CN102289615B - 基于系统状态的诊断扫描 - Google Patents

Abstract

本发明揭示了基于系统状态的诊断扫描。某些实施例中，目标系统上的本地代理可评估来自(本地或远程)存储的当前和/或历史系统状态信息，并基于所评估的状态信息动态调整扫描期间执行的诊断的级别。单独诊断扫描可例如基于存储中的上下文被启用或禁用，每个扫描可更新上下文用于进一步评估。通过采用这种方法，具有低风险简档并缺乏问题征兆的系统可被快速扫描，而显示问题征兆或具有高风险简档的系统则可接受更彻底的评估。

Description

基于系统状态的诊断扫描

技术领域

本发明涉及计算机系统扫描，尤其涉及基于系统状态的诊断扫描。

背景技术

被设计为扫描计算机系统以确定其是否处于良好状态的软件需要在性能和彻底性之间作出折衷。通常，扫描越彻底，执行需要的时间就越长，对系统的影响也越大。常规的系统扫描通常被期望是快速和不受察觉的。但是检测系统的复杂问题，例如低级rootkit恶意软件程序引起的感染，可能需要给系统性能带来负面影响的更深层的系统检查。

目前的解决方案通常仅提供两级定期安排的系统检查：给系统的影响降至最低但不彻底的“快速扫描”，和彻底但产生显著影响的“全面扫描”。

存在对如下解决方案的需要，在告知和警告用户系统问题方面比典型的快速扫描更高效，却不会付出全面扫描的性能代价。

发明内容

某些实施例中，系统包括被配置为为一计算机系统存储扫描上下文信息的扫描上下文存储，和位于该计算机系统上的软件代理，该软件代理被配置为基于对存储在扫描上下文存储中的上下文信息的评估来调整扫描期间执行的诊断的级别。

某些实施例中，软件代理可以例如包括一扫描上下文评估器模块，该模块被配置为基于对已存储的扫描上下文信息的评估来选择性地启用各诊断扫描。某些实施例中，软件代理还可包括被配置为执行各诊断扫描中已被启用的那些扫描的诊断扫描模块，以及被配置为基于已执行的扫描的结果修改已存储的扫描上下文信息的扫描结果评估器模块。

某些实施例中，软件代理可附加地或替换地包括一扫描上下文评估器模块，该模块被配置为对照一组已知规则评估扫描上下文信息以确定是否批准一种特定类型的扫描，并仅在确定该种特定类型的扫描被批准时启用该种特定类型的扫描。

某些实施例中，系统还可包括被配置为修改存储在扫描上下文存储中的扫描上下文信息以包括关于其状态的信息的至少一个应用程序。

某些实施例中，一种用于评估计算机系统的方法包括基于对已存储的扫描上下文信息的评估来调整扫描期间执行的诊断的级别。某些实施例中，一个或多个计算机可读存储介质可被编码以如下指令，该指令被一个或多个处理器执行时使得该一个或多个处理器执行上述方法。例如，可通过基于对已存储的扫描上下文信息的评估选择性地启用各诊断扫描来执行上述调整。某些实施例中，在执行各诊断扫描中被启用的那些扫描之后，可基于已执行的扫描的结果来调整已存储的扫描上下文信息。

某些实施例中，可对照一组已知规则评估扫描上下文信息以确定是否批准一种特定类型的扫描，仅当基于对扫描上下文信息的评估确定批准该种特定类型的扫描时，启用该种特定类型的扫描。

某些实施例中，已存储的扫描上下文信息可包括关于计算机系统当前状态的信息和关于计算机系统过去状态的信息。

某些实施例中，已存储的扫描上下文信息可被修改为包括关于计算机系统上至少一个应用程序的状态的信息。附加地或替换地，某些实施例中，已存储的扫描上下文信息可被修改为包括由云服务基于对至少一个扫描结果的评估而确定的状态信息。

某些实施例中，运行于本地系统的代理能够基于已存储的关于系统当前和过去状态的信息调用一系列系统检查。

某些实施例中，可提供被多个代理读取和更新的上下文状态信息的持久存储。这样的存储可本地地存在于系统上，或远程地在另一个系统上，或在云中。

某些实施例中，可执行一过程，其中基于应用于已存储的系统上下文信息的规则来评估可用的诊断扫描并为其排列优先次序。

某些实施例中，给定特定的系统状态简档，确定将运行哪些诊断扫描的规则可被动态更新。

附图说明

附图不旨在按比例绘制。在附图中，各个附图形中示出的每一相同或近乎完全相同的组件由同样的附图标记来表示。出于简明的目的，不是每个组件在每张附图中均被标号。在附图中：

图1是体现本发明某些方面的诊断系统的说明性示例的功能框图。

图2是可被软件代理根据本发明的某些实施例执行的算法的说明性示例的流程图；以及

图3和4是示出某些实施例中可选择性地启用的各个扫描类型的说明性示例的功能框图，以及可被检查以确定上述扫描是否应被启用或禁用的扫描上下文信息的示例的功能框图。

具体实施方式

本发明的某些实施例中，可将执行系统扫描的行为由扫描期间执行的静态的一组动作修改为一组诊断扫描，可基于对已存储的关于将被扫描的系统的状态信息的评估在运行时打开或关闭该诊断扫描。

图1是体现本发明某些方面的诊断系统100的说明性示例的功能框图。诊断系统100的所示组件可例如表示位于一个或多个计算机的存储器中的软件模块。如图所示，某些实施例中，可调用运行于计算机系统(未示出)上的代理102以检查系统的健康状况。在所示的说明性示例中，代理102包括扫描上下文评估器模块104、诊断扫描模块106和扫描结果评估器模块108。

诊断扫描模块106可例如能够执行计算机系统的各种自主检查(如单独的诊断扫描DS1-DSN)。每个上述诊断扫描可例如执行一系列动作以检查计算机系统的某些特定方面，并为扫描结果评估器模块108提供检查的一个或多个结果以供处理。某些实施例中，每个诊断扫描可独立于其他诊断扫描运行。

扫描结果评估器模块108可例如评估单独诊断扫描的输出并根据需要更新扫描上下文存储110(如下所述)。扫描结果评估器模块108可例如确定从诊断扫描模块106接收的扫描结果是否足够确凿以作出关于计算机系统健康状况或者是否需要附加信息的声明。某些实施例中，如果扫描结果评估器模块108确定需要附加信息，则附加诊断扫描DS1-DSN可被启用并运行，扫描上下文评估器模块104可重新评估系统状态直至代理102确定计算机系统的健康状况可被断言。

扫描上下文评估器模块104可例如负责执行以下运行时评估，为一特定的系统扫描启用或禁用哪些诊断扫描。可例如通过检查扫描上下文存储110的内容来实现这样的评估，在扫描上下文存储110中，被称为“扫描上下文”的系统状态信息可被持久地存储。扫描上下文可例如表示关于运行时计算机系统的已知信息，扫描上下文评估器模块104可对照一组已知规则评估该扫描上下文。某些实施例中，该信息可被经常更新，从而扫描的上下文可从一个系统扫描变为下一个。

运行各诊断扫描(如DS1-DSN)时，代理102可使用从诊断扫描收集的信息更新扫描上下文存储110中保留的扫描上下文，并基于更新后的扫描上下文重新评估对于附加诊断扫描的需要。某些实施例中，该过程可被重复至无诊断扫描被启用，此时系统扫描可以结束，代理102可向扫描报告模块112提供系统扫描的结果。某些实施例中，在全部诊断扫描已运行并作出无需附加扫描的判定之后，扫描报告模块112可例如准备并显示系统扫描的最终结果。

如上所示，某些实施例中，扫描上下文存储110可存储为运行时扫描提供上下文的系统状态信息。扫描上下文存储110相对于代理102可以具有多种形式并可被置于多个地点，本发明不限于任何特定类型或配置的存储。某些实施例中，例如，扫描上下文存储110可本地地存在于正被扫描的系统上(例如硬盘上和/或随机存取存储器(RAM)中)。其他实施例中，它可被远程地置于例如服务器上或可以在云中。某些实施例中，扫描上下文存储110可被代理本身和/或一个或多个受信应用程序或其他组件更新，该其他组件具有与将被执行的扫描的上下文相关的信息。某些实施例中，扫描上下文存储110可以跨计算机系统的重新启动被持久保存。所示示例中，扫描上下文存储110包括一组名字-值对，其中每个名字118标识一状态类型，链接的数据值120与该状态类型相对应。

某些实施例中，被用于执行各诊断扫描的一个或多个引擎可采用“本地”存储，该存储包含该特定引擎使用的扫描上下文信息。可例如在基于“全局”扫描上下文存储110中包含的数据来调用特定引擎时创建这样的本地存储。某些实施例中，一旦该引擎完成其操作，则可将对该引擎本地存储作出的任何修改合并入全局扫描上下文存储110。某些实施例中，全局扫描上下文存储110可位于持久存储器中，各引擎的本地存储可位于RAM中。

某些实施例中，扫描上下文存储110可附加地或替换地被一个或多个云服务114更新，该云服务可例如具有计算机系统上无法获得的附加上下文。例如，某些实施例中，扫描结果评估器模块108可将当前扫描信息通知云服务114，云服务114可通过向扫描上下文存储110写入附加状态信息予以响应。某些实施例中，例如，云服务114可将已扫描计算机系统的确定简档和已知存在特定健康问题的其他计算机系统的简档进行比较。如果发现匹配或相似的简档，则这样的云服务114接着可据此更新扫描上下文存储110中的状态入口。此后，扫描上下文评估器模块104可启用一个或多个合适的诊断扫描以检查计算机系统是否存在那些特定的健康问题。因此，某些实施例中，使用云服务114可为自动的或人类的分析员提供如下机制，由基于服务114接收的当前系统状态信息通过更新扫描上下文存储110来动态地请求附加的扫描行为。

某些实施例中，扫描上下文评估器模块114为评估扫描上下文和确定打开或关闭哪些扫描所采用的规则可以是动态地可更新的，例如通过每天提供规则(如“签名”)的新版本的云服务114。

某些实施例中，通过确定启用哪些诊断扫描或另外的基于已存储的扫描上下文和系统状态信息调整系统扫描行为，可以显著地优化状态健康的计算机系统的扫描性能。对于状态不健康的计算机系统，可执行更深层的扫描，并可显著地提高成功诊断系统问题的能力。因此，某些实施例中，代理102可以能够精细地调节扫描并在运行时作出折衷决定，而不是必须在性能或有效性之间折衷并将系统扫描定义为一组静态动作。

图2是由代理102根据本发明某些实施例执行的算法200的说明性示例的流程图。所示例程可例如由正被评估的计算机系统的一个或多个处理器来执行。某些实施例中，代理102可被实现为存储在主题计算机系统的处理器可访问的计算机可读介质上的一组指令。

如图2所示，初始化扫描(步骤201)，对照已知的一组规则评估(例如，使用扫描上下文评估器模块104)扫描上下文(步骤202)，以及，基于该评估启用或禁用单独诊断扫描(例如，扫描DS1-DSN)(步骤204)。多种情形中的任意一种可导致扫描的初始化。某些实施例中，例如，可周期性地初始化扫描，如每小时一次、每天一次、每星期一次等。附加的或替换的，可响应于计算机系统经历的某个事件初始化扫描，例如接收特定类型的文件或通信、访问特定类型的资源、安装新应用程序等。

如果一个或多个单独诊断扫描已被启用(参见步骤206)，则可(例如通过诊断扫描模块106)执行该已被启用的扫描(步骤208)，并且可基于那些扫描的结果更新扫描上下文存储110中的扫描上下文(步骤210)。如图所示，某些实施例中，该过程可被迭代直至确定(步骤206)没有单独诊断扫描被启用为止。一旦确定没有单独诊断扫描被启用(步骤206)，则可(例如通过扫描报告模块112)生成扫描报告并在适当时报告该结果(步骤212)。

可基于对扫描上下文的评估选择性地启用多个单独扫描中的任意一个，本发明不限于使用任何特定的扫描类型，或使用触发该扫描的启用的任何特定的上下文信息。图3和4是示出某些实施例中可选择性启用的单独扫描类型的说明性示例的功能框图，以及可被检查以确定上述扫描是否应被启用或禁用的扫描上下文信息的示例的功能框图。但是，扫描类型和触发机制的所示示例并不旨在限制。

如图3所示，某些实施例中，例如，仅当对扫描上下文的检查表明自从上一次扫描起实时保护(RTP)并未一直持续地保护计算机系统时，才启用一个类ID(CLSID)扫描(即在注册表中扫描CLSID)。例如，如果(基于对扫描上下文存储110中的扫描历史信息的评估)确定RTP自从上一次扫描起一直持续地保护计算机系统，没有RTP未运行的窗口，则扫描上下文评估器模块104可确定没有强制理由枚举和扫描注册表中的CLSID。由于RTP通常确保通过扫描相关的用户模式二进制码来检测威胁，CLSID通常被其他自动启动执行点(ASEP)所覆盖，因此例如，可作出决定以避免代价昂贵的CLSID扫描。

某些实施例中，除了或代替CLSID扫描的一个或多个诊断扫描可附加地或替换地被选择性地启用。图4所示的说明性示例中，例如，诊断扫描模块106允许以下各项的选择性启用：(1)过程扫描，(2)CLSID扫描，(3)ASEP扫描，(4)直接文件系统解析(DFSP)分区(即，比较被确定存在的和操作系统显示存在的之间的区别)，(5)注册表分区，(6)引擎内核支持库(KSL)rootkit扫描，(7)“其他”扫描(例如全磁盘扫描、线下扫描等)。

可以理解的是，某些实施例中，此处讨论的诊断扫描方法可提供显著的灵活性。例如，某些情形中，尽管可能确定启用全部扫描，但可基于扫描上下文存储110中包含的状态信息智能地作出执行的决定。某些扫描，例如on-box线下扫描解决方案或自动PXE引导至线下扫描，可能使系统下线长达几个小时，但好处是非常彻底和安全的扫描。这种诊断扫描可以例如被保留用于极端情况，如对扫描上下文的评估表明恶意软件可能正在干扰其他扫描的性能。作为一个不太极端的示例，仅当对扫描上下文的评估表明某些内核相容地挂钩到用于避免rootkits检测的技术时启用全面的原始磁盘扫描和分区。

通过禁用某些由于系统状态被确定为不必要的耗时扫描，用于该不必要的扫描的时间可以，在某些实施例中，被用于更为有用的检查。例如，如果对扫描上下文的评估表明自从上一次扫描起实时小型过滤器一直未被禁用，则可禁用用户模式CLSID或ASEP扫描。这种情况下，扫描上下文评估器模块104可以例如启用补充由小型过滤器提供的实时保护所实现的范围的诊断扫描，例如注册表分区和直接文件系统解析。

可以理解的是，某些诊断扫描可给系统稳定性带来内在的风险。其中一例是加载内核模式驱动程序以读取内核存储器从而为低级rootkits执行扫描。例如仅当对扫描上下文的评估表明rootkit的征兆时，如由某些用户模式扫描确定的，可启用上述扫描。对于如此处描述的诊断扫描模型，这样的内在风险扫描无需在未显示任何感染迹象的计算机系统上执行。

某些实施例中，启用哪些单独扫描的判定可附加地或替换地取决于扫描是用户发起的，或被调度的，或任何数目的其他因素。

至此描述了本发明的至少一个实施例的若干方面，可以理解，本领域的技术人员可容易地想到各种更改、修改和改进。

这样的更改、修改和改进旨在是本发明的一部分，且旨在处于本发明的精神和范围内。从而，上述描述和附图仅用作示例。

可以用多种方式中的任一种来实现本发明的上述实施例。例如，可使用硬件、软件或其组合来实现各实施例。当使用软件实现时，该软件代码可在无论是在单个计算机中提供的还是在多个计算机之间分布的任何合适的处理器或处理器的集合上执行。该处理器可被实现为集成电路，集成电路组件中具有一个或多个处理器。然而，可按照任何适合的方式使用电路实现处理器。

此外，应当理解，计算机可以用多种形式中的任一种来具体化，如机架式计算机、台式计算机、膝上型计算机、或图形输入板计算机。另外，计算机可以具体化在通常不被认为是计算机但具有合适的处理能力的设备中，包括个人数字助理(PDA)、智能电话、或任何其它适合的便携式或固定电子设备。

同样，计算机可以具有一个或多个输入和输出设备。这些设备主要可被用来呈现用户界面。可被用来提供用户界面的输出设备的示例包括用于可视地呈现输出的打印机或显示屏和用于可听地呈现输出的扬声器或其它声音生成设备。可被用于用户界面的输入设备的示例包括键盘和诸如鼠标、触摸板和数字化输入板等定点设备。作为另一示例，计算机可以通过语音识别或以其它可听格式来接收输入信息。

这些计算机可以通过任何合适形式的一个或多个网络来互连，包括作为局域网或广域网，如企业网络或因特网。这些网络可以基于任何合适的技术并可以根据任何合适的协议来操作，并且可以包括无线网络、有线网络或光纤网络。

而且，此处略述的各种方法或过程可被编码为可在采用各种操作系统或平台中任何一种的一个或多个处理器上执行的软件。此外，这样的软件可使用多种合适的程序设计语言和/或程序设计或脚本工具中的任何一种来编写，而且它们还可被编译为可执行机器语言代码或在框架或虚拟机上执行的中间代码。

就此，本发明可被具体化为用一个或多个程序编码的一个计算机可读介质(或多个计算机可读介质)(例如，计算机存储器、一个或多个软盘、紧致盘(CD)、光盘、数字视频盘(DVD)、磁带、闪存、现场可编程门阵列或其他半导体器件中的电路配置、或其他非瞬态的有形计算机存储介质)，当这些程序在一个或多个计算机或其他处理器上执行时，它们执行实现本发明的上述各个实施例的方法。这一个或多个计算机可读介质可以是可移植的，使得其上存储的一个或多个程序可被加载到一个或多个不同的计算机或其它处理器上以便实现本发明上述的各个方面。如此处所使用的，术语“非瞬态计算机可读存储介质”只包含可被认为是制品或机器的计算机可读介质。

此处以一般的意义使用术语“程序”或“软件”来指可被用来对计算机或其他处理器编程以实现本发明上述的各个方面的任何类型的计算机代码或计算机可执行指令集。另外，应当理解，根据本实施例的一个方面，当被执行时实现本发明的方法的一个或多个计算机程序不必驻留在单个计算机或处理器上，而是可以按模块化的方式分布在多个不同的计算机或处理器之间以实现本发明的各方面。

计算机可执行指令可以具有可由一个或多个计算机或其他设备执行的各种形式，诸如程序模块。一般而言，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等。通常，程序模块的功能可以按需在各个实施例中进行组合或分布。

而且，数据结构能以任何适合的形式存储在计算机可读介质上。为简化说明，数据结构可被示为具有通过该数据结构中的位置而相关的字段。这些关系同样可以通过对各字段的存储分配传达各字段之间的关系的计算机可读介质中的位置来得到。然而，可以使用任何适合的机制来在数据结构的各字段中的信息之间建立关系，例如通过使用指针、标签、或在数据元素之间建立关系的其他机制。

本发明的各个方面可单独、组合或以未在前述实施例中特别讨论的各种安排来使用，从而并不将其应用限于前述描述中所述或附图形中所示的组件的细节和安排。例如，可使用任何方式将一个实施例中描述的各方面与其它实施例中描述的各方面组合。

同样，本发明可被具体化为方法，其示例已经提供。作为该方法的一部分所执行的动作可以按任何适合的方式来排序。因此，可以构建各个实施例，其中各动作以与所示的次序所不同的次序执行，不同的次序可包括同时执行某些动作，即使这些动作在各说明性实施例中被示为顺序动作。

在权利要求书中使用诸如“第一”、“第二”、“第三”等序数词来修饰权利要求元素本身并不意味着一个权利要求元素较之另一个权利要求元素的优先级、先后次序或顺序、或者方法的各动作执行的时间顺序，而仅用作将具有某一名字的一个权利要求元素与(若不是使用序数词则)具有同一名字的另一元素区分开的标签以区分各权利要求元素。

同样，此处所使用的短语和术语是出于描述的目的而不应被认为是限制。此处对“包括”、“包含”、或“具有”、“含有”、“涉及”及其变型的使用旨在包括其后所列的项目及其等效物以及其他项目。

Claims (11)

1.一种用于评估计算机系统的方法，包括以下步骤：

基于对已存储的扫描上下文信息(110)的评估(202)调整(204)扫描期间执行的诊断的级别，其中所述扫描上下文信息包括与所述计算机系统的健康状况相关联的状态信息；

所述调整(204)扫描期间诊断的级别包括：

基于对已存储的扫描上下文信息(110)的评估(202)选择性地启用各诊断扫描；

执行(208)所述各诊断扫描中已被启用的那些；以及

基于已执行的扫描的结果修改(210)已存储的扫描上下文信息(110)。

2.如权利要求1所述的方法，其特征在于，还包括下列步骤：

对照一组已知规则评估(202)扫描上下文信息(110)以确定是否批准一特定类型的扫描；以及

仅当基于对扫描上下文信息(110)的评估(202)确定批准所述特定类型的扫描时，启用(204)所述特定类型的扫描。

3.如权利要求1所述的方法，其特征在于，已存储的扫描上下文信息(110)包括关于计算机系统当前状态的信息和关于计算机系统过去状态的信息。

4.如权利要求1所述的方法，其特征在于，还包括以下步骤：

修改(210)已存储的扫描上下文信息(110)以包括由云服务(114)基于对至少一个扫描结果的评估而确定的状态信息。

5.如权利要求1所述的方法，其特征在于，基于已执行的扫描的结果修改已存储的扫描上下文信息的步骤进一步包括：

修改已存储的扫描上下文信息以包括由云服务基于其他计算机系统的健康问题而确定的状态信息。

6.如权利要求2所述的方法，其特征在于，所述一组已知规则由云服务动态更新。

7.一种系统，包括：

扫描上下文存储(110)，被配置为为计算机系统存储扫描上下文信息，其中所述扫描上下文信息包括与所述计算机系统的健康状况相关联的状态信息；以及

软件代理(102)，位于所述计算机系统上，被配置为基于对存储在所述扫描上下文存储(110)中的所述上下文信息的评估调整扫描期间执行的诊断的级别，其中所述软件代理包括：

扫描上下文评估器模块(104)，被配置为基于对已存储的扫描上下文信息的评估选择性地启用各诊断扫描；

诊断扫描模块(106)，被配置为执行所述各诊断扫描中已被启用的那些；以及

扫描结果评估器模块(108)，被配置为基于已执行的扫描的结果修改已存储的扫描上下文信息。

8.如权利要求7所述的系统，其特征在于，还包括至少一个应用程序(116)，被配置为修改存储在所述扫描上下文存储(110)中的所扫描上下文信息以包括关于其状态的信息。

9.如权利要求7所述的系统，其特征在于，所述软件代理还包括扫描上下文评估器模块，该模块被配置为对照一组已知规则评估所述扫描上下文信息以确定是否批准一特定类型的扫描，并且仅在确定所述特定类型的扫描被批准的情况下才启用所述特定类型的扫描。

10.如权利要求7所述的系统，其特征在于，所述软件代理还包括扫描报告模块，该模块用于在所有诊断扫描完成后生成结果报告。

11.如权利要求7所述的系统，其特征在于，所述扫描上下文信息被存储在持久存储中。