CN102195992A - 用于对从网络下载的数据进行反病毒扫描的系统及方法 - Google Patents

用于对从网络下载的数据进行反病毒扫描的系统及方法 Download PDF

Info

Publication number
CN102195992A
CN102195992A CN2011101836498A CN201110183649A CN102195992A CN 102195992 A CN102195992 A CN 102195992A CN 2011101836498 A CN2011101836498 A CN 2011101836498A CN 201110183649 A CN201110183649 A CN 201110183649A CN 102195992 A CN102195992 A CN 102195992A
Authority
CN
China
Prior art keywords
data
data item
malware
detection techniques
computer system
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN2011101836498A
Other languages
English (en)
Other versions
CN102195992B (zh
Inventor
谢尔盖·祖布里林
亚历山大·斯特伊科夫
谢尔盖·瓦西里耶夫
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Kaspersky Lab AO
Original Assignee
Kaspersky Lab AO
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Kaspersky Lab AO filed Critical Kaspersky Lab AO
Publication of CN102195992A publication Critical patent/CN102195992A/zh
Application granted granted Critical
Publication of CN102195992B publication Critical patent/CN102195992B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/567—Computer malware detection or handling, e.g. anti-virus arrangements using dedicated hardware
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms

Abstract

本发明的一个方面目的在于通过代理服务器对从网络下载到PC工作站上的反病毒扫描。通过基于所确定的下载数据包含恶意代码的总体可能性来为每个扫描选择算法，可以为该扫描优化所述反病毒扫描。所述总体可能性的确定可以通过与恶意软件筛查有关的统计数据的强度或可信度来加强，所述恶意软件筛查是对具有与本次下载相似的参数的先前下载的结果进行的。

Description

用于对从网络下载的数据进行反病毒扫描的系统及方法
技术领域
本发明总体上涉及信息系统及其相关方法，且更具体地，涉及用于在安全服务器上对从网络下载的数据进行反病毒扫描的计算机安全配置和技术。
背景技术
借助于包括互联网的网络技术的迅速发展，PC用户可以访问持续增长的大量信息以及有用的或娱乐性节目和其他数字内容并将其下载到他们的计算机。遗憾的是，随着互联网继续增长，经由互联网分布的恶意软件的数量和质量也会随之增长。利用恶意软件的黑客或攻击者可以追求达到不同目的，例如，从恶作剧和老一套流氓行为到诸如从银行账户盗取资金这样的严重的网络犯罪。
特别关注的一个方面是恶意软件在企业网络中的扩散传播问题。企业网络中计算机受到感染不仅会由于不能正常工作而对用户的士气造成不利影响，而且还会由于与设置或修复受感染PC相关导致的材料成本而对公司的盈亏一览结算线（bottom line）造成不利影响。最为关注的又一方面是属于公司或属于公司客户的机密数据受到恶意软件威胁的风险问题。
据此，在针对恶意软件进行保护方面已经且将继续投入更多努力。现今，对于文件的反病毒扫描和剔除，包括在远程计算机或者诸如代理服务器或网关这样的服务器上执行这些动作，已知有许多不同的方法。
然而，与这些方法相关的一个难题是需要平衡反病毒扫描的彻底性和通过恶意软件筛查代理服务器而将所请求的内容传送给用户的相关时延。例如，公开号为2008/0301796的美国专利申请披露了基于诸如内容类型、内容的安全区域、客户机程序或内容的感染历史以及威胁级别这样的各种指标（indicium）来调整代理服务器上的反病毒扫描的范围。当根据此方法可以缩小反病毒扫描范围时，可以减小的延迟将用户所请求的内容传送给用户。
尽管此方法或者类似的方法在适当的情况下可能提供范围缩小的反病毒筛查（因此，更快的内容传送），但是对于应当如何分析各种指标来提供对反病毒筛查方法有效且适当的选择，仍留有亟待解决的问题。除此以外，缩小恶意软件筛查范围以便加速内容传送的方法还会造成在范围缩小的扫描中不能检测出恶意软件的风险。鉴于这些和其他难题，需要一种用于精简代理服务器上的反病毒筛查的改进方法。
发明内容
本发明的一个方面目的在于通过代理服务器对从网络下载到PC工作站上的反病毒扫描。通过基于所确定的下载数据包含恶意代码的总体可能性来为每个扫描选择算法，可以为该扫描优化所述反病毒扫描。
因此，在一类实施例中，一种由计算机实现的、用于促进目的地计算机系统和数据源之间通过网络的数据传送的装置包括中间计算机系统（包括与数据存储电路和被通信连接至计算机网络的网络接口电路可操作地连接的处理器电路），所述中间计算机系统经配置用以实现数据接收模块、数据传送模块、反病毒模块和数据分析模块。
所述接收模块适于，经由所述网络接口电路获得数据项，所述数据项是将要响应于所述目的地计算机系统的请求而从所述数据源接收的。所述数据传送模块适于经由所述网络接口电路而将所述数据项有条件地传送至所述目的地计算机系统，其中，所述数据项的传送以安全评估的结果为条件。所述反病毒模块适于，根据多个恶意检测技术中可选择的检测技术来对所述数据项执行所述安全评估，其中，所述多个恶意软件检测技术包括至少一个计算上相对较容易的技术和至少一个计算上相对较难的技术。
所述数据分析模块适于收集表示与所述数据项有关的恶意软件风险的各种指标的多个参数、以及收集与所述数据项和/或所述数据源的先前的恶意软件检测结果有关的统计信息。此外，所述数据分析模块适于基于所述多个参数和所述统计信息，来计算所述数据项受到恶意软件感染的总体风险概率。所述总体风险概率的计算大体在计算上比所述至少一个在计算上相对较容易的恶意软件检测技术更容易。
所述反病毒模块进一步适于，基于所述总体风险概率，从所述多个恶意软件检测技术当中选择性应用至少一个恶意软件检测技术，使得所述选择性应用的至少一个恶意软件检测技术具有大体与所述总体风险概率相对应的计算难度。
所述数据分析模块进一步适于，对与所述数据项和/或所述数据源的先前的恶意软件检测结果有关的所述统计信息加以分析，如果所述统计信息满足预定可信度标准，则调用至少一个优先规则，所述规则不理会所述总体风险概率而强迫执行特定的恶意软件检测技术。
在本发明的另一方面中，一种由计算机实现的、用于促进目的地计算机系统和数据源之间通过网络的数据传送的装置包括中间计算机系统，所述中间计算机系统经配置用以实现数据接收模块、数据传送模块、反病毒模块和数据分析模块。所述接收模块适于，经由所述网络接口电路获得数据项，所述数据项是将要响应于所述目的地计算机系统的请求而从所述数据源接收的。所述数据传送模块适于经由所述网络接口电路而将所述数据项有条件地传送至所述目的地计算机系统，其中，所述数据项的传送以安全评估的结果为条件。
所述反病毒模块适于执行所述数据项的所述安全评估；并且数据分析模块适于追踪所述数据项的特定于目的地的历史以及该数据项的安全评估结果，并且对所述特定于目的地的历史和与同一数据项有关的随后的安全评估结果进行比较，响应于表明所述安全评估过去失效的比较结果，而提供将要传送给所述目的地计算机系统的校正措施指令，用于解决所述过去失效。
在本发明的又一方面中，一种由计算机实现的、用于促进目的地计算机系统和数据源之间通过网络的数据传送的装置中间计算机系统，所述中间计算机系统经配置用以实现：数据接收模块，适于经由所述网络接口电路获得数据项，所述数据项是将要响应于所述目的地计算机系统的请求而从所述数据源接收的；数据传送模块，适于经由所述网络接口电路而将所述数据项有条件地传送至所述目的地计算机系统，其中，所述数据项的传送以安全评估的结果为条件；反病毒模块，适于根据多个恶意检测技术中可选的技术来对所述数据项执行所述安全评估，其中，所述多个恶意软件检测技术包括至少一个计算上相对较容易的技术和至少一个计算上相对较难的技术；和数据分析模块，适于收集表示与所述数据项有关的恶意软件风险的各种指标的多个参数、收集与所述数据项和/或所述数据源的先前的恶意软件检测结果有关的统计信息、以及基于所述多个参数和所述统计信息，来计算所述数据项受到恶意软件感染的总体风险概率，其中，所述总体风险概率的计算大体在计算上比所述至少一个在计算上相对较容易的恶意软件检测技术容易。
所述反病毒模块进一步适于，基于所述总体风险概率，从所述多个恶意软件检测技术当中选择性应用至少一个恶意软件检测技术，使得所述选择性应用的至少一个恶意软件检测技术具有大体对应于所述总体风险概率的计算难度。当所述总体风险概率很低时，所述反病毒模块适于根据可调整的采样间隔而基于采样选择性应用恶意软件技术。
在本发明的再一方面中，提供一种方法，用于对被请求从数据源下载到目的计算机的数据项进行自动筛查。所述方法包括：
· 根据多个恶意软件检测技术中可选择的检测技术，来对所述数据项进行安全评估，其中，所述多个恶意软件检测技术包括至少一个在计算上相对较容易的技术以及至少一个在计算上相对较难的技术；
· 收集表示与所述数据项有关的恶意软件风险的各种指标的多个参数；
· 收集与所述数据项和/或所述数据源的先前的恶意软件检测结果有关的统计信息；以及
· 基于所述多个参数和所述统计信息，来计算所述数据项受到恶意软件感染的总体风险概率，其中，所述总体风险概率的计算大体在计算上比所述至少一个在计算上相对较容易的恶意软件检测技术更容易；
· 基于所述总体风险概率，从所述多个恶意软件检测技术当中选择性应用至少一个恶意软件检测技术，其中，所述至少一个恶意软件检测技术具有大体与所述总体风险概率相对应的计算难度；以及
· 对与所述数据项和/或所述数据源的先前的恶意软件检测结果有关的所述统计信息加以分析，如果所述统计信息满足预定可信度标准，则调用至少一个优先规则，所述规则不理会所述总体风险概率而强迫执行特定的恶意软件检测技术。
本发明的各个方面允许更为有效的数据项恶意软件筛查以及更快的下载，而无须在安全性上做出实质性让步。因而可以改善用户体验。大量其他优点将通过下面对优选实施例的详细描述而变得清楚。
附图说明
通过考虑下面结合附图对本发明各种实施例的详细描述，本发明可以得到更加全面彻底的理解，附图中：
图1是总体上示出根据本发明一个实施例的用于在代理服务器上对从网络下载的数据进行反病毒扫描的示例性系统的方块图；
图2示出根据一类实施例的图1的代理服务器的主要组件；
图3是示出根据一个实施例的图1和图2的数据服务器与代理服务器之间的交互的图示；
图4是示出根据一个实施例的用以基于模糊逻辑来确定下载数据包含恶意代码的总体可能性的算法的流程图；
图5示出根据一个实施例的图1-2的数据服务器、代理服务器的数据分析模块和数据库之间的交互的示例；
图6是示出与总体风险概率相关的、将要应用于下载对象的分类标准的示例的图表；
图7是示出根据一个实施例的用于选择性深度反病毒扫描的算法的流程图；
图8是示出基于一类实施例的用于判定是否且何时应用一组优先规则的过程的图示；
图9是示出根据各种实施例的、本发明的各个方面可以在其上加以实现的计算机系统的图示。
尽管本发明可以修改为各种修改例和替代形式，但其细节已在图中通过示例的方式示出，并且将对其加以详细描述。然而，应予以理解的是，本发明并非要将本发明限于所描述的具体实施例。相反，本发明意图涵盖落入由随附的权利要求书所限定的本发明的精神和范围内的所有修改、等同和替代。
具体实施方式
图1是总体上示出根据一个实施例的用于在服务器上对从网络下载的数据进行反病毒扫描的示例性系统的方块图。如将围绕例示性实施例所描述的，本发明的一个方面旨在，例如当用户使用网页浏览器来选择待下载文件时，在服务器一方检验可使用常规手段下载的数据。根据一个实施例的示例性系统包括PC工作站101、代理服务器102、网络103（例如网络）和数据服务器104。
为了从数据服务器104例如经由HTTP、FTP、SMTP、POP3或其他这类服务而下载所需数据，PC工作站101产生一请求并将其传送给数据服务器104，请求在网络103上经由代理服务器102下载数据。响应于该请求，数据服务器104经由互联网而将所需数据传送给代理服务器102。在从数据服务器104接收到的数据中转（relay）至PC工作站101之前，在代理服务器102上，针对恶意代码对该数据进行检查。
图2示出根据一类实施例的图1的代理服务器的主要组件。代理服务器102包括数据接收模块201a、数据传送模块201b、反病毒模块202、数据库203、数据分析模块204、反馈模块205和高速缓冲存储器206。数据接收模块201a、数据传送模块201b、反病毒模块202、数据库203、数据分析模块204和反馈模块205全部都作为模块来加以实现。本申请中所使用的术语“模块”意指真实世界的器件、组件或利用硬件来实现的组件配置，其可以包括专用集成电路（ASIC）或现场可编程门阵列（FPGA），或者例如，在指令或一组指令控制下能够实现模块的功能的微处理器系统，这些指令（在执行时）可以将微处理器系统转变成用于实施模块的功能的专用器件。模块还可以作为独立硬件和由软件控制的硬件的组合来加以实现，其中，某些功能可以由独立硬件辅助实现，而其他功能可以由硬件和软件的组合辅助实现。在某些实施方式中，模块的至少一部分，而且在一些情况下，模块的全部，都可以在通用计算机（例如，在其上实现代理服务器102的计算机）的处理器上执行，通用计算机执行操作系统、系统程序和应用程序，同时还利用多任务、多线程、分布式处理（如，云处理）或者其他这类技术来实现该模块。据此，每个模块均可以以各种适当的配置来实现，而不应局限于本申请中所例示的具体实施方式。
由数据服务器104响应于一请求而通过网络103传送给PC工作站101的数据，最初到达代理服务器102，且更具体地，到达数据接收模块201a。然后，所接收的数据被传送给数据分析模块204。此时，对下载数据包含恶意代码的总体概率做出确定。数据分析模块204检验下载数据的参数，例如，下载文件的文件扩展名、下载文件的源和下载文件的大小，文件名以及文件的检查和（如，CRC、哈希等）。根据本发明的各种实施例而可以由数据分析模块204检验的下载数据的参数并不局限于这些示例。
数据分析模块204访问代理服务器的可更新数据库203，所述可更新数据库203包含用于确定下载数据包含恶意代码的总体可能性的规则。在一类实施例中，这些规则基于三个关键特性，譬如，下载文件的扩展名、下载文件的源的安全性以及当前的威胁级别。在此实施例类型的变形例中，这些规则可以基于模糊逻辑或者经典（布尔）逻辑。代理服务器的数据库203还包含用于确定反病毒扫描的深度或全面性的规则，其依据下载数据包含恶意代码的总体可能性。
图3中更加详细地示出了根据一个实施例的用于确定下载数据包含恶意代码的总体可能性的示例性过程，其用图表示出数据服务器104、代理服务器的数据分析模块204和数据库203之间的交互。在该示例中，PC工作站101的用户试图以具体网址从数据服务器104下载数据。用户想要下载的数据为扩展名为.EXE的可执行文件，例如，Hello.exe。此文件按一般方式下载，即，PC工作站101点击网页浏览器中的“下载文件”链接。
关于下载文件的相关信息及其源由数据分析模块204识别，稍后，数据分析模块204会将此信息源与来自代理服务器的数据库203的数据比较。为了帮助确定下载数据包含恶意代码的总体可能性，代理服务器的数据库203具有三个主要属性：“数据类型”、“源”和“威胁级别”。代理服务器的数据库203依据其具体实施方式而可以包含其他属性，例如，“下载数据的大小”、“保护级别”等。
依据代理服务器的数据库203中的下载数据的具体类型、其源以及威胁级别，从规则1、规则2、规则3、规则4、……规则N当中选择一个或多个规则。此选择可以利用模糊逻辑技术来实现。当被应用时，每个规则确定其自身的概率等级。然后，将以此方式定义的属性从模糊表示转变为精确值，并且每个值都对确定下载数据包含恶意代码的总体可能性有贡献。然后，可以将总体概率重新转换成模糊表示。
图4是示出根据一个实施例的用以基于模糊逻辑来确定下载数据包含恶意代码的总体可能性的算法的流程图。在PC用户在网页浏览器中点击“下载文件”链接之后，图中示出的过程开始，来自数据服务器104的数据被传送给代理服务器，数据分析模块204在其中接收数据。在块401，模块204检验下载数据文件的属性。例如，将要确定的一个属性是文件扩展名（如，.EXE、.DLL、.BAT等）。与下载数据有关的另一属性为发出文件的地址。与针对是否存在恶意软件而对下载数据进行强力（brute-force）扫描相比，本实施例中下载数据的属性的确定在计算上更高效（即，更容易）。
在402，数据分析模块204将所确定的属性数据与来自代理服务器的数据库203的数据比较，以确定是否存在任何将要被应用于下载数据的分析当中的具体预定规则。在将下载数据与数据库记录比较时，为每个属性，选择并应用规则。在一个具体实施例中，利用模糊逻辑来选择和应用规则。通过将每个规则应用于每个属性来产生“风险概率”变量，三个定义将与其对应，譬如：“低”、“中”和“高”。用于“数据类型”属性，即用于文件扩展名（如，.EXE）的类似规则可以为下列逻辑规则：“如果允许下载文件名.EXE，则下载数据包含恶意代码的概率为高。”
关于“源”属性可以了解到的是，源归于下列三类其中之一：公知且安全、公知但危险或者未知因而不可确定。鉴于此，语言变量“概率”也将会与三个定义一致，譬如：“低”、“中”和“高”。与未知源有关的规则的一个示例如下：“如果下载文件的源未知，则下载数据包含恶意代码的概率为中等。”
即使在源未知时，下载文件包含恶意软件的概率的总体分类也可以通过将其他因素纳入考虑来加权。例如，威胁程度（level of threats）可以用于将威胁级别动态地指派给未知源。由于代理服务器的数据库203被周期性更新（其中，更新包括处于当前的威胁程度的数据），所以可以用参数“威胁程度”来代替未知源的未知威胁级别。
在一个实施例中，参数“威胁程度”按1至10的比例测量。在此情况下，语言变量“概率”也将对应于三个定义，譬如：“低”、“中”和“高”。变量“威胁程度”的示例性规则如下：如果威胁级别至少为8，则下载数据包含恶意代码的概率为高。此输出按照模糊集合的隶属关系来表达。为了利用使用常规逻辑的算法中的结果，应用解模糊化处理，以将模糊结果转换成数值。在本领域中已知有各式各样的解模糊化处理，并且可以设想到，任何合适的技术，已知的或者将来会出现的，都可以应用。在块404，确定来自代理服务器的数据库203的值的范围，其对应于术语最后得到的语言变量的定义。例如，经确定，语言变量“概率”的“低”值将对应于1% ~30%范围内的值，语言变量“概率”的“中”值将对应于31% ~50%范围内的值，且语言变量“概率”的“高”值将对应于51% ~99%范围内的值。应予以注意的是，这只是简单示例，并且在各种其他实施例中，语言变量“概率”的值的数目将更大。对于每个变量，譬如“数据类型”、“源”、“威胁级别”，语言变量“概率”的这些值的值范围可以不同。
接下来，在块405，选择将被传送给数据分析模块204的值。数据分析模块204以其最简单的形式计算这些概率值的平均值，并且该值将作为下载数据包含恶意代码的总体概率。代理服务器的数据库203还包含语言变量“总体概率”，例如，五个定义将与其对应，譬如：“低”、“低中”、“中高”和“高”。并且，设定了对应于语言变量“总体概率”的具体值的值范围。这些值范围也包含在代理服务器的数据库203中。例如，在我们的情况下，定义“低”将与1% ~15%的总体概率范围一致，定义“低中”等同于16% ~30%范围内的总体概率，定义“中”将与31%~40%的总体概率一致，定义“中高”将与41%~50%的总体概率一致，定义“高”将与51%~99%的总体概率一致。在我们的示例中，在计算平均值之后，令总体概率等于65%。相应地，在块405，我们从变量“总体概率”的清楚值65%移至模糊值“高”。此块被称为模糊化。接下来，在块406，依据总体概率，选择对从网络下载的数据进行反病毒扫描的算法的进一步推演。
在用于对从网络下载的数据进行反病毒扫描的系统的另一具体实施方式中，下载数据包含恶意代码的总体可能性的确定可以基于常规逻辑来进行。
图5示出根据一个实施例的数据服务器104、代理服务器的数据分析模块204和数据库203之间的交互的示例。与下载文件及其源有关的数据（元数据、信息）由数据分析模块204确定，然后，数据分析模块204将其与代理服务器的数据库203中的数据比较。代理服务器的数据库203具有三个主要变量：“数据类型”、“源”和“威胁级别”，这三个主要变量将被用于确定下载数据包含恶意代码的总体可能性。依据数据库中的下载数据的具体类型，其源和威胁程度，代理服务器选择基于常规逻辑的一组规则，例如，规则1、规则2和规则3。每个规则对应于一定概率pi（i=1…n，其中n为最后一个规则的编号），当在代理服务器的数据库203更新之后改变规则本身时，可以只改变此概率。应用于规则的系数ki影响由该规则确定的概率的值的权重。系数ki也可以在代理服务器的数据库203中找到，并且可以由安全服务提供方更新，以调整系统做出判定的准确度。每次数据下载都会立刻触发若干规则。每个规则都对形成关于下载数据包含恶意代码的总体概率的最终结论具有贡献。
每个规则的贡献包括两个分量：基本概率p和系数k。稍后，对每个规则所做的贡献求和；形成下载数据包含恶意代码的总体可能性。如果总体概率超过一定阈值，则下载过程被发现是危险的，并且对应的可下载对象被认为包含恶意代码。所述阈值可以在数据分析模块204预先设定，或者数据分析模块204可以向代理服务器的数据库203请求与阈值有关的数据，这些数据可以被存储在那里并且规律性更新。
图6示出与总体风险概率相关的、将要应用于下载对象的分类标准的示例。例如，数据分析模块204可以被预先设定有总体风险概率的四个阈值，譬如，高概率607、中高概率606、中等概率605和低中概率604。依据总体风险概率，如通过应用用于下载数据的规则而确定的，可以定义三个主要类别。如果总体概率低于低中概率604的阈值，则具有高可信度的下载数据被归为安全数据601，即，不包含恶意数据。如果总体概率高于低中概率604的阈值，但低于中高概率606的阈值，则下载数据被认为是可能包含恶意代码，并且被归为可疑数据602。如果总体概率高于中高概率606的阈值，则具有高可信度的下载数据被认为包含恶意代码，并且被归为恶意数据603，即，包含恶意代码。
在一个实施例中，如果总体风险概率超过高概率607的阈值，则系统将指示反病毒模块202对从网络下载的数据应用更深入的反病毒扫描算法。另一方面，如果总体风险概率未超过高概率607的阈值，则系统将指示反病毒模块202应用较快的反病毒扫描算法。
图7是示出在代理服务器102上对经由网络103而从数据服务器104下载的数据进行反病毒扫描的示例性算法的流程图。在块701，代理服务器102的数据分析模块204计算下载数据包含恶意代码的总体概率。该过程可以响应于PC工作站101的用户对下载文件的直接请求而被启动，例如，通过在网络浏览器内点击链接“下载文件”。
在块702，如果数据分析模块204确定下载数据包含恶意代码的总体概率为高，则算法前进至块703，在块703，数据分析模块204将表示下载数据包含恶意代码的总体可能性为高的信息传送给反病毒模块202。作为响应，反病毒模块202和数据分析模块204开始高风险模式下的操作。在此模式下，根据一个示例性实施例，数据分析模块204将数据从数据服务器104全面下载到其高速缓冲存储器206中。与此同时，反病毒模块202启动反馈模块205，反馈模块205将与反病毒扫描有关的反馈信息传送至PC工作站101，例如，告知PC工作站101的用户反病毒扫描在进行中的信息。反馈信息可以进一步包括示出整组数据传送至高速缓冲存储器206的下载进度的进度指示器。
此反馈信息的形式可以是HTML页面、带有Java脚本的HTML页面、带有AJAX的HTML页面等。该HTML页面在PC工作站101上的网页浏览器中自动打开并且显示将所请求的数据下载到代理服务器102即高速缓冲存储器206的进度，以及在下载之后由反病毒模块202对其进行的进一步反病毒扫描，从而提供对将文件传送至用户时的任何明显延迟加以考虑的信息，或者仅通知用户系统数据操作安全。
数据一经下载到反病毒模块202，反病毒模块202就执行反病毒扫描。接着，在块704，结束扫描，并且如果未检测到恶意代码，则在块705，反病毒模块202启动数据传送模块201b，数据传送模块201b将数据从高速缓冲存储器206传送给PC工作站101。然后，清空高速缓冲存储器206。如果检测到恶意代码，则在块706，反病毒模块202尝试下载数据的感染。如果在块707处理成功，则在块705，数据传送模块201b将数据从高速缓冲存储器206传送至PC工作站101。如果在块707处理受感染数据失败，则在块708，反病毒模块202启动反馈模块205，以将告知用户下载数据包含恶意代码的消息传给PC工作站101。使下载数据不可由用户访问，终止连接，并清空高速缓冲存储器206。
如果在块702，数据分析模块204确定下载数据包含恶意代码的总体概率为低，则算法将前进至块709。在块709，数据分析模块204将关于下载数据包含恶意代码的可能性为低的信息传送给反病毒模块202。之后，反病毒模块202和数据分析模块204开始低风险模式下的操作。数据分析模块204开始将从数据服务器104接收的数据经由反病毒模块202而传送到数据传送模块201b，数据传送模块201b随之又将数据传送到PC工作站101。即使在全面扫描结束前，反病毒模块202也会将数据传送给数据传送模块201b用于少量传输。依据下载数据包含恶意代码的总体可能性，调整扫描的深度，且扫描的深度反过来又会影响将数据传送给PC工作站101的快慢。这样的调整分别发生在块703和709。数据分析模块204将总体风险概率的指示提供给反病毒模块202，且反病毒模块202随之基于用于这些概率的规则来确定反病毒扫描的深度。由于具有较高的总体风险概率，所以将扫描调整成具有更广的范围。反病毒扫描深度的调整可以通过加入或除去不同类型的数据分析来完成，例如，签名分析、启发式分析以及用于识别恶意代码的其他已知机制，或者可以通过调整给定类型的分析的全面性。
依据下载数据包含恶意代码的总体可能性的反病毒扫描深度的确定，可以由基于经典逻辑和模糊逻辑两者的规则来确定，这些规则可以在代理服务器的数据库203中找到。例如，在所描述的用于对从服务器下载的数据进行反病毒扫描的系统的实施方式中，可以提供有一来自代理服务器的数据库203的规则，该规则表明，如果下载数据包含恶意代码的总体概率（如由数据分析模块204所确定的）为高，则反病毒扫描的深度应当被设定为最大级别。
如果下载数据包含恶意代码的总体概率为低，则系统的行为会显著不同。在此情况下，数据可以在传送给PC工作站101的同时由反病毒模块202扫描。反病毒扫描的范围也是可调整的。如上所述，对于给定情况，语言变量“总体概率”对应于“低”、“低中”、“中”、“中高”和“高”值。前面四个值与推演算法有关，涉及在扫描过程中将数据传送给PC。对于每个这样的确定，在代理服务器的数据库203中都有一规则。例如，如果总体概率源“低”值一致，则反病毒模块202将基于来自代理服务器的数据库203的相关规则，完成快速恶意软件签名扫描。替代地，如果总概率对应于“中高”值，则反病毒模块202将基于来自代理服务器的数据库203的相关规则，执行更彻底的检查。
依据反病毒扫描的深度，扫描过程期间的数据传送数据改变。如果扫描具有最广的范围，则数据在扫描过程期间传送给PC工作站101 的速度将被设定成相对较慢。如果扫描并非如此深入，例如，仅限于签名分析，则在扫描过程期间，PC工作站101上的数据传送速率实质上会较高。而且，在具体实施例中，反病毒扫描的深度可以由用户设定。
在一个实施例中，在将数据从数据分析模块204经由反病毒模块202和数据传送模块201b而传送给PC工作站101的过程中，持续不断地对反病毒模块202进行数据验证。这样，下载数据在数据分析模块204中被分解成块，并且这些块被传送到反病毒模块202，在反病毒模块202中，数据块被顺次检查，并且如果下载数据不包含恶意代码，则经由数据传送模块201b而传送给PC工作站101。将对从数据服务器104接收的数据所分解成的全部块都执行相同的过程。
此外，如果在块710，在反病毒模块202执行反病毒检查过程中，在传送给PC工作站101的数据中未检测到恶意代码，则在块711，扫描一经结束，则数据传送模块201b由于存在扫描而将会以加大的速度、把剩下的数据传送给PC工作站101，而这反过来又会使传送速率减小。
如果在块711，反病毒模块202发现数据包含恶意代码，则在块712，系统减轻由于恶意代码而引起的风险。其中一个方法是，终止连接，并且反病毒模块202经由数据传送模块201b向PC工作站101传送信息，指示下载数据包含恶意代码。此方法适用于其中对受感染数据的处理不可行或者不是所期望的情形。
其中另一方法是，在块702，并不立即终止连接。代之以由反病毒模块202处理整组数据，并且由数据传送模块201b将处理后的文件、连同将要向PC工作站101的用户显示的通知、和/或指示PC工作站101用处理后的数据替换原来流入（streamed）的数据的指令一起传送给PC工作站101。在传送处理后的数据之前，或者在处理受感染的数据之前，可以向PC工作站101传送通知，以通知其用户，将会由于数据的重新传送或者由于数据的处理及重新传送而存在延迟。为了利于提供通知，可以在PC工作站101的浏览器中启动弹出窗口或其他合适的消息。为了利于更加先进的安全功能，可以对PC工作站101编程，以接收和响应来自反病毒模块202的指令。在一个这样的示例中，PC工作站101运行网页浏览器插件，该插件启用指令的接收和执行，以接收处理后的数据并用其替换原来流入的数据。
在另一实施例中，当在正上传到PC工作站101的数据中检测到恶意代码时，反病毒模块202经由数据传送模块201b将指示数据被感染的指令传送给PC工作站101。在PC工作站101上运行的客户方软件（如，经由Java脚本或网页浏览器插件）致使计算机通过在完成下载之后立即隔离要被处理的下载数据来响应该指令。在相关实施例中，与指示数据被感染的指令一起，反病毒模块202还传送用于执行处理的指令。这一具体方法可以具体用于这样的情况下，即，其中，正传送的数据较大，以至于重新传送该数据的经过处理的版本的时间大于如果是在PC工作站101上本地处理该数据所需要的时间。
如果虽然下载数据包含恶意代码的总体风险概率为低，但反病毒模块202在该数据中检测不到恶意代码，则系统认为该总体风险概率未正确确定，并且该总体概率所基于的规则被认为是过时的。因此，在块713，对代理服务器的数据库203进行校正。在一个实施例中，将用以确定总体概率所选的基于模糊逻辑的规则传送给安全服务提供方，用于分析和调整。如果这些规则所基于的是经典逻辑并且规则的总分级对于确定总体概率而言是重要的，则只将系数ki传送给服务提供方用于编辑。
这样，在一个实施例中，如果确定总体风险概率的规则以及最终作为整体的反病毒扫描并不是有效的，那么，除了为检测的可靠性而规律性更新代理服务器的数据库203之外，还要将反馈传送给安全服务提供方，用于调整规则。服务提供方可以基于人类分析员的检阅和分析而手动调整这些规则。在其他实施例中，自动化系统可以帮助人类分析员确定要对规则所做的校正，或者自动对规则进行调整而无需投入人力。
在一个具体类型的实施例中，代理服务器的数据库203可以收集关于下载数据的统计信息。一般而言，数据经由代理服务器102而下载到大量PC工作站101上。相同的数据可以被下载到许多PC工作站101上，例如，来自同一数据服务器104的相同精确的文件。在此情况下收集的统计信息可以允许系统预先确定给定用户是否正在下载包含恶意代码的文件。
在一个具体实施例中，代理服务器的数据库203可以被分成两个互不相干的分区（section）。第一分区包含用于确定下载数据包含恶意代码的总体可能性的可更新规则，以及用于依据下载数据包含恶意代码的总体可能性来确定反病毒扫描的深度的规则。第二分区包含与所有之前下载的对象有关的历史和统计数据，包括包含恶意代码的。这类信息可以包括下载文件的名字、下载数据的检查和、数据服务器104的IP地址、每个数据服务器104的包含恶意代码的文件数目以及未包含恶意代码的文件数等。
代理服务器的数据库203的第一分区，即，包含用于确定下载数据包含恶意代码的总体可能性的可更新规则以及用于确定反病毒扫描的深度（依据下载数据包含恶意代码的总体可能性）的规则的分区，保持用于第二分区的统计数据的优先规则。这类规则可以基于模糊逻辑和常规逻辑其中之一或全部。在一个实施例中，向PC工作站101的用户提供一界面，有利于设置其自己的规则或者为预定义规则定义参数值。例如，一个这样的规则可以是：“如果下载文件的源是已知且安全的，并且该文件的下载次数超过50，则下载数据包含恶意代码的总体可能性为低”。
图8是示出根据一个实施例的用于判定是否且何时应用一组优先规则的判定过程的图示。根据所绘制的判定过程，基于与下载（如，网站）的具体源相关联的累积历史802或者具体文件（其已从大量不同的源获得）来采取动作。可以基于目前正在下载的文件的大小802来采取动作。在系统操作的初始阶段，收集统计信息，并且将其放置在代理服务器的数据库203的第二分区中，如区域806所绘出的。与此同时，数据分析模块204如上所述以其主要操作模式操作，如区域808所表示的，其中，其确定可用于该组规则的数据的参数，并且应用代理服务器的数据库203的第一分区中的规则，来确定下载数据包含恶意代码的总体风险概率。在此期间，将要被调用的优先规则的历史的不充分累积、或者正在下载的文件的大小，都不会明显妨碍利用区域808的操作进行快速处理。
因为统计数据得到累积并且达到统计数据的“临界量（critical mass）”，所以基于统计信息的优先规则会在图8中区域810处被触发。在相关实施例中，优先规则的调用也可以基于下载数据的参数与数据库的第一分区中的规则的比较。应用上面提出的示例性优先规则，例如，如果下载文件的名字及其检查和匹配来自代理服务器的数据库203的第二分区的、包含统计信息且已下载超过50次的文件的名字和检查和，并且不包含恶意代码，则将调用优先规则。这样的规则会不理会通常的总体风险概率确定，而是将总体风险概率分配到最低级别，如此来迫使反病毒模块202执行最小深度的反病毒扫描。在相关实施例中，优先规则会完全绕开反病毒检查，以便提高数据传送到PC工作站101的速度。
优先规则也可以应用于使用于在代理服务器上检查下载数据的详细程度。例如，在一个实施例中，如果数据服务器104是文件下载超过了50次的源，并且其中超过10%的文件下载都包含恶意软件，则调用一优先规则，其取代通常的总体风险概率确定并将所述总体风险概率设定为高，从而将会需要执行更加全面的筛查。在相关实施例中，优先规则需要由反馈模块205的反病毒模块202开始传送给PC工作站101下载包含恶意代码的通知。在此情况下，代理服务器102会立即与数据源断开，并且放弃由反病毒模块202执行的反病毒扫描。
在各种相关实施例中，使用优先规则的层级，其中，反病毒扫描（或其他安全检查）的深度或彻底性是基于统计可信度、误差余量或总体风险概率的统计预测的其他准确度测量来设定的。因而，例如，如果特定文件已记录有被下载超过250次（具有相同检查和或哈希值），并且这些下载都来自同一与数据中存在恶意软件的高发生率（如，< 0.5%的时间）相关联的源104，则对于来自此特定源的此特定文件不包含恶意软件的可信度测定相当高。因此，在此实例中，可以跳过反病毒扫描。
在另一相关实施例中，代替在其中总体风险概率被估测为非常低的情况下总是完全跳过反病毒扫描，代理服务器102被配置成基于采样来执行一定扫描。因而，如果一定可信度测定表明源或文件被认为是安全的，则反病毒扫描可以按照例如10%时间的采样间隔执行。采样间隔可以基于被认为是相对较安全的文件或源相对应的统计数据的强度或范围来调整。
在一个实施例中，代理服务器102包括特定于客户机的历史数据库，其中，保持有表示被传送给每个PC工作站101的每个文件的记录。特定于客户机的历史数据库中的每个条目包括，表示反病毒扫描或者其他安全检查的类型和范围、以及对该下载是否执行（及何种类型）处理的指示。如果一个或多个PC工作站101具有缩小的、陈旧的或者整个跳过的反病毒检查并且传送给其的文件稍后被确定为受到恶意软件（譬如，如果文件被采样），则特定于客户机的历史数据库使代理服务器102能够经由反馈模块205而给每个客户机传送通知。这些通知可以包括指示实施校正动作的指令，例如，文件的隔离，并且可能的话，可以包括对将要进行的处理以移除恶意软的指令、或者指示开始代理服务器的新下载以获得经过处理的替换文件的指令。
本发明的各个方面，例如，代理服务器102的各种实施例以及PC工作站101，可以作为由一个或多个独立的计算机组成的计算机系统的一部分来加以实现。计算机可以是一个物理机，或者可以例如通过角色或功能或者在云计算分布式模型的情况下通过处理线程而分布在多个物理机当中。在各种实施例中，本发明的各个方面可以被配置成在虚拟机上运行，而所述虚拟机又在一个或多个物理机上执行。本领域技术人员应予以理解的是，本发明的特征可以通过各种不同的合适的机器实施方式来加以实现。
图9是示出根据各种实施例的、本发明的各个方面可以在其上加以实现的计算机系统900的图示。计算机系统900可以包括诸如个人计算机902的计算装置。个人计算机902包括一个或多个处理单元904、系统存储器906、视频接口908、输出外围接口910、网络接口912、用户输入接口914、可移除存储器接口916和非可移除存储器接口918以及连接各种组件的系统总线或高速通信通道920。在各种实施例中，处理单元904可以具有多个逻辑磁芯，这些逻辑磁芯能够处理存储在计算机可读介质中的信息，所述计算机可读介质例如有计算机存储器906或者附接至可移除存储器接口916和不可移除存储器接口918的存储器。计算机902的系统存储器906可以包括诸如只读存储器（ROM）922的非易失性存储器或者诸如随机存取存储器（RAM）924的易失性存储器。ROM 922可以包括有基本输入/输出系统（BIOS）926，以帮助与计算机902的其他部分通信。RAM 924可以存储各种软件应用的各个部分，譬如，操作系统928、应用程序930和其他程序模块932。此外，RAM 924可以存储其他信息，例如，程序或应用数据934。在各种实施例中，RAM 924存储要求低等待时间和高效存取的信息，例如，正在处理或操作的程序和数据。在各种实施例中，RAM 924包括双数据速率（DDR）存储器、误差校正存储器（ECC）或者具有变化的等待时间和配置的其他存储器技术，例如，RAMBUS或DDR 2和DDR 3。以此方式，在各种实施例中，系统存储器906可以存储输入数据存储、访问证书数据存储、操作存储器数据存储、指令设定数据存储、分析结果数据存储以及操作存储器数据存储。此外，在各种实施例中，处理单元904可以被配置用以执行下列指令，所述指令指示通过在授权访问信息之前要求访问证书来限制对上述数据存储的访问。
可移除存储器接口916和不可移除存储器接口918可以将计算机902连接至磁盘驱动器936，例如，SSD或合理的磁盘驱动器。这些磁盘驱动器936可以进一步提供用于各种软件应用的存储，例如，操作系统938、应用程序940和其他程序模块942。此外，磁盘驱动器936可以存储其他信息，例如程序或应用数据944。在各种实施例中，磁盘驱动器936存储无需与其他存储介质中相同的低等待时间的信息。此外，在上述各种实施例中，操作系统938、应用程序940数据、程序模块942以及程序或应用数据944可以是与存储在RAM 924中的信息相同的信息，或者其可以是由RAM 924中所存储的数据衍生出的不同数据。
此外，可移除非易失性存储器接口916可以将计算机902连接至磁性便携式磁盘驱动器946或者光盘驱动器950，磁盘驱动器946利用诸如软盘948、Iomega® Zip或Jazz的磁性介质，光盘驱动器950利用光学介质952来存储诸如Blu-Ray®、DVD-R/RW、CD-R/RW和其他类似格式的计算机可读介质。其他实施例利用SSD或内置于便携式封装954中的合理磁盘，以增加可移除存储器的容量。其他一些实施例利用可移除闪速非易失性存储器设备，这些设备利用读卡设备作为接口。
计算机902可以利用网络接口912在局域网（LAN）958或广域网（WAN）960上与一个或多个远程计算机956通信。网络接口912可以利用网络接口卡（NIC）或者诸如调制解调器962这类其他接口来启用通信。调制解调器962可以启用电话线、同轴电缆、光纤、电力线上或无线形式的通信。远程计算机956可以包含类似的硬件和软件配置或者可以具有存储器964，所述存储器964包含可以将额外的计算机可读指令提供给计算机902的远程应用程序966。在各种实施例中，远程计算机存储器964可以被用于存储信息，例如，稍后可以下载到本地系统存储器906的所识别的文件信息。此外，在各种实施例中，远程计算机956可以是应用服务器、管理服务器、客户计算机或者网络设备。
用户可以利用连接至用户输入接口914的输入设备而输入信息到计算机902，所述输入设备例如为鼠标968和键盘970。另外，输入设备还可以为触摸板、指纹扫描仪、操纵杆、条形码扫描仪、医学扫描仪等。视频接口908可以提供视频信息给显示器，例如，监视器972。视频接口908可以为嵌入式接口或者其可以是分立接口。此外，计算机可以利用多个视频接口908、网络接口912以及可移除存储器接口916和不可移除存储器接口918，以便增加计算机902操作的灵活性。此外，各种实施例利用若干监视器972和若干视频接口908来改变计算机902的性能和能力。计算机902中还可以包含其他计算机接口，例如，输出外围接口910。此接口可以连接至打印机974或扬声器976或者其他外设，以为计算机902提供额外的功能。
计算机902的各种替代配置和实施方法均落入在本发明的主旨内。这些变形可以包括但不限于连接至系统总线920的额外接口，例如，通用串行总线（USB）、打印机端口、游戏端口、PCI总线、PCI Express或者将上述各种组件集成到芯片组组件上的集成，例如，北桥或南桥。例如，在各种实施例中，处理单元904可以包括嵌入式存储器控制其（未示出），以启用比系统总线920可以提供的更为有效的系统存储器906的数据传送。
以上实施例旨在为示例性的而非限制性的。另外的实施例也处于权利要求的范围内。此外，虽然已经参照具体实施例对本发明的各个方面进行了描述，但本领域技术人员应当认识到，在不脱离由随附的权利要求书所定义的本发明的精神和范围的情况下，可以在形式和细节上做出各种改变。
相关技术领域的普通技术人员应认识到，本发明可以包括比上述任一单独实施例中所示出的特征要少的特征。本申请中所描述的实施例并非意图作为其中可以对本发明的各种特征加以组合的各种可能方式的穷尽表示。因此，这些实施例并不是互相排斥的特征组合；相反，如本领域普通技术人员所理解的，本发明可以包括选自不同单独实施例的不同单独特征的组合。
以上文献通过引用的并入受到限制，使得那些违背明确的公开内容的主题不会被并入本申请中。以上文献通过引用的并入进一步受到限制，使得这些文献中所包含的权利要求书不会通过引用而并入本申请中。以上文献通过引用的并入又进一步受到限制，使得这些文献中所提供的任何定义不会通过引用而并入本申请中，除非已经清楚地包含在本申请中。
为了解释本发明的权利要求，明确表示，将不会援引35 U.S.C第二节112第6段的规定，除非在权利要求中记载有特定术语“用于……的装置”或“用于……的步骤”。

Claims (20)

1. 一种由计算机实现的用于促进目的地计算机系统和数据源之间通过网络的数据传送的装置，所述装置包括：
中间计算机系统，包括与数据存储电路和网络接口电路可操作地连接的处理器电路，所述网络接口电路适于被通信连接至计算机网络，所述计算机系统经配置用以实现：
数据接收模块，适于经由所述网络接口电路获得数据项，所述数据项是将要响应于所述目的地计算机系统的请求而从所述数据源接收的；
数据传送模块，适于经由所述网络接口电路而将所述数据项有条件地传送至所述目的地计算机系统，其中，所述数据项的传送以安全评估的结果为条件；
反病毒模块，适于根据多个恶意检测技术中可选择的检测技术来对所述数据项执行所述安全评估，其中，所述多个恶意软件检测技术包括至少一个计算上相对较容易的技术和至少一个计算上相对较难的技术；和
数据分析模块，适于：
收集表示与所述数据项有关的恶意软件风险的各种指标的多个参数；
收集与所述数据项和/或所述数据源的先前的恶意软件检测结果有关的统计信息；以及
基于所述多个参数和所述统计信息，来计算所述数据项是否受到恶意软件感染的总体风险概率，其中，所述总体风险概率的计算大体在计算上比所述至少一个在计算上相对较容易的恶意软件检测技术更容易；
其中，所述反病毒模块进一步适于，基于所述总体风险概率，从所述多个恶意软件检测技术当中选择性应用至少一个恶意软件检测技术，使得所述选择性应用的至少一个恶意软件检测技术具有大体与所述总体风险概率相对应的计算难度；并且
其中，所述数据分析模块进一步适于，对与所述数据项和/或所述数据源的先前的恶意软件检测结果有关的所述统计信息加以分析，如果所述统计信息满足预定可信度标准，则调用至少一个优先规则，所述规则不理会所述总体风险概率而强迫执行特定恶意软件检测技术。
2. 如权利要求1所述的装置，其中，所述中间计算机系统被配置为代理服务器，所述目的地计算机系统通过所述代理服务器访问所述数据源外还访问多个其他数据源。
3. 如权利要求1所述的装置，其中，所述数据项为文件，所述数据源为网站，并且其中，所述计算机网络为互联网。
4. 如权利要求1所述的装置，其中，所述多个检测技术至少包括病毒签名分析和启发式分析。
5. 如权利要求1所述的装置，其中，所述多个检测技术包括不同深度的检测技术。
6. 如权利要求1所述的装置，其中，所述多个检测技术包括反病毒检测过程的省略。
7. 如权利要求1所述的装置，其中，所述总体风险概率按照模糊逻辑来表达。
8. 如权利要求1所述的装置，其中，与所述数据项有关的恶意软件风险的各种指标包括下列各项中的至少一项：安全威胁级别、所述数据项的特性和/或所述数据源的特性。
9. 如权利要求1所述的装置，其中，所述总体风险概率基于所述多个参数的统计汇总。
10. 如权利要求1所述的装置，其中，响应于相对较高的总体风险概率，所述反病毒模块适于选择性应用恶意软件检测技术，所述恶意软件检测技术需要将所述数据项完全下载到所述中间计算机系统的高速缓冲存储器中，并且需要在授权将所述数据项传送至所述目的地计算机系统之前对所述数据项进行全面恶意软件扫描。
11. 如权利要求10所述的装置，其中，所述反病毒模块进一步适于响应于所述相对较高的总体风险概率而发出通知，所述通知将要显示在所述目的地计算机系统上，并且所述通知提供与将所述数据项完全下载到所述目的地计算机系统的所述高速缓冲存储器中的进度以及进一步的恶意软件扫描的进度有关的信息。
12. 如权利要求1所述的装置，其中，所述反病毒模块适于响应于相对较低的总体风险概率，选择性应用恶意软件检测技术，所述恶意软件检测技术准许所述数据项的一部分在所述数据项的其他部分接受恶意软件扫描期间传送至所述目的地计算机系统。
13. 如权利要求1所述的装置，其中，作为对所述反病毒模块检测到恶意软件的响应，所述数据传送模块向所述目的地计算机系统传送指令，用于对所述恶意软件做出响应。
14. 如权利要求1所述的装置，其中，所述至少一个优先规则强制应用与所述总体风险概率相对应的恶意软件检测技术相对而言密集度减小的恶意软件检测技术、或者密集度增大的恶意软件检测技术。
15. 一种由计算机实现的用于促进目的地计算机系统和数据源之间通过网络的数据传送的装置，所述装置包括：
中间计算机系统，包括与数据存储电路和网络接口电路可操作地连接的处理器电路，所述网络接口电路适于被通信连接至计算机网络，所述计算机系统经配置用以实现：
数据接收模块，适于经由所述网络接口电路获得数据项，所述数据项是将要响应于所述目的地计算机系统的请求而从所述数据源接收的；
数据传送模块，适于经由所述网络接口电路而将所述数据项有条件地传送至所述目的地计算机系统，其中，所述数据项的传送以安全评估的结果为条件；
反病毒模块，适于执行所述数据项的所述安全评估；和
数据分析模块，适于追踪所述数据项的特定于目的地的历史以及该数据项的安全评估结果，并且对所述特定于目的地的历史和与同一数据项有关的随后的安全评估结果进行比较，响应于表明所述安全评估过去失效的比较结果，而提供将要传送给所述目的地计算机系统的校正措施指令，用于解决所述过去失效。
16. 如权利要求15所述的装置，其中，所述特定于目的的历史被保持在专用数据库中。
17. 如权利要求15所述的装置，其中，所述校正措施指令包括下列至少一个指令：隔离所述数据项、处理所述数据项、从所述数据项移除任何恶意软件和开始重新下载经过处理的替换数据项。
18. 一种由计算机实现的用于促进目的地计算机系统和数据源之间通过网络的数据传送的装置，所述装置包括：
中间计算机系统，包括与数据存储电路和网络接口电路可操作地连接的处理器电路，所述网络接口电路适于被通信连接至计算机网络，所述计算机系统经配置用以实现：
数据接收模块，适于经由所述网络接口电路获得数据项，所述数据项是将要响应于所述目的地计算机系统的请求而从所述数据源接收的；
数据传送模块，适于经由所述网络接口电路而将所述数据项有条件地传送至所述目的地计算机系统，其中，所述数据项的传送以安全评估的结果为条件；
反病毒模块，适于根据多个恶意检测技术中可选的技术来对所述数据项执行所述安全评估，其中，所述多个恶意软件检测技术包括至少一个计算上相对较容易的技术和至少一个计算上相对较难的技术；和
数据分析模块，适于：
收集表示与所述数据项有关的恶意软件风险的各种指标的多个参数；
收集与所述数据项和/或所述数据源的先前的恶意软件检测结果有关的统计信息；以及
基于所述多个参数和所述统计信息，来计算所述数据项是否受到恶意软件感染的总体风险概率，其中，所述总体风险概率的计算大体在计算上比所述至少一个在计算上相对较容易的恶意软件检测技术更容易；
其中，所述反病毒模块进一步适于基于所述总体风险概率，从所述多个恶意软件检测技术当中选择性应用至少一个恶意软件检测技术，使得所述选择性应用的至少一个恶意软件检测技术具有大体对应于所述总体风险概率的计算难度；并且
其中，当所述总体风险概率很低时，所述反病毒模块适于根据可调整的采样间隔而基于采样选择性应用恶意软件技术。
19. 如权利要求15所述的装置，其中，所述可调整采样间隔基于与所述数据项和/或所述数据源的先前的恶意软件检测结果有关的统计信息的强度或范围来调整。
20. 一种在由计算机系统实现的代理服务器中用于对被请求从数据源下载到目的地计算机的数据项进行自动筛查的方法，所述计算机系统具有经配置用以在软件控制下操作的硬件，所述方法包括：
根据多个恶意软件检测技术中可选择的检测技术，来对所述数据项进行安全评估，其中，所述多个恶意软件检测技术包括至少一个在计算上相对较容易的技术以及至少一个在计算上相对较难的技术；
收集表示与所述数据项有关的恶意软件风险的各种指标的多个参数；
收集与所述数据项和/或所述数据源的先前的恶意软件检测结果有关的统计信息；以及
基于所述多个参数和所述统计信息，来计算所述数据项受到恶意软件感染的总体风险概率，其中，所述总体风险概率的计算大体在计算上比所述至少一个在计算上相对较容易的恶意软件检测技术更容易；
基于所述总体风险概率，从所述多个恶意软件检测技术当中选择性应用至少一个恶意软件检测技术，其中，所述至少一个恶意软件检测技术具有大体与所述总体风险概率相对应的计算难度；以及
对与所述数据项和/或所述数据源的先前的恶意软件检测结果有关的所述统计信息加以分析，如果所述统计信息满足预定可信度标准，则调用至少一个优先规则，所述规则不理会所述总体风险概率而强迫执行特定的恶意软件检测技术。
CN201110183649.8A 2010-11-01 2011-07-01 用于对从网络下载的数据进行反病毒扫描的系统及方法 Active CN102195992B (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
RU2010144593 2010-11-01
RU2010144593/08A RU2449348C1 (ru) 2010-11-01 2010-11-01 Система и способ для антивирусной проверки на стороне сервера скачиваемых из сети данных

Publications (2)

Publication Number Publication Date
CN102195992A true CN102195992A (zh) 2011-09-21
CN102195992B CN102195992B (zh) 2014-08-06

Family

ID=44508826

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201110183649.8A Active CN102195992B (zh) 2010-11-01 2011-07-01 用于对从网络下载的数据进行反病毒扫描的系统及方法

Country Status (4)

Country Link
US (1) US9003534B2 (zh)
EP (1) EP2447876B1 (zh)
CN (1) CN102195992B (zh)
RU (1) RU2449348C1 (zh)

Cited By (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102970283A (zh) * 2012-10-31 2013-03-13 北京奇虎科技有限公司 文件扫描系统
CN102982278A (zh) * 2012-10-31 2013-03-20 北京奇虎科技有限公司 一种扫描文件的方法、装置和系统
CN103366116A (zh) * 2012-03-27 2013-10-23 百度在线网络技术（北京）有限公司 移动终端的应用程序潜在威胁的预判系统、方法及装置
CN103369520A (zh) * 2012-03-27 2013-10-23 百度在线网络技术（北京）有限公司 移动终端的应用程序可疑行为的意图预判系统及方法
CN103632073A (zh) * 2013-12-05 2014-03-12 北京网秦天下科技有限公司 用于控制终端应用权限的方法和装置
CN103632094A (zh) * 2013-11-04 2014-03-12 天津汉柏信息技术有限公司 一种云计算大数据上传病毒防御系统
CN104217155A (zh) * 2013-05-30 2014-12-17 宁夏新航信息科技有限公司 一种对计算机软件进行保护的方法和装置
TWI510957B (zh) * 2013-03-22 2015-12-01 Tencent Tech Shenzhen Co Ltd 一種文件檔案即時防護的方法以及裝置
CN106503556A (zh) * 2016-10-25 2017-03-15 广东欧珀移动通信有限公司 数据存储的方法、装置及系统
CN107810504A (zh) * 2015-06-15 2018-03-16 赛门铁克公司 基于用户行为确定恶意下载风险的系统和方法
CN107889551A (zh) * 2015-06-27 2018-04-06 迈可菲有限责任公司 用于识别恶意软件的异常检测
CN107924358A (zh) * 2015-07-31 2018-04-17 阿姆Ip有限公司 概率性处理器监视
CN109076011A (zh) * 2016-04-19 2018-12-21 三菱电机株式会社 中继装置
CN109274585A (zh) * 2018-10-12 2019-01-25 山东鲁能软件技术有限公司 基于ajax的b/s模式下的即时消息桌面系统及方法
CN110086806A (zh) * 2019-04-26 2019-08-02 中国南方电网有限责任公司 一种厂站设备系统漏洞的扫描系统
CN110875900A (zh) * 2018-08-31 2020-03-10 重庆小雨点小额贷款有限公司 企业安全管理方法、装置及安全管理服务器

Families Citing this family (166)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8528086B1 (en) 2004-04-01 2013-09-03 Fireeye, Inc. System and method of detecting computer worms
US8566946B1 (en) 2006-04-20 2013-10-22 Fireeye, Inc. Malware containment on connection
US7587537B1 (en) 2007-11-30 2009-09-08 Altera Corporation Serializer-deserializer circuits formed from input-output circuit registers
US8584239B2 (en) 2004-04-01 2013-11-12 Fireeye, Inc. Virtual machine with dynamic data flow analysis
US8549638B2 (en) 2004-06-14 2013-10-01 Fireeye, Inc. System and method of containing computer worms
US8898788B1 (en) 2004-04-01 2014-11-25 Fireeye, Inc. Systems and methods for malware attack prevention
US8881282B1 (en) 2004-04-01 2014-11-04 Fireeye, Inc. Systems and methods for malware attack detection and identification
US8171553B2 (en) 2004-04-01 2012-05-01 Fireeye, Inc. Heuristic based capture with replay to virtual machine
US8793787B2 (en) 2004-04-01 2014-07-29 Fireeye, Inc. Detecting malicious network content using virtual environment components
US9106694B2 (en) 2004-04-01 2015-08-11 Fireeye, Inc. Electronic message analysis for malware detection
US9729513B2 (en) 2007-11-08 2017-08-08 Glasswall (Ip) Limited Using multiple layers of policy management to manage risk
US8997219B2 (en) 2008-11-03 2015-03-31 Fireeye, Inc. Systems and methods for detecting malicious PDF network content
US8832829B2 (en) 2009-09-30 2014-09-09 Fireeye, Inc. Network-based binary file extraction and analysis for malware detection
CN101877710B (zh) * 2010-07-13 2012-10-17 成都市华为赛门铁克科技有限公司 代理网关防病毒实现方法、预分类器和代理网关
US8533834B1 (en) * 2011-04-22 2013-09-10 Juniper Networks, Inc. Antivirus intelligent flow framework
US9141805B2 (en) * 2011-09-16 2015-09-22 Rapid7 LLC Methods and systems for improved risk scoring of vulnerabilities
WO2013117151A1 (zh) * 2012-02-07 2013-08-15 北京奇虎科技有限公司 文件快速扫描方法和系统
US9661003B2 (en) * 2012-05-11 2017-05-23 Thomas W. Parker System and method for forensic cyber adversary profiling, attribution and attack identification
US9270689B1 (en) * 2012-06-21 2016-02-23 Cisco Technology, Inc. Dynamic and adaptive traffic scanning
US8613089B1 (en) 2012-08-07 2013-12-17 Cloudflare, Inc. Identifying a denial-of-service attack in a cloud-based proxy service
RU2536664C2 (ru) * 2012-12-25 2014-12-27 Закрытое акционерное общество "Лаборатория Касперского" Система и способ автоматической модификации антивирусной базы данных
US10572665B2 (en) 2012-12-28 2020-02-25 Fireeye, Inc. System and method to create a number of breakpoints in a virtual machine via virtual machine trapping events
US9092615B1 (en) * 2013-01-28 2015-07-28 Symantec Corporation Identifying application sources on non-rooted devices
US9367681B1 (en) 2013-02-23 2016-06-14 Fireeye, Inc. Framework for efficient security coverage of mobile software applications using symbolic execution to reach regions of interest within an application
US9176843B1 (en) 2013-02-23 2015-11-03 Fireeye, Inc. Framework for efficient security coverage of mobile software applications
US9009823B1 (en) 2013-02-23 2015-04-14 Fireeye, Inc. Framework for efficient security coverage of mobile software applications installed on mobile devices
US8990944B1 (en) 2013-02-23 2015-03-24 Fireeye, Inc. Systems and methods for automatically detecting backdoors
US9195829B1 (en) 2013-02-23 2015-11-24 Fireeye, Inc. User interface with real-time visual playback along with synchronous textual analysis log display and event/time index for anomalous behavior detection in applications
US9355247B1 (en) 2013-03-13 2016-05-31 Fireeye, Inc. File extraction from memory dump for malicious content analysis
US9626509B1 (en) 2013-03-13 2017-04-18 Fireeye, Inc. Malicious content analysis with multi-version application support within single operating environment
US9104867B1 (en) 2013-03-13 2015-08-11 Fireeye, Inc. Malicious content analysis using simulated user interaction without user involvement
US9430646B1 (en) 2013-03-14 2016-08-30 Fireeye, Inc. Distributed systems and methods for automatically detecting unknown bots and botnets
US9311479B1 (en) 2013-03-14 2016-04-12 Fireeye, Inc. Correlation and consolidation of analytic data for holistic view of a malware attack
US10713358B2 (en) 2013-03-15 2020-07-14 Fireeye, Inc. System and method to extract and utilize disassembly features to classify software intent
US9413781B2 (en) 2013-03-15 2016-08-09 Fireeye, Inc. System and method employing structured intelligence to verify and contain threats at endpoints
US10409987B2 (en) 2013-03-31 2019-09-10 AO Kaspersky Lab System and method for adaptive modification of antivirus databases
US9495180B2 (en) 2013-05-10 2016-11-15 Fireeye, Inc. Optimized resource allocation for virtual machines within a malware content detection system
US9635039B1 (en) 2013-05-13 2017-04-25 Fireeye, Inc. Classifying sets of malicious indicators for detecting command and control communications associated with malware
US10133863B2 (en) 2013-06-24 2018-11-20 Fireeye, Inc. Zero-day discovery system
US9491193B2 (en) * 2013-06-27 2016-11-08 Secureage Technology, Inc. System and method for antivirus protection
US9300686B2 (en) 2013-06-28 2016-03-29 Fireeye, Inc. System and method for detecting malicious links in electronic messages
US9477728B2 (en) * 2013-08-09 2016-10-25 Oracle International Corporation Handling of errors in data transferred from a source application to a target application of an enterprise resource planning (ERP) system
US9628507B2 (en) 2013-09-30 2017-04-18 Fireeye, Inc. Advanced persistent threat (APT) detection center
US9171160B2 (en) 2013-09-30 2015-10-27 Fireeye, Inc. Dynamically adaptive framework and method for classifying malware using intelligent static, emulation, and dynamic analyses
US9294501B2 (en) 2013-09-30 2016-03-22 Fireeye, Inc. Fuzzy hash of behavioral results
US9736179B2 (en) 2013-09-30 2017-08-15 Fireeye, Inc. System, apparatus and method for using malware analysis results to drive adaptive instrumentation of virtual machines to improve exploit detection
US10515214B1 (en) 2013-09-30 2019-12-24 Fireeye, Inc. System and method for classifying malware within content created during analysis of a specimen
US9690936B1 (en) 2013-09-30 2017-06-27 Fireeye, Inc. Multistage system and method for analyzing obfuscated content for malware
US9350747B2 (en) 2013-10-31 2016-05-24 Cyberpoint International Llc Methods and systems for malware analysis
US9921978B1 (en) 2013-11-08 2018-03-20 Fireeye, Inc. System and method for enhanced security of storage devices
CN103605608B (zh) * 2013-12-04 2016-04-20 中国航空综合技术研究所 一种嵌入式软件安全性分析充分性检查方法
US9405904B1 (en) * 2013-12-23 2016-08-02 Symantec Corporation Systems and methods for providing security for synchronized files
US9756074B2 (en) 2013-12-26 2017-09-05 Fireeye, Inc. System and method for IPS and VM-based detection of suspicious objects
US9747446B1 (en) 2013-12-26 2017-08-29 Fireeye, Inc. System and method for run-time object classification
US9740857B2 (en) 2014-01-16 2017-08-22 Fireeye, Inc. Threat-aware microvisor
US9262635B2 (en) 2014-02-05 2016-02-16 Fireeye, Inc. Detection efficacy of virtual machine-based analysis with application specific events
US9241010B1 (en) 2014-03-20 2016-01-19 Fireeye, Inc. System and method for network behavior detection
US10242185B1 (en) 2014-03-21 2019-03-26 Fireeye, Inc. Dynamic guest image creation and rollback
US9591015B1 (en) 2014-03-28 2017-03-07 Fireeye, Inc. System and method for offloading packet processing and static analysis operations
US9432389B1 (en) 2014-03-31 2016-08-30 Fireeye, Inc. System, apparatus and method for detecting a malicious attack based on static analysis of a multi-flow object
US9223972B1 (en) 2014-03-31 2015-12-29 Fireeye, Inc. Dynamically remote tuning of a malware content detection system
EP2942925B1 (en) * 2014-05-05 2016-08-24 Advanced Digital Broadcast S.A. A method and system for providing a private network
US9438623B1 (en) 2014-06-06 2016-09-06 Fireeye, Inc. Computer exploit detection using heap spray pattern matching
US9594912B1 (en) 2014-06-06 2017-03-14 Fireeye, Inc. Return-oriented programming detection
US9973531B1 (en) 2014-06-06 2018-05-15 Fireeye, Inc. Shellcode detection
US10084813B2 (en) 2014-06-24 2018-09-25 Fireeye, Inc. Intrusion prevention and remedy system
US10805340B1 (en) 2014-06-26 2020-10-13 Fireeye, Inc. Infection vector and malware tracking with an interactive user display
US9398028B1 (en) 2014-06-26 2016-07-19 Fireeye, Inc. System, device and method for detecting a malicious attack based on communcations between remotely hosted virtual machines and malicious web servers
US10002252B2 (en) 2014-07-01 2018-06-19 Fireeye, Inc. Verification of trusted threat-aware microvisor
US9363280B1 (en) 2014-08-22 2016-06-07 Fireeye, Inc. System and method of detecting delivery of malware using cross-customer data
US10671726B1 (en) 2014-09-22 2020-06-02 Fireeye Inc. System and method for malware analysis using thread-level event monitoring
US9773112B1 (en) 2014-09-29 2017-09-26 Fireeye, Inc. Exploit detection of malware and malware families
US10027689B1 (en) 2014-09-29 2018-07-17 Fireeye, Inc. Interactive infection visualization for improved exploit detection and signature generation for malware and malware families
US9690933B1 (en) 2014-12-22 2017-06-27 Fireeye, Inc. Framework for classifying an object as malicious with machine learning for deploying updated predictive models
US10075455B2 (en) 2014-12-26 2018-09-11 Fireeye, Inc. Zero-day rotating guest image profile
US9934376B1 (en) 2014-12-29 2018-04-03 Fireeye, Inc. Malware detection appliance architecture
US9838417B1 (en) 2014-12-30 2017-12-05 Fireeye, Inc. Intelligent context aware user interaction for malware detection
US10148693B2 (en) 2015-03-25 2018-12-04 Fireeye, Inc. Exploit detection system
US9690606B1 (en) 2015-03-25 2017-06-27 Fireeye, Inc. Selective system call monitoring
US9438613B1 (en) 2015-03-30 2016-09-06 Fireeye, Inc. Dynamic content activation for automated analysis of embedded objects
US10474813B1 (en) 2015-03-31 2019-11-12 Fireeye, Inc. Code injection technique for remediation at an endpoint of a network
US10417031B2 (en) 2015-03-31 2019-09-17 Fireeye, Inc. Selective virtualization for security threat detection
US9483644B1 (en) 2015-03-31 2016-11-01 Fireeye, Inc. Methods for detecting file altering malware in VM based analysis
US9654485B1 (en) 2015-04-13 2017-05-16 Fireeye, Inc. Analytics-based security monitoring system and method
US9594904B1 (en) 2015-04-23 2017-03-14 Fireeye, Inc. Detecting malware based on reflection
US10341355B1 (en) 2015-06-23 2019-07-02 Amazon Technologies, Inc. Confidential malicious behavior analysis for virtual computing resources
US10642753B1 (en) 2015-06-30 2020-05-05 Fireeye, Inc. System and method for protecting a software component running in virtual machine using a virtualization layer
US11113086B1 (en) 2015-06-30 2021-09-07 Fireeye, Inc. Virtual system and method for securing external network connectivity
US10454950B1 (en) 2015-06-30 2019-10-22 Fireeye, Inc. Centralized aggregation technique for detecting lateral movement of stealthy cyber-attacks
US10726127B1 (en) 2015-06-30 2020-07-28 Fireeye, Inc. System and method for protecting a software component running in a virtual machine through virtual interrupts by the virtualization layer
US10715542B1 (en) 2015-08-14 2020-07-14 Fireeye, Inc. Mobile application risk analysis
US10176321B2 (en) 2015-09-22 2019-01-08 Fireeye, Inc. Leveraging behavior-based rules for malware family classification
US10033747B1 (en) 2015-09-29 2018-07-24 Fireeye, Inc. System and method for detecting interpreter-based exploit attacks
US9825989B1 (en) 2015-09-30 2017-11-21 Fireeye, Inc. Cyber attack early warning system
US10601865B1 (en) 2015-09-30 2020-03-24 Fireeye, Inc. Detection of credential spearphishing attacks using email analysis
US10817606B1 (en) 2015-09-30 2020-10-27 Fireeye, Inc. Detecting delayed activation malware using a run-time monitoring agent and time-dilation logic
US10706149B1 (en) 2015-09-30 2020-07-07 Fireeye, Inc. Detecting delayed activation malware using a primary controller and plural time controllers
RU2617923C2 (ru) * 2015-09-30 2017-04-28 Акционерное общество "Лаборатория Касперского" Система и способ настройки антивирусной проверки
US9825976B1 (en) 2015-09-30 2017-11-21 Fireeye, Inc. Detection and classification of exploit kits
US10210329B1 (en) 2015-09-30 2019-02-19 Fireeye, Inc. Method to detect application execution hijacking using memory protection
US10284575B2 (en) 2015-11-10 2019-05-07 Fireeye, Inc. Launcher for setting analysis environment variations for malware detection
US10846117B1 (en) 2015-12-10 2020-11-24 Fireeye, Inc. Technique for establishing secure communication between host and guest processes of a virtualization architecture
US10447728B1 (en) 2015-12-10 2019-10-15 Fireeye, Inc. Technique for protecting guest processes using a layered virtualization architecture
US10108446B1 (en) 2015-12-11 2018-10-23 Fireeye, Inc. Late load technique for deploying a virtualization layer underneath a running operating system
US10565378B1 (en) 2015-12-30 2020-02-18 Fireeye, Inc. Exploit of privilege detection framework
US10133866B1 (en) 2015-12-30 2018-11-20 Fireeye, Inc. System and method for triggering analysis of an object for malware in response to modification of that object
US10050998B1 (en) * 2015-12-30 2018-08-14 Fireeye, Inc. Malicious message analysis system
US10621338B1 (en) 2015-12-30 2020-04-14 Fireeye, Inc. Method to detect forgery and exploits using last branch recording registers
US11552986B1 (en) 2015-12-31 2023-01-10 Fireeye Security Holdings Us Llc Cyber-security framework for application of virtual features
US9824216B1 (en) 2015-12-31 2017-11-21 Fireeye, Inc. Susceptible environment detection system
US10581874B1 (en) 2015-12-31 2020-03-03 Fireeye, Inc. Malware detection system with contextual analysis
JP2017142552A (ja) * 2016-02-08 2017-08-17 株式会社日立アドバンストシステムズ マルウェア注意喚起装置および方法
US10476906B1 (en) 2016-03-25 2019-11-12 Fireeye, Inc. System and method for managing formation and modification of a cluster within a malware detection system
US10785255B1 (en) 2016-03-25 2020-09-22 Fireeye, Inc. Cluster configuration within a scalable malware detection system
US10671721B1 (en) 2016-03-25 2020-06-02 Fireeye, Inc. Timeout management services
US10601863B1 (en) 2016-03-25 2020-03-24 Fireeye, Inc. System and method for managing sensor enrollment
US10893059B1 (en) 2016-03-31 2021-01-12 Fireeye, Inc. Verification and enhancement using detection systems located at the network periphery and endpoint devices
RU2634177C1 (ru) * 2016-05-20 2017-10-24 Акционерное общество "Лаборатория Касперского" Система и способ обнаружения нежелательного программного обеспечения
US10169585B1 (en) 2016-06-22 2019-01-01 Fireeye, Inc. System and methods for advanced malware detection through placement of transition events
US10462173B1 (en) 2016-06-30 2019-10-29 Fireeye, Inc. Malware detection verification and enhancement by coordinating endpoint and malware detection systems
US10592678B1 (en) 2016-09-09 2020-03-17 Fireeye, Inc. Secure communications between peers using a verified virtual trusted platform module
US10491627B1 (en) 2016-09-29 2019-11-26 Fireeye, Inc. Advanced malware detection using similarity analysis
US10795991B1 (en) 2016-11-08 2020-10-06 Fireeye, Inc. Enterprise search
US10587647B1 (en) 2016-11-22 2020-03-10 Fireeye, Inc. Technique for malware detection capability comparison of network security devices
US10552610B1 (en) 2016-12-22 2020-02-04 Fireeye, Inc. Adaptive virtual machine snapshot update framework for malware behavioral analysis
US10581879B1 (en) 2016-12-22 2020-03-03 Fireeye, Inc. Enhanced malware detection for generated objects
US10523609B1 (en) 2016-12-27 2019-12-31 Fireeye, Inc. Multi-vector malware detection and analysis
US10904286B1 (en) 2017-03-24 2021-01-26 Fireeye, Inc. Detection of phishing attacks using similarity analysis
US10798112B2 (en) 2017-03-30 2020-10-06 Fireeye, Inc. Attribute-controlled malware detection
US10791138B1 (en) 2017-03-30 2020-09-29 Fireeye, Inc. Subscription-based malware detection
US10848397B1 (en) 2017-03-30 2020-11-24 Fireeye, Inc. System and method for enforcing compliance with subscription requirements for cyber-attack detection service
US10902119B1 (en) * 2017-03-30 2021-01-26 Fireeye, Inc. Data extraction system for malware analysis
WO2018187541A1 (en) * 2017-04-06 2018-10-11 Walmart Apollo, Llc Infected file detection and quarantine system
US10855700B1 (en) 2017-06-29 2020-12-01 Fireeye, Inc. Post-intrusion detection of cyber-attacks during lateral movement within networks
US10601848B1 (en) 2017-06-29 2020-03-24 Fireeye, Inc. Cyber-security system and method for weak indicator detection and correlation to generate strong indicators
US10503904B1 (en) 2017-06-29 2019-12-10 Fireeye, Inc. Ransomware detection and mitigation
US10893068B1 (en) 2017-06-30 2021-01-12 Fireeye, Inc. Ransomware file modification prevention technique
US10462208B2 (en) * 2017-07-11 2019-10-29 Bank Of America Corporation File transfer system with dynamic file exchange control functions
US10747872B1 (en) 2017-09-27 2020-08-18 Fireeye, Inc. System and method for preventing malware evasion
US10805346B2 (en) 2017-10-01 2020-10-13 Fireeye, Inc. Phishing attack detection
US11108809B2 (en) 2017-10-27 2021-08-31 Fireeye, Inc. System and method for analyzing binary code for malware classification using artificial neural network techniques
US11240275B1 (en) 2017-12-28 2022-02-01 Fireeye Security Holdings Us Llc Platform and method for performing cybersecurity analyses employing an intelligence hub with a modular architecture
US11005860B1 (en) 2017-12-28 2021-05-11 Fireeye, Inc. Method and system for efficient cybersecurity analysis of endpoint events
US11271955B2 (en) 2017-12-28 2022-03-08 Fireeye Security Holdings Us Llc Platform and method for retroactive reclassification employing a cybersecurity-based global data store
CN110071845B (zh) * 2018-01-24 2021-09-10 中国移动通信有限公司研究院 一种对未知应用进行分类的方法及装置
US10826931B1 (en) 2018-03-29 2020-11-03 Fireeye, Inc. System and method for predicting and mitigating cybersecurity system misconfigurations
US10956477B1 (en) 2018-03-30 2021-03-23 Fireeye, Inc. System and method for detecting malicious scripts through natural language processing modeling
US11558401B1 (en) 2018-03-30 2023-01-17 Fireeye Security Holdings Us Llc Multi-vector malware detection data sharing system for improved detection
US11003773B1 (en) 2018-03-30 2021-05-11 Fireeye, Inc. System and method for automatically generating malware detection rule recommendations
US10594717B2 (en) * 2018-05-03 2020-03-17 Sophos Limited Context-dependent timeout for remote security services
US11075930B1 (en) 2018-06-27 2021-07-27 Fireeye, Inc. System and method for detecting repetitive cybersecurity attacks constituting an email campaign
US11314859B1 (en) 2018-06-27 2022-04-26 FireEye Security Holdings, Inc. Cyber-security system and method for detecting escalation of privileges within an access token
US11228491B1 (en) 2018-06-28 2022-01-18 Fireeye Security Holdings Us Llc System and method for distributed cluster configuration monitoring and management
US11316900B1 (en) 2018-06-29 2022-04-26 FireEye Security Holdings Inc. System and method for automatically prioritizing rules for cyber-threat detection and mitigation
CN109525546A (zh) * 2018-09-11 2019-03-26 江苏拓华人防工程有限公司 一种面向移动终端的云监控系统
US11182473B1 (en) 2018-09-13 2021-11-23 Fireeye Security Holdings Us Llc System and method for mitigating cyberattacks against processor operability by a guest process
US11763004B1 (en) 2018-09-27 2023-09-19 Fireeye Security Holdings Us Llc System and method for bootkit detection
US11368475B1 (en) 2018-12-21 2022-06-21 Fireeye Security Holdings Us Llc System and method for scanning remote services to locate stored objects with malware
US11258806B1 (en) 2019-06-24 2022-02-22 Mandiant, Inc. System and method for automatically associating cybersecurity intelligence to cyberthreat actors
US11556640B1 (en) 2019-06-27 2023-01-17 Mandiant, Inc. Systems and methods for automated cybersecurity analysis of extracted binary string sets
US11392700B1 (en) 2019-06-28 2022-07-19 Fireeye Security Holdings Us Llc System and method for supporting cross-platform data verification
US11886585B1 (en) 2019-09-27 2024-01-30 Musarubra Us Llc System and method for identifying and mitigating cyberattacks through malicious position-independent code execution
US11637862B1 (en) 2019-09-30 2023-04-25 Mandiant, Inc. System and method for surfacing cyber-security threats with a self-learning recommendation engine
FR3104761A1 (fr) * 2019-12-12 2021-06-18 Orange Procédé de surveillance de données transitant par un équipement utilisateur
CN113240225B (zh) * 2021-03-02 2023-12-12 国网浙江省电力有限公司建设分公司 基于模糊最劣指标的输变电工程造价风险定级方法
US11526609B1 (en) * 2021-11-18 2022-12-13 Uab 360 It System and method for recent file malware scanning

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1489048A (zh) * 2002-10-10 2004-04-14 �Ҵ���˾ 抗病毒网络系统和方法
CN1841397A (zh) * 2005-03-31 2006-10-04 微软公司 聚合计算机系统的知识库以主动保护计算机免受恶意软件侵害
WO2009143272A1 (en) * 2008-05-21 2009-11-26 Symantec Corporation Centralized scanner database with optimal definition distribution using network queries

Family Cites Families (30)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE69638018D1 (de) * 1995-02-13 2009-10-15 Intertrust Tech Corp Systeme und Verfahren zur Verwaltung von gesicherten Transaktionen und zum Schutz von elektronischen Rechten
US5889943A (en) 1995-09-26 1999-03-30 Trend Micro Incorporated Apparatus and method for electronic mail virus detection and elimination
US5623600A (en) 1995-09-26 1997-04-22 Trend Micro, Incorporated Virus detection and removal apparatus for computer networks
US6119165A (en) 1997-11-17 2000-09-12 Trend Micro, Inc. Controlled distribution of application programs in a computer network
US6088803A (en) * 1997-12-30 2000-07-11 Intel Corporation System for virus-checking network data during download to a client device
GB2353372B (en) * 1999-12-24 2001-08-22 F Secure Oyj Remote computer virus scanning
US7096502B1 (en) * 2000-02-08 2006-08-22 Harris Corporation System and method for assessing the security posture of a network
US6785732B1 (en) 2000-09-11 2004-08-31 International Business Machines Corporation Web server apparatus and method for virus checking
US20020059371A1 (en) 2000-11-16 2002-05-16 Jamail John M. Caching proxy streaming appliance systems and methods
US7383574B2 (en) * 2000-11-22 2008-06-03 Hewlett Packard Development Company L.P. Method and system for limiting the impact of undesirable behavior of computers on a shared data network
US7363657B2 (en) 2001-03-12 2008-04-22 Emc Corporation Using a virus checker in one file server to check for viruses in another file server
US7188367B1 (en) 2001-03-30 2007-03-06 Moafee, Inc. Virus scanning prioritization using pre-processor checking
ATE263391T1 (de) * 2002-03-26 2004-04-15 Soteres Gmbh Verfahren zum schutz der integrität von programmen
JP4181965B2 (ja) 2002-11-11 2008-11-19 キヤノン株式会社 コンピュータ周辺装置およびその制御方法
US7640586B1 (en) * 2003-07-07 2009-12-29 Mcafee, Inc. Reducing HTTP malware scanner latency using HTTP range queries for random access
US8544096B2 (en) 2003-12-30 2013-09-24 Emc Corporation On-access and on-demand distributed virus scanning
US7567573B2 (en) 2004-09-07 2009-07-28 F5 Networks, Inc. Method for automatic traffic interception
WO2006043093A1 (en) * 2004-10-22 2006-04-27 Streamshield Networks Limited Management of content download
JP2006195702A (ja) 2005-01-13 2006-07-27 Hitachi Ltd データ処理システム及び方法
US7844700B2 (en) 2005-03-31 2010-11-30 Microsoft Corporation Latency free scanning of malware at a network transit point
WO2007038517A1 (en) * 2005-09-26 2007-04-05 Wiresoft, Inc. Methods, software and apparatus for detecting and neutralizing viruses from computer systems and networks
US7761915B2 (en) 2005-12-28 2010-07-20 Zyxel Communications Corp. Terminal and related computer-implemented method for detecting malicious data for computer network
US20080047009A1 (en) 2006-07-20 2008-02-21 Kevin Overcash System and method of securing networks against applications threats
US8255999B2 (en) 2007-05-24 2012-08-28 Microsoft Corporation Anti-virus scanning of partially available content
US20080301796A1 (en) * 2007-05-31 2008-12-04 Microsoft Corporation Adjusting the Levels of Anti-Malware Protection
US7392544B1 (en) 2007-12-18 2008-06-24 Kaspersky Lab, Zao Method and system for anti-malware scanning with variable scan settings
KR20100023494A (ko) 2008-08-22 2010-03-04 엘지전자 주식회사 단말기 및 그 바이러스 보호 방법
RU83145U1 (ru) * 2008-08-25 2009-05-20 Государственное образовательное учреждение высшего профессионального образования Академия Федеральной службы охраны Российской Федерации (Академия ФСО России) Устройство обнаружения вирусных воздействий на информационные системы
RU94016U1 (ru) * 2009-12-02 2010-05-10 Закрытое акционерное общество "Лаборатория Касперского" Система обнаружения обфусцированного кода вредоносного программного обеспечения
US8869277B2 (en) * 2010-09-30 2014-10-21 Microsoft Corporation Realtime multiple engine selection and combining

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1489048A (zh) * 2002-10-10 2004-04-14 �Ҵ���˾ 抗病毒网络系统和方法
CN1841397A (zh) * 2005-03-31 2006-10-04 微软公司 聚合计算机系统的知识库以主动保护计算机免受恶意软件侵害
WO2009143272A1 (en) * 2008-05-21 2009-11-26 Symantec Corporation Centralized scanner database with optimal definition distribution using network queries

Cited By (25)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103366116B (zh) * 2012-03-27 2016-12-14 百度在线网络技术（北京）有限公司 移动终端的应用程序潜在威胁的预判系统、方法及装置
CN103366116A (zh) * 2012-03-27 2013-10-23 百度在线网络技术（北京）有限公司 移动终端的应用程序潜在威胁的预判系统、方法及装置
CN103369520A (zh) * 2012-03-27 2013-10-23 百度在线网络技术（北京）有限公司 移动终端的应用程序可疑行为的意图预判系统及方法
CN103369520B (zh) * 2012-03-27 2016-12-14 百度在线网络技术（北京）有限公司 移动终端的应用程序可疑行为的意图预判系统及方法
CN102982278A (zh) * 2012-10-31 2013-03-20 北京奇虎科技有限公司 一种扫描文件的方法、装置和系统
CN102970283A (zh) * 2012-10-31 2013-03-13 北京奇虎科技有限公司 文件扫描系统
CN102970283B (zh) * 2012-10-31 2015-08-12 北京奇虎科技有限公司 文件扫描系统
CN102982278B (zh) * 2012-10-31 2015-09-16 北京奇虎科技有限公司 一种扫描文件的方法、装置和系统
TWI510957B (zh) * 2013-03-22 2015-12-01 Tencent Tech Shenzhen Co Ltd 一種文件檔案即時防護的方法以及裝置
CN104217155A (zh) * 2013-05-30 2014-12-17 宁夏新航信息科技有限公司 一种对计算机软件进行保护的方法和装置
CN103632094A (zh) * 2013-11-04 2014-03-12 天津汉柏信息技术有限公司 一种云计算大数据上传病毒防御系统
CN103632094B (zh) * 2013-11-04 2017-11-14 天津汉柏信息技术有限公司 一种云计算大数据上传病毒防御系统
CN103632073A (zh) * 2013-12-05 2014-03-12 北京网秦天下科技有限公司 用于控制终端应用权限的方法和装置
CN107810504A (zh) * 2015-06-15 2018-03-16 赛门铁克公司 基于用户行为确定恶意下载风险的系统和方法
CN107889551A (zh) * 2015-06-27 2018-04-06 迈可菲有限责任公司 用于识别恶意软件的异常检测
CN107889551B (zh) * 2015-06-27 2021-07-06 迈克菲有限责任公司 用于识别恶意软件的异常检测
CN107924358A (zh) * 2015-07-31 2018-04-17 阿姆Ip有限公司 概率性处理器监视
CN107924358B (zh) * 2015-07-31 2022-01-11 阿姆Ip有限公司 用于概率性处理器监视的方法和计算机可读介质
US10785259B2 (en) 2016-04-19 2020-09-22 Mitsubishi Electric Corporation Relay device
CN109076011A (zh) * 2016-04-19 2018-12-21 三菱电机株式会社 中继装置
CN106503556A (zh) * 2016-10-25 2017-03-15 广东欧珀移动通信有限公司 数据存储的方法、装置及系统
CN110875900A (zh) * 2018-08-31 2020-03-10 重庆小雨点小额贷款有限公司 企业安全管理方法、装置及安全管理服务器
CN110875900B (zh) * 2018-08-31 2022-06-21 重庆小雨点小额贷款有限公司 企业安全管理方法、装置及安全管理服务器
CN109274585A (zh) * 2018-10-12 2019-01-25 山东鲁能软件技术有限公司 基于ajax的b/s模式下的即时消息桌面系统及方法
CN110086806A (zh) * 2019-04-26 2019-08-02 中国南方电网有限责任公司 一种厂站设备系统漏洞的扫描系统

Also Published As

Publication number Publication date
RU2449348C1 (ru) 2012-04-27
CN102195992B (zh) 2014-08-06
EP2447876A3 (en) 2013-10-23
EP2447876A2 (en) 2012-05-02
US9003534B2 (en) 2015-04-07
US20120110667A1 (en) 2012-05-03
EP2447876B1 (en) 2016-09-07

Similar Documents

Publication Publication Date Title
CN102195992B (zh) 用于对从网络下载的数据进行反病毒扫描的系统及方法
US11171925B2 (en) Evaluating and modifying countermeasures based on aggregate transaction status
US10701091B1 (en) System and method for verifying a cyberthreat
CN102171657B (zh) 实体信誉评分的简化传送
US8776241B2 (en) Automatic analysis of security related incidents in computer networks
US20200252428A1 (en) System and method for detecting cyberattacks impersonating legitimate sources
US8667583B2 (en) Collecting and analyzing malware data
US9262638B2 (en) Hygiene based computer security
US8667587B1 (en) Real-time website safety reputation system
US20150310213A1 (en) Adjustment of protection based on prediction and warning of malware-prone activity
US20170061126A1 (en) Process Launch, Monitoring and Execution Control
KR102120200B1 (ko) 악성 코드 수집 방법 및 시스템
EP3776307A1 (en) Distributed system for adaptive protection against web-service-targeted vulnerability scanners
CN106033516B (zh) 一种检测终端源代码安全的方法、装置及系统
CN101964026A (zh) 网页挂马检测方法和系统
CN111107096A (zh) 一种Web站点安全防护方法及装置
US20090129400A1 (en) Parsing and flagging data on a network
US20200394318A1 (en) Privacy trustworthiness based api access
JP2016192185A (ja) なりすまし検出システムおよびなりすまし検出方法
AU2007351385B2 (en) Detecting and interdicting fraudulent activity on a network
WO2020086024A2 (en) A system for enabling device identification
CN111191234A (zh) 一种病毒信息检测的方法及装置
KR102654479B1 (ko) 대량의 사용자 행위 데이터 분석을 통해 검증 쿼리를 생성하고 실행하여, 요청 파라미터 변조의 위험을 탐지 및 모니터링하는 시스템
US20090129379A1 (en) Reconstructing data on a network
WO2017217349A1 (ja) 情報処理システム、分析装置、制御装置、方法および記憶媒体

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant