CN102037471A - 具有使用网络询问的最优定义分发的集中式扫描器数据库 - Google Patents

Abstract

一种系统和方法基于来自一个中央服务器的部分分发的恶意软件定义来检测客户端上的恶意软件。一个服务器存储对于已知恶意软件的恶意软件定义。该服务器基于这些恶意软件定义生成一个或多个过滤程序并且将这个或这些过滤程序分发给客户端装置。该服务器还针对最常被检出的恶意软件的一个子集将完整定义分发给这些客户端。客户端装置通过首先对一个文件应用该过滤程序来针对恶意软件对多个文件进行扫描。若该过滤程序输出一个肯定检测，则该客户端使用该完整定义对该文件进行扫描以确定是否该文件包括恶意软件。若该完整定义未被客户端本地存储，则由客户端向服务器询问该定义并且然后继续该扫描过程。

Description

具有使用网络询问的最优定义分发的集中式扫描器数据库

技术领域

本披露总体上涉及计算机安全，并且更具体地涉及检测恶意软件。

背景技术

恶意软件如计算机病毒、蠕虫、特洛伊木马、以及间谍软件对现代计算机系统构成持续的威胁。为了与恶意文件做斗争，计算机系统典型地运行试图检测、识别、并且将恶意文件去除的防病毒软件。常规的防病毒软件存储了一个定义数据库，其中每个定义对应于已知恶意软件。防病毒软件周期性地对客户端机器上的文件进行扫描以检测与已存储的定义相匹配的恶意软件。然后，可以使被检出恶意软件失效或将其清除。

虽然防病毒程序能够检测并去除恶意软件，但正在持续不断地产生的新的恶意软件被设计为围绕现有程序来工作。因此，重要的是经常对这些防病毒定义进行更新这样使得新发布的恶意软件可以被检出。这些更新典型地是由防病毒程序销售商提供的。

近年来，新的已知恶意软件的数量已经急剧增长，使得分发更新日益成为一个挑战性的问题。经常的更新可以对客户端机器造成数据过载的问题，这些机器必须持续接收并存储新的定义而同时继续存储并维护全部较旧的定义。这对于具有有限的物理内存的客户端机器，如自动取款机(ATM)，或具有有限的网络带宽的机器而言是特别棘手的。另外，将大量的定义分发给客户端机器导致定义分发者们的很大成本。

一种解决这个问题的方法是通过清除不再认为构成持续威胁的较旧定义来减少由防病毒软件使用的有效定义的数目。然而，如果这些较旧的威胁再次出现，这种方法使得客户端易于受到攻击。另一种常规的方法是提供一个中央防病毒服务器用于存储所有的定义而不是将这些定义分发给本地机器。然而，虽然这种方法降低了对本地存储的需求，但它显著地增加了客户端与服务器之间的网络流量并且在总体性能和成本上并没有提供显著的改进。因此，所需要的是一种用于将恶意软件定义分发给客户端装置的改进的系统。

发明内容

一种系统、方法、以及计算机程序产品检测恶意软件。在客户端装置中，扫描引擎对输入文件应用一个过滤程序以检测是否该输入文件具有与一个已知恶意软件定义集合中的一个恶意软件定义的特征相匹配的特征。基于该过滤程序、响应于确定该输入文件具有匹配的特征，使用针对已知恶意软件的定义对该文件进行扫描。扫描引擎基于该扫描来确定是否该输入文件包括恶意软件。

一个中央服务器基于该已知恶意软件定义的集合而生成该过滤程序并且将该过滤程序分发给客户端。中央服务器还针对一个已知恶意软件定义的子集确定要分发给这些客户端的定义。在一个实施方案中，当对该文件进行扫描时，扫描引擎确定是否该定义是被本地存储的。如果该定义未被本地存储，则客户端将从服务器请求该定义并且该服务器将该定义发送至该客户端。

在本说明书中说明的这些特征及优点并非包揽无遗的，并且特别是很多额外的特征和优点通过参看附图、说明书、以及权利要求书将对本领域的普通技术人员变得清楚。另外，应当指出，在本说明书中使用的语言原则上是被选择用于可读性以及指导性目的，而并非被选择用于划分或限定本发明的主题。

附图说明

所披露的实施方案具有其他的优点和特征，这些优点和特征将从以下详细说明、所附权利要求书、以及附图中变得更清楚，在附图中：

图1是根据一个实施方案的一种计算环境的高级框图。

图2是根据一个实施方案的一种中央服务器的框图。

图3是根据一个实施方案的一种典型的计算机系统的高级框图。

图4是根据一个实施方案的一个客户端装置的内存和存储部件的框图。

图5是根据一个实施方案的一种扫描引擎的框图。

图6是一个流程图，展示了根据一个实施方案的用于检测恶意软件的过程。

具体实施方式

现在将具体参见多个实施方案，在附图中展示了这些实施方案的多个实例。应注意到在任何可行的情况下在图示中可能使用类似的或相同的参考号并且可表明类似的或相同的功能性。这些图示仅为展示的目的描绘了多个实施方案。本领域的普通技术人员将容易地从以下说明中认识到，可以使用在此所展示的这些结构以及方法的替代实施方案而不背离在此说明的原理。

图1是根据一个实施方案的一种计算环境100的高级框图。计算环境100包括由网络102连接的一个中央服务器130以及多个客户端104。为了简化本说明，在图1中仅示出了三个客户端104。计算环境100的实施方案可以具有连接到网络102的很多额外的客户端104。

在一个实施方案中，客户端104是由一个或多个使用者使用的进行多种活动一台计算机，这些活动包括下载、安装、执行文件、和/或浏览通过网络102可访问的网站。在其他的实施方案中，客户端104是一个可上网的装置而不是一台计算机，如个人数字助理(PDA)、移动电话、传呼机、电视机顶盒，等等。客户端104易于受到恶意软件(如病毒、蠕虫、特洛伊木马程序、间谍软件，等等)的攻击并且典型地运行防病毒软件以检测、去除、和/或阻截这种恶意软件。以下参见图3更加详细地说明了用作客户端104的一种计算机系统的实施方案。

网络102代表客户端104和中央服务器130之间的通信路径。在一个实施方案中，网络102是互联网。网络102还可以使用专用的或私有的通信链路，它们不必是互联网的一部分。在一个实施方案中，网络102使用多种标准的通信技术和/或协议。因此，网络102可以包括使用如以太网、802.11、综合业务数字网(ISDN)、数字用户线(DSL)、异步传输模式(ATM)等等技术的链路。类似地，用在网络102上的网络协议可以包括传输控制协议/互联网协议(TCP/IP)、超文本传输协议(HTTP)、简单邮件传输协议(SMTP)、文件传输协议(FTP)，等等。可以使用包括超文本标记语言(HTML)、可扩展标记语言(XML)等等的技术和/或格式来表示在网络102上交换的数据。此外，所有的或部分的链路可以用常规的加密技术(如安全套接层(SSL)、安全HTTP和/或虚拟专用网络(VPN))加密。在另一个实施方案中，这些实体可以使用定制的和/或专门的数据通信技术，而不是以上说明的那些或除以上说明的那些之外。

中央服务器130可以包括一个或多个标准计算机系统，如以下说明的图3中的计算机系统。中央服务器130通过网络102与多个客户端104通信以便将防病毒更新分发给这些客户端104。在一个实施方案中，中央服务器130是可以通过互联网访问的、并且由一个第三方供应商来维护。可替代地，中央服务器130可以由一个局部企业网络的管理员来维护。例如，在商业企业中，企业可以维护它自己的中央服务器130以便将更新分发给它的所有客户端104而不依赖于外部服务。

中央服务器130可以周期性地将更新的恶意软件定义分发给客户端104。可替代地，当怀疑有潜在的威胁并且该定义在本地不可用时，这些客户端104可以针对一个或多个特定的定义询问中央服务器130。在一个实施方案中，中央服务器130只向每个客户端104分发一个或多个过滤程序而不是分发完整的恶意软件定义。这个或这些过滤程序是从这些恶意软件定义中生成的并且被用于确定是否正在被扫描的输入文件具有与已知恶意软件定义中的那些特征相匹配的特征。在扫描过程中，客户端104对正在被扫描的文件应用一个过滤程序并且该过滤程序输出一个肯定的或否定的检测。在一个实施方案中，该过滤程序被设计使得可能偶尔发生误肯定检测，但是从不发生误否定检测。例如，在一些实例中，当实际上被过滤的文件中不存在恶意软件时，该过滤程序可能不正确地输出对恶意软件的一个肯定的检测。然而，当恶意软件存在，只要该恶意软件定义被包括在用于生成该过滤程序的已知的集合中，则该过滤程序将从不会不正确地输出一个否定检测。有利地是，该过滤程序包括比完整定义显著地少的数据并且因此减少了对客户端104所要求的存储空间和带宽。

除了生成并分发该一个或多个过滤程序之外，中央服务器130存储对于所有的已知恶意软件的一个完整定义的集合。在扫描过程中，如果所应用的过滤程序检出了潜在的恶意软件，客户端104可以询问中央服务器130以检索完整定义。然后，客户端104使用完整定义对该文件进行扫描以确定是否该过滤程序结果是真肯定(即，所过滤的文件实际上包括恶意软件)或误肯定(即，所过滤的文件实际上不包括恶意软件)。在一个实施方案中，中央服务器130还针对一个已知恶意软件定义的子集将完整定义分发给客户端104。例如，中央服务器能够分发为被认为构成最严重威胁的恶意软件的定义(例如，对于最常用的30％的恶意软件的定义)。这样，对于最有可能被检出的恶意软件的完整定义可以被本地检索，从而减少了网络流量。

图2展示了中央服务器130的一种示例性实施方案。中央服务器130包括一个风险评估模块202、一个分发服务器204、一个定义生成模块206、一个过滤程序生成模块208、一个定义数据库210、以及一个过滤程序数据库212。无论何时发现了新的恶意软件，定义生成模块206生成对于已知恶意软件的完整定义。在一个实施方案中，该完整定义包括一个或多个签名，这些签名包括已知在恶意软件中存在的特征字节模式。可替代地，该定义可以包括基于通常行为检测恶意软件的一种探试法。典型地定义是基于来自安全分析员的输入而生成的，这些分析员检查并分析该恶意软件的多个实例。一旦生成，这些完整定义被存储在定义数据库210中。

风险评估模块202评估每个已知恶意软件威胁的相对危险性并且确定要分发给客户端104的一个定义的子集。剩余的定义仅被存储在中央服务器130中。评估模块202可以周期性地执行以便重新评估风险并且相应地分发已更新的定义集合。在一个实施方案中，风险评估模块202收集来自客户端装置104的数据并且使用这个信息来确定恶意软件的相对危险性。例如，风险评估模块202可以监测由中央服务器130接收的针对一个具体定义的询问次数。如果中央服务器130对于一个具体的定义收到高频率的询问，那么风险评估模块202可以确定该定义应当被分发给这些客户端104。通过分发最常用的定义，可以减少中央服务器130和客户端104之间的网络流量。

过滤程序生成模块208基于这些恶意软件定义生成一个或多个过滤程序并且将这个或这些过滤程序存储在过滤程序数据库212中。在一个实施方案中，过滤程序生成模块208从该恶意软件定义的集合中生成一个或多个Bloom过滤程序。Bloom过滤程序是一种过滤程序，它用于确定一个要素是否是一个集合中(例如，该已知恶意软件文件的集合)的一员。为了生成Bloom过滤程序，过滤程序生成模块208以多个位值的一个空阵列开始。在每个已知恶意软件的定义上计算出多个散列，其中每个散列函数的输出提供指向该位阵列中的一个位置的指针。然后，由这些散列函数输出的这些位置中的每一个被设置为1，而其余的位置被设置为0。可使用的散列函数的许多实例对于本领域的普通技术人员是已知的。

为了应用该过滤程序，对输入文件应用同一个集合的散列函数并且返回指向该阵列中的多个位置的多个指针。如果这些位置中的每一个具有一个为1的位值，则该过滤程序会输出了一个肯定检测，该肯定检测表明该输入文件具有与该已知恶意软件定义的集合中的一个定义相匹配的特征。另外，该过滤程序可以基于由这些散列函数输出的多个阵列位置的组合来确定匹配的恶意软件的身份。如果这些位置中的任何一个是0，那么该输入文件不在该集合中(即，否定检测)。Bloom过滤程序的一个特征是对于小百分比的情况的误肯定是可能的，但是该过滤程序从不会返回误否定。

可以通过仅将很少量的数据(这些位阵列的值)分发给客户端104而不是分发这些完整定义来有利地实施这种类型的过滤程序。在一些实施方案中，过滤程序生成模块208可以生成对于不同的定义子组的多个过滤程序。通过增加过滤程序的数目，在向这些客户端104分发更多的过滤程序数据的代价下，可以降低误肯定的百分比。

分发服务器204与网络102进行通信以便将存储在过滤程序数据库212中的一个或多个过滤程序分发给客户端104。分发服务器204还可以将存储在定义数据库210中的这些定义的一个子集分发给客户端104。例如，分发服务器204可以按一个百分比来分发最有可能被检出的定义。此外，当服务器130收到针对未被客户端104本地存储的一个具体定义的询问时，分发服务器204可以向客户端104提供所请求的定义。

图3是一个高级框图，展示了用作一个客户端104或中央机构130的一台典型的计算机300。所展示的是连接到总线304上的一个处理器302。同样连接到总线304上的是内存306、存储装置308、键盘310、图形适配器312、指向装置314、以及网络适配器316。显示器318被连接到图形适配器312上。

处理器302可以是任何通用的处理器，如INTELx86可兼容的CPU。在一个实施方案中，存储装置308是硬盘驱动器但也可以是能够存储数据的任何其他装置，如可写的光盘(CD)或DVD、或固态内存装置。内存306可以是例如固件、只读存储器(ROM)、非易失性随机存取存储器(NVRAM)、和/或RAM，并且保存由处理器302使用的指令和数据。指向装置314可以是鼠标、轨迹球、或其他类型的指向装置，并且与键盘310一起使用以便将数据输入计算机300中。图形适配器312在显示器218上显示图像和其他信息。网络适配器316将计算机300连接到网络302上。

如本领中所知的，计算机300被适配为执行多个计算机程序模块。如在此所使用的，术语“模块”指用于提供特定的功能性的计算机程序逻辑和/或数据。可以在硬件、固件、和/或软件中实施一个模块。在一个实施方案中，这些模块被存储在存储装置308上，被加载入内存306中，并且被处理器302执行。

由图1的这些实体使用的计算机系统300的类型可以根据被该实体使用的实施方案以及处理能力而改变。例如，一部移动电话的客户端104典型地具有有限的处理能力、一个小型显示器318，并且可能没有指向装置314。用作中央服务器130的计算机系统300可能具有更大的处理能力但没有显示器318或键盘310。

图4展示了客户端装置104的内存306和存储器308的一个示例性实施方案。内存306包括用于对存储在存储器308中的本地文件408进行扫描的一个扫描引擎402。尽管已说明扫描引擎402位于内存306中，但是该扫描引擎也可以被存储在存储器308中并且当执行时被下载到内存306中。存储器308还存储被扫描引擎402用来对本地文件408进行扫描的一个或多个过滤程序404以及一个完整定义的集合406。在一个实施方案中，这个或这些过滤程序404是基于所有已知恶意软件的，而仅针对一个已知恶意软件的子集(例如，最常用的30％)来存储多个完整定义406。

图5展示了扫描引擎402的一个示例性实施方案。扫描引擎402包括一个过滤模块504、一个全检测模块506、以及一个服务器询问模块508。过滤模块504在扫描处理过程中对本地文件408应用一个或多个已存储的过滤程序404。应用过滤程序404包括计算该文件408的一个散列，该计算将产生一个肯定的检测结果或者一个否定的检测结果。若结果是肯定检测，则全部检测模块506使用完整定义406对这个肯定性检出的文件408进行扫描。完整定义406可能是在存储器308中本地可供使用的或者可能从中央服务器130检索到。当本地没有发现完整定义时，服务器询问模块508通过网络102与中央服务器130通信以便从服务器130请求一个完整定义。然后，完整定义模块406应用定义406来确定是否恶意软件确实已经被检出或者是否过滤程序404已经产生了一个误肯定。

图6展示了由扫描引擎402执行的用于检测恶意软件的过程的一种实施方案。扫描引擎402的过滤模块504首先在步骤602对将有待扫描的文件408应用过滤程序404并且在步骤604确定是否造成一个肯定检测。若不存在肯定检测，则扫描引擎402在步骤618确定该文件不是恶意软件。应注意到可以肯定地做出这个确定，因为过滤程序404被设计为排除了误否定的可能性。若过滤模块504产生了一个肯定检测，则扫描引擎402在步骤608在本地存储器308中针对该恶意软件的完整定义来搜索这些定义306以便确定是否该定义是本地存储的。若没有在本地发现该定义，则服务器询问模块508在步骤610针对该完整定义询问中央服务器130。若该定义已经是本地存储的，则跳过询问步骤610。然后，全检测模块506在步骤612将该文件与这个完整定义进行比较以便在614确定是否存在匹配。若没有检出匹配，则没有发现恶意软件(即，该过滤程序结果是一个误肯定)。若发现了这个完整定义，则扫描引擎402在步骤616确定检出了恶意软件。一旦检出了恶意软件，扫描引擎402可以向该客户端装置的使用者提供一份危险报告，该危险报告表明所检出的恶意软件。另外，扫描引擎402可以使用任何数目的常规技术来使该恶意软件失效或去除该恶意软件。

在一个实施方案中，当检出了误肯定，这个或这些过滤程序可以进行修改以便降低该过滤程序在将来应用中再次发生误肯定的可能性。例如，扫描引擎402可以向中央服务器130发送一份报告来标识生成该误肯定的文件。可以分析该误肯定并且基于该分析可以生成一个新的过滤程序。可替代地，服务器130可以向客户端104提供元数据，该元数据指示该客户端在该过滤程序的未来应用中忽略类似的检测。

以上说明的一些部分就在信息上运作的算法以及符号表示而言说明了本发明的这些实施方案。这些算法说明和表示是数据处理领域中的普通技术人员通常使用的，以便将他们工作的本质内容有效率地传达给本领域的其他技术人员。尽管被功能性地、计算性地、或逻辑性地予以说明，这些操作应当被理解为有待由计算机程序或等效的电路、微代码、或诸如此类来实施。此外，已经不时地证明方便的是将这些操作安排称为模块而不失通用性。所说明的操作以及它们相关联的模块可以被实施在软件、固件、硬件、或它们的任何组合之中。

如在此所使用的，对“一个实施方案”或“一种实施方案”的任何引用意味着结合本实施方案说明的一种具体的要素、特征、结构、或特点被包括在至少一个实施方案中。在本说明书的不同地方出现的短语“在一个实施方案中”并非必需全部都指同一个实施方案。

如在此所使用的，术语“包括”、“包含”、“包括了”、“包含了”、“具有”或它们的任何其他的变体是旨在覆盖一种非排他性的包容。例如，包括一个要素列表的一种过程、方法、物件、或装置并非必需限于仅仅是那些要素而是可以包括没有明确地在这种过程、方法、物件、或装置中列出的或固有的其他要素。此外，除非明确地相反地陈述，“或者”指一种可兼容的或者而不是一种排他性的或者。例如，条件A或者B被以下任何一项满足：A是真(或存在)并且B是假(或不存在)，A是假(或不存在)并且B是真(或存在)，以及A和B二者均是真(或存在)。

另外，“一种”或“一个”的使用被用于在此说明这些实施方案的多个要素和部件。这样做仅是为了方便起见并且给出本发明的一种通用含义。这种描述应被解读为包括一个或至少一个并且单数还包括复数，除非它显而易见另有它意。

在阅读本披露时，本领域的那些技术人员还应认识到通过这些在此披露的原理用于垃圾邮件检测和分析的系统及过程的额外的可替代的结构的以及功能的设计。因此，虽然已经展示并说明了多个具体的实施方案和应用程序，应当理解，本发明并不限于在此披露的精确的构造和部件并且可以于在此披露的本发明的方法以及装置的安排、操作和细节中做出对本领域的那些技术人员而言将是明显的不同的修改、改变和变更，而不背离由所附权利要求书限定的这些实施方案的范围。

Claims (20)

1.一种用于检测恶意软件的计算机实施的方法，该方法包括：

对一个输入文件应用一个过滤程序以检测是否该输入文件具有与一个恶意软件定义的那些特征相匹配的特征，该恶意软件定义是在多种已知恶意软件定义的一个集合之中；

基于应用该过滤程序、响应于该输入文件具有与该恶意软件定义中的那些特征相匹配的特征，使用该恶意软件定义对该输入文件进行扫描；并且

基于该扫描来确定是否该输入文件包括恶意软件。

2.如权利要求1所述的方法，进一步包括：

基于应用该过滤程序、响应于该输入文件具有与该恶意软件定义中的那些特征相匹配的特征，确定是否该恶意软件定义是本地存储的；并且

响应于该恶意软件定义未被本地存储，询问一个中央服务器以获取该恶意软件定义。

3.如权利要求1所述的方法，进一步包括：

由一个客户端装置接收来自该已知恶意软件定义的集合的一个已知恶意软件定义的子集；

接收该过滤程序，其中该过滤程序是基于来自该已知恶意软件定义的集合的多个恶意软件定义；并且

将该过滤程序以及该已知恶意软件定义的子集本地存储在该客户端装置中。

4.如权利要求3所述的方法，其中所接收的用于本地存储的该已知恶意软件定义的子集包括对于最有可能被该客户端装置检出的恶意软件的多个恶意软件定义。

5.如权利要求1所述的方法，进一步包括：

从一个中央服务器接收一次更新，该更新包括基于一个已知恶意软件的更新的集合所生成的一个更新的过滤程序。

6.如权利要求1所述的方法，其中该过滤程序包括被适配为在该输入文件上计算多个散列函数的一个Bloom过滤程序，其中这些散列函数的输出表明是否该输入文件具有与该已知恶意软件定义的集合中的任何一个相匹配的特征。

7.如权利要求6所述的方法，其中对该输入文件应用Bloom过滤程序能够产生一个恶意软件的误肯定检测但是不能够产生一个误否定检测。

8.如权利要求1所述的方法，其中该过滤程序是根据以下步骤生成的，这些步骤包括：

在每个恶意软件定义上计算多个散列函数；并且

基于这些散列函数的输出对该过滤程序进行定义。

9.一种用于检测恶意软件的计算机程序产品，该计算机程序产品包括一种计算机可读存储媒质，该媒质包含计算机程序代码用于：

对一个输入文件应用一个过滤程序以检测是否该输入文件具有与一个已知恶意软件定义的集合中的一个恶意软件定义的那些特征相匹配的特征；

基于应用该过滤程序、响应于具有与该恶意软件定义中的那些特征相匹配的特征，使用该恶意软件定义对该输入文件进行扫描；并且

基于该扫描来确定是否该输入文件包括恶意软件。

10.如权利要求9所述的计算机程序产品，其中该计算机可读存储媒质包含计算机程序代码用于：

基于应用该过滤程序、响应于该输入文件具有与该恶意软件定义中的那些特征相匹配的特征，确定是否该恶意软件定义是本地存储的；并且

响应于该恶意软件定义未被本地存储，询问一个中央服务器以获取该恶意软件定义。

11.如权利要求9所述的计算机程序产品，其中该计算机可读存储媒质包含计算机程序代码用于：

由一个客户端装置从该已知恶意软件定义的集合接收一个已知恶意软件定义的子集；

接收该过滤程序，其中该过滤程序是基于该已知恶意软件定义的集合中的多个恶意软件定义；并且

将该过滤程序以及该已知恶意软件定义的子集本地存储在该客户端装置中。

12.如权利要求11所述的计算机程序产品，其中所接收的用于本地存储的该已知恶意软件定义的子集包括对于最有可能被该客户端装置检出的恶意软件的多个恶意软件定义。

13.如权利要求9所述的计算机程序产品，其中该计算机可读存储媒质包含计算机程序代码用于：

从一个中央服务器接收一次更新，该更新包括基于一个已知恶意软件的更新的集合所生成的一个更新的过滤程序。

14.如权利要求所述9的计算机程序产品，其中该过滤程序包括被适配为在该输入文件上计算多个散列函数的一个Bloom过滤程序，其中这些散列函数的输出表明是否该输入文件具有与该已知恶意软件定义的集合中的任何一个相匹配的特征。

15.如权利要求14所述的计算机程序产品，其中对该输入文件应用Bloom过滤程序能够产生一个恶意软件的误肯定检测但是不能够产生一个误否定检测。

16.如权利要求所述9的计算机程序产品，其中该过滤程序是根据以下步骤生成的，这些步骤包括：

在每个恶意软件定义上计算多个散列函数；并且

基于这些散列函数的输出对该过滤程序进行定义。

17.一种用于将多个恶意软件定义分发给客户端装置的方法，该方法包括：

生成来自一个已知恶意软件定义的集合的一个过滤程序，其中该过滤程序检测是否一个输入文件具有与该已知恶意软件定义的集合的那些特征相匹配的特征；

将该过滤程序分发给该客户端装置；并且

将来自该已知恶意软件定义的集合的一个恶意软件定义的子集与该过滤程序一起分发给该客户端装置，该已知恶意软件定义的集合被用来生成该过滤程序。

18.如权利要求17所述的方法，进一步包括：

接收来自该客户端装置的一个询问，该询问是对于未在已分发给该客户端的已知恶意软件定义的子集中的一个定义；并且

响应于该询问，将所询问的定义发送至该客户端装置。

19.如权利要求17所述的方法，进一步包括：

评估该已知恶意软件定义的集合以确定要分发给该客户端装置的已知恶意软件定义的子集，其中该子集包括最有可能被该客户端装置检出的多个恶意软件定义。

20.如权利要求17所述的方法，进一步包括：

基于来自该客户端装置的对于多个恶意软件定义的询问频率，对要分发给该客户端装置的该已知恶意软件定义的子集进行更新。

Images