CN101558384B - 软件漏洞利用防护 - Google Patents

软件漏洞利用防护 Download PDF

Info

Publication number
CN101558384B
CN101558384B CN2007800189492A CN200780018949A CN101558384B CN 101558384 B CN101558384 B CN 101558384B CN 2007800189492 A CN2007800189492 A CN 2007800189492A CN 200780018949 A CN200780018949 A CN 200780018949A CN 101558384 B CN101558384 B CN 101558384B
Authority
CN
China
Prior art keywords
malicious code
evidence
security
message
utilizes
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN2007800189492A
Other languages
English (en)
Other versions
CN101558384A (zh
Inventor
R·J·汤普森
G·A·莫舍
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Avis Software Pte Ltd
Avast Software sro
Original Assignee
AVG Technologies CY Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by AVG Technologies CY Ltd filed Critical AVG Technologies CY Ltd
Publication of CN101558384A publication Critical patent/CN101558384A/zh
Application granted granted Critical
Publication of CN101558384B publication Critical patent/CN101558384B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/166—Implementing security features at a particular protocol layer at the transport layer

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Information Transfer Between Computers (AREA)
  • Medicines That Contain Protein Lipid Enzymes And Other Medicines (AREA)

Abstract

本文献描述用于使对安装在计算系统上的软件的漏洞利用最小化的机制。使用安装在目标计算系统上的安全组件在传输层(例如传输通信协议(TCP)套接层)监控网络流量。当接收到以所述计算系统为目的的消息时，将被包括在所述消息中的数据与用于识别恶意代码的利用证据进行比较。所述利用证据通过收集关于所述恶意代码的信息的安全服务提供给所述安全组件。基于所述消息中的数据与所述利用证据的所述比较，识别规则，所述规则指示所述安全组件对所接收的消息采取适当的行动。

Description

软件漏洞利用防护
相关申请的交叉引用：本申请要求2006年3月24日递交、题为“SOFTWAREVULNERABILITY EXPLOITATION SHIELD(软件漏洞利用防护)”的美国临时申请No.60/785,723的优先权和权益，该美国临时申请通过引用被整体包括在本文中。
背景
因特网是向数以亿计的计算机和使用者开放的庞大的计算网络。因特网的使用者群体一直参与到关于计算机安全漏洞(vulnerability)的探索、创新和对话中。
漏洞是一个软件中可以被“恶意代码”利用的弱点。一些使用者(“恶意分子(malefactor)”)设法使用恶意代码来利用漏洞。但是恶意代码的构造是不容易的。通常，只有非常有天赋的编程者能够编写在利用(exploit)给定漏洞中有效的恶意代码，并且通常编程者不得不经过一段冗长乏味的劳动来创建够格的(competent)恶意代码。
一般，当有天赋的编程者创建恶意代码的实例(example)时，他或者她在因特网上公开张贴(post)所述代码，从而包括恶意分子的其他人可以检查(inspect)、测试、评论和使用所述代码。在因特网使用者群体中，在利用任何具体漏洞中有效的恶意代码的实例通常数量稀少。单个恶意代码实例普遍被很多不同的恶意分子借鉴并使用，所述恶意分子将所述恶意代码实例并入(例如将其“剪切并粘贴”)到多种各异的包(package)中，例如被设计为进行“偷渡式下载(drive-by download)”的图像文件或者网站。他们还可以将其与很多不同的有效载荷(payload)(例如根套件(rootkit)或者按键记录器(keystrokelogger))捆绑。
理论上，很多漏洞存在于很多复杂的软件产品内部，所述软件产品例如操作系统(例如微软公司所公布的Windows)。然而，在研究者发现给定漏洞之前，该漏洞是未知的。所以，一旦发现特定漏洞，研究者自然倾向于通过谈论其或者尝试以公开可监控的方式利用其来公开分享该发现。特定漏洞的发现很少长时间被保密。新闻散布开去，并且在因特网公告板上和聊天室中或者从对新的利用的公共监控而变得可获得。
典型地，一旦受影响软件产品的公布者知悉漏洞，他们着手设计、编写、测试并发布(release)软件“补丁(patch)”来封堵该已知漏洞。然而，打补丁的过程伴随着延迟，并且因此出现“风险窗口”。
例如，当发布补丁时，公布者通过因特网下载或者其他分发方式(distribution)使其为计算机使用者可获得，从而他们可以在其计算机上安装所述补丁。对于运行有漏洞的(vulnerable)软件的计算机的拥有者来说，补丁的准备、分发和安装可能是一种令人痛苦的缓慢而麻烦的过程。例如，时间在软件公布者致力于补丁的同时流逝。随后，补丁的安装可能需要该拥有者部分的手动操作，可对于拥有成千上万台计算机的企业来说是一种负担。此外，例如企业的拥有者常常必须在其很多计算机上安装补丁前测试所述补丁，而补丁有时候将与其他应用的期望功能相冲突。如果公布者在发布补丁之后发现补丁有误而必须被召回、改写和重发，还可能流逝额外的时间。
当漏洞变得在群体中已知后，在计算机上的软件被打补丁之前，能够感染所述特定计算机的良好构造的恶意代码被开发并使用。恶意分子设法通过该风险窗口入侵，而一些编程者则竭力帮助他们。因此，一旦得知漏洞，有天赋的编程者通常争分夺秒地创建并公布恶意代码，以便使该风险窗口中可用的时间最大化。
到如今，很多类型的安全软件(例如防病毒软件)已经尝试了通过在二进制文件(即签名)中查找独特地标识该实例中编程代码的结构的字节序列来阻止特定的恶意代码实例。典型地，这样的对文件或其他代码的审查(examination)发生在开放式系统互连(OSI)模型的应用层。更具体地，对病毒的扫描是在文件被储存在文件系统后或者在文件被保持在计算系统上的存储器中时对所述文件进行的。尽管这些系统对于大多数病毒来说良好起效，但是通过使用被利用的漏洞，恶意代码可以在比应用层更深的等级上进入被定为目标的计算机(targeted computer)。这样，利用这些软件漏洞的恶意分子可以在典型的安全软件可以检测到恶意代码并采取行动之前使所述恶意代码被执行。
发明内容
通过本发明的示例性实施方案，克服了当前安全软件系统的上述认识到的缺陷和不足。例如，本文描述的实施方案规定通过在传输层监控恶意代码来为作为恶意分子的潜在目标的计算机缩窄风险窗口。注意，提供本发明内容来以简化方式介绍对概念的选择，这在下面的具体实施方式中会进一步描述。本发明内容并不打算标识所要求保护的主题的关键特征或主要特征，并且它也不打算被用作在确定所要求保护主题的范围时的帮助。
一个实施方案提供用于通过检查到计算系统的网络流量并且在恶意代码可以被执行和/或安装前识别所述恶意代码来使对安装在所述计算系统上的软件的漏洞利用最小化的机制。使用安装在所述计算系统上的安全组件在传输层(例如传输通信协议(TCP)套接层)监控网络流量。当接收到以所述计算系统为目的的消息时，将被包括在所述消息中的数据与用于识别恶意代码的利用证据进行比较。所述利用证据通过收集关于所述恶意代码的信息的安全服务提供给所述安全组件。这样的利用证据可以包括这些事情以及代码的签名、与该代码相关联的因特网协议(IP)地址、已知提供恶意代码的网站的独特资源定位符(URL)，以及其他因素。
基于所述消息中的数据与所述利用证据的所述比较，识别规则，所述规则指示所述安全组件对所接收的消息采取适当行动。例如，如果该比较指示该消息包括或者潜在地包括恶意代码，则安全组件可以阻挡该所接收的消息进入计算系统，同时允许其他流量留到所述计算系统。可替换或者可附加的，安全组件可以告知使用者(例如，通过使用者界面)关于该消息由于包括恶意代码而具有的潜在风险，因此允许使用者采取适当的行动。在另一实施方案中，安全组件可以禁用恶意代码的任何有害特征。另一方面，如果在消息的传输层与利用证据的比较未指示该消息包括或者以其他方式与恶意代码相关联，则可以允许该消息传到该计算系统。
本发明的额外的特征和优点将在下面的描述中给出，或者部分从该描述中将明显，或者可以通过实施本发明而获悉。通过在所附权利要求书中特别指出的手段或者组合可以认识到并且获得本发明的特征和优点。本发明的这些和其他特征将从以下描述和所附权利要求书变得更清楚，或者可以通过如之后阐述的那样实施本发明而获悉。
附图说明
为了描述本发明的上述及其他有益特征可以被获得的方式，将参照本发明的具体实施方案给出对上面简要描述的本发明的更具体的描述，所述实施方案在附图中被示出。理解到这些附图仅仅描绘本发明的典型实施方案并且因此不被视为是对其范围的限制，将通过使用所附附图来以额外的特性和细节描述和解释本发明，在附图中：
图1根据示例性实施方案图示具有用于使软件漏洞利用最小化的安全服务和安全组件(component)的计算网络；以及
图2根据示例性实施方案图示用于实现这样的方法的流程图，所述方法为作为恶意分子的潜在目标的计算机减小风险窗口。
具体实施方式
本发明的范围涉及到用于通过在传输层监控恶意代码来为作为恶意分子的潜在目标的计算机缩窄(narrowing)风险窗口的方法、系统和计算机程序产品。如下面更详细地讨论的，本发明的实施方案可以包括专用或通用计算机，所述专用或通用计算机包括各种计算机硬件或模块。
如之前提及的，本发明的实施方案通过为作为恶意分子的潜在目标的计算机缩窄风险窗口来克服安全软件系统的上述认识到的缺陷和不足。在该实施方案下，目标计算机(target computer)的拥有者安装持续性(ongoing)安全服务的安全组件，所述持续性安全服务在因特网上或者以其他方式监控关于新的漏洞发现和新的恶意代码实例的新闻、讨论、技术发展和其他信息。当该安全服务找到恶意代码的实例时，它收集关于该恶意代码的信息，以便适当地识别所述恶意代码。例如，该安全服务可以检查其数据结构，设法针对其确认一签名。此外，该安全服务可以通过识别恶意代码的IP地址、URL或其他电子地址来确定其来源。事实上，存在安全服务可以用来识别恶意代码的许多信息。
一旦收集到关于恶意代码的信息，该信息被用于创建包括利用证据(exploit evidence)和安全命令的安全升级，所述安全升级随后被分发到安全组件的安装。每个安全组件使用该利用证据和安全命令来在传输层(例如TCP套接(socket)级)检查流向计算机的因特网或网络数据流量(traffic)，查找匹配该利用证据的消息(message)。通过在传输层检查数据，安全组件可以在计算机上的任何应用或其他软件可以执行或安装恶意代码之前认出(spot)所述恶意代码。此外，安全组件可以监控和识别被设计为利用安装在计算系统上大多数任何应用的软件漏洞的恶意代码。
如果安全组件找到匹配该利用证据的数据传输，它可以执行多种保护措施中的任何措施。例如，它可以阻挡该特定传输进入计算机，同时允许其他传输通过，和/或它可以向计算机使用者通知该数据传输，从而使用者可以采取适当的行动。它还可以修改该传输，从而禁用(disable)任何有害的特征。
在安全组件被安装之后，随着时间流逝，它可能变得笨拙(unwieldy)。它可能一直查找如此多的签名、电子地址或其他利用证据，从而它使得其安装所在的计算机的性能下降，并且它可能潜在地与期望的功能和传输相冲突。因此，为了使该问题最小化，本文下面描述的其他示例性实施方案提供各种选项来限制该监控操作。
注意，上面的实施方案与典型的防火墙系统和网站内容过滤器显著不同。例如，防火墙仅仅进行分组(packet)检查来查看协议、源和目的，以作出允许或不允许这些流量的二元决策。类似地，网站内容过滤器通常关注于IP地址或URL的白/黑名单以允许或不允许分组，这也在本文的实施方案的预期中。然而，本文的实施方案检查消息内容，基于从不断地监控这些恶意代码的安全服务生成的安全证据、命令和规则查找以软件中的漏洞为目标的恶意代码。换言之，本文的实施方案不是简单地查看分组的源并基于此作出二元决策，而是提供更鲁棒的系统，该系统不断地监控恶意代码的形成，并且随后可以以如下面更详细地描述的各种方式创建可以动态改变和被实现为适当处理这些内容的证据、命令和规则。
尽管在下面关于附图更详细地描述了对有益特征的更具体的参考，但是落入本发明范围内的实施方案还包括用于承载或者在其上储存有计算机可执行指令或数据结构的计算机可读介质。这样的计算机可读介质可以是任何可以被通用或专用计算机访问的可用介质。以实施例而非限制性的方式，这样的计算机可读介质可以包括RAM、ROM、EEPROM、CD-ROM或其他光盘储存装置、磁盘储存装置或者其他磁储存设备，或者任何其他可以被用于以计算机可读指令或数据结构的形式承载或储存期望的程序代码装置并且可以被通用或专用计算机访问的介质。当信息在网络或者另一通信连接(硬连线的、无线的，或者硬连线或无线的组合)上被转移或者提供到计算机时，恰当来说，计算机将该连接视为计算机可读介质。因此，恰当来说，任何这样的连接被称为计算机可读介质。上述内容的组合也应该被包括在计算机可读介质的范围内。
计算机可执行指令例如包括导致通用计算机、专用计算机或者专用处理设备进行某项或者某组功能的指令和数据。尽管已经以对于结构特征和/或方法动作来说具体的语言描述了本主题，但是应该理解，所附权利要求书中所限定的主题并不是必须限于上面描述的具体特征或者动作。相反，本文所描述的具体特征和动作被公开作为实现权利要求书的示例性形式。
使用在这里，术语“模块”或“组件”可以指在计算系统上执行的软件对象(object)或者例程(routine)。本文所描述的不同的组件、模块、引擎和服务可以被实现为在计算系统上执行的对象或者过程(例如实现为单独的线程(thread))。尽管本文描述的系统和方法优选地是实现在软件中，但是实现在硬件或者软件和硬件的组合中也是可能并且被预期的。在该说明书中，“计算实体(entity)”可以是任何之前在本文中定义的计算系统，或者任何在计算系统上运行的模块或者模块组合。
图1图示计算网络100，所述网络100被配置为通过为作为恶意分子的潜在目标的计算机缩窄风险窗口来克服当前安全软件系统的上述认识到的缺陷和不足。如所示出的，目标计算系统已经在其上安装了与持续性安全服务110相关联的特殊安全组件105。安全服务110在因特网上或者以其他方式不断地和/或周期性地监控诸如关于新的漏洞发现和新的恶意代码实例的新闻115、讨论150、技术发展或报告120以及其他信息的这些事情。当然，用于收集关于潜在恶意代码的信息的来源可以大大不同，并且可以任何如竖直省略号124所指示的那样包括任何周知的形式。
此外，该监控可以采取各种形式，包括手动搜索和/或阅读因特网或其他讨论150，或者例如通过从已知或者潜在的恶意分子圈或者所记录的恶意分子行为、工具、试验等的例子聚集(glean)相关陈述和代码的探测器(probe)、蜜罐(honeypot)、搜索自动程序(bot)等进行的情报自动搜集。当然，除非明确声明，否则类似于信息的来源，用于收集关于恶意代码的信息155的机制(mechanism)在本文中仅被用于图示说明性的目的，并且并非意图限制或者以其他方式缩窄本文的实施方案。
当安全服务110找到关于恶意代码的信息，它可以将这些数据储存为恶意代码数据155。如将被理解的，当从各种来源或者机制收集所述恶意代码数据155时，所述恶意代码数据155可以呈现很多形式。例如，恶意代码数据155可以包括关于恶意代码的数据结构165的信息。更具体地，安全服务110可以检查恶意代码的数据结构，设法确认诸如恶意代码的签名或者其他代表(representation)。每个恶意代码实例可以具有独特的数据结构165或者其内的数据序列。该独特的数据随后可以(如下面描述的那样)被用来识别恶意代码的实例。
注意，识别恶意代码的所述签名或代表可以采取任何周知的形式。例如，签名可以是全部代码，或者仅仅是代码的部分(例如字节序列或者二进制串)。此外，签名可以是代码或其任何部分的哈希。事实上，恶意分子通常试图通过将代码的部分加密、创建代码的很多变体或者使用任何数量的其他误导性机制来欺骗安全系统。因此，使用在这里，术语“签名”应该被宽泛地解读为意指任何被用于代表恶意代码的独特数据结构或标识(identifier)。
在另一个实施方案中，安全服务110还监控与利用已知漏洞的尝试相关联的IP/URL地址175。当它的确识别到这样的IP/URL地址时，这些也可以被添加为恶意代码数据155，如下面将描述的，所述恶意代码数据155可以被传送到安全组件195，用于阻挡从这些来源接收的数据(例如通过列黑名单)。当然，存在可以如下面将更详细地描述的那样收集的其他170恶意代码数据155。
恶意代码数据155被用于创建安全升级130，安全服务110将所述安全升级130分发到安全组件195的安装以用于查找恶意代码。如所示出的，安全升级130可以包括数种信息和代码。例如，安全升级可以包括利用证据135，所述利用证据可以入下面更详细地描述的那样与消息或者消息的部分进行比较。该利用证据135可以包括诸如数据结构165的签名、IP/URL或者其他电子地址175，以及其他从安全服务110收集的信息170的这些内容。安全升级130还可以包括诸如安全命令145和规则140的这些内容，如下面更详细地描述的，所述安全命令145和规则140被安全组件195用于确定关于如何使用利用证据135以及一旦识别出恶意代码采取何种行动的这些事情。
安全组件195从安全服务110接收安全升级130，并且相应地修改它的库(library)104。安全组件195随后检查流向计算机105的因特网或网络数据流量125。实施方案提供了在传输层190对这样的流量的检查，所述传输层在OSI模型中处于网络层185和包括文件系统层118的应用层122之间。尽管在OSI模型中存在很多其他层，并且存在很多可以被用于表现通信信道的其他抽象模型，但是在此所示出的模型仅仅是出于简化的原因。但是，存在可以与本文描述的实施方案一起使用的其他层和其他模型。
传输层190的实例包括TCP套接级，在目标计算机105上，所述TCP套接级是运行在TCP网络上的两个程序之间的双向通信链路的端点。通过在传输层190检查数据，安全组件195可以在计算机上的任何应用或其他软件可以在存储器或者文件系统层118执行或安装恶意代码之前认出所述恶意代码。此外，由于即使不是全部，大部分针对应用的网络流量也是流动通过传输层190，所以安全组件195可以监控和识别被设计为利用安装在计算系统上大多数任何应用的软件漏洞的恶意代码。
例如，当在传输层190接收到消息180时，安全组件195使用其安全比较器模块102，可选地以及安全命令112，来将消息180的部分与利用证据106进行比较。如果比较器模块102找到匹配该利用证据106或者违反安全命令112中所定义的策略的数据传输，安全组件195执行如规则108可以定义的多种保护措施中的任何措施。例如，如果安全比较器模块将消息180识别为包括如利用证据106所定义的签名、电子地址或者恶意代码的其他代表，则安全组件195可以采取规则108所定义的适当的行动。
在一个实施方案中，规则108可以指示安全组件195阻挡特定传输或者消息180进入目标计算机105，同时允许其他良性传输通过。可替换的实施方案定义这样的规则108，所述规则108允许安全组件195向使用者通知关于所述数据传输，从而使用者可以采取适当的行动。这样的通知可以为向使用者提供关于消息的信息(例如来源、违规、潜在风险，等等)和采取行动的选项(例如删除、允许、隔离(quarantine)、制止(hold)等)的使用者界面的形式。在再另一个实施方案中，规则108可以指示安全组件195修改传输或消息180，从而任何有害的特征被禁用或者以其他方式消除。例如，安全组件195可以自动移除消息中包含恶意代码的部分或者禁用代码本身内有害的特征。
当然，存在任何数量的可以如规则108所定义的那样以任何组合而采取的行动。例如，规则108可以在通知使用者关于传输108之前首先移除或者禁用消息180的有害特征。此外，规则108可以被目标系统105的使用者设置或修改、被安全服务110设置或修改、默认编程在安全组件195上，或者使用任何周知的方式设置或修改。因此，在这里，除非明确声明，否则对一动作的任何具体使用或者该动作如何被设置或者应用仅仅是用于图示说明的目的，并且并非意图限制或以其他方式缩窄本文描述的实施方案的范围。
如上面提及的，在安全组件195被安装之后，随着时间流逝，它可能变得笨拙。它可能一直查找如此多的签名、电子地址或其他利用证据106，以致它使得其安装所在的计算机105的性能下降，并且它可能潜在地与期望的功能和传输相冲突。因此，为了使该问题最小化，本文描述的示例性实施方案提供各种选项。
一种示例性选项规定仅注意特别令人忧心的恶意代码的利用证据106。安全服务110评估所发现的恶意代码实例，以确定所述恶意代码有多大可能性对被定为目标的计算机造成严重威胁。该评估可以包括查看相关漏洞的性质和范围、用来编写该实例代码的工作技巧的质量等等。服务110随后作出威胁评级(rating)160并且在安全升级130和/或任何必要的命令145内分发所述威胁评级160，用于查找安全服务110判断为最有害的那些代码实例的利用证据106。例如，可以使用阈值威胁评级160来确定是否在安全升级130中将或不将包括利用证据135。当然，可以存在任何数量的基于这样的威胁评级160判断什么利用证据135、安全命令112或者规则140应该被包括在安全升级130中或者从安全升级130中排除的方式。
另一实施方案规定在相关风险窗口已经关闭后或者如果威胁评级160落在某个设定阈值之下时对安全组件195上的利用证据106、安全命令112和/或规则108进行取消、删除、暂时中止或者进行类似的行动。例如，风险窗口可能作为广泛分发够格且可信的补丁的结果而关闭。或者，它可能因为经验表明相关的恶意代码实例是无害的而关闭。相应地，在安全服务110向安全组件195的安装公布安全升级130之后，它继续监控相关漏洞和恶意代码在因特网群体内的存在。当服务110作出相关风险窗口微小或者不存在的判断时，服务110发出(issue)可以用于将这样的命令145发送到安全组件195安装的风险评级160，即它们应当不再监控利用证据106。当然，对于一些签名、电子地址或者其他恶意代码数据155，风险窗口可能永远不关闭，在这种情况下安全服务110可以选择永不取消对利用证据106的监控。
当然，可以存在很多其他用于提升安全组件195的性能的机制。例如，安全服务110可以将安全命令145和规则140发送到安全组件195，所述安全命令145和规则140指示所述安全组件195基于事件的发生而对利用证据106和/或任何与其相关联的安全命令112或规则108进行删除、取消、制止或者进行一些其他行动。这样，安全组件195针对这样的事件的发生监控所述系统，并且随后如命令145和/或规则140所定义的那样采取适当的行动。这样的事件可以基于过期或者诸如安全组件195确定利用证据106或其相关联的恶意代码的威胁评级160为低这样的事情。事实上，可以存在任何数量的可以被用于采取行动来提升安全组件195的性能的事件。此外，可以存在任何数量的可以在事件一旦发生时进行的行动，例如删除、取消、中止、制止等等。因此，除非明确声明，否则任何具体事件和/或如本文所描述的那样采取的行动是被用于图示说明的目的，并且并非意图限制或者以其他方式缩窄本文的实施方案。
下面描述根据示例性实施方案可以使用的各种实现的一些具体实施例。这些实现仅仅是可以如何应用所述解决方案的实施例。除非明确声明，它们并非是唯一可能的实施例或实现，并且因此并非意图限制或者以其他方式缩窄本文的实施方案。
安全组件195安装在使用者的运行微软Windows XP
Figure 2007800189492100002G2007800189492D0001102753QIETU
操作系统的个人计算机105上。安全服务110被允许以安全的方式将更新130发送到安全组件195。当研究者在因特网上宣布在微软Windows XP
Figure 2007800189492100002G2007800189492D0001102753QIETU
中发现之前未知的漏洞时，安全服务110阅读因特网上编程者/黑客(hacker)之间关于此的讨论。服务110观察到一个编程者张贴用于利用该漏洞的代码。因此，安全服务110测试该代码并且确定其似乎对运行Windows的计算机是一威胁。
从该代码，安全服务110确认签名，即标识该代码的独特的数据结构。安全服务110将利用证据135、规则140和命令145发送到安装在该使用者的计算机上的安全组件195，以监控该签名。安全组件195在发送到该使用者的计算机的因特网数据流量中搜索该签名。在传输层190(例如TCP套接级)对数据流量的搜索，组件195查找该签名而不管该签名可能所在的数据分组或者其可以承载的有效载荷。安全组件195在流入的电子邮件数据流量180中找到与根套件有效载荷组合的该签名。安全组件195阻挡包括该签名的数据单元。在使用者的计算机上的任何软件能够执行或者安装该根套件之前，该数据被阻挡。
以另一个实施例的方式，使用者在其运行针对微软Windows
Figure 2007800189492100002G2007800189492D0001102753QIETU
的Mozilla Firefox
Figure 2007800189492100002G2007800189492D0001102753QIETU
因特网浏览器版本1.5.0.1(“浏览器”)的个人计算机上安装安全组件195。安全服务110被允许以安全的方式将更新130发送到安全组件195。服务110在因特网上设下(plant)并维持各种自动的蜜罐、探测器和其他计算机，以搜集恶意代码实例并获知关于这些代码的来源和其他信息。与所述浏览器一起安装的所述探测器中的一些自动访问很多网站，搜索恶意代码。
当研究者在因特网上宣布在浏览器中发现某漏洞后的短时间内，特定IP地址(“流氓地址”)的服务器向数个安全服务的探测器发送与利用漏洞的恶意代码捆绑的特洛伊木马(Trojan)。响应于此，安全服务110将可以包括利用证据135和命令145的安全升级130发送到安装在使用者的计算机105上的安全组件195，以将该流氓地址作为正传输到该使用者计算机105的数据的来源而监控。安全组件195在TCP套接级190搜索发送到目标计算机105的因特网数据流量180中的流氓地址。浏览器的公布者发出补丁以关闭相关漏洞。安全服务110确定该流氓地址不再是对运行该浏览器的计算机的威胁，并且将安全更新130传输到安全组件195，以停止搜索流氓地址。
还可以关于包括功能步骤和/或非功能动作的方法描述本发明。下面是对在实施本发明时可以进行的步骤和/或动作的描述。通常，功能步骤关于所达到的结果描述本发明，而非功能动作描述用于实现特定结果的更具体的行动。尽管可以以特定顺序描述或者要求保护功能步骤和/或非功能动作，但是本发明并非必须限于步骤和/或动作的任何特定顺序或组合。此外，在对权利要求的引述中——以及在下面对图2的流程图的描述中——使用步骤和/或动作是用于指示这些术语的期望的具体使用。
如之前提及的，图2图示本发明的各种示例性实施方案的流程图。对图2的以下描述将偶尔参照图1的相应部件。除非明确说明，否则尽管可以参照该附图中的具体部件，但是这样的参照仅仅是出于图示说明的目的，并且并非意图限制或者以其他方式缩窄本文的实施方案。
图2图示用于为作为恶意分子的潜在目标的计算机缩窄风险窗口的方法230的流程图。在安全服务200上，方法230包括收集205关于实例恶意代码的信息的动作。例如，安全服务110可以监控和收集来自因特网或者其他区域的关于新的(或者旧的)漏洞发现和/或新的(或者旧的)恶意代码实例的新闻115、讨论150、技术发展120、网络流量125或者其他信息。如之前提及的，对信息的该收集可以采取很多形式，包括手动搜索和阅读因特网讨论或者例如通过从已知或者潜在的恶意分子圈或者所记录的恶意分子行为、工具、试验等的例子聚集相关陈述和代码的探测器、蜜罐、搜索自动程序等进行的情报自动搜集。
基于所收集的信息，方法230还包括生成210安全升级的动作。例如，安全服务110可以使用恶意代码数据155生成安全升级130。这样的安全升级130包括用于识别诸如关于恶意代码的签名、电子地址或者其他信息并且对其采取适当行动的利用证据135、规则140和/或安全命令145。
方法230还包括将安全升级发送215到安全用户(subscriber)的动作。在安全组件侧250，方法230还包括接收220该安全升级的动作。基于该安全升级，方法230包括修改225安全组件250的动作。例如，安全服务110将安全升级130发送到目标计算系统105，该目标计算系统105以适当的利用证据106、规则108和安全命令112升级安全组件195的库104。
方法230还包括在传输层监控235网络流量的动作。例如，在接收安全升级130之前、之后或者期间，安全组件195可以在传输层190(例如TCP套接级)监控网络流量125，在目标计算机105上，传输层190是运行在网络上的两个程序之间的双向通信链路的端点。通过在传输层190检查数据，安全组件195可以在计算机上的任何应用或其他软件可以在存储器或者文件系统层118执行或安装恶意代码之前认出所述恶意代码。此外，由于即使不是全部，大部分针对应用的网络流量也是流动通过传输层190，所以安全组件195可以监控和识别被设计为利用安装在目标计算系统105上大多数任何应用的软件漏洞的恶意代码。
方法230还包括用于基于来自安全更新的利用证据识别240具有恶意代码的一个或多个消息的步骤。例如，安全组件195可以进行在传输层190接收消息180的动作，并且使用安全比较模块102进行将消息180内的数据与利用证据106进行比较的动作。基于该比较，方法230随后包括用于基于一组规则采取行动245的步骤。例如，如果安全组件195进行识别到一消息180对应于一恶意代码的动作，则规则108可以指示它阻挡该特定传输或消息180进入目标计算机105。尽管规则180阻挡这样的消息180，它可以允许其他良性传输通过。可替换的实施方案提供这样的规则108，所述规则108允许安全组件195向计算机105使用者通知关于所述数据传输，从而使用者可以采取适当的行动。在再另一个实施方案中，规则108可以指示安全组件195修改传输或消息180，从而任何有害的特征被禁用或者以其他方式消除。
为了提升安全组件195的性能，需要其他实施方案。因此，一种实施方案用于仅注意在威胁评级106之上的恶意代码的利用证据106，所述威胁评级160是对一特定恶意代码可能多有害的确定。另一实施方案规定在相关风险窗口已经关闭后或者如果威胁评级160落在某个设定阈值之下时对安全组件195上的利用证据106、安全命令112和/或规则108进行取消、删除、暂时中止或者进行类似的行动。
在再另一个实施方案中，安全组件195可以接收这样的命令145和/或规则140，所述命令145和/或规则140指示所述安全组件195基于事件的发生而对利用证据106和/或任何与其相关联的安全命令112或规则108进行删除、取消或者采取一些其他行动。这样，一旦期望的事件发生，安全组件195可以对利用证据106、安全命令112以及与其相关联的规则108采取适当的行动，例如删除它们、取消它们、暂时中止它们等。
本发明可以以其他具体形式实施而不偏离本发明的精神或主要特性。所描述的实施方案在所有方面均打算被视为是图示说明性的而非限定性的。因此，本发明的范围是由所附权利要求书而不是前述描述所指示的。落入权利要求书的等同物的含义和范围内的所有改变均要被包括在它们的范围中。

Claims (19)

1.一种使软件漏洞利用最小化的方法，所述方法在网络计算环境中的目标计算机处通过检查到所述目标计算机的网络流量并且在恶意代码可以被执行和/或安装前识别所述恶意代码来使对安装在所述目标计算机上的软件的漏洞利用最小化，所述方法包括：
通过位于安全组件外部的安全服务生成安全升级，其中所述安全升级包括：
定义一个或更多个安全策略的一个或更多个安全命令，
用于识别恶意代码的利用证据，以及
与所述利用证据相关联的一条或更多条规则；
将所述安全升级从所述安全服务发送到所述安全组件；
利用所述安全升级来升级安全组件的库；
通过安装在所述目标计算机上的安全组件在所述目标计算机的传输层监控被识别为正以所述目标计算机为目的的流入网络流量；
在所述传输层接收作为所述网络流量的部分的消息，所述消息被识别为以所述目标计算机为目的；
将被包括在所述接收的消息中的数据的至少一部分与所述利用证据进行比较，来确定所述消息是匹配所述利用证据还是违反由所述安全命令中的一个或更多个所定义的所述安全策略中的一个或更多个；
响应于所述消息匹配所述利用证据或者违反由所述安全命令中的所述一个或更多个所定义的一个或更多个所述安全策略：
根据所述规则对所述消息进行一项或更多项行动，从而所述消息中的恶意代码不会被转移到所述目标计算机的应用层，以及
向使用者告知所述恶意代码。
2.如权利要求1的方法，其中所述传输层包括所述目标计算机的TCP套接。
3.如权利要求1的方法，其中所述比较将数据的所述至少一部分识别为对应于恶意代码，并且所述一条或更多条规则指示所述安全组件进行以下中的一项或更多项：
阻挡所述接收的消息进入所述目标计算机；
向所述目标计算机的使用者通知所述消息与所述恶意代码的对应，以便允许所述使用者采取适当行动；或者
修改所述消息，以便禁用所述恶意代码的任何有害特征。
4.如权利要求3的方法，其中，在阻挡所述接收的消息的同时，所述比较将数据的所述至少一部分识别为对应于恶意代码，并且所述一条或更多条规则指示所述安全组件，以允许其他良性消息传到所述目标计算机。
5.如权利要求3的方法，其中所述比较将数据的所述至少一部分识别为对应于恶意代码，并且所述一条或更多条规则指示所述安全组件，以用使用者界面向所述目标计算机的所述使用者通知所述消息的所述对应，并且允许所述使用者接受或者拒绝所述消息。
6.如权利要求1的方法，其中所述利用证据包括与恶意代码相关联的已知电子地址列表。
7.如权利要求6的方法，其中所述电子地址列表包括网站的IP地址或URL，并且其中所述消息的来源的IP地址或URL与所述与恶意代码相关联的已知电子地址列表进行比较。
8.如权利要求1的方法，其中所述利用证据包括所述恶意代码的一个或更多个签名，所述签名为代表所述恶意代码的独特的数据结构。
9.如权利要求1的方法，其中：
生成安全升级的步骤包括生成包括一个或更多个安全命令的安全升级，所述一个或更多个安全命令指示被用于识别恶意代码的利用证据应该基于一种或更多种事件而过期；以及
一旦所述一种或更多种事件发生，如一条或更多条规则所定义的那样对所述利用证据采取行动。
10.如权利要求9的方法，其中所述事件是确定已经经过了风险窗口或者所述恶意代码低于某威胁评级阈值中的一种或更多种，并且其中对所述利用证据的所述行动包括取消对所述利用证据的所述比较、从所述安全组件删除所述利用证据，或者暂时中止对所述利用证据的所述比较中的一种或更多种。
11.一种使软件漏洞利用最小化的方法，所述方法在网络计算环境中的目标计算机处通过检查到所述目标计算机的网络流量并且在恶意代码可以被执行和/或安装前识别所述恶意代码来使对安装在所述目标计算机上的软件的漏洞利用最小化，所述方法包括：
通过安全服务生成安全升级，其中所述安全服务位于安装在所述目标计算机上的安全组件外部，其中所述安全升级包括：
定义一个或更多个安全策略的一个或更多个安全命令，
用于识别恶意代码的利用证据，其中使用阈值威胁评级来确定是否在安全升级中将或不将包括所述利用证据，以及
指示所述安全组件执行一种或更多种保护措施的一条或更多条规则；
将所述安全升级从所述安全服务发送到所述安全组件；
利用所述安全升级来升级安全组件的库；
使用所述安全组件在所述目标计算机的传输层监控被识别为正以所述目标计算机为目的的流入网络流量；
在所述传输层接收被识别为以所述目标计算机为目的的消息；
将被包括在所述接收的消息中的数据的至少一部分与所述利用证据进行比较，来确定所述消息是匹配所述利用证据还是违反由所述安全命令中的一个或更多个所定义的所述安全策略中的一个或更多个；
基于与所述利用证据的所述比较：
将数据的所述至少一部分识别为对应于所述恶意代码，
对所述消息进行行动，其中所述行动被指定在所述规则中，以及
在安装在所述目标计算机上的任何软件应用程序执行或安装包含在所述数据中的指令之前，在所述目标计算机的所述应用层前，阻挡对应于所述恶意代码的数据的所述部分；以及
如果所述威胁评级在设定阈值之下时，对所述利用证据进行取消、删除或者暂时中止的行动。
12.如权利要求11的方法，其中所述利用证据包括以下中的一项或更多项：
与所述恶意代码相关联的已知电子地址列表；以及
所述恶意代码的一个或更多个签名，其中所述签名为代表所述恶意代码的独特的数据结构。
13.如权利要求11的方法，其中所述安全服务使用在监控因特网资源的同时收集的信息来创建所述安全升级。
14.如权利要求13的方法，其中，所述因特网资源包括以下中的一项或更多项：
新闻资源；
讨论资源；以及
技术报告。
15.如权利要求13的方法，其中监控因特网资源的步骤包括以下中的一项或更多项：
手动搜索因特网资源；以及
使用探测器、蜜罐以及搜索自动程序中的一个或更多个自动搜索因特网资源。
16.如权利要求13的方法，其中所述传输层包括所述目标计算机的TCP套接。
17.如权利要求11的方法，其中所述比较将数据的所述至少一部分识别为对应于恶意代码，而所述一条或更多条规则指示所述安全组件修改所述消息，以便禁用所述恶意代码的任何有害特征。
18.如权利要求11的方法，其中：
所述一个或更多个安全命令指示所述利用证据应该基于一种或更多种事件而过期；以及
一旦所述一种或更多种事件发生，如所述规则所定义的那样对所述利用证据采取行动。
19.如权利要求18的方法，其中所述事件包括确定已经经过了风险窗口，其中所述行动为以下中的一项或更多项：
取消对所述利用证据的所述比较，
从所述安全组件删除所述利用证据，以及
暂时中止所述数据与所述利用证据的所述比较。
CN2007800189492A 2006-03-24 2007-03-26 软件漏洞利用防护 Active CN101558384B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US78572306P 2006-03-24 2006-03-24
US60/785,723 2006-03-24
PCT/US2007/064949 WO2007149612A2 (en) 2006-03-24 2007-03-26 Software vulnerability exploitation shield

Related Child Applications (1)

Application Number Title Priority Date Filing Date
CN2012104605752A Division CN103218563A (zh) 2006-03-24 2007-03-26 软件漏洞利用防护

Publications (2)

Publication Number Publication Date
CN101558384A CN101558384A (zh) 2009-10-14
CN101558384B true CN101558384B (zh) 2013-01-02

Family

ID=38834179

Family Applications (2)

Application Number Title Priority Date Filing Date
CN2007800189492A Active CN101558384B (zh) 2006-03-24 2007-03-26 软件漏洞利用防护
CN2012104605752A Pending CN103218563A (zh) 2006-03-24 2007-03-26 软件漏洞利用防护

Family Applications After (1)

Application Number Title Priority Date Filing Date
CN2012104605752A Pending CN103218563A (zh) 2006-03-24 2007-03-26 软件漏洞利用防护

Country Status (12)

Country Link
US (1) US8898787B2 (zh)
EP (1) EP2008188B1 (zh)
JP (1) JP5000703B2 (zh)
CN (2) CN101558384B (zh)
AU (1) AU2007261272B2 (zh)
BR (1) BRPI0709368A8 (zh)
CA (1) CA2647337A1 (zh)
HK (1) HK1134560A1 (zh)
MY (1) MY150011A (zh)
RU (1) RU2417429C2 (zh)
WO (1) WO2007149612A2 (zh)
ZA (1) ZA200808923B (zh)

Families Citing this family (48)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7971257B2 (en) * 2006-08-03 2011-06-28 Symantec Corporation Obtaining network origins of potential software threats
US8869268B1 (en) * 2007-10-24 2014-10-21 Symantec Corporation Method and apparatus for disrupting the command and control infrastructure of hostile programs
US8037536B2 (en) * 2007-11-14 2011-10-11 Bank Of America Corporation Risk scoring system for the prevention of malware
US8539593B2 (en) * 2009-01-23 2013-09-17 International Business Machines Corporation Extraction of code level security specification
US8205257B1 (en) * 2009-07-28 2012-06-19 Symantec Corporation Systems and methods for preventing threats originating from a non-process based component hosted by a trusted process
US20110185353A1 (en) * 2010-01-27 2011-07-28 Jack Matthew Mitigating Problems Arising From Incompatible Software
KR101055267B1 (ko) * 2010-03-05 2011-08-09 한국전자통신연구원 액티브엑스 컨트롤의 배포 사이트 식별 방법과 보안 취약점 검출 방법 및 면역화 방법
US8402547B2 (en) * 2010-03-14 2013-03-19 Virtual Forge GmbH Apparatus and method for detecting, prioritizing and fixing security defects and compliance violations in SAP® ABAP™ code
US10025688B2 (en) 2010-03-14 2018-07-17 Virtual Forge GmbH System and method for detecting data extrusion in software applications
KR101201622B1 (ko) * 2010-08-19 2012-11-14 삼성에스디에스 주식회사 보안 기능을 가진 시스템 온 칩 및 이를 이용한 디바이스 및 스캔 방법
US11269977B2 (en) 2010-11-29 2022-03-08 Biocatch Ltd. System, apparatus, and method of collecting and processing data in electronic devices
US10834590B2 (en) 2010-11-29 2020-11-10 Biocatch Ltd. Method, device, and system of differentiating between a cyber-attacker and a legitimate user
US10586036B2 (en) 2010-11-29 2020-03-10 Biocatch Ltd. System, device, and method of recovery and resetting of user authentication factor
US10069837B2 (en) 2015-07-09 2018-09-04 Biocatch Ltd. Detection of proxy server
US11210674B2 (en) 2010-11-29 2021-12-28 Biocatch Ltd. Method, device, and system of detecting mule accounts and accounts used for money laundering
US20190057200A1 (en) * 2017-08-16 2019-02-21 Biocatch Ltd. System, apparatus, and method of collecting and processing data in electronic devices
US11223619B2 (en) 2010-11-29 2022-01-11 Biocatch Ltd. Device, system, and method of user authentication based on user-specific characteristics of task performance
US20190158535A1 (en) * 2017-11-21 2019-05-23 Biocatch Ltd. Device, System, and Method of Detecting Vishing Attacks
US10917431B2 (en) * 2010-11-29 2021-02-09 Biocatch Ltd. System, method, and device of authenticating a user based on selfie image or selfie video
US10621585B2 (en) 2010-11-29 2020-04-14 Biocatch Ltd. Contextual mapping of web-pages, and generation of fraud-relatedness score-values
US10897482B2 (en) 2010-11-29 2021-01-19 Biocatch Ltd. Method, device, and system of back-coloring, forward-coloring, and fraud detection
US10474815B2 (en) 2010-11-29 2019-11-12 Biocatch Ltd. System, device, and method of detecting malicious automatic script and code injection
US10970394B2 (en) 2017-11-21 2021-04-06 Biocatch Ltd. System, device, and method of detecting vishing attacks
US10776476B2 (en) 2010-11-29 2020-09-15 Biocatch Ltd. System, device, and method of visual login
US10728761B2 (en) 2010-11-29 2020-07-28 Biocatch Ltd. Method, device, and system of detecting a lie of a user who inputs data
US10949514B2 (en) 2010-11-29 2021-03-16 Biocatch Ltd. Device, system, and method of differentiating among users based on detection of hardware components
RU2477929C2 (ru) * 2011-04-19 2013-03-20 Закрытое акционерное общество "Лаборатория Касперского" Система и способ предотвращения инцидентов безопасности на основании рейтингов опасности пользователей
RU2510074C2 (ru) * 2012-02-24 2014-03-20 Закрытое акционерное общество "Лаборатория Касперского" Система и способ проверки исполняемого кода перед его выполнением
US9208316B1 (en) * 2012-02-27 2015-12-08 Amazon Technologies, Inc. Selective disabling of content portions
US8844032B2 (en) 2012-03-02 2014-09-23 Sri International Method and system for application-based policy monitoring and enforcement on a mobile device
RU2523114C2 (ru) * 2012-04-06 2014-07-20 Закрытое акционерное общество "Лаборатория Касперского" Способ анализа вредоносной активности в сети интернет, выявления вредоносных узлов сети и ближайших узлов-посредников
CN102799502B (zh) * 2012-06-28 2016-03-30 航天恒星科技有限公司 一种星载嵌入式软件在轨维护方法
RU2495487C1 (ru) * 2012-08-10 2013-10-10 Закрытое акционерное общество "Лаборатория Касперского" Система и способ для определения доверия при обновлении разрешенного программного обеспечения
CN103856456A (zh) * 2012-12-04 2014-06-11 中山大学深圳研究院 一种网络安全的方法和系统
US9298911B2 (en) 2013-03-15 2016-03-29 Intel Corporation Method, apparatus, system, and computer readable medium for providing apparatus security
US9015839B2 (en) * 2013-08-30 2015-04-21 Juniper Networks, Inc. Identifying malicious devices within a computer network
US20160127412A1 (en) * 2014-11-05 2016-05-05 Samsung Electronics Co., Ltd. Method and system for detecting execution of a malicious code in a web based operating system
GB2539705B (en) 2015-06-25 2017-10-25 Aimbrain Solutions Ltd Conditional behavioural biometrics
RU2613535C1 (ru) * 2015-11-20 2017-03-16 Илья Самуилович Рабинович Способ обнаружения вредоносных программ и элементов
KR20170135495A (ko) * 2016-05-31 2017-12-08 주식회사 씨티아이랩 보안 위협 정보 분석 및 관리 시스템
GB2552032B (en) 2016-07-08 2019-05-22 Aimbrain Solutions Ltd Step-up authentication
US10579784B2 (en) 2016-11-02 2020-03-03 Biocatch Ltd. System, device, and method of secure utilization of fingerprints for user authentication
RU2668710C1 (ru) 2018-01-17 2018-10-02 Общество с ограниченной ответственностью "Группа АйБи ТДС" Вычислительное устройство и способ для обнаружения вредоносных доменных имен в сетевом трафике
US11222135B2 (en) * 2018-05-28 2022-01-11 International Business Machines Corporation User device privacy protection
US11050772B2 (en) * 2018-12-05 2021-06-29 Bank Of America Corporation Method and system for identification and prevention of profiling attacks in electronic authorization systems
RU2701040C1 (ru) * 2018-12-28 2019-09-24 Общество с ограниченной ответственностью "Траст" Способ и вычислительное устройство для информирования о вредоносных веб-ресурсах
US11128670B2 (en) 2019-02-26 2021-09-21 Oracle International Corporation Methods, systems, and computer readable media for dynamically remediating a security system entity
US11606353B2 (en) 2021-07-22 2023-03-14 Biocatch Ltd. System, device, and method of generating and utilizing one-time passwords

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1612532A (zh) * 2003-10-31 2005-05-04 国际商业机器公司 基于主机的网络入侵检测系统

Family Cites Families (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB2368233B (en) * 2000-08-31 2002-10-16 F Secure Oyj Maintaining virus detection software
JP2002342279A (ja) * 2001-03-13 2002-11-29 Fujitsu Ltd フィルタリング装置、フィルタリング方法およびこの方法をコンピュータに実行させるプログラム
US7308714B2 (en) * 2001-09-27 2007-12-11 International Business Machines Corporation Limiting the output of alerts generated by an intrusion detection sensor during a denial of service attack
US7197762B2 (en) * 2001-10-31 2007-03-27 Hewlett-Packard Development Company, L.P. Method, computer readable medium, and node for a three-layered intrusion prevention system for detecting network exploits
MXPA04006473A (es) 2001-12-31 2004-10-04 Citadel Security Software Inc Sistema de resolucion automatizado para vulnerabilidad de computadora.
US20040015719A1 (en) * 2002-07-16 2004-01-22 Dae-Hyung Lee Intelligent security engine and intelligent and integrated security system using the same
CA2496779C (en) * 2002-08-26 2011-02-15 Guardednet, Inc. Determining threat level associated with network activity
JP2004139177A (ja) 2002-10-15 2004-05-13 Sony Corp 情報検査方法及び装置、並びにプログラム
US7454499B2 (en) * 2002-11-07 2008-11-18 Tippingpoint Technologies, Inc. Active network defense system and method
EP1591860A4 (en) * 2003-02-04 2010-10-13 Fujitsu Ltd SYSTEM AND METHOD FOR PROVIDING SOFTWARE MAINTENANCE SERVICES AND THE EXECUTION PROGRAM
US7251822B2 (en) * 2003-10-23 2007-07-31 Microsoft Corporation System and methods providing enhanced security model
US7389538B2 (en) * 2003-11-12 2008-06-17 Fortinet, Inc. Static code image modeling and recognition
US7661123B2 (en) * 2003-12-05 2010-02-09 Microsoft Corporation Security policy update supporting at least one security service provider
US7748038B2 (en) * 2004-06-16 2010-06-29 Ironport Systems, Inc. Method and apparatus for managing computer virus outbreaks
JP2006067279A (ja) 2004-08-27 2006-03-09 Matsushita Electric Ind Co Ltd 侵入検知システム及び通信装置
US20080189784A1 (en) * 2004-09-10 2008-08-07 The Regents Of The University Of California Method and Apparatus for Deep Packet Inspection
WO2009146747A1 (en) * 2008-06-05 2009-12-10 Telefonaktiebolaget Lm Ericsson (Publ) Traffic monitoring by lowest transmission layer marking

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1612532A (zh) * 2003-10-31 2005-05-04 国际商业机器公司 基于主机的网络入侵检测系统

Also Published As

Publication number Publication date
AU2007261272B2 (en) 2012-04-19
WO2007149612A2 (en) 2007-12-27
EP2008188B1 (en) 2017-05-31
CN103218563A (zh) 2013-07-24
RU2417429C2 (ru) 2011-04-27
MY150011A (en) 2013-11-15
CN101558384A (zh) 2009-10-14
AU2007261272A1 (en) 2007-12-27
RU2008142138A (ru) 2010-04-27
HK1134560A1 (en) 2010-04-30
WO2007149612A3 (en) 2008-11-20
JP5000703B2 (ja) 2012-08-15
EP2008188A2 (en) 2008-12-31
BRPI0709368A2 (pt) 2011-07-12
CA2647337A1 (en) 2007-12-27
ZA200808923B (en) 2009-08-26
EP2008188A4 (en) 2012-01-18
JP2009543163A (ja) 2009-12-03
US20070226797A1 (en) 2007-09-27
US8898787B2 (en) 2014-11-25
BRPI0709368A8 (pt) 2018-04-24

Similar Documents

Publication Publication Date Title
CN101558384B (zh) 软件漏洞利用防护
RU2622870C2 (ru) Система и способ оценки опасности веб-сайтов
US11962606B2 (en) Protecting serverless applications
CN100530208C (zh) 适于病毒防护的网络隔离技术
CN1841397B (zh) 聚合计算机系统的知识库以主动保护计算机免受恶意软件侵害
CN112637220B (zh) 一种工控系统安全防护方法及装置
CN112702300B (zh) 一种安全漏洞的防御方法和设备
CN114598525A (zh) 一种针对网络攻击的ip自动封禁的方法和装置
CN113839935B (zh) 网络态势感知方法、装置及系统
CN113660224A (zh) 基于网络漏洞扫描的态势感知防御方法、装置及系统
KR100989347B1 (ko) 보안규칙 기반의 웹공격 탐지 방법
CN110162978A (zh) 一种终端安全风险评估管理方法、装置及系统
KR20170091989A (ko) 산업 제어 네트워크에서의 보안 관제 평가 시스템 및 방법
Kácha Idea: security event taxonomy mapping
RU2481633C2 (ru) Система и способ автоматического расследования инцидентов безопасности
CN112788023B (zh) 基于安全网络的蜜罐管理方法及相关装置
CN110086812B (zh) 一种安全可控的内网安全巡警系统及方法
KR101767591B1 (ko) 침입탐지 오탐 개선을 위한 시스템 및 방법
Bezobrazov et al. Artificial immune system for Android OS
CN116089940A (zh) 多源安全威胁检测方法和装置
Kim et al. A Study on Log Collection to Analyze Causes of Malware Infection in IoT Devices in Smart city Environments.
CN114189360B (zh) 态势感知的网络漏洞防御方法、装置及系统
CN117714126A (zh) 一种基于人工智能的自动网络安全防护系统及方法
An et al. Cooperative component testing architecture in collaborating network environment
CN116961977A (zh) 安全检测方法、装置、设备及计算机程序产品

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
REG Reference to a national code

Ref country code: HK

Ref legal event code: DE

Ref document number: 1134560

Country of ref document: HK

C14 Grant of patent or utility model
GR01 Patent grant
ASS Succession or assignment of patent right

Owner name: AVG NETHERLANDS PTE. LTD.

Free format text: FORMER OWNER: AVG TECHNOLOGIES CY LIMITED

Effective date: 20130521

C41 Transfer of patent application or patent right or utility model
TR01 Transfer of patent right

Effective date of registration: 20130521

Address after: Amsterdam, The Netherlands

Patentee after: AVG Netherlands, B.V.

Address before: Cyprus Nicosia

Patentee before: AVG TECHNOLOGIES CY Ltd.

REG Reference to a national code

Ref country code: HK

Ref legal event code: GR

Ref document number: 1134560

Country of ref document: HK

TR01 Transfer of patent right

Effective date of registration: 20190506

Address after: Prague

Patentee after: AVAST SOFTWARE S.R.O.

Address before: Holland Schiphol

Patentee before: Avis Software Pte. Ltd.

Effective date of registration: 20190506

Address after: Holland Schiphol

Patentee after: Avis Software Pte. Ltd.

Address before: Amsterdam, The Netherlands

Patentee before: AVG Netherlands, B.V.

TR01 Transfer of patent right