[發(fā)明專利]用于校正反病毒記錄以最小化惡意軟件誤檢的系統(tǒng)和方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201210484935.2
• 申請(qǐng)日: 2012-11-23
• 公開（公告）號(hào): CN103020522A
• 公開（公告）日: 2013-04-03
• 發(fā)明（設(shè)計(jì)）人: 亞歷山大·A·羅曼年科;安東·S·拉普什金;奧列格·A·伊沙諾夫
• 申請(qǐng)（專利權(quán)）人: 卡巴斯基實(shí)驗(yàn)室封閉式股份公司
• 主分類號(hào): G06F21/56
• 分類號(hào): G06F21/56
• 代理公司: 北京市磐華律師事務(wù)所 11336
• 代理人: 徐丁峰;魏寧

1.一種用于惡意軟件檢測(cè)的計(jì)算機(jī)實(shí)現(xiàn)的方法，所述方法包括：

由反病毒應(yīng)用程序?qū)浖?duì)象進(jìn)行存在惡意軟件的分析；

從反病毒數(shù)據(jù)庫(kù)中檢索與所分析對(duì)象相關(guān)聯(lián)的反病毒記錄，其中所述反病毒記錄識(shí)別所述對(duì)象為惡意的；

在經(jīng)校正反病毒記錄數(shù)據(jù)庫(kù)中檢查用于檢索到的反病毒記錄的校正；

如果在所述經(jīng)校正反病毒記錄數(shù)據(jù)庫(kù)中發(fā)現(xiàn)用于所述反病毒記錄的校正，則基于所述校正更新在所述反病毒數(shù)據(jù)庫(kù)中的所述反病毒記錄，并且使用更新的反病毒記錄用于對(duì)所述軟件對(duì)象進(jìn)行存在惡意軟件的分析；

如果在所述經(jīng)校正反病毒記錄數(shù)據(jù)庫(kù)中沒(méi)有發(fā)現(xiàn)用于所述反病毒記錄的校正，則利用反病毒服務(wù)器檢查所述反病毒記錄的正確性，其中所述反病毒服務(wù)器使用從部署在不同計(jì)算機(jī)上的多個(gè)反病毒應(yīng)用程序所收集的有關(guān)軟件對(duì)象的統(tǒng)計(jì)信息來(lái)證實(shí)反病毒記錄的正確性；以及

如果所述反病毒服務(wù)器提供用于所述反病毒記錄的校正，則基于所述校正來(lái)更新所述反病毒數(shù)據(jù)庫(kù)中的所述反病毒記錄，并且使用更新的反病毒記錄用于對(duì)所述軟件對(duì)象進(jìn)行存在惡意軟件的分析。

2.根據(jù)權(quán)利要求1所述的方法，進(jìn)一步包括：

如果所述反病毒服務(wù)器不提供用于所述反病毒記錄的校正，則使用所述檢索到的反病毒記錄用于對(duì)所述軟件對(duì)象進(jìn)行存在惡意軟件的分析；以及

將有關(guān)所述軟件對(duì)象的信息和從所述反病毒數(shù)據(jù)庫(kù)檢索到的所述相關(guān)聯(lián)的反病毒記錄發(fā)送至所述反病毒服務(wù)器。

3.根據(jù)權(quán)利要求1所述的方法，其中利用反病毒服務(wù)器檢查所述反病毒記錄的正確性進(jìn)一步包括：

將有關(guān)所述軟件對(duì)象的執(zhí)行的信息提供給所述反病毒服務(wù)器，其中所述反病毒服務(wù)器對(duì)所提供的有關(guān)所述軟件對(duì)象的信息與有關(guān)已知的干凈對(duì)象的信息相比較。

4.根據(jù)權(quán)利要求1所述的方法，其中利用反病毒服務(wù)器檢查所述反病毒記錄的正確性進(jìn)一步包括：

將有關(guān)所述軟件對(duì)象的執(zhí)行的信息提供給所述反病毒服務(wù)器，其中所述反病毒服務(wù)器對(duì)所提供的有關(guān)所述軟件對(duì)象的信息與從其他軟件應(yīng)用程序所收集的有關(guān)所述軟件對(duì)象的統(tǒng)計(jì)信息相比較。

5.根據(jù)權(quán)利要求1所述的方法，其中用于所述反病毒記錄的校正包括所述反病毒記錄的狀態(tài)的改變，其中所述反病毒記錄的所述狀態(tài)選自包括工作記錄、測(cè)試記錄和不活動(dòng)記錄的組中。

6.根據(jù)權(quán)利要求1所述的方法，其中當(dāng)所述反病毒服務(wù)器基于所收集的有關(guān)所述反病毒記錄的統(tǒng)計(jì)信息確定對(duì)所述反病毒記錄應(yīng)用記錄校正規(guī)則時(shí)，觸發(fā)所述反病毒記錄的所述狀態(tài)的改變。

7.根據(jù)權(quán)利要求6所述的方法，其中當(dāng)所述反病毒服務(wù)器確定由所述反病毒記錄將所述軟件對(duì)象識(shí)別為惡意的數(shù)量超出由所述反病毒記錄將所述軟件對(duì)象識(shí)別為干凈的數(shù)量預(yù)定閾值時(shí)，觸發(fā)所述反病毒記錄的所述狀態(tài)的改變。

8.一種用于惡意軟件檢測(cè)的基于計(jì)算機(jī)的系統(tǒng)，所述系統(tǒng)包括：

第一數(shù)據(jù)存儲(chǔ)，存儲(chǔ)包含多個(gè)反病毒記錄的反病毒數(shù)據(jù)庫(kù)；

第二數(shù)據(jù)存儲(chǔ)，存儲(chǔ)包含用于一個(gè)或多個(gè)反病毒記錄的一個(gè)或多個(gè)校正的經(jīng)校正反病毒記錄數(shù)據(jù)庫(kù)；以及

耦合至所述第一數(shù)據(jù)存儲(chǔ)和第二數(shù)據(jù)存儲(chǔ)的處理器，所述處理器配置為：

使用反病毒應(yīng)用程序?qū)浖?duì)象進(jìn)行存在惡意軟件的分析；

從所述反病毒數(shù)據(jù)庫(kù)檢索與所分析對(duì)象相關(guān)聯(lián)的反病毒記錄，其中所述反病毒記錄識(shí)別所述對(duì)象為惡意的；

在所述經(jīng)校正反病毒記錄數(shù)據(jù)庫(kù)中檢查用于檢索到的反病毒記錄的校正；

如果在所述經(jīng)校正反病毒記錄數(shù)據(jù)庫(kù)中發(fā)現(xiàn)用于所述反病毒記錄的校正，則基于所述校正更新在所述反病毒數(shù)據(jù)庫(kù)中的所述反病毒記錄，并且使用更新的反病毒記錄用于對(duì)所述軟件對(duì)象進(jìn)行存在惡意軟件的分析；

如果在所述經(jīng)校正反病毒記錄數(shù)據(jù)庫(kù)中沒(méi)有發(fā)現(xiàn)用于所述反病毒記錄的校正，則利用反病毒服務(wù)器檢查所述反病毒記錄的正確性，其中所述反病毒服務(wù)器使用從部署在不同計(jì)算機(jī)上的多個(gè)反病毒應(yīng)用程序所收集的有關(guān)軟件對(duì)象的統(tǒng)計(jì)信息來(lái)證實(shí)反病毒記錄的正確性；以及

如果所述反病毒服務(wù)器提供用于所述反病毒記錄的校正，則基于所述校正來(lái)更新所述反病毒數(shù)據(jù)庫(kù)中的所述反病毒記錄，并且使用更新的反病毒記錄用于對(duì)所述軟件對(duì)象進(jìn)行存在惡意軟件的分析。