査定の理由である平成２７年５月１４日付けの拒絶理由通知において引用された，特開２００４－３０２５３８号公報（平成１６年１０月２８日出願公開，以下，「引用例１」という。）には，以下の技術的事項が記載されている。 （当審注：下線は，参考のために当審で付与したものである。） Ａ　「【００２８】 【発明の目的】 本発明は，上記従来例の有する不都合を改善し，特に，ネットワークシステムに対する未知の攻撃に有効に対処することのできるネットワークセキュリティシステム及びネットワークセキュリティ管理方法を提供すること，をその目的とする。 【００２９】 【課題を解決するための手段】 そこで，本発明では，外部ネットワークと防御対象ネットワーク間を伝送するデータを監視するファイアウォール手段を備えたネットワークセキュリティシステムであって，ファイアウォール手段に，前記いずれのネットワークにも属さない仮想試験端末を接続している。そして，ファイアウォール手段が，あらかじめ登録された振分ルールに基づいて外部ネットワークから防御対象ネットワーク内の所定の端末に送信されたデータを当該防御対象ネットワーク内の所定の端末あるいは仮想試験端末に振り分けて転送するデータ振分機能と，仮想試験端末から返送された実行済データを防御対象ネットワーク内の所定の端末に転送する実行済データ転送機能と，を備えている。さらに，仮想試験端末が，ファイアウォール手段から転送されたデータを実行する仮実行機能と，仮実行されたデータのうちあらかじめ設定された基準に基づいて正常に実行されたと判断された実行済データをファイアウォール手段に返送する正常実行データ返送機能と，を備えた，という構成を採っている。 【００３０】 このような構成にすることにより，まず，外部ネットワークから防御対象ネットワーク内の所定の端末に送信されたデータが，外部ネットワークと防御対象ネットワークとの間に備えられたファイアウォール手段に受信される。そして，ファイアウォール手段では，送信データの送信先やデータ形式などが抽出され，あらかじめファイアウォール手段に記憶された振分ルールと比較される。比較の結果，防御対象ネットワーク内の端末に送信してよいと判断される場合には，ファイアウォール手段は送信データを防御対象ネットワークに通過させ，そうでない場合には，仮想試験端末に転送する。 【００３１】 仮想試験端末では，ファイアウォール手段からの送信データを実行し，あらかじめ記憶されている正常実行であるか否かの基準に適合するか否かを調べる。正常実行であると判断された場合には，当該送信データをファイアウォール手段を介して防御対象ネットワーク内の端末に送信する。一方，正常実行でない場合には，かかる送信データは防御対象ネットワークには送信しないこととなる。 【００３２】 従って，あらかじめファイアウォール手段に登録されていない未知の送信データは，仮想試験端末に転送されて当該仮想試験端末にて実行され，正常実行されるものであると判断されたデータのみが防御対象ネットワークに通過されることとなるため，外部からの不正なアクセスを抑制し，未知の攻撃に対する被害を抑制することができ，ネットワークセキュリティの強化を図ることができる。」 Ｂ　「【００３３】 また，上記構成に加え，仮想試験端末が，仮実行機能にて実行したデータに基づいてファイアウォール手段に登録された振分ルールに追加する新たな振分ルールデータを生成すると共に当該データをファイアウォール手段に送信する振分ルール生成機能を備え，ファイアウォール手段が，仮想試験端末から受信した新たな振分ルールデータを既に登録されている振分ルールに新たに登録する振分ルール登録機能を備えた，という構成とすると望ましい。 【００３４】 これにより，仮想試験端末では，仮実行の結果，安全であると判断されたデータを識別するルール，あるいは，逆に危険であると判断されたデータを識別するルールが生成されて，かかるルールがファイアウォールに登録されることとなる。すると，次回からは，ファイアウォール手段にて，通過を許可するルールに登録されたデータは仮想試験端末にて仮実行されることなく防御対象ネットワークに通過され，一方，危険なデータとして識別されたルールに合致するデータは仮想試験端末で仮実行するまでもなく危険なデータであるから，当該仮想試験端末に転送することなくファイアウォール手段にて破棄する。従って，仮想試験端末にて仮実行するデータ量の減少を図ることができ，当該仮想試験端末の処理負担を軽減することができる。」 Ｃ　「【００４８】 （ファイアウォール手段） ファイアウォール手段３は，その基本構成は，一般的なファイアウォール機器と同一である。すなわち，所定の演算処理能力を有するＣＰＵと，所定の記憶容量を有する記憶装置とを備えた，サーバ型のファイアウォール機器である。従って，その基本的な動作は従来のものと同様であって，内部ネットワーク（防御対象ネットワーク）２に対するデータの出入口に備えられ，当該内部ネットワーク２に出入りするパケットパターンの分析を行い，内部ネットワークへの転送をフィルタリングするというものである。 …（中略）… 【００５１】 ここで，振分ルールについて説明する。本実施形態における振分ルールは，主に２つのルールベースからなり，具体的には，通過許可ルール，ＴＰＣ転送禁止ルール，からなる。 【００５２】 そして，通過許可ルールは，従来におけるファイアウォール機器と同様に，外部ネットワーク１から内部ネットワーク２に通過を許可するパケットルールを記述したものである。すなわち，デフォルト状態すなわちルールが何も記述されていない場合には，いかなるパケットをも通過禁止となる。この通過許可ルールとしては，具体的には，送信元・送信先のＩＰアドレスやポート番号，データのプロトコルタイプ，データに含まれる文字列，などである。従って，信頼できる送信元のＩＰアドレスを記述しておくことで，かかるパケットデータは防御ネットワークである内部ネットワーク２内への通過が許され，逆に，未知のパケットが内部ネットワーク２内に送信されることはない。 【００５３】 また，ＴＰＣ転送禁止ルールは，後述する仮想試験端末４への転送を禁止するパケットルールを記述したものである。すなわち，デフォルト状態すなわちルールが何も記述されていない場合には，総てのパケットが仮想試験端末４に転送されることとなる。この転送禁止ルールは，上記通過許可ルールと同様に，送信元・送信先のＩＰアドレスやポート番号，データのプロトコルタイプ，データに含まれる文字列，などである。従って，過去に不正であると判断されたパケットに関するデータをルールとして記述しておくことで，そのようなパケットを仮想試験端末４に転送することなく，後述するように内部ファイアウォール３で破棄することができる。そして，未知のパケットを仮想試験端末４に転送することができる。」 Ｄ　「【００５９】 （仮想試験端末） 仮想試験端末４（ＴｅｓｔＰＣ：以下，ＴＰＣとも言う）は，内部ファイアウォール３に接続された記憶装置，演算装置（ＣＰＵ）備えたをサーバコンピュータであり，外部ネットワーク１及び内部ネットワーク（防御対象ネットワーク）２のいずれにも属さない端末である。 【００６０】 この仮想試験端末４のシステム環境は，防御対象である内部ネットワーク２内に存在する端末２１～２３とほぼ同一の環境に設定されている。具体的には，内部ネットワーク２内の端末２１～２３と同等のアプリケーション環境が用意されている。なお，端末２１～２３毎に設定の細部が異なるが，特に，重要な端末（例えば，符号２１の端末）と同一の環境設定としておくとよい。このように，内部ネットワーク２内の端末と同一環境に設定しているのは，後述するように，仮想試験端末４が未知のアクセスに対して防御ネットワーク上の端末の代わりに動作実行を代行するからである。以下，構成を詳述する。 【００６１】 まず，仮想試験端末４のハードディスクなどの記憶装置には，不正実行定義記憶部４１が形成されていて，後述するように仮想試験端末４が内部ファイアウォール３から送信されたデータを仮実行した結果，不正実行されたと判断する基準となるルールが記憶されている。不正実行定義は，例えば，仮想試験端末４上の監視対象プロセスが正常に終了しない，レジストリが改竄される，ファイルが改竄される，新規に不明なファイルが作成される，さらには，予想外のパケット送信が行われる，などを表すデータである。但し，かかる定義データは，上記のものに限定されず，防御対象である内部ネットワーク２の端末２１～２３により異なる。 …（中略）… 【００６４】 上記各機能として作動する各部を詳述すると，まず，送受信部４３は，内部ファイアウォール３から転送された未知のパケットを受信して，仮実行部４２に送る。また，仮実行部４２にて正常に実行されたデータや，振分ルール生成部４４にて生成された新たな振分ルールデータを，内部ファイアウォールに返送する。 【００６５】 また，仮実行部４２は，内部ファイアウォール３から送信された未知のパケットを実際に実行する。そして，実行した際に，当該端末４上の起こる状態を不正実行定義記憶部４１内のデータと比較して，かかる定義データに該当しない場合には，実行結果が正常であったと判断して，そのパケットを上記送受信部４３を介して内部ファイアウォール３に返送する。この際に，内部ファイアウォールの防御ネットワークへの通過許可ルールとして追加するよう振分ルールにルール作成指令を出す。一方，監視対象プロセスが正常に終了しない，レジストリが改竄される，ファイルが改竄される，新規に不明なファイルが作成されるといった状態が起こり，かかる状態が不正実行定義に該当して不正実行である場合には，かかるパケットを破棄して，ＴＰＣ転送禁止ルールにこのパケットルールを記述するよう，新たな振分ルールを生成するよう指示を出す。また，かかる場合には，その後，仮想試験端末４の環境を試験実行前の環境に復元する。 【００６６】 そして，振分ルール生成部４４は，上述したように，仮実行部４２からの指示に応じて，すなわち，仮実行部４２での実行結果に応じて，内部ファイアウォール３の振分ルール記憶部３１に記憶されている振分ルールを更新する新たなルールデータを生成する。具体的には，仮実行部４２にて正常実行である場合には，かかるパケットルールを，通過許可ルールに追加するよう生成し，逆に不正実行である場合には，ＴＰＣ転送禁止ルールに追加するよう生成する。そして，生成した更新対象となる新たな振分ルールデータを，送受信部４３を介して内部ファイアウォール３に送信する。」 イ　ここで，引用例１に記載されている事項を検討する。 （ア）上記Ａの段落【００２８】の「本発明は，上記従来例の有する不都合を改善し，特に，ネットワークシステムに対する未知の攻撃に有効に対処することのできるネットワークセキュリティシステム及びネットワークセキュリティ管理方法を提供すること，をその目的とする。」との記載，段落【００２９】の「本発明では，外部ネットワークと防御対象ネットワーク間を伝送するデータを監視するファイアウォール手段を備えたネットワークセキュリティシステムであって，ファイアウォール手段に，前記いずれのネットワークにも属さない仮想試験端末を接続している。」との記載からすると，「ネットワークセキュリティシステム」は「ファイアウォール手段」と，「ファイアウォール手段」に接続した「仮想試験端末」とを備えることが読み取れるから，引用例１には， “ネットワークシステムに対する未知の攻撃に有効に対処することを目的としたネットワークセキュリティシステムであって， 外部ネットワークと防御対象ネットワーク間を伝送するデータを監視するファイアウォール手段と， 前記ファイアウォール手段に接続した，いずれのネットワークにも属さない仮想試験端末と，を備え”る“ネットワークセキュリティシステム” が記載されていると解される。 （イ）上記Ａの段落【００２９】の「ファイアウォール手段が，あらかじめ登録された振分ルールに基づいて外部ネットワークから防御対象ネットワーク内の所定の端末に送信されたデータを当該防御対象ネットワーク内の所定の端末あるいは仮想試験端末に振り分けて転送するデータ振分機能と，仮想試験端末から返送された実行済データを防御対象ネットワーク内の所定の端末に転送する実行済データ転送機能と，を備えている。」との記載，上記Ｃの段落【００４８】の「その基本的な動作は従来のものと同様であって，内部ネットワーク（防御対象ネットワーク）２に対するデータの出入口に備えられ，当該内部ネットワーク２に出入りするパケットパターンの分析を行い，内部ネットワークへの転送をフィルタリングするというものである。」との記載からすると，「ファイアウォール手段」は送信された「パケットデータ」を分析することは明らかであるから，“ファイアウォール手段は，あらかじめ登録された”“振分ルールに基づいて外部ネットワークから防御対象ネットワーク内の所定の端末に送信されたパケットデータを分析し，”“パケットデータを当該防御対象ネットワーク内の所定の端末あるいは仮想試験端末に振り分けて転送する，”ことが読み取れる。 また，上記Ｃの段落【００５１】の「ここで，振分ルールについて説明する。本実施形態における振分ルールは，主に２つのルールベースからなり，具体的には，通過許可ルール，ＴＰＣ転送禁止ルール，からなる。」，段落【００５２】の「通過許可ルールは，従来におけるファイアウォール機器と同様に，外部ネットワーク１から内部ネットワーク２に通過を許可するパケットルールを記述したものである。…（中略）…従って，信頼できる送信元のＩＰアドレスを記述しておくことで，かかるパケットデータは防御ネットワークである内部ネットワーク２内への通過が許され，逆に，未知のパケットが内部ネットワーク２内に送信されることはない。」，段落【００５３】の「また，ＴＰＣ転送禁止ルールは，後述する仮想試験端末４への転送を禁止するパケットルールを記述したものである。…（中略）…従って，過去に不正であると判断されたパケットに関するデータをルールとして記述しておくことで，そのようなパケットを仮想試験端末４に転送することなく，後述するように内部ファイアウォール３で破棄することができる。そして，未知のパケットを仮想試験端末４に転送することができる。」との記載からすると，「あらかじめ登録された振分ルール」は「通過許可ルール」，「ＴＰＣ転送禁止ルール」からなり，「通過許可ルール」に「パケットルール」が記述された「パケットデータ」は「防御対象ネットワーク」への通過が許可され，「ＴＰＣ転送禁止ルール」に「パケットルール」が記述された「パケットデータ」は破棄され，未知のパケットについて「仮想試験端末」に振り分けて転送することが読み取れるから，引用例１には， “ファイアウォール手段は，あらかじめ登録された通過許可ルール，ＴＰＣ転送禁止ルールからなる振分ルールに基づいて外部ネットワークから防御対象ネットワーク内の所定の端末に送信されたパケットデータを分析し，前記通過許可ルールにパケットルールが記述されたパケットデータは前記防御対象ネットワークへの通過が許され，前記ＴＰＣ転送禁止ルールにパケットルールが記述されたパケットデータは破棄され，未知のパケットを仮想試験端末に転送することにより，パケットデータを前記防御対象ネットワーク内の前記所定の端末あるいは前記仮想試験端末に振り分けて転送”すること が記載されていると解される。 （ウ）上記Ａの段落【００３１】の「仮想試験端末では，ファイアウォール手段からの送信データを実行し，あらかじめ記憶されている正常実行であるか否かの基準に適合するか否かを調べる。正常実行であると判断された場合には，当該送信データをファイアウォール手段を介して防御対象ネットワーク内の端末に送信する。一方，正常実行でない場合には，かかる送信データは防御対象ネットワークには送信しないこととなる。」との記載，上記Ｄの段落【００６５】の「また，仮実行部４２は，内部ファイアウォール３から送信された未知のパケットを実際に実行する。そして，実行した際に，当該端末４上の起こる状態を不正実行定義記憶部４１内のデータと比較して，かかる定義データに該当しない場合には，実行結果が正常であったと判断して，そのパケットを上記送受信部４３を介して内部ファイアウォール３に返送する。」との記載からすると，「仮想試験端末」に「あらかじめ記憶されている正常実行であるか否かの基準」は「不正実行定義記憶部」に記憶された「定義データ」であると認められるから，引用例１には， “仮想試験端末は，ファイアウォール手段からの未知のパケットデータである送信データを実行し，正常実行であるか否かの基準である，不正実行定義記憶部に記憶された定義データに適合するか否かを調べ，正常実行であると判断された場合には，前記送信データを前記ファイアウォール手段を介して防御対象ネットワーク内の端末に送信し，一方，正常実行でない場合には，かかる送信データは前記防御対象ネットワークには送信しないようにするものであ”ること が記載されていると解される。 （エ）また，上記Ｂの段落【００３３】の「また，上記構成に加え，仮想試験端末が，仮実行機能にて実行したデータに基づいてファイアウォール手段に登録された振分ルールに追加する新たな振分ルールデータを生成すると共に当該データをファイアウォール手段に送信する振分ルール生成機能を備え，ファイアウォール手段が，仮想試験端末から受信した新たな振分ルールデータを既に登録されている振分ルールに新たに登録する振分ルール登録機能を備えた，という構成とすると望ましい。」との記載，上記Ｄの段落【００６６】の「そして，振分ルール生成部４４は，…（中略）…　具体的には，仮実行部４２にて正常実行である場合には，かかるパケットルールを，通過許可ルールに追加するよう生成し，逆に不正実行である場合には，ＴＰＣ転送禁止ルールに追加するよう生成する。そして，生成した更新対象となる新たな振分ルールデータを，送受信部４３を介して内部ファイアウォール３に送信する。」との記載からすると，「仮想試験端末」は”正常実行であると判断された場合には，当該送信データをファイアウォール手段を介して防御対象ネットワーク内の端末に送信し，一方，正常実行でない場合には，かかる送信データは防御対象ネットワークには送信しないようにする”ために，「正常実行である場合には，かかるパケットルールを，通過許可ルールに追加するよう生成し，逆に不正実行である場合には，ＴＰＣ転送禁止ルールに追加するよう生成する」ことにより，「振分ルールに追加する新たな振分ルールデータを生成する」ことが読み取れるから，引用例１には， “そのために，仮想試験端末は，仮実行機能にて実行したデータに基づいて，正常実行である場合には，かかるパケットルールを，通過許可ルールに追加するよう生成し，逆に不正実行である場合には，ＴＰＣ転送禁止ルールに追加するよう生成することにより，ファイアウォール手段に登録された振分ルールに追加する新たな振分ルールデータを生成すると共に前記振分ルールデータを前記ファイアウォール手段に送信する”こと が記載されていると解される。 ウ　以上，（ア）乃至（エ）で示した事項から，引用例１には，次の発明（以下，「引用発明」という。）が記載されているものと認める。 「ネットワークシステムに対する未知の攻撃に有効に対処することを目的としたネットワークセキュリティシステムであって， 外部ネットワークと防御対象ネットワーク間を伝送するデータを監視するファイアウォール手段と， 前記ファイアウォール手段に接続した，いずれのネットワークにも属さない仮想試験端末と，を備え， 前記ファイアウォール手段は，あらかじめ登録された通過許可ルール，ＴＰＣ転送禁止ルールからなる振分ルールに基づいて前記外部ネットワークから前記防御対象ネットワーク内の所定の端末に送信されたパケットデータを分析し，前記通過許可ルールにパケットルールが記述されたパケットデータは前記防御対象ネットワークへの通過が許され，前記ＴＰＣ転送禁止ルールにパケットルールが記述されたパケットデータは破棄され，未知のパケットを前記仮想試験端末に転送することにより，パケットデータを前記防御対象ネットワーク内の前記所定の端末あるいは前記仮想試験端末に振り分けて転送し， 前記仮想試験端末は，前記ファイアウォール手段からの未知のパケットデータである送信データを実行し，正常実行であるか否かの基準である，不正実行定義記憶部に記憶された定義データに適合するか否かを調べ，正常実行であると判断された場合には，前記送信データを前記ファイアウォール手段を介して前記防御対象ネットワーク内の端末に送信し，一方，正常実行でない場合には，かかる送信データは前記防御対象ネットワークには送信しないようにするものであって， そのために，前記仮想試験端末は，仮実行機能にて実行したデータに基づいて，正常実行である場合には，かかるパケットルールを，前記通過許可ルールに追加するよう生成し，逆に不正実行である場合には，前記ＴＰＣ転送禁止ルールに追加するよう生成することにより，前記ファイアウォール手段に登録された前記振分ルールに追加する新たな振分ルールデータを生成すると共に前記振分ルールデータを前記ファイアウォール手段に送信する， ネットワークセキュリティシステム。」 （２－２）引用例２に記載されている技術的事項 本願の優先日前に頒布又は電気通信回線を通じて公衆に利用可能となり，原審の拒絶査定の理由である平成２７年５月１４日付けの拒絶理由通知において引用された，米国特許出願公開第２００９／０２８２４８３号明細書（２００９年１１月１２日出願公開，以下，「引用例２」という。）には，以下の技術的事項が記載されている。 （当審注：下線は，参考のために当審で付与したものである。） Ｅ　「［００２６］　The support server(s) 169, in order to perform quarantine processing, may have to decrypt packets if they are encrypted. Therefore, if the packets that arrive at a support server 169 are encrypted and if further malware analysis is indicated, then, the support server 169 proceeds with decryption of the packet so that malware detection can be correctly performed on the un-encrypted content. In these cases, the public key may be made available either from the server 151 or the client device 153, however, the private key remains known only to the client device 153.」 （当審仮訳；　検疫隔離処理を行なうために，サポートサーバ１６９は，パケットを暗号化されているなら，復号化しなければならないかもしれない。そのために，もしサポートサーバ１６９に到着するパケットが暗号化されているなら，そしてもしさらなるマルウェア分析が指示されるなら，マルウェア検出が暗号化されていないコンテンツにおいて正確になされ得るように，サポートサーバ１６９はパケットの復号化を続ける。これらの場合，公開キーはサーバ１５１あるいはクライアント装置１５３から提供されるかもしれないが，秘密キーはクライアント装置１５３にだけ知られた状態となっている。） Ｆ　「［００５４］　FIG. 8 is a flow diagram illustrating the functionality of the support server(s) of FIG. 1 during a download operation wherein the support server(s) of FIG. 1 verifies a digital signature before malware screening, and decrypts the files if the transmitted files are encrypted. At a block/step 809 , the support server(s) (e.g., support sever(s) 169 in FIG. 1) receive a web page or file download request. 　…（後略）…　」 （当審仮訳；　図８は，図１のサポートサーバがマルウェアスクリーニングの前にデジタル署名を照合し，また，もし送信されたファイルが暗号化されているなら，ファイルを復号化するダウンロードオペレーションの間の図１のサポートサーバの機能性を例証するフローチャートである。ブロック/ステップ８０９において，サポートサーバ（例えば，図１のサポートサーバ１６９）は，ウェブページあるいはファイルダウンロードのリクエストを受ける。　…（後略）…） （２－３）引用例３に記載されている技術的事項 本願の優先日前に頒布又は電気通信回線を通じて公衆に利用可能となり，原審の拒絶査定の理由である平成２７年５月１４日付けの拒絶理由通知において引用された，米国特許出願公開第２００８／０１３３５４０号明細書（２００８年６月５日出願公開，以下，「引用例３」という。）には，以下の技術的事項が記載されている。 （当審注：下線は，参考のために当審で付与したものである。） Ｇ　「［０１１３］　A behavioral analysis module 372 compares the monitored actions from the sandbox module with a list, a database, or rules that characterize the monitored actions. In one embodiment, these characterizations define properties of the URL that are subsequently analyzed by the static content classification module 328 of FIG. 12. In another embodiment, an active scoring classification module 374 may use scores associated with behavioral properties to determine a score for the URL. In one embodiment, the score is a weighted score of these properties. 　…（後略）…　」 （当審仮訳；　挙動分析モジュール３７２がサンドボックスモジュールから監視された行動と監視された行動を特徴づけるリスト，データベース，あるいは規則と比較する。１つの態様として，これらの特徴は，図１２のスタティックなコンテント分類モジュール３２８によってその後分析されるURLの特性を定義する。もう１つの態様として，アクティブなスコアリング分類モジュール３７４は，URLのスコアを決定するために，挙動の特性と関連付けられたスコアを使うかもしれない。１つの態様として，スコアはこれらの特性が重み付けされたスコアである。　…（後略）…　） （２－４）引用例４に記載されている技術的事項 本願の優先日前に頒布又は電気通信回線を通じて公衆に利用可能となり，原審の拒絶査定の理由である平成２７年５月１４日付けの拒絶理由通知において引用された，特開２００３－２４１９８９号公報（平成１５年８月２９日出願公開，以下，「引用例４」という。）には，以下の技術的事項が記載されている。 （当審注：下線は，参考のために当審で付与したものである。） Ｈ　「【００１９】本実施形態のコンピュータウイルス発生検出装置３は，このようなコンピュータウイルスがインターネット１上に発生したか否かを，同コンピュータウイルスを不特定のまま早期に検出するのであり，すなわち，種別やその仕組み等が明らかとなってワクチン等の対策データが提供される以前の状態，つまり未知コンピュータウイルスの状態でその発生を検出する。かかる検出のために，コンピュータウイルスの発生の可能性を示す特異データを収集するよう構成されている。ここでいう特異データとは，通常は使用されない例外ポートを使用したＴＣＰ／ＩＰ通信が行われたこと，異常なＴＣＰ／ＩＰ通信が行われたことによる不完全なパケットの発生，通信量の異常な増加，エラー量の異常な増加等を示すデータである。」 Ｊ　「【００３０】一方，図６は異質なアクセスが行われた場合のアクセスログの一例を示す図である。近頃問題となった「Ｎｉｍｄａ」のようなコンピュータウイルスの場合，ＷＷＷサーバ５のセキュリティホールを狙って図６の６０に示すような異質なアクセスがなされ，エラーログとして記録される。 【００３１】これは，図６における６１及び６２からなる非常に長い文字列を含んだＵＲＬを送ることにより，任意のプログラム（文字列６２）をスタックに積んで，これを管理者権限（ｒｏｏｔ権限）で実行させることを目的としており，一般に「アタック（攻撃）」と呼ばれている。アタックは，人間によるコマンド入力操作により行われたり，或いはプログラムにより自動的に行われたりする。 【００３２】図６のような長大なＵＲＬが指定されたアクセスは，ステップＳ１４において異質なアクセスである旨判定される（ステップＳ１４）。これは，ＵＲＬの文字列長を検査することで容易に判定される。」 （２－５）参考文献１に記載されている技術的事項 本願の優先日前に頒布又は電気通信回線を通じて公衆に利用可能となった，特開２００４－６２４１６号公報（平成１６年２月２６日出願公開，以下，「参考文献１」という。）には，以下の技術的事項が記載されている。 （当審注：下線は，参考のために当審で付与したものである。） Ｋ　「【０００２】 【従来の技術】 インターネットに接続される端末に対する部外者からの不正アクセスを防止する手段として，パーソナルコンピュータ（以下ＰＣ）に組み込んで使用するパーソナルファイアウォールが利用されている。従来のパーソナルファイアウォールは，ＰＣの利用者が個々に通信を許可または拒否するアプリケーション，プロトコル，ホスト，およびネットワークなどを設定することにより，部外者からＰＣへの不正なアクセスにより，ＰＣに保存されたデータが盗難，破壊，あるいは改竄されることを防止することが可能である。 …（中略）… 【０００４】 本発明の目的は，複数の端末に組み込まれたパーソナルファイアウォールに設定されるセキュリティポリシー（通信を許可または拒否するアプリケーション，プロトコル，ホスト，およびネットワークなどの設定情報の集合）をセキュリティ管理者または管理組織が一元的に設定，管理する不正アクセス防止方法を提供することにある。」 （２－６）参考文献２に記載されている技術的事項 本願の優先日前に頒布又は電気通信回線を通じて公衆に利用可能となった，特開２０１０－８６０７２号公報（平成２２年４月１５日出願公開，以下，「参考文献２」という。）には，以下の技術的事項が記載されている。 （当審注：下線は，参考のために当審で付与したものである。） Ｌ　「【００１４】 図２のブロック図を参照して，第１の実施形態に係わるセキュリティサーバ１０に修正パッチを適用するための構成を説明する。 パッチ・カタログファイル配布サーバ４１は，前述したパッチ・カタログファイルＦ１１を有する。修正パッチ配布サーバ４２は，修正パッチＦ２１を有する。セキュリティサーバ１０は，カタログファイル取得モジュール１０１，ハッシュ値演算モジュール１０２，およびルータモジュール１０３等を有する。クライアントコンピュータ２０は，パーソナルファイアウォール３０１，ハッシュ値取得モジュール３０２，ハッシュ値比較モジュール３０３，カタログファイル取得モジュール３０４，ハッシュ値演算モジュール３０５，パッチ適用確認モジュール３０６，修正パッチ取得モジュール３０７，およびパッチ適用モジュール３０８等を有する。 …（中略）… 【００１７】 パーソナルファイアウォール３０１は，ユーザのログオン時にシステムを検疫ネットワーク５０に選択的に接続する。パーソナルファイアウォール３０１は，最新の修正モジュールが適用されていることが確認されるまでクライアントコンピュータ２０のシステムを業務ネットワーク３０に接続しない。」 （２－７）参考文献３に記載されている技術的事項 本願の優先日前に頒布又は電気通信回線を通じて公衆に利用可能となった，特開２０１０－４４６１３号公報（平成２２年２月２５日出願公開，以下，「参考文献３」という。）には，以下の技術的事項が記載されている。 （当審注：下線は，参考のために当審で付与したものである。） Ｍ　「【０００３】 基本的なウイルス対策は，ウイルスを除去するソフトウェアであるウイルス対策ソフトウェア（以降「対策ソフト」と略記）をコンピュータにインストールすることである。しかし，新種のウイルスには対応が困難であるため，対策ソフトを用いてもウイルスの感染は完全には予防できない。このことから，ウイルス対策に仮想マシン（ＶＭ：Virtual Machine）を用いることも行われている。 【０００４】 仮想マシンは，コンピュータの仮想化技術の一つである。仮想マシンでは，ハードウェア（リソース）を仮想化することにより，仮想化したハードウェア上で異なるプログラムを動作可能とする。仮想マシンを用いることで一台のコンピュータ上に複数のオペレーティングシステム（ＯＳ）を動作させることができる。各仮想マシン上のプログラムは，独立したアドレス空間で稼動し，相互に直接干渉しない。このため，或る仮想マシンがウイルスに感染しても，そのウイルスは他の仮想マシンには感染しない。ウイルスに感染していない仮想マシンは動作を継続させることができる。このようなことから，仮想マシンを用いることにより，ウイルスの感染による影響をより低減させることができる。」 Ｎ　「【００１５】 本実施形態では，サーバー上に複数の仮想マシンを作成し，サーバーに実行させるアプリケーション・プログラム（以降「アプリケーション」と略記）は何れかの仮想マシン上で動作させるようにしている。図１の１１０，１２０，及び１３０は，サーバー上に作成された仮想マシンである。仮想マシン１１０上では，例えばサーバー自身が管理しているファイルを通信ネットワーク上の他の端末装置と共有し，外部から利用可能とするファイルサービスを提供するアプリケーション１１１が動作する。仮想マシン１２０上では，ＷＷＷ（World Wide Web）によるデータ送信を実現するアプリケーション１２１が動作する。仮想マシン１３０上では，他の仮想マシン，ここでは仮想マシン１１０及び１２０を管理するためのＶＭ管理ソフトウェア（以降「管理ソフト」と略記）１３１，及びウイルスの検出や駆除を行うウイルス対策ソフトウェア（以降「対策ソフト」と略記）が動作する。 …（中略）… 【００１７】 仮想マシン１１０は，ファイルサービスに対応したアプリケーション１１１が動作することにより，サーバーをファイルサーバーとして機能させる。このことから以降，１１０を付した仮想マシンは「ファイルサーバー」とも呼ぶことにする。１２０を付した仮想マシンは，Ｗｅｂサービスに対応したアプリケーション１２１によりサーバーをＷＥＢサーバーとして機能させることから，以降「Ｗｅｂサーバー」とも呼ぶことにする。１３０を付した仮想マシンではＶＭ管理ソフト１３１が動作することから，「ウイルス対策専用仮想マシン」とも呼ぶことにする。」 （２－８）参考文献４に記載されている技術的事項 本願の優先日前に頒布又は電気通信回線を通じて公衆に利用可能となった，国際公開第２００３－１００６１９号（平成１５年１２月４日国際公開，以下，「参考文献４」という。）には，以下の技術的事項が記載されている。 （当審注：下線は，参考のために当審で付与したものである。） Ｐ　「背景技術 近年のネットワーク技術の進展に伴って，インターネット上の分散システムであるワールドワイドウェブ（ＷＷＷ）の利用が急速に拡大し，さまざまなサービスを提供するサーバも累増してきたが，かかるサーバの増加とともに不正アクセスも急増している。 この急増する不正アクセスに対処するために，不正アクセスを検知する不正アクセス検知ツールが利用されている。この不正アクセス検知ツールは，クライアントからの不正な処理要求を検知する検知ルールを有し，この検知ルールとクライアントからの処理要求を照らし合わせることによって不正アクセスの判定をおこなっている。検知ルールの具体例としては，実際には存在しない非常に長い U R Lを用いたホームページアクセス要求，無意味で非常に長い文字列の照合処理要求，正しくないパスワードの入力などがある。」（第１頁１５－２６行） （３）対比 ア　本件補正発明と引用発明とを対比する。 （ア）引用発明の「ネットワークセキュリティシステム」は，「ネットワークシステムに対する未知の攻撃に有効に対処することを目的とした」システムであるから，本件補正発明の「システム」に対応する。 また，引用発明の「ファイアウォール手段」は，「外部ネットワークと防御対象ネットワーク間を伝送するデータを監視する」ところ，「ホスト型のファイアウォール」を含むとはいえないものの，「プロセッサ」を有する装置により構成されることは明らかであるから，引用発明の「ファイアウォール手段」は本件補正発明の「第１の装置」に対応するといえ，引用発明の「ファイアウォール手段」と本件補正発明の「ホスト型のファイアウォールを実行するように構成された第１プロセッサを有する第１の装置」とは，“ファイアウォールを実行するように構成された第１プロセッサを有する第１の装置”である点で共通するといえる。 さらに，引用発明の「ネットワークセキュリティシステム」は，「ファイアウォール手段」内部の「プロセッサ」に命令を提供するための「メモリ」を有することは明らかであるから，引用発明の「ネットワークセキュリティシステム」と，本件補正発明の「システム」とは，“第１プロセッサに接続され，前記第１プロセッサに命令を提供するように構成されているメモリと，を備え”る点で共通するといえる。 （イ）引用発明の「仮想試験端末」は，「ファイアウォール手段に接続し」，「ファイアウォール手段からの未知のパケットデータである送信データを実行」する端末であって，「プロセッサ」を有する装置により構成されることは明らかであるから，引用発明の「仮想試験端末」は本件補正発明の「第２の装置」に対応するといえ，引用発明の「仮想試験端末」と本件補正発明の「仮想マシンを実行するように構成された第２プロセッサを有する第２の装置」とは，“第２プロセッサを有する第２の装置”である点で共通するといえる。 （ウ）引用発明では，「ファイアウォール手段」が「あらかじめ登録された通過許可ルール，ＴＰＣ転送禁止ルールからなる振分ルールに基づいて前記外部ネットワークから前記防御対象ネットワーク内の所定の端末に送信されたパケットデータを分析し」，「前記ＴＰＣ転送禁止ルールにパケットルールが記述されたパケットデータは破棄され，未知のパケットを前記仮想試験端末に転送する」ところ，「未知のパケット」は「マルウェア候補サンプル」とみることができ，「ＴＰＣ転送禁止ルール」は既知のマルウェアサンプルを含むことは明らかであるから，引用発明の「ＴＰＣ転送禁止ルール」と本件補正発明の「既存のシグネチャー」との間に実質的な違いはないから，引用発明の「ＴＰＣ転送禁止ルール」は本件補正発明の「既存のシグネチャー」に相当するといえる。 そうすると，引用発明では，「ＴＰＣ転送禁止ルール」に一致しない「未知のパケット」を生成するために「ファイアウォール手段」を使用し，前記「未知のパケット」を前記「ファイアウォール手段」から「仮想試験端末」に送信するといえる。 してみると，引用発明の「ファイアウォール手段は，あらかじめ登録された通過許可ルール，ＴＰＣ転送禁止ルールからなる振分ルールに基づいて前記外部ネットワークから前記防御対象ネットワーク内の所定の端末に送信されたパケットデータを分析し，前記通過許可ルールにパケットルールが記述されたパケットデータは前記防御対象ネットワークへの通過が許され，前記ＴＰＣ転送禁止ルールにパケットルールが記述されたパケットデータは破棄され，未知のパケットを前記仮想試験端末に転送することにより，パケットデータを前記防御対象ネットワーク内の前記所定の端末あるいは前記仮想試験端末に振り分けて転送」することと， 本件補正発明の「第１の装置の前記第１プロセッサを用いる前記ファイアウォールの実行は， 暗号化ネットワークトラフィックフローを復号することによって，既存のシグネチャーに一致しないマルウェア候補サンプルを生成するために前記ファイアウォールを使用することと， 前記マルウェア候補サンプルを前記ファイアウォールから前記仮想マシンに送信することと，を含」むことは，後記する点で相違するものの， “第１の装置の前記第１プロセッサを用いる前記ファイアウォールの実行は， 既存のシグネチャーに一致しないマルウェア候補サンプルを生成するために前記ファイアウォールを使用することと， 前記マルウェア候補サンプルを前記ファイアウォールから前記第２の装置に送信することと，を含”む点で共通するといえる。 （エ）引用発明では，「仮想試験端末は，前記ファイアウォール手段からの未知のパケットデータである送信データを実行し，正常実行であるか否かの基準である，不正実行定義記憶部に記憶された定義データに適合するか否かを調べ，正常実行であると判断された場合には，前記送信データを前記ファイアウォール手段を介して前記防御対象ネットワーク内の端末に送信し，一方，正常実行でない場合には，かかる送信データは前記防御対象ネットワークには送信しないようにする」ところ，上記（ウ）での検討から，「ファイアウォール手段からの未知のパケットデータ」は「マルウェア候補サンプル」とみることができ，「未知のパケットデータ」が「仮想試験端末」における「エミュレーション」実行時の動作が監視されることにより解析されるといえるから，引用発明では，「マルウェア候補サンプル」を解析し，マルウェアを特定するために，「仮想試験端末」を用いるエミュレーションの際に，前記「マルウェア候補サンプル」の挙動を監視するといえる。 さらに，引用発明における「不正実行定義記憶部に記憶された定義データ」は「マルウェア候補サンプル」がマルウェアであるか否かを判定するための“所定の基準”とみることができ，本件補正発明の「仮想マシンを用いて監視される前記マルウェア候補サンプルに関連するスコア」も「マルウェア候補サンプル」がマルウェアであるか否かを判定するための“所定の基準”とみることができるから，引用発明の「不正実行定義記憶部に記憶された定義データ」と本件補正発明の「仮想マシンを用いて監視される前記マルウェア候補サンプルに関連するスコア」とは，“マルウェア候補サンプルがマルウェアであるかを”判定するための“所定の基準”である点で共通するといえる。 そうすると，引用発明では，「仮想試験端末」は「マルウェア候補サンプル」がマルウェアであるか否かを判定するために，前記「マルウェア候補サンプル」を解析し，実行時の動作が監視される前記「マルウェア候補サンプル」がマルウェアであるかを所定の基準に基づき判定し，前記「マルウェア候補サンプル」を解析することは，マルウェアを特定するために，第２の装置を用いるエミュレーションの際に，前記「マルウェア候補サンプル」の挙動を監視することを含むといえる。 してみると，引用発明の「前記仮想試験端末は，前記ファイアウォール手段からの未知のパケットデータである送信データを実行し，正常実行であるか否かの基準である，不正実行定義記憶部に記憶された定義データに適合するか否かを調べ，正常実行であると判断された場合には，前記送信データを前記ファイアウォール手段を介して前記防御対象ネットワーク内の端末に送信し，一方，正常実行でない場合には，かかる送信データは前記防御対象ネットワークには送信しないようにする」ことと， 本件補正発明の「第２の装置の前記第２プロセッサを用いる前記仮想マシンの実行は， 前記マルウェア候補サンプルがマルウェアであるか否かを判定するために前記仮想マシンを用いて前記マルウェア候補サンプルを解析することと， 前記仮想マシンを用いて監視される前記マルウェア候補サンプルに関連するスコアを算出することと， 前記マルウェア候補サンプルがマルウェアであるかを少なくとも前記スコアに基づき判定し」， 「前記マルウェア候補サンプルを解析することは，マルウェアを特定するために，前記仮想マシンを用いるエミュレーションの際に，前記マルウェア候補サンプルの挙動を監視することを含み， 前記マルウェア候補サンプルを示す監視対象となる挙動は，アクセスされたドメインが閾値を超える長さのドメイン名を持つことと，閾値よりも短い長さのHTTPヘッダを用いて通信を行うことの１つ以上を含む」ことは，後記する点で相違するものの， “第２プロセッサを用いる前記第２の装置の実行は， 前記マルウェア候補サンプルがマルウェアであるか否かを判定するために，前記マルウェア候補サンプルを解析することと， 前記マルウェア候補サンプルを解析することは，マルウェアを特定するために，前記第２の装置を用いるエミュレーションの際に，前記マルウェア候補サンプルの挙動を監視することを含み， 実行時の動作が監視される前記マルウェア候補サンプルがマルウェアであるかを所定の基準に基づき判定する”点で共通するといえる。 （オ）また，引用発明では，「そのために，前記仮想試験端末は，仮実行機能にて実行したデータに基づいて，正常実行である場合には，かかるパケットルールを，前記通過許可ルールに追加するよう生成し，逆に不正実行である場合には，前記ＴＰＣ転送禁止ルールに追加するよう生成することにより，前記ファイアウォール手段に登録された前記振分ルールに追加する新たな振分ルールデータを生成すると共に前記振分ルールデータを前記ファイアウォール手段に送信する」ところ，上記（ウ）での検討から，引用発明の「ＴＰＣ転送禁止ルール」は本件補正発明の「既存のシグネチャー」に相当するといえるから，「仮想試験端末」は，「マルウェア候補サンプル」がマルウェアであると判定された場合に，「シグネチャー」を自動的に生成し，前記「シグネチャー」を使用（強制）するように構成されている「ファイアウォール手段」に，前記「シグネチャー」を送信するといえる。 そうすると，引用発明の「そのために，前記仮想試験端末は，仮実行機能にて実行したデータに基づいて，正常実行である場合には，かかるパケットルールを，前記通過許可ルールに追加するよう生成し，逆に不正実行である場合には，前記ＴＰＣ転送禁止ルールに追加するよう生成することにより，前記ファイアウォール手段に登録された前記振分ルールに追加する新たな振分ルールデータを生成すると共に前記振分ルールデータを前記ファイアウォール手段に送信する」ことと， 本件補正発明の「マルウェア候補サンプルがマルウェアであると判定された場合に，前記仮想マシンを使用してシグネチャーを自動的に生成することと， 前記シグネチャーを強制するように構成されている前記ファイアウォールに，前記シグネチャーを前記仮想マシンから送信することと，を含」むことは，後記する点で相違するものの， “マルウェア候補サンプルがマルウェアであると判定された場合に，シグネチャーを自動的に生成することと， 前記シグネチャーを強制するように構成されている前記ファイアウォールに，前記シグネチャーを送信することと，を含”む点で共通するといえる。 イ　以上から，本件補正発明と引用発明とは，以下の点で一致し，また，以下の点で相違する。 ＜一致点＞ 「　システムであって， ファイアウォールを実行するように構成された第１プロセッサを有する第１の装置と， 第２プロセッサを有する第２の装置と， 前記第１プロセッサに接続され，前記第１プロセッサに命令を提供するように構成されているメモリと，を備え， 前記第１の装置の前記第１プロセッサを用いる前記ファイアウォールの実行は， 既存のシグネチャーに一致しないマルウェア候補サンプルを生成するために前記ファイアウォールを使用することと， 前記マルウェア候補サンプルを前記ファイアウォールから前記第２の装置に送信することと，を含み， 前記第２プロセッサを用いる前記第２の装置の実行は， 前記マルウェア候補サンプルがマルウェアであるか否かを判定するために，前記マルウェア候補サンプルを解析することと， 前記マルウェア候補サンプルを解析することは，マルウェアを特定するために，前記第２の装置を用いるエミュレーションの際に，前記マルウェア候補サンプルの挙動を監視することを含み， 実行時の動作が監視される前記マルウェア候補サンプルがマルウェアであるかを所定の基準に基づき判定することと， マルウェア候補サンプルがマルウェアであると判定された場合に，シグネチャーを自動的に生成することと， 前記シグネチャーを強制するように構成されている前記ファイアウォールに，前記シグネチャーを送信することと，を含む システム。」 ＜相違点１＞ 第１の装置に関し，本件補正発明では，「ホスト型のファイアウォール」であるのに対して，引用発明では，「外部ネットワークと防御対象ネットワーク間を伝送するデータを監視するファイアウォール手段」である点。 ＜相違点２＞ 第２の装置に関し，本件補正発明では，「仮想マシンを実行するように構成され」た「第２の装置」であるのに対して，引用発明では，「仮想試験端末」であるものの，仮想マシンを実行するように構成されているか不明である点。 ＜相違点３＞ 第１の装置でのファイアウォールの実行に関し，本件補正発明では，「ファイアウォールの実行は，暗号化ネットワークトラフィックフローを復号することによって」なされるのに対して，引用発明では，「ファイアウォール手段」は，「外部ネットワークから前記防御対象ネットワーク内の所定の端末に送信されたパケットデータを分析」するものの，暗号化ネットワークトラフィックフローを復号するか不明である点。 ＜相違点４＞ マルウェアの判定に関し，本件補正発明では，「監視される前記マルウェア候補サンプルに関連するスコアを算出」し，「前記マルウェア候補サンプルがマルウェアであるかを少なくとも前記スコアに基づき判定」するのに対して，引用発明では，「正常実行であるか否かの基準である，不正実行定義記憶部に記憶された定義データに適合するか否かを調べ」るものの，マルウェア候補サンプルに関連するスコアに基づき判定することについて言及されていない点。 ＜相違点５＞ マルウェア候補サンプルの解析に関し，本件補正発明では，「マルウェア候補サンプルを示す監視対象となる挙動は，アクセスされたドメインが閾値を超える長さのドメイン名を持つことと，閾値よりも短い長さのHTTPヘッダを用いて通信を行うことの１つ以上を含む」のに対して，引用発明では，「未知のパケットデータである送信データを実行」するものの，監視対象となる挙動はそのように特定されていない点。 （４）当審の判断 上記相違点１乃至５について検討する。 ア　相違点１について 引用発明では，マルウェア候補サンプルを仮想試験端末に送信する「ファイアウォール手段」が，「ネットワークシステムに対する未知の攻撃に有効に対処する」ために，「外部ネットワークと防御対象ネットワーク間を伝送するデータを監視」し，「外部ネットワークから前記防御対象ネットワーク内の所定の端末に送信されたパケットデータを分析」するところ，「外部ネットワーク」から「防御対象ネットワーク」内に伝送されるパケットデータが監視可能となるよう，両者のネットワーク間に配置されると認められる。 一方，本件補正発明の「ホスト型のファイアウォール」は，本願明細書の発明の詳細な説明の段落【００４１】の「図２に示すように，クライアントデバイス２０４Ａ，２０４Ｂ及び２０４Ｃｈ，セキュリティ装置２０２を介してインターネット２０６と通信を行う。いくつかの実施形態において，セキュリティ装置２０２は，図示するように，ファイアウォール２１２を備える。いくつかの実施形態において，図示するように，クライアント装置２０４Ａ～２０４Ｃの１つ以上がファイアウォール２１４（たとえば，ホスト型ファイアウォール）を備える。」との記載からすると，クライアント装置に搭載されたファイアウォールであると認められる。 クライアント装置に搭載したファイアウォールによって，外部からの不正アクセスを防御する旨の技術は，例えば，参考文献１（上記Ｋを参照），参考文献２（上記Ｌを参照）に記載されるように，本願優先日前には当該技術分野の周知技術であった。 そして，引用発明において，マルウェア候補サンプルを「仮想試験端末」に送信する「ファイアウォール手段」を「外部ネットワークと防御対象ネットワーク間」に配置された「ファイアウォール手段」とするか，ネットワークに接続されたクライアント端末に搭載された「ファイアウォール手段」も対象とするかは，当業者が必要に応じて選択可能な設計的事項である。 そうすると，引用発明において上記周知技術を適用し，外部ネットワークと防御対象ネットワーク間に配置されたファイアウォールに代えて，適宜，外部ネットワークから伝送されるデータを監視するホスト型のファイアウォールを構成し，マルウェア候補サンプルを仮想試験端末に送信すること，すなわち，上記相違点１に係る構成とすることは，当業者が容易に想到し得たことである。 イ　相違点２について 引用発明では，「仮想試験端末は，前記ファイアウォール手段からの未知のパケットデータである送信データを実行し，」「仮実行機能にて実行したデータに基づいて」，正常実行されたか否かを判定するところ，マルウェアを含む可能性のある未知のデータの仮実行を仮想マシン上で行う旨の技術は，例えば，参考文献３（上記Ｍ，Ｎを参照）に記載されるように，本願優先日前には当該技術分野の周知技術であった。 そして，引用発明において，「仮想試験端末」を仮想マシンにより構成するかどうかは，当業者が必要に応じて選択可能な設計的事項である。 そうすると，引用発明において上記周知技術を適用し，適宜，仮想試験端末を仮想マシンを実行するように構成すること，すなわち，上記相違点２に係る構成とすることは，当業者が容易に想到し得たことである。 ウ　相違点３について 引用発明では，「ファイアウォール手段」が「外部ネットワークから前記防御対象ネットワーク内の所定の端末に送信されたパケットデータを分析」するところ，マルウェア検出を行うサーバにおいて，解析対象の通信が暗号化されていた場合は，マルウェア検出に先立ち通信を復号化する旨の技術は，例えば，引用例２（上記Ｅ，Ｆを参照）に記載されるように，本願優先日前には当該技術分野の常套手段であり，引用発明の「ファイアウォール手段」が未知のパケットデータを分析するに先立ち，未知のパケットデータが暗号化されていればそれを復号化することは自明である。 そうすると，引用発明において上記周知技術を適用し，適宜，ファイアウォールの実行を，暗号化ネットワークトラフィックフローを復号することにより実行するように構成すること，すなわち，上記相違点３に係る構成とすることは，当業者が容易に想到し得たことである。 エ　相違点４について 引用発明では，「未知のパケットデータ」に対するマルウェアの判定に当たり，「正常実行であるか否かの基準である，不正実行定義記憶部に記憶された定義データに適合するか否かを調べ」るところ，挙動分析モジュールが通信データの挙動を解析してスコアリングを行い，不正アクセスかどうか判定する旨の技術は，例えば，引用例３（上記Ｇを参照）に記載されるように，本願優先日前には当該技術分野の周知技術であった。 そして，引用発明において，マルウェアの判定のため，「未知のパケットデータ」が定義データに適合するか否かを調べる際に，周知のスコアリングによる解析を採用するかどうかは，当業者が必要に応じて選択可能な設計的事項である。 そうすると，引用発明において上記周知技術を適用し，適宜，監視されるマルウェア候補サンプルに関連するスコアを算出し，マルウェア候補サンプルがマルウェアであるかを少なくともスコアに基づき判定するように構成すること，すなわち，上記相違点４に係る構成とすることは，当業者が容易に想到し得たことである。 オ　相違点５について 引用発明では，「仮想試験端末」は，マルウェアの判定のために「未知のパケットデータである送信データを実行」するところ，外部からサーバへのアクセスを監視し，非常に長いＵＲＬを用いたアクセスを不正アクセスと判定する旨の技術は，例えば，引用例４（上記Ｈ，Ｊを参照），参考文献４（上記Ｐを参照）に記載されるように，本願優先日前には当該技術分野の周知技術であった。 そして，外部からのマルウェアなどによる不正アクセスを判定するために，外部からの如何なるアクセスを監視対象とするかは，当業者が必要に応じて選択可能な設計的事項である。 そうすると，引用発明において上記周知技術を適用し，適宜，仮想試験端末が分析するマルウェア候補サンプルが示す監視対象となる挙動として，アクセスされたドメインが閾値を超える長さのドメイン名を持つことを含むように構成すること，すなわち，上記相違点５に係る構成とすることは，当業者が容易に想到し得たことである。 カ　小括 上記で検討したごとく，相違点１乃至５に係る構成は当業者が容易に想到し得たものであり，そして，これらの相違点を総合的に勘案しても，本件補正発明の奏する作用効果は，上記引用発明及び当該技術分野の周知技術の奏する作用効果から予測される範囲内のものにすぎず，格別顕著なものということはできない。 したがって，本件補正発明は，上記引用発明及び，引用例２乃至４，参考文献１乃至４に記載の当該技術分野の周知技術に基づいて，当業者が容易に発明をすることができたものであり，特許法第２９条第２項の規定により，特許出願の際独立して特許を受けることができない。 ４　補正却下の決定のむすび 上記「３　独立特許要件」で指摘したとおり，補正後の請求項１に記載された発明は，特許出願の際独立して特許を受けることができるものではないから，本件補正は特許法第１７条の２第６項において準用する同法第１２６条第７項の規定に違反するので，同法第１５９条第１項において読み替えて準用する同法第５３条第１項の規定により却下すべきものである。 よって，上記補正却下の決定の結論のとおり決定する。 第３　本願発明について １　本願発明 平成２８年３月９日付けの手続補正は上記のとおり却下されたので，補正後の請求項１に対応する補正前の請求項１に係る発明（以下，「本願発明」という。）は，平成２７年４月２０日付けの手続補正により補正された特許請求の範囲の請求項１に記載された事項により特定される，以下のとおりのものである。 「　　【請求項１】 システムであって， ファイアウォールを実行するように構成された第１プロセッサを有する第１の装置と， 仮想マシンを実行するように構成された第２プロセッサを有する第２の装置と， 前記第１プロセッサに接続され，前記第１プロセッサに命令を提供するように構成されているメモリと，を備え， 前記第１の装置の前記第１プロセッサを用いる前記ファイアウォールの実行は， 暗号化ネットワークトラフィックフローを復号することによって，既存のシグネチャーに一致しないマルウェア候補サンプルを生成するために前記ファイアウォールを使用することと， 前記マルウェア候補サンプルを前記ファイアウォールから前記仮想マシンに送信することと，を含み， 前記第２の装置の前記第２プロセッサを用いる前記仮想マシンの実行は， 前記マルウェア候補サンプルがマルウェアであるか否かを判定するために前記仮想マシンを用いて前記マルウェア候補サンプルを解析することと， 前記仮想マシンを用いて監視される前記マルウェア候補サンプルに関連するスコアを算出することと， 前記マルウェア候補サンプルがマルウェアであるかを少なくとも前記スコアに基づき判定し，前記マルウェア候補サンプルがマルウェアであると判定された場合に，前記仮想マシンを使用してシグネチャーを自動的に生成することと， 前記シグネチャーを強制するように構成されている前記ファイアウォールに，前記シグネチャーを前記仮想マシンから送信することと，を含む システム。」 ２　引用例に記載されている技術的事項及び引用発明 原査定の拒絶の理由に引用された，引用発明は，前記「第２　平成２８年３月９日付けの手続補正についての補正却下の決定」の「３　独立特許要件」の「（２）引用例」に記載したとおりである。 ３　対比・判断 本願発明は，前記「第２　平成２８年３月９日付けの手続補正についての補正却下の決定」の「３　独立特許要件」で検討した本件補正発明の発明特定事項である「ホスト型のファイアウォールを実行するように構成された第１プロセッサを有する第１の装置」から「ホスト型の」との限定事項を削除するとともに，本件補正発明の発明特定事項から「前記マルウェア候補サンプルを解析することは，マルウェアを特定するために，前記仮想マシンを用いるエミュレーションの際に，前記マルウェア候補サンプルの挙動を監視することを含み，前記マルウェア候補サンプルを示す監視対象となる挙動は，アクセスされたドメインが閾値を超える長さのドメイン名を持つことと，閾値よりも短い長さのHTTPヘッダを用いて通信を行うことの１つ以上を含む」との限定事項を削除したものである。 そうすると，本願発明の発明特定事項を全て含む本件補正発明が，前記「第２　平成２８年３月９日付けの手続補正についての補正却下の決定」の「３　独立特許要件」の「（２）引用例」乃至「（４）当審の判断」に記載したとおり，引用発明及び，引用例２，３，参考文献３，４に記載の当該技術分野の周知技術に基づいて当業者が容易に発明をすることができたものであるから，上記特定の限定を省いた本願発明も同様の理由により，引用発明及び当該技術分野の周知技術に基づいて，当業者が容易に発明をすることができたものである。 第４　むすび 以上のとおり，本願の請求項１に係る発明は，特許法第２９条第２項の規定により特許を受けることができないものであるから，その余の請求項に係る発明について検討するまでもなく，本願は拒絶すべきものである。 よって，結論のとおり審決する。