CN101681406A - 用于恶意软件检测的可信操作环境 - Google Patents

用于恶意软件检测的可信操作环境 Download PDF

Info

Publication number
CN101681406A
CN101681406A CN200880015243A CN200880015243A CN101681406A CN 101681406 A CN101681406 A CN 101681406A CN 200880015243 A CN200880015243 A CN 200880015243A CN 200880015243 A CN200880015243 A CN 200880015243A CN 101681406 A CN101681406 A CN 101681406A
Authority
CN
China
Prior art keywords
virus
computing equipment
signature
storage medium
trusted
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN200880015243A
Other languages
English (en)
Inventor
R·基尔纳尼
K·N·艾弗森
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Microsoft Corp
Original Assignee
Microsoft Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Microsoft Corp filed Critical Microsoft Corp
Publication of CN101681406A publication Critical patent/CN101681406A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/562—Static detection
    • G06F21/564—Static detection by virus signature recognition

Abstract

描述了用于扫描计算设备以查找恶意软件的技术和装置。在一个实现中，包括可信操作系统和可信反病毒工具的可信操作环境被包含在可移动数据存储介质上。计算设备然后使用可信操作系统来从可移动数据存储介质引导。可信反病毒工具在计算设备中搜索恶意软件定义更新(例如，病毒签名更新)并使用可信操作系统来扫描该计算设备以查找恶意软件。在另一实现中，计算设备从可移动设备上的可信操作系统引导并且该可移动设备上的可信反病毒工具扫描该计算设备以查找恶意软件。该可移动设备可通过在计算设备或远程资源中搜索更新并认证所定位到的任何更新来更新其自己的内部组件(例如，病毒签名和反病毒工具)。

Description

用于恶意软件检测的可信操作环境
背景
计算机安全在当今技术驱动的文化中是一个严重的问题。计算机安全违背可在该计算机感染病毒和其他形式的恶意软件时发生。这些感染可例如在下载和打开感染恶意软件的文件(例如，电子邮件)时发生，或者感染可在恶意软件在没有任何直接用户干预的情况下通过网络来访问计算机时发生。在任一种情况下，这些安全威胁的流行已导致产生各种各样的可用于计算机的安全相关工具。这些工具的示例包括反病毒程序、广告软件扫描程序、防火墙等。尽管这些工具可用，但计算机继续感染恶意软件。
恶意软件感染持久性的一个原因是某些恶意软件对安全工具的隐藏能力。恶意软件可通过使用rootkit来对许多安全工具隐藏，该rootkit一般而言是旨在对计算机的操作系统隐藏运行进程、文件或系统数据的一组软件工具。rootkit可将其本身挂钩在计算机的系统中的非常低的地方(例如，在内核层)并截取计算机的操作系统和其他应用程序当在该计算机上运行时利用的主要系统服务。在一个示例中，驻留在计算机上的反病毒工具扫描计算机的硬盘以查找病毒。作为扫描过程的一部分，计算机的操作系统作出一个或多个功能调用，诸如对特定文件的“打开文件”调用。然而，驻留在计算机上的恶意软件可使用rootkit来截取该“打开文件”功能调用并返回“文件丢失”错误或返回错误的文件。由此，反病毒工具无法访问所请求的文件并检查该文件以查找病毒感染。如果所请求的文件感染病毒，则该感染将持续不被检测到。
概述
描述了用于扫描计算设备以查找恶意软件的技术和装置。在一个实现中，包括可信操作系统和可信反病毒工具的可信操作环境被包含在可移动数据存储介质上。计算设备然后使用可信操作系统来从该可移动数据存储介质引导。可信反病毒工具在计算设备中搜索恶意软件定义更新(例如，病毒签名更新)并与可信操作系统交互以扫描该计算设备以便查找恶意软件。另一实现使用诸如具有微控制器的通用串行总线(USB)驱动器等可移动设备来存储可信操作环境。计算设备使用可信操作系统来引导并且可信反病毒工具扫描该计算设备以查找恶意软件。该可移动设备可通过在计算设备或远程资源中搜索更新并认证所定位到的任何更新来更新其自己的内部组件(例如，病毒签名和反病毒工具)。
提供本概述是为了以简化的形式介绍将在以下详细描述中进一步描述的一些概念。该概述不旨在标识所要求保护的主题的关键特征或必要特征，也不旨在用于帮助确定所要求保护的主题的范围。
附图简述
参考附图来描述该详细描述。在附图中，附图标记中的最左边的数字标识该附图标记首次出现的附图。在不同附图中使用同一附图标记来指示相似或相同的项目。
图1示出了用于实现扫描计算设备以查找恶意软件的技术的示例性体系结构和可移动数据存储介质。
图2示出了用于实现扫描计算设备以查找恶意软件的技术的示例性体系结构和可移动设备。
图3是用于搜索恶意软件更新并扫描计算设备以查找恶意软件的示例性过程的流程图。
图4是用于扫描计算设备以查找恶意软件并更新可移动设备的组件的示例性过程的流程图。
图5是用于认证可移动设备组件更新的示例性过程的流程图。
图6是用于安全文件存储的示例性过程的流程图。
详细描述
此处所描述的设备和技术提供了一种可用于扫描计算设备以查找病毒和其他形式的恶意软件并消除任何这些实体对该计算设备的感染(disinfect)的可信操作环境。术语“病毒”和“恶意软件”在此处可互换地使用，并且两者一般都指的是被设计成在没有所有者告知的同意的情况下渗入和/或破坏计算机系统的计算机代码的集合。恶意软件的其他示例包括特洛伊木马、蠕虫、间谍软件等。可信操作环境由诸如软件或硬件制造商等可信授权机构创建，并且然后被包含在可与计算设备接口的设备或计算机可读介质上。对可信操作环境的非授权访问通过使用只准许可信数据访问可信操作环境的只读介质、认证协议和微控制器来阻止。如此处所使用的，术语认证指的是可被实现来验证通信或数据文件所源自的实体的身份并确保该通信或数据文件未被非授权实体篡改或不被允许地更改的任何合适的方法或协议。
在一个示例中，可信操作环境包括可信操作系统和可信反病毒工具。计算设备可使用可信操作系统来引导并由此避开可隐藏在该计算设备上的rootkit和其他恶意软件的问题。可信反病毒工具然后可扫描计算设备并确保其与可信操作系统的交互将准确地反映该计算设备的状态。
示例性体系结构
图1示出了可实现所述过程和技术的体系结构100。计算设备102是体系结构100的一部分。尽管被示为台式PC，但计算设备102可被实现为各种常规计算设备中的任一种，包括例如，服务器、笔记本或便携式计算机、工作站、大型计算机、移动通信设备、PDA、娱乐设备、机顶盒、因特网设备、游戏控制台等。
计算设备102可包括但不限于，一个或多个处理器104、存储器106、输入/输出(I/O)设备108(例如，键盘和鼠标)以及操作上将包括处理器104在内的各种组件耦合到存储器106的系统总线(未示出)。计算设备102的存储器包括诸如随机存取存储器(RAM)等易失性存储器形式的和/或诸如只读存储器(ROM)或闪速RAM等非易失性存储器形式的计算机可读介质。存储器106通常包括数据和/或程序模块，诸如操作系统110和病毒更新包112。数字签名114和病毒签名更新116是病毒更新包112的一部分，这两者将在以下更详细地讨论。
为了实现病毒扫描过程，用户将可移动数据存储介质118加载到计算设备102中以使得该计算设备可读取该可移动介质。可移动数据存储介质118是可与计算设备接口(例如，通过将其插入盘驱动器中)并在不必拆卸计算设备的情况下移除的数据存储介质。尽管可移动数据存储介质118在此处被示为紧致盘(CD)或数字多功能盘(DVD)，但可采用任何合适的计算机可读可移动数据存储介质，包括其他光存储介质，闪存、盒式磁带、磁带、磁盘存储或其它磁存储设备，或者可用于存储所需信息并可由计算机访问的任何其它可移动存储介质。此外，可移动数据存储介质118可以是只读介质以使得其上所包含的数据和文件无法被来自感染源(例如，计算设备102)的、试图感染该存储介质的恶意软件感染。
用户然后从可移动数据存储介质118引导计算设备102。可移动数据存储介质118包括可移动介质存储器120，该存储器存储用于实现所述过程的数据和/或程序模块和组件。如在此使用的术语“模块”或“组件”一般表示软件、固件、或者软件和固件的组合。作为引导过程的一部分，计算设备102从可移动介质存储器120中加载可信操作系统(OS)122。可信反病毒工具124然后自动或通过用户所表示的动作从可移动介质存储器120中启动。
可信反病毒工具124然后加载存储在可移动介质存储器120上的病毒签名126。病毒签名126是用于标识病毒的一组病毒“指纹”。示例性病毒签名是病毒的计算机代码的全部或部分的二进制模式。可信反病毒工具124还搜索计算设备102并标识当前未被存储在可移动介质存储器120上的任何病毒签名。在一个示例中，可信反病毒工具124在存储器106上定位包含病毒签名更新116的病毒更新包112。病毒签名更新116包括一个或多个病毒签名，其中的某一些可以与存储在可移动数据存储介质118上的任何病毒签名不同(例如，它们可标识更新近编目的病毒)。在将病毒签名更新116用于病毒扫描之前，可信反病毒工具124使用认证工具128来验证病毒更新包112的真实性。
为了验证和/或认证病毒更新包112，认证工具128利用来自可移动介质存储器120的根证书130来认证数字签名114。一般而言，数字签名114是已编码的消息或其他数据片段，将数字签名114与根证书130进行比较以确定病毒更新包112是否源自可信授权机构并且未被篡改。在一个示例中，数字签名114是诸如X.509证书等作为病毒更新包112的一部分的数字证书的一部分。如果数字签名114被确定为是真实的，则可信反病毒工具124将病毒签名更新指定为通过认证并加载该病毒签名更新。该认证方法只是出于示例的目的而给出的，并且可利用任何合适的密码、验证和/或认证协议来验证病毒签名更新源自可信授权机构。
可信反病毒工具124然后在计算设备102上运行并使用病毒签名126以及来自病毒更新包112的任何通过认证的病毒签名更新来扫描计算设备102以查找病毒。通过在病毒扫描时与可信操作系统122交互，用户可确保在病毒扫描过程期间作出的操作系统调用将正确地返回所请求的文件并给出对计算设备102的准确描述。
此外，对于体系结构100，计算设备102可使用网络132来访问远程资源134。网络132可包括但不限于，局域网(LAN)、广域网(WAN)和城域网(MAN)。远程资源134可以是web服务器、服务器场、大型计算机、数据中心或能够存储和/或传输数据的任何其他资源。由此，可信反病毒工具124可利用计算设备102和网络132来访问远程资源134并标识和下载驻留在该远程资源上的一个或多个病毒签名更新。将如以上所讨论地认证远程资源134上所标识的任何病毒签名更新。
图2示出了可实现所述过程和技术及其变体的示例性体系结构200。体系结构200包括图1所介绍的计算设备102。还示出了可移动设备202。尽管可移动设备202在此处被示为通用串行总线(USB)设备，但可利用任何合适的可移动和/或便携式设备，诸如PC卡、智能卡、火线设备等。在操作中，可移动设备202与计算设备102接口并且该计算设备从该可移动设备引导。作为引导过程的一部分，计算设备102访问可移动设备202上的存储器204并加载可信操作系统206。存储器204通常包括可立即由微控制器216访问和/或当前正在计算设备102上操作的、用于实现所述过程的数据、程序模块和组件。
可信反病毒工具208然后从存储器204中启动并且该可信反病毒工具从存储器204中加载病毒签名210。可信反病毒工具208可任选地使用类似于以上参考图1所讨论的过程来在计算设备102上定位并认证病毒签名更新。可信反病毒工具208然后继续使用所加载的病毒签名来扫描计算设备102以查找病毒。通过与在计算设备102上运行的可信操作系统206交互，可信反病毒工具208可执行对计算设备102的彻底的病毒扫描，包括任何存储设备(例如，硬盘驱动器)、基本输入/输出系统(BIOS)、硬件、固件等。如果定位到任何病毒，则从计算设备102中去除该病毒。计算设备102然后可使用其自己的内部操作系统来重新引导至干净的操作环境中。
可移动设备202具有使用更新代理214和微控制器216来安全地更新自自己的内部组件的能力。微控制器216是包括控制可移动设备202的特定过程和动作所必需的组件的集成电路或微处理器。尽管未在图2中示出，但微控制器216的组件包括一个或多个处理器、一种或多种形式的存储器(例如，只读存储器和/或随机存取存储器)、输入/输出端口、定时器等。
可更新可移动设备202的任何组件，包括病毒签名210和可信反病毒工具208。作为更新过程的一部分，微控制器216可利用更新代理214来在计算设备102中搜索一个或多个可移动设备组件更新。微控制器216还可利用更新代理214来经由计算设备102和网络132访问远程资源134以获得所需组件更新。如果定位到任何组件更新，则认证工具212可使用任何合适的认证和/或密码协议来验证组件更新源自可信授权机构。如果认证工具212确定组件更新是真实的(即，该组件更新通过认证过程)，则向存储器204写入该组件更新。否则，微控制器216阻止任何未通过认证的和未经授权的数据(例如，未通过认证过程的组件更新)被写入到存储器216上。将微控制器216用作“看门人”准许动态更新可移动设备202同时维护其内部组件的可信方面。
示例性过程
图3示出了用于执行病毒扫描的示例性过程300。过程300被示为逻辑流程图中的框集合，该框集合表示可用硬件、软件或其组合来实现的操作序列。在软件的上下文中，各个框表示在由一个或多个处理器执行时执行既定操作的计算机指令。虽然以下各过程按照单独的动作来讨论，但这并非旨在是限制性的，并且在某些示例中可组合所讨论的动作。出于讨论的目的，过程300参考图1所示的体系结构100来描述。
在302，将可移动数据存储介质(诸如可移动数据存储介质118)加载到计算设备中。在304，从可移动数据存储介质上的可信操作环境引导计算设备。作为该引导过程的一部分，可信操作系统从可移动数据存储介质加载到计算设备上。在306，从可移动数据存储介质中启动可信反病毒工具。动作306可通过从可移动数据存储介质运行可信反病毒工具或者将该可信反病毒工具加载到计算设备上并从该计算设备运行该工具来完成。在308，可新反病毒工具搜索计算设备并定位任何病毒签名更新。病毒签名更新可以是病毒更新包的一部分，该病毒更新包包括病毒签名更新和可用于认证更新的数字签名。数字签名可以是诸如X.509证书等作为病毒更新包的一部分来存储在计算设备上或存储在计算设备上的其他地方的认证证书的一部分。可信反病毒工具还可利用计算设备和网络来在远程资源中搜索病毒签名更新。如果定位到和/或标识了任何病毒签名更新，则在310处认证这些更新。在一个示例中，动作310包括处理数字签名以确定病毒签名更新是否源自可信授权机构。
在312，可信反病毒工具连同任何通过认证的病毒签名更新一起加载存储在可移动数据存储介质上的任何病毒签名。在314，可信反病毒工具与计算设备上所加载的可信操作系统交互以扫描该计算设备以查找匹配所加载的病毒签名的任何病毒。可信反病毒工具可执行对计算设备的全面扫描，包括任何存储设备(例如，硬盘驱动器)、BIOS、硬件、固件等。在316，从计算设备中去除所定位到的任何病毒。在318，将计算设备重新引导至干净的内部操作环境中。该内部操作环境包括已使用此处所讨论的技术来扫描并清除了任何病毒或其他恶意软件的操作系统。
图4示出了用于执行病毒扫描的示例性过程400。过程400被示为逻辑流程图中的框集合，该框集合表示可用硬件、软件或其组合来实现的操作序列。在软件的上下文中，各个框表示当由一个或多个处理器执行时完成既定操作的计算机指令。出于讨论的目的，过程400参考图2所示的体系结构200来描述。
在402，将可移动设备(例如，可移动设备202)与用户希望扫描以查找病毒的计算设备接口。在一个示例中，动作402通过将可移动设备插入到计算设备上的适当的端口(例如，USB端口)中来完成。在404，从可移动设备引导计算设备。作为该引导过程的一部分，可信操作系统从可移动设备加载到计算设备上。在406，从可移动设备中启动可信反病毒工具。动作406可通过从可移动设备运行可信反病毒工具或者将该可信反病毒工具加载到计算设备上并从该计算设备运行该工具来完成。作为动作406的一部分，可信反病毒工具加载存储在可移动设备上的一个或多个病毒签名。可移动设备还可定位存储在计算设备和/或远程资源上的一个或多个病毒签名更新，认证病毒签名更新并加载任何通过认证的病毒签名更新。在408，可信反病毒工具与计算设备上所加载的可信操作系统交互以扫描该计算设备以查找任何病毒。该反病毒工具基于存储在可移动设备上的病毒签名加上来自计算设备的任何通过认证的病毒签名更新来标识任何病毒。在410，去除所定位到的任何病毒。
在412，将计算设备重新引导至包括已扫描并清除了病毒的操作系统的干净的内部环境。该内部操作系统是驻留在计算设备上的操作系统(即，该操作系统不是从可移动设备中加载的操作系统)。在414，可移动设备然后检查对其内部组件(例如，病毒签名和反病毒工具本身)的更新。该可移动设备可在计算设备中搜索组件更新，或者可任选地访问远程资源以搜索组件更新。如果定位到任何组件更新，则在416，使用任何合适的认证和/或密码过程来认证组件更新。如果任何组件更新通过该认证过程，则在418，在可移动设备上安装组件更新。尽管此处未示出，但该过程可任选地返回到动作404并使用在418处安装在可移动设备上的任何病毒签名更新(或其他组件更新)来重新扫描计算设备以查找病毒。
由此，如图所示，过程400允许使用从可移动设备中加载的可信操作系统来对计算设备执行病毒扫描。一旦已扫描计算设备并消除了任何病毒对其的感染，可移动设备然后就可搜索对其自己的内部组件的任何更新，认证所定位到的任何更新并加载通过认证的更新。在某些实现中，该过程通过在最常规的文件系统操作期间(例如，在病毒扫描期间)以只读模式操作可移动设备来实现，由此防止病毒和其他恶意软件感染该可移动设备。在更新操作期间，组件更新包被传送到可移动设备并经受认证。可移动设备上的微控制器控制认证过程并检查组件更新包以查找签名和/或证书。如果微控制器确定特定更新包的签名和/或证书有效，则该微控制器将允许向可移动设备写入该更新包。否则，可移动设备将保持只读状态以维护其可信操作环境的完整性。
图5示出了用于认证可移动设备组件更新的过程的一个示例，如以上在图4的动作416中所示出的。在500，定位并取得与任何可移动设备组件更新相关联的数字签名。如以上所讨论的，该数字签名可以是总认证证书的一部分。在502，根据任何合适的认证和/或密码协议来处理数字签名。在一个示例中，数字签名用存储在可移动设备上的根证书来验证。在504，确定数字签名是否通过了认证过程。如果数字签名被确定为源自可信授权机构(即，被指定为真实的)，则在506，向可移动设备写入与该数字签名相关联的可移动设备组件更新。如果数字签名未通过认证过程，则在508，不向可移动设备写入可移动设备组件更新。在一个示例中，动作508可包括从计算设备中删除未通过认证过程的任何可移动设备组件更新。
安全存储
图6示出了用于实现安全存储设备的示例性过程600。过程600被示为逻辑流程图中的框集合，该框集合表示可用硬件、软件或其组合来实现的操作序列。在软件的上下文中，各个框表示当由一个或多个处理器执行时完成既定操作的计算机指令。出于讨论的目的，过程600参考图2所示的可移动设备202来描述。
在602，将可移动设备与计算设备接口。在一个示例中，动作602通过将可移动设备插入到计算设备上的适当的端口(例如，USB端口)中来完成。在604，在计算设备上定位用户希望将其复制和/或传送到可移动设备的至少一个数据文件。在一个示例中，可定位多个文件，并由此将对每一个文件执行所示过程。该数据文件可本地地存储在计算设备上或者可位于可由该计算设备访问的远程资源上。在606，用驻留在可移动设备上的反病毒工具来扫描数据文件以查找病毒。在608，确定数据文件是否感染病毒或其他恶意软件。如果在数据文件中检测到任何病毒/恶意软件，则在610，使用反病毒工具来消除病毒对该数据文件的感染(即，从文件中去除病毒)。如果未在文件中检测到病毒或其他恶意软件，则在616，将该文件复制到可移动设备。在612，确定是否已成功消除受感染文件的感染。如果未成功消除文件感染，则在614，阻止将该文件复制到可移动设备。任选地，可在另一次消除文件感染的尝试时用反病毒工具来重新扫描该文件。如果已成功消除文件的感染，则在616，将消除感染的文件复制到可移动设备。可移动设备然后可将所复制的文件传送到其他设备而不害怕传播可能已感染文件的任何病毒。这在其中许多不同的用户可访问特定设备的公共终端情形(例如，图书馆)中尤其有用。在这些情况下，用户可能无意地访问受感染的文件并将其下载到公共终端上。使用该安全存储过程，用户可确保从这一终端下载的任何文件都不会受到病毒感染。
结论
虽然已经用对结构特征和/或方法步骤专用的语言描述了本发明，但是应当理解，所附权利要求书中定义的本发明不必限于所描述的具体特征或步骤。相反，各具体特征和步骤是作为实现所要求保护的本发明的较佳形式来公开的。

Claims (20)

1.一种方法，包括：
从外部存储介质引导计算设备(304)，所述外部存储介质包括可信操作系统和反病毒工具(118)；
用所述反病毒工具来搜索病毒签名更新(308)；
如果找到任何病毒签名更新，则认证所述病毒签名更新(310)；以及
用所述反病毒工具和来自所述计算设备的任何通过认证的病毒签名更新来扫描所述计算设备(314)。
2.如权利要求1所述的方法，其特征在于，搜索病毒签名更新包括搜索远离所述计算设备的资源上的病毒签名更新。
3.如权利要求1所述的方法，其特征在于，搜索病毒签名更新包括搜索所述计算设备上的病毒签名更新。
4.如权利要求1所述的方法，其特征在于，用所述反病毒工具来扫描所述计算设备包括从所述外部存储介质中加载一个或多个病毒签名。
5.如权利要求1所述的方法，其特征在于，所述计算设备包括：
一个或多个病毒签名更新；以及
与所述病毒签名更新相关联的数字签名。
6.如权利要求5所述的方法，其特征在于，所述认证包括：
使用所述外部存储介质上的认证工具和根证书来处理所述数字签名；以及
如果所述认证工具确定所述数字签名源自可信授权机构，则将所述病毒签名更新指定为通过认证。
7.如权利要求1所述的方法，其特征在于，还包括：
如果所述扫描在所述计算设备上检测到任何病毒，则去除所述病毒；以及
使用在所述计算设备内部的操作系统来重新引导所述计算设备。
8.一种方法，包括：
将可信操作系统加载从可移动数据存储介质加载到计算设备上(302)；
从所述可移动数据存储介质中启动反病毒工具(306)；
定位并认证任何病毒签名更新(308、310)；以及
使用来自所述可移动数据存储介质的病毒签名和任何通过认证的病毒签名更新来扫描所述计算设备以查找病毒(314)。
9.如权利要求8所述的方法，其特征在于，所述加载作为对于所述计算设备的引导过程的一部分来执行。
10.如权利要求8所述的方法，其特征在于，所述定位标识所述计算设备上的一个或多个病毒签名更新。
11.如权利要求8所述的方法，其特征在于，所述定位标识远离所述计算设备的资源上的一个或多个病毒签名更新。
12.如权利要求8所述的方法，其特征在于，所述定位包括定位病毒更新包，所述病毒更新包包括一个或多个病毒签名更新和数字签名。
13.如权利要求12所述的方法，其特征在于，所述认证包括处理所述数字签名以确定所述病毒签名更新是否源自可信授权机构。
14.如权利要求8所述的方法，其特征在于，还包括：
如果所述扫描在所述计算设备上检测到一个或多个病毒，则去除所述病毒；以及
使用在所述计算设备内部的操作系统来重新引导所述计算设备。
15.一种可移动计算机可读存储介质，包括：
从所述可移动计算机可读存储介质引导计算设备的操作系统组件(122)；
标识一个或多个病毒签名更新并扫描所述计算设备以查找病毒的反病毒工具组件(124)；以及
认证所述病毒签名更新的认证工具组件(128)。
16.如权利要求15所述的可移动计算机可读存储介质，其特征在于，所述反病毒工具组件被配置成标识存储在所述计算设备上的病毒签名更新。
17.如权利要求15所述的可移动计算机可读存储介质，其特征在于，所述反病毒工具组件被配置成标识存储在远离所述计算设备的资源上的病毒签名更新。
18.如权利要求15所述的可移动计算机可读存储介质，其特征在于，所述认证包括：
取得与所述病毒签名更新相关联的数字签名；以及
用所述认证工具组件来处理所述数字签名以确定所述病毒签名是否源自可信授权机构。
19.如权利要求15所述的可移动计算机可读存储介质，其特征在于，还包括由所述反病毒工具使用的一个或多个病毒签名。
20.如权利要求15所述的可移动计算机可读存储介质，其特征在于，还包括由所述认证工具在认证所述病毒签名更新时使用的根证书。
CN200880015243A 2007-05-11 2008-05-02 用于恶意软件检测的可信操作环境 Pending CN101681406A (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US11/747,345 US8104088B2 (en) 2007-05-11 2007-05-11 Trusted operating environment for malware detection
US11/747,345 2007-05-11
PCT/US2008/062508 WO2008140975A1 (en) 2007-05-11 2008-05-02 Trusted operating environment for malware detection

Publications (1)

Publication Number Publication Date
CN101681406A true CN101681406A (zh) 2010-03-24

Family

ID=39970762

Family Applications (1)

Application Number Title Priority Date Filing Date
CN200880015243A Pending CN101681406A (zh) 2007-05-11 2008-05-02 用于恶意软件检测的可信操作环境

Country Status (6)

Country Link
US (1) US8104088B2 (zh)
EP (1) EP2156356B1 (zh)
JP (1) JP5327757B2 (zh)
CN (1) CN101681406A (zh)
RU (1) RU2473122C2 (zh)
WO (1) WO2008140975A1 (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103812850A (zh) * 2012-11-15 2014-05-21 北京金山安全软件有限公司 控制病毒访问网络的方法及装置
CN104205045A (zh) * 2012-03-30 2014-12-10 英特尔公司 针对可上网的计算节点提供不变的防病毒有效载荷
CN105409164A (zh) * 2013-06-28 2016-03-16 迈可菲公司 通过使用硬件资源来检测网络业务中的矛盾的根套件检测
CN114424194A (zh) * 2019-04-23 2022-04-29 微软技术许可有限责任公司 自动恶意软件修复和文件恢复管理

Families Citing this family (32)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8086835B2 (en) * 2007-06-04 2011-12-27 International Business Machines Corporation Rootkit detection
US7917952B1 (en) * 2007-10-17 2011-03-29 Symantec Corporation Replace malicious driver at boot time
US8312547B1 (en) * 2008-03-31 2012-11-13 Symantec Corporation Anti-malware scanning in a portable application virtualized environment
US9596250B2 (en) * 2009-04-22 2017-03-14 Trusted Knight Corporation System and method for protecting against point of sale malware using memory scraping
KR100980606B1 (ko) * 2008-09-08 2010-09-07 주식회사 하이닉스반도체 워드라인 구동회로 및 구동방법
CN101408846B (zh) * 2008-11-24 2011-04-13 华为终端有限公司 一种杀毒软件升级的方法及相应的终端和系统
US20100154062A1 (en) * 2008-12-16 2010-06-17 Elad Baram Virus Scanning Executed Within a Storage Device to Reduce Demand on Host Resources
US8402544B1 (en) 2008-12-22 2013-03-19 Trend Micro Incorporated Incremental scanning of computer files for malicious codes
US20100318731A1 (en) * 2009-06-16 2010-12-16 Murray Mark R Override boot sequence by presence of file on usb memory stick
JP2011076169A (ja) * 2009-09-29 2011-04-14 Hagiwara Sys-Com:Kk Ｆａ工作機械のウィルススキャン方法、並びに該方法に使用するｕｓｂメモリ
US8601532B2 (en) * 2009-09-30 2013-12-03 Imation Corp. Method and system for provisioning portable desktops
US8555376B2 (en) * 2009-09-30 2013-10-08 Imation Corp. Method and system for supporting portable desktop with enhanced functionality
US8266350B2 (en) * 2009-09-30 2012-09-11 Imation Corp. Method and system for supporting portable desktop
US8516236B2 (en) 2009-09-30 2013-08-20 Imation Corp. Portable desktop device and method of host computer system hardware recognition and configuration
WO2011057409A1 (en) 2009-11-13 2011-05-19 Memory Experts International Inc. Device and method for verifying connectivity
US20110173377A1 (en) * 2010-01-13 2011-07-14 Bonica Richard T Secure portable data storage device
US9064116B2 (en) * 2010-11-08 2015-06-23 Intel Corporation Techniques for security management provisioning at a data storage device
CN102799801A (zh) * 2011-05-27 2012-11-28 网秦无限（北京）科技有限公司 利用移动存储器查杀移动设备病毒的方法和系统
US20130152201A1 (en) * 2011-12-12 2013-06-13 Microsoft Corporation Adjunct Computing Machine for Remediating Malware on Compromised Computing Machine
GB2506622A (en) * 2012-10-04 2014-04-09 Ibm Anti-virus data management
GB2508894A (en) 2012-12-14 2014-06-18 Ibm Preventing a trusted boot device from being booted in a virtual machine
US9058504B1 (en) * 2013-05-21 2015-06-16 Malwarebytes Corporation Anti-malware digital-signature verification
US8910283B1 (en) 2013-11-21 2014-12-09 Kaspersky Lab Zao Firmware-level security agent supporting operating system-level security in computer system
US20170353461A1 (en) * 2016-06-03 2017-12-07 Honeywell International Inc. System and method for providing command and control parameters, configuration data, and other data to nodes of a protected system using secure media
US10191831B2 (en) * 2016-06-08 2019-01-29 Cylance Inc. Macro-script execution control
US10264002B2 (en) * 2016-07-14 2019-04-16 Mitsui Bussan Secure Directions, Inc. Program, information processing device, and information processing method
US11720677B2 (en) 2017-05-11 2023-08-08 Antique Books, Inc. Attached storage device for enhanced data and program protection
US10333951B1 (en) * 2017-07-31 2019-06-25 EMC IP Holding Company LLC Method and system for implementing golden container storage
US11425170B2 (en) 2018-10-11 2022-08-23 Honeywell International Inc. System and method for deploying and configuring cyber-security protection solution using portable storage device
US11736517B2 (en) 2020-02-10 2023-08-22 Seagate Technology Llc Data storage device with security module
US11698975B2 (en) * 2020-02-26 2023-07-11 Seagate Technology Llc Distributed data storage system with backward attestation
US11277375B1 (en) 2021-01-04 2022-03-15 Saudi Arabian Oil Company Sender policy framework (SPF) configuration validator and security examinator

Family Cites Families (39)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH07295804A (ja) * 1994-04-25 1995-11-10 Sharp Corp コンピュータ・ウィルス検索装置
JPH1049365A (ja) * 1996-08-06 1998-02-20 Nec Niigata Ltd フロッピーディスクドライブ
JP3437065B2 (ja) * 1997-09-05 2003-08-18 富士通株式会社 ウイルス駆除方法，情報処理装置並びにウイルス駆除プログラムが記録されたコンピュータ読取可能な記録媒体
US6035423A (en) 1997-12-31 2000-03-07 Network Associates, Inc. Method and system for providing automated updating and upgrading of antivirus applications using a computer network
JP2000089992A (ja) * 1998-09-11 2000-03-31 Fujitsu Ltd 記憶装置
US7930531B2 (en) 2000-01-06 2011-04-19 Super Talent Electronics, Inc. Multi-partition USB device that re-boots a PC to an alternate operating system for virus recovery
US6973577B1 (en) 2000-05-26 2005-12-06 Mcafee, Inc. System and method for dynamically detecting computer viruses through associative behavioral analysis of runtime state
GB2366691B (en) * 2000-08-31 2002-11-06 F Secure Oyj Wireless device management
JP2002132454A (ja) * 2000-10-19 2002-05-10 Xaxon R & D Corp 圧縮伸張装置を備えた半導体ディスク装置
US7043757B2 (en) 2001-05-22 2006-05-09 Mci, Llc System and method for malicious code detection
US7243373B2 (en) 2001-07-25 2007-07-10 Mcafee, Inc. On-access malware scanning
US7188369B2 (en) 2002-10-03 2007-03-06 Trend Micro, Inc. System and method having an antivirus virtual scanning processor with plug-in functionalities
WO2004054185A1 (ja) * 2002-12-11 2004-06-24 Mitsui & Co., Ltd. 通信システム、仮想ネットワークスイッチを備えた通信端末および生体認識装置を備えた携帯型電子デバイス
US20040254978A1 (en) 2003-06-12 2004-12-16 International Business Machines Corporation System and method of remotely accessing a computer system to initiate remote mainteneance and management accesses on network computer systems
US20050015606A1 (en) 2003-07-17 2005-01-20 Blamires Colin John Malware scanning using a boot with a non-installed operating system and download of malware detection files
US20050091558A1 (en) 2003-10-28 2005-04-28 International Business Machines Corporation System, method and program product for detecting malicious software
KR20050080664A (ko) 2004-02-10 2005-08-17 주식회사 팬택앤큐리텔 무선통신단말기를 이용한 컴퓨터 바이러스 치료 시스템 및그 방법
US7555568B2 (en) 2004-02-28 2009-06-30 Huang Evan S Method and apparatus for operating a host computer from a portable apparatus
US7840763B2 (en) * 2004-03-12 2010-11-23 Sca Technica, Inc. Methods and systems for achieving high assurance computing using low assurance operating systems and processes
US7370188B2 (en) * 2004-05-17 2008-05-06 Intel Corporation Input/output scanning
RU2393531C2 (ru) * 2004-06-21 2010-06-27 Майкрософт Корпорейшн Антивирус для хранилища элементов
US7627898B2 (en) 2004-07-23 2009-12-01 Microsoft Corporation Method and system for detecting infection of an operating system
KR101201118B1 (ko) * 2004-11-08 2012-11-13 마이크로소프트 코포레이션 바이러스 방지 소프트웨어 어플리케이션들의 지식 베이스를모으는 시스템 및 방법
KR100713128B1 (ko) 2004-11-08 2007-05-02 주식회사 비젯 바이러스 방역 장치 및 시스템
US7673341B2 (en) 2004-12-15 2010-03-02 Microsoft Corporation System and method of efficiently identifying and removing active malware from a computer
US20060253908A1 (en) 2005-05-03 2006-11-09 Tzu-Jian Yang Stateful stack inspection anti-virus and anti-intrusion firewall system
US7239166B2 (en) * 2005-06-15 2007-07-03 Microsoft Corporation Portable multi-purpose toolkit for testing computing device hardware and software
JP2007026293A (ja) * 2005-07-20 2007-02-01 Toshiba Tec Corp Ｐｏｓ端末装置及びｐｏｓシステム
WO2007013176A1 (ja) * 2005-07-29 2007-02-01 Fujitsu Limited 情報処理装置及びパターンマッチング処理方法
KR20070016029A (ko) 2005-08-02 2007-02-07 최성필 컴퓨터 보안 기능을 제공하는 휴대용 ｕｓｂ 저장 장치 및상기 휴대용 ｕｓｂ 저장 장치의 동작 방법
US20070094654A1 (en) 2005-10-20 2007-04-26 Microsoft Corporation Updating rescue software
US7877801B2 (en) 2006-05-26 2011-01-25 Symantec Corporation Method and system to detect malicious software
US8234710B2 (en) 2006-07-05 2012-07-31 BB4 Solutions, Inc. Malware automated removal system and method using a diagnostic operating system
US7853999B2 (en) 2007-05-11 2010-12-14 Microsoft Corporation Trusted operating environment for malware detection
JP5149039B2 (ja) * 2008-03-05 2013-02-20 新光電気工業株式会社 ウイルスチェック用装置とこれを用いたデータ通信方法
US8335931B2 (en) 2008-06-20 2012-12-18 Imation Corp. Interconnectable personal computer architectures that provide secure, portable, and persistent computing environments
US9098698B2 (en) 2008-09-12 2015-08-04 George Mason Research Foundation, Inc. Methods and apparatus for application isolation
JP2010097550A (ja) * 2008-10-20 2010-04-30 Intelligent Software:Kk ウイルス防止プログラム、コンピュータに着脱可能な記憶装置、及びウイルス防止方法
US20100332593A1 (en) 2009-06-29 2010-12-30 Igor Barash Systems and methods for operating an anti-malware network on a cloud computing platform

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104205045A (zh) * 2012-03-30 2014-12-10 英特尔公司 针对可上网的计算节点提供不变的防病毒有效载荷
CN104205045B (zh) * 2012-03-30 2017-06-09 英特尔公司 用于提供操作系统有效载荷的方法、装置、以及系统
CN103812850A (zh) * 2012-11-15 2014-05-21 北京金山安全软件有限公司 控制病毒访问网络的方法及装置
CN105409164A (zh) * 2013-06-28 2016-03-16 迈可菲公司 通过使用硬件资源来检测网络业务中的矛盾的根套件检测
CN114424194A (zh) * 2019-04-23 2022-04-29 微软技术许可有限责任公司 自动恶意软件修复和文件恢复管理

Also Published As

Publication number Publication date
RU2009141594A (ru) 2011-05-20
JP5327757B2 (ja) 2013-10-30
US20080282350A1 (en) 2008-11-13
EP2156356A1 (en) 2010-02-24
EP2156356A4 (en) 2012-02-08
EP2156356B1 (en) 2018-05-02
WO2008140975A1 (en) 2008-11-20
US8104088B2 (en) 2012-01-24
JP2010527074A (ja) 2010-08-05
RU2473122C2 (ru) 2013-01-20

Similar Documents

Publication Publication Date Title
CN101681407B (zh) 用于恶意软件检测的可信操作环境
CN101681406A (zh) 用于恶意软件检测的可信操作环境
RU2413295C2 (ru) Система и способ для защищенной начальной загрузки операционной системы с использованием проверки состояния
KR101359841B1 (ko) 신뢰성 있는 부트 최적화를 위한 방법 및 장치
KR101434102B1 (ko) 인증된 안티바이러스 에이전트에게 메모리를 스캔하는 직접 액세스를 제공하는 것
US8474032B2 (en) Firewall+ storage apparatus, method and system
EP2011049B1 (en) Selectively unlocking a core root of trust for measurement (crtm)
CN107408172B (zh) 从用户信任的设备安全地引导计算机
KR101281678B1 (ko) 이동 저장 장치에서 호스트 인증 방법, 호스트 인증을 위한정보 제공 방법, 장치, 및 기록매체
US20060236122A1 (en) Secure boot
US8984296B1 (en) Device driver self authentication method and system
US20090198994A1 (en) Updated security system
JP2008243183A (ja) ファームウェア装置更新システムおよびその方法
US9251350B2 (en) Trusted operating environment for malware detection
JP2017021852A (ja) マルウェアリスクスキャナー
JP6355657B2 (ja) 処理実行装置、処理実行方法及び制御プログラム
CN104484610A (zh) 一种Windows操作系统安全加固的实现方法
KR20110048014A (ko) 컴퓨터 플랫폼에서의 방법 및 장치

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C02 Deemed withdrawal of patent application after publication (patent law 2001)
WD01 Invention patent application deemed withdrawn after publication

Application publication date: 20100324