CN104680064A - 利用文件指纹来优化文件的病毒扫描的方法和系统 - Google Patents

Abstract

本公开涉及利用文件指纹来优化文件的病毒扫描的方法和系统。在确定在重复数据删除处理之前是否应就恶意软件扫描文件的方法中，接收第一文件被存储或修改到计算系统的指示。一个或多个处理器创建第一文件的指纹。所述一个或多个处理器确定第一文件的指纹还未被保存在一个或多个保存的指纹的储存库中，并且作为响应，扫描第一文件，以确定第一文件是否被恶意软件感染。响应确定第一文件未被恶意软件感染，所述一个或多个处理器启动关于第一文件的重复数据删除处理。所述一个或多个处理器把第一文件的指纹保存到一个或多个保存的指纹的储存库。

Description

利用文件指纹来优化文件的病毒扫描的方法和系统

技术领域

本发明涉及防病毒软件，更具体地，涉及利用文件指纹来优化文件的病毒扫描。

背景技术

网络附加存储器(NAS)是连接到计算机网络的文件级计算机数据存储器。NAS服务器用于保存可由连接到相同网络的其它计算设备访问的计算机文件，比如文档、声音文件、照片、电影、图像、数据库等。NAS服务器可利用重复数据删除(data deduplication)来压缩数据和去除重复数据的完全相同副本。重复数据删除减少对于给定数据集的存储量。重复数据删除也可应用于网络数据传输，以减少必须发送的数据的数量。

恶意软件(或malware)是用于破坏计算机运行、收集敏感信息或者可以接入私人计算机系统的软件。计算机病毒是一种当被执行时，通过把其副本插入计算机程序中，复制计算机的数据文件或者硬盘驱动器的恶意软件。防病毒软件可被安装在系统中，当系统中的计算机试图下载或运行被感染的程序时，可以检测和删除已知的病毒。

发明内容

本发明的实施例的各个方面公开一种确定在重复数据删除处理之前，是否应就恶意软件扫描文件的方法、计算机程序产品和计算机系统。所述方法包括接收第一文件被存储或修改到计算系统的指示，其中计算系统是分布式数据处理环境的一部分。所述方法还包括一个或多个处理器创建第一文件的指纹。所述方法还包括一个或多个处理器确定第一文件的指纹还未被保存在一个或多个保存的指纹的储存库中。所述方法还包括响应确定第一文件的指纹还未被保存在一个或多个保存的指纹的储存库中，所述一个或多个处理器扫描第一文件，以确定第一文件是否被恶意软件感染。所述方法还包括响应确定第一文件未被恶意软件感染，所述一个或多个处理器启动关于第一文件的重复数据删除处理。所述方法还包括所述一个或多个处理器把第一文件的指纹保存到一个或多个保存的指纹的储存库。

附图说明

图1是图解说明按照本发明的一个实施例的分布式数据处理环境的功能方框图。

图2是按照本发明的一个实施例，确定文件是否要在重复数据删除之前，经历病毒扫描的指纹程序的操作步骤的流程图，所述指纹程序在图1的环境内运行，用于确定接收的文件是否要在重复数据删除之前，经历病毒扫描。

图3是图解说明按照本发明的另一实施例的分布式数据处理环境的功能方框图。

图4是按照本发明的另一个实施例，确定文件是否要在重复数据删除之前，经历病毒扫描的病毒扫描程序的操作步骤的流程图，所述病毒扫描程序在图1的环境内运行，用于确定接收的文件是否要在重复数据删除之前，经历病毒扫描。

图5按照本发明的实施例，描述图1和图3的服务器计算机的组合的方框图。

具体实施方式

当文件被上传到NAS服务器计算机时，文件通常经历病毒扫描。在完成病毒扫描之后，关于该文件创建病毒扫描报告。在任何给定的分布式数据环境中，文件可被不止一次地上传到NAS服务器计算机。如果文件被不止一次地上传到NAS服务器计算机，那么每次文件被上传到NAS服务器时，文件都要进行病毒扫描。本发明的实施例认识到不止一次地对相同文件进行病毒扫描会增大分布式数据环境的网络通信量。例如，如果文件是先前被扫描和保存过的重复文件，那么不必扫描该重复文件。

所属技术领域的技术人员知道，本发明的各个方面可以实现为系统、方法或计算机程序产品。因此，本发明的各个方面可以具体实现为以下形式，即：完全的硬件实施方式、完全的软件实施方式(包括固件、驻留软件、微代码等)，或硬件和软件方面结合的实施方式，这里可以统称为“电路”、“模块”或“系统”。此外，在一些实施例中，本发明的各个方面还可以实现为在一个或多个计算机可读介质中的计算机程序产品的形式，该计算机可读介质中包含计算机可读的程序代码。

可以采用一个或多个计算机可读介质的任意组合。计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本文件中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括——但不限于——电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。

计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括——但不限于——无线、有线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言的任意组合来编写用于执行本发明操作的计算机程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、Smalltalk、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。

下面将参照根据本发明实施例的方法、装置(系统)和计算机程序产品的流程图和/或框图描述本发明。应当理解，流程图和/或框图的每个方框以及流程图和/或框图中各方框的组合，都可以由计算机程序指令实现。这些计算机程序指令可以提供给通用计算机、专用计算机或其它可编程数据处理装置的处理器，从而生产出一种机器，使得这些计算机程序指令在通过计算机或其它可编程数据处理装置的处理器执行时，产生了实现流程图和/或框图中的一个或多个方框中规定的功能/动作的装置。

也可以把这些计算机程序指令存储在计算机可读介质中，这些指令使得计算机、其它可编程数据处理装置、或其他设备以特定方式工作，从而，存储在计算机可读介质中的指令就产生出包括实现流程图和/或框图中的一个或多个方框中规定的功能/动作的指令的制造品(art icle ofmanufacture)。

计算机程序指令也可被加载到计算机、其它可编程数据处理设备或者其它装置上，以在计算机、其它可编程数据处理设备或其它装置上进行一系列的操作步骤，从而产生计算机实现的处理，以致在计算机或其它可编程设备上执行的指令提供实现在流程图和/或方框图的一个或多个方框中指定的功能/动作的处理。

下面参考附图，详细说明本发明。图1描述按照本发明的一个实施例的分布式数据环境10的示图。图1仅仅提供一个实施例的例示，并不意味对于其中可实现不同实施例的环境的任何限制。

分布式数据处理环境10包括通过网络20互连的服务器计算机30、服务器计算机40和服务器计算机50。网络20可以是局域网(LAN)、诸如因特网之类的广域网(WAN)、按照本发明的实施例，支持服务器计算机30、服务器计算机40和服务器计算机50之间的通信的连接和协议之中的两种的组合或者它们的任意组合。网络20可包括有线、无线或光纤连接。分布式数据处理环境10可包括未图示的另外的服务器计算机、客户端计算机或者其它设备。

服务器计算机30是应用服务器。在其它实施例中，服务器计算机30可以是管理服务器、web服务器、或者能够接收和发送数据的任何其它电子设备或计算系统。在另一个实施例中，服务器计算机30可把利用多个计算机的服务器计算系统表示成服务器系统，比如在云计算环境中。在说明的实施例中，服务器计算机30包括应用程序60。在一个实施例中，服务器计算机30包括参考图5说明的组件。

服务器计算机40是防病毒服务器。在其它实施例中，服务器计算机40可以是管理服务器、web服务器、或者能够接收和发送数据的任何其它电子设备或计算系统。在另一个实施例中，服务器计算机40可把利用多个计算机的服务器计算系统表示成服务器系统，比如在云计算环境中。在说明的实施例中，服务器计算机40包括病毒扫描程序70。在一个实施例中，服务器计算机40包括参考图5说明的组件。

服务器计算机50是NAS文件服务器。NAS服务器用于保存可被连接到相同网络的其它计算设备访问的计算机文件，比如文档、声音文件、照片、电影、图像、数据库等。在其它实施例中，服务器计算机50可以是管理服务器、web服务器、或者能够接收和发送数据的任何其它电子设备或计算系统。在另一个实施例中，服务器计算机50可把利用多个计算机的服务器计算系统表示成服务器系统，比如在云计算环境中。在说明的实施例中，服务器计算机50包括指纹程序80、指纹数据库85和重复数据删除程序90。在一个实施例中，服务器计算机50包括参考图5说明的组件。

应用程序60通过网络20，在服务器计算机50上存储或修改文件。文件可以是文档、声音文件、照片、电影、图像、数据库等。在说明的实施例中，应用程序60在服务器计算机30上运行。在其它实施例中，应用程序60可在分布式数据处理环境10内的另一个服务器、计算机或计算设备上操作，只要应用程序60可以访问服务器计算机50。

病毒扫描程序70是扫描文件以检测恶意软件的防病毒软件。恶意软件可包括计算机病毒、间谍软件等。在说明的实施例中，病毒扫描程序70在服务器计算机40上运行。在其它实施例中，病毒扫描程序70可在分布式数据处理环境10内的另一个服务器、计算机或计算设备(未图示)上操作，只要病毒扫描程序70可以访问服务器计算机50。

在说明的实施例中，病毒扫描程序70通过网络20，接收来自服务器计算机50的扫描请求。在说明的实施例中，扫描请求包括待扫描文件的文件路径。在收到扫描请求之后，病毒扫描程序70扫描文件，以检测恶意软件。

在一个实施例中，病毒扫描程序70利用基于签名的检测来检测恶意软件。签名是每种已知病毒独有的代码。病毒扫描程序70比较文件的内容和已知病毒签名的数据库(未图示)。病毒扫描程序70确定文件的任意内容是否完全匹配保存在数据库中的任何已知病毒签名。如果病毒扫描程序70确定文件包括病毒签名，那么病毒扫描程序70确定该文件被恶意软件感染。

在另一个实施例中，病毒扫描程序70利用基于试探的检测来检测恶意软件。病毒扫描程序70比较文件的内容和已知病毒签名的数据库(未图示)。病毒扫描程序70确定文件的任意内容是否部分匹配保存在数据库中的任何已知病毒签名。如果病毒扫描程序70确定文件包括部分匹配已知病毒签名的内容，那么病毒扫描程序70确定文件被恶意软件感染。在另一个实施例中，病毒扫描程序70利用另一种检测方法检测恶意软件。

在病毒扫描程序70就恶意软件扫描文件之后，病毒扫描程序70创建病毒扫描报告。在一个实施例中，病毒扫描报告是指示文件是否包括恶意软件的简单的通过/未通过报告。在另一个实施例中，病毒扫描报告是突出匹配或部分匹配已知的病毒扫描的文件内的任何内容的详细报告。病毒扫描程序70通过网络20，把病毒扫描报告发送给指纹程序80。

指纹程序80操作为创建在服务器计算机50上存储或修改的文件的指纹，并确定文件的指纹是否已存在。指纹程序80还操作为从病毒扫描程序70接收病毒扫描报告，并向重复数据删除程序90发送重复数据删除请求。重复数据删除请求可包括在服务器计算机50上存储或修改的文件的文件名和指纹。在说明的实施例中，指纹程序80在服务器计算机50上运行。在其它实施例中，指纹程序80在分布式数据处理环境10内的另一个服务器、计算机或计算设备(未图示)内工作，只要指纹程序80可以访问服务器计算机50、病毒扫描程序70、指纹数据库85和重复数据删除程序90。

指纹程序80确定在服务器计算机50上存储或修改的文件的指纹。指纹是识别文件及其内容的序列。指纹可包括在服务器计算机50上存储或修改所述文件的日期和时间。在一个实施例中，指纹程序80利用算法创建唯一的指纹，以识别在服务器计算机50上创建或修改的各个文件。

指纹数据库85是可由指纹程序80和重复数据删除程序90读写的储存库。在一个实施例中，指纹数据库85位于服务器计算机50上。在其它实施例中，指纹数据库85可位于分布式数据处理环境10内的另一个系统或另一个计算设备上，只要指纹程序80和重复数据删除程序90可通过网络20访问指纹数据库85。在说明的实施例中，指纹数据库85是保存指纹程序80创建的指纹的数据库。指纹数据库85保存的每个指纹识别在服务器计算机50上存储或修改的文件。指纹数据库85还保存关于与存储的指纹相关的文件的病毒扫描报告。

重复数据删除程序90操作为压缩文件，以删除文件的重复副本，和把文件的指纹保存到指纹数据库85。重复数据删除程序90接收来自指纹程序80的重复数据删除请求。重复数据删除请求包括在服务器计算机50上存储或修改的文件的文件名。重复数据删除请求还可包括在服务器计算机50上存储或修改的文件的指纹，如果所述指纹还未存在于指纹数据库85上的话。重复数据删除程序90比较在服务器计算机50上存储或修改的文件的内容，和先前在服务器计算机50上存储或修改的文件的内容。如果重复数据删除程序90确定在服务器计算机50上存储或修改的文件的内容匹配先前保存的文件的内容，那么重复数据删除程序90确定在服务器计算机50上存储或修改的文件是保存文件的副本。重复数据删除程序90不保存在服务器计算机50上存储或修改的文件。重复数据删除程序90保存对于先前保存的文件的引用。

如果重复数据删除程序90确定在服务器计算机50上存储或修改的文件的内容不匹配保存文件的内容，那么重复数据删除程序90确定在服务器计算机50上存储或修改的文件不是重复的文件。重复数据删除程序90把在服务器计算机50上存储或修改的文件保存到在所请求位置的服务器计算机50

图2按照本发明的一个实施例，说明确定文件在重复数据删除之前，是否要经历病毒扫描的指纹程序80的步骤的流程图。

一开始，应用程序60通过网络20，把文件保存在服务器计算机50。例如，文件可以是文档。在另一个例子中，文件是图像。服务器计算机50上的软件(未图示)请求指纹程序80确定保存在服务器计算机50上的文件的指纹。

在步骤200，指纹程序80接收确定在服务器计算机50上存储或修改的文件的指纹。在说明的实施例中，指纹程序80接收来自服务器计算机50上的软件(未图示)的确定在服务器计算机50上存储或修改的文件的指纹的请求。在再一个实施例中，指纹程序80接收来自应用程序60的请求。在另一个实施例中，请求可包括直接从应用程序60接收文件。

在步骤210，指纹程序80确定在服务器计算机50上存储或修改的文件的指纹。在一个实施例中，指纹程序80利用加密散列函数来创建指纹。加密散列函数是把一组数据(即，文件)转换成固定大小的序列的算法。加密散列函数创建的序列被称为散列值。对初始的一组数据的任何变化都将改变散列值。在另一个实施例中，指纹程序利用另一种方法来创建指纹。

在创建在服务器计算机50上存储或修改的文件的指纹之后，指纹程序80确定文件的指纹是否已被保存在指纹数据库85中(判定220)。指纹程序80访问指纹数据库85。指纹程序80比较在步骤210中创建的指纹，和保存在指纹数据库85中的指纹。指纹程序80确定所确定的指纹是否匹配保存在指纹数据库85中的任意指纹。如果确定的指纹匹配保存的指纹，那么指纹程序80进入步骤260(判定220，“是”分枝)。在另一个实施例中，指纹程序80还可请求文件的病毒扫描报告，然后进入步骤260。如果新指纹和保存的指纹不匹配，那么指纹程序80进入步骤230(判定220，“否”分枝)。

在步骤230，指纹程序80发送在服务器计算机50上存储或修改的文件的病毒扫描请求。在描述的实施例中，指纹程序80通过网络20向病毒扫描程序70发送扫描请求。扫描请求包括在服务器计算机50上存储或修改的文件的文件路径。病毒扫描程序70就恶意软件扫描所述文件，并创建病毒扫描报告。病毒扫描程序70通过网络20，把被扫描文件的病毒扫描报告发送给指纹程序80。

在步骤240，指纹程序80从病毒扫描程序70接收病毒扫描报告。在一个实施例中，病毒扫描报告是指示文件是否包括恶意软件的简单的通过/未通过报告。在另一个实施例中，病毒扫描报告是突出匹配或部分匹配已知病毒扫描的文件内的任意内容的详细报告。

指纹程序80根据病毒扫描报告，确定被扫描文件是否被恶意软件感染(判定步骤250)。在一个实施例中，病毒扫描报告包括文件通过病毒扫描，从而文件未被恶意软件感染的指示。在另一个实施例中，病毒扫描报告包括文件未通过病毒扫描，从而被恶意软件感染的指示。如果被扫描文件被感染，那么指纹程序80进入步骤255(判定250，“是”分枝)。在步骤255，指纹程序80拒绝在服务器计算机50上存储或修改的文件。在一个实施例中，指纹程序80从服务器计算机50删除该文件。在另一个实施例中，指纹程序80向应用程序60发送在服务器计算机50上存储或修改的文件被恶意软件感染的指示。例如，指纹程序80把病毒扫描报告发送给应用程序60。如果被扫描文件未被感染，那么指纹程序80进入步骤260(判定250，“否”分枝)。

在步骤260，指纹程序80向重复数据删除程序90发送重复数据删除请求。在一个实施例中，重复数据删除请求包括在服务器计算机50上存储或修改的文件的文件名。在再一个实施例中，重复数据删除请求包括在服务器计算机50上存储或修改的文件的指纹。在另一个实施例中，重复数据删除请求包括把文件本身发送给重复数据删除程序90。

在一个实施例中，重复数据删除程序90把在服务器计算机50上存储或修改的文件保存到包含在重复数据删除请求中的请求位置。在再一个实施例中，重复数据删除程序90还把在服务器计算机50上存储或修改的文件的指纹保存到指纹数据库85。在另一个实施例中，指纹程序80把在服务器计算机50上存储或修改的文件的指纹保存到指纹数据库85。

图3描述按照本发明的另一个实施例的分布式数据处理环境310的示图。图3仅仅提供一个实施例的例示，并不意味对其中可实现不同实施例的环境的任何限制。

服务器计算机330起和参考图1说明的服务器计算机30相同的作用。服务器计算机340A和服务器计算机340B(下面称为“340A-B”)起和参考图1说明的服务器计算机40相同的作用。服务器计算机350A和服务器计算机350B(下面称为“350A-B”)起和参考图1说明的服务器计算机50相同的作用。服务器计算机330、服务器计算机340A-B和服务器计算机350A-B通过网络320连接。网络320起和参考图1说明的网络20相同的作用。

应用程序360按照和参考图1说明的应用程序60相似的方式工作。在说明的实施例中，应用程序360操作为通过网络320，在服务器计算机340A-B上保存或修改文件。

指纹程序380A和指纹程序380B(下面称为“380A-B”)操作为分别创建在服务器计算机350A-B上存储或修改的文件的指纹。在一个实施例中，指纹程序380A接收来自服务器计算机350A上的软件(未图示)的请求，以确定在服务器计算机350A上存储或修改的文件的指纹。在另一个实施例中，指纹程序380A从应用程序360，接收创建在服务器计算机350A上存储或修改的文件的指纹的请求。在另一个实施例中，请求可包括接收直接来自应用程序360的文件。

指纹程序380A通过网络20，向病毒扫描程序370A发送扫描请求。在一个实施例中，扫描请求包括在服务器计算机350A上存储或修改的各个文件的指纹。指纹程序380A从病毒扫描程序370A接收病毒扫描报告。在一个实施例中，在向病毒扫描程序370A发送扫描请求之后，指纹程序380A把对于在服务器计算机350A上存储或修改的文件的重复数据删除请求分别发送给重复数据删除程序390A。指纹程序380B按照和指纹程序380A类似的方法，但是对于病毒扫描程序370B和重复数据删除程序390B进行操作。

重复数据删除程序390A和重复数据删除程序390B(下面称为“390A-B”)操作为压缩文件，以删除文件的重复副本。重复数据删除程序390A接收来自指纹程序380A的重复数据删除请求。重复数据删除请求包括在服务器计算机350A上存储或修改的文件的文件名。重复数据删除请求还可包括在服务器计算机50上存储或修改的文件的指纹，如果所述指纹还未存在于指纹数据库385A上的话。重复数据删除程序390A比较在服务器计算机350A上存储或修改的文件的内容和先前在服务器计算机350A上存储或修改的文件的内容。如果重复数据删除程序390A确定在服务器计算机350A上存储或修改的文件的内容匹配先前保存的文件的内容，那么重复数据删除程序390A确定在服务器计算机50上存储或修改的文件是保存的文件的副本。重复数据删除程序390A不保存在服务器计算机50上存储或修改的文件。重复数据删除程序390A保存对于先前保存文件的引用。

如果重复数据删除程序390A确定在服务器计算机50上存储或修改的文件的内容和保存的文件的内容不匹配，那么重复数据删除程序390A确定在服务器计算机350A上存储或修改的文件不是重复文件。重复数据删除程序390A把在服务器计算机350A上存储或修改的文件保存到在所请求位置的服务器计算机350A中。重复数据删除程序390B按照和重复数据删除程序390A类似的方式，但是对于服务器计算机350B和指纹程序380B进行操作。

病毒扫描程序370A-B分别接收分别来自指纹程序380A-B的对于在服务器计算机350A-B上存储或修改的文件的扫描请求。病毒扫描程序370A访问指纹数据库385A，以确定包含在扫描请求内的指纹是否已被保存。病毒扫描程序370A操作为确定包含在扫描请求中的文件是否应就恶意软件被扫描。病毒扫描程序370A可定期更新和同步分布式数据处理环境中的所有指纹数据库。病毒扫描程序370B操作为按照和病毒扫描程序370A类似的方式，但是对于服务器计算机350B、指纹程序380B和指纹数据库385B进行操作。

指纹数据库385A类似于如上参考图1说明的指纹数据库85。指纹数据库385A是与指纹数据库85类似的储存库。指纹数据库385A保存指纹和病毒扫描报告。指纹数据库385A可由指纹程序380A和重复数据删除程序390A读写。指纹数据库385B类似于指纹数据库385A，但是是相对于指纹程序380B和重复数据删除程序390B的。

图4按照本发明的一个实施例，描述用于确定文件是否要在重复数据删除之前，经历病毒扫描的病毒扫描程序370A的各个步骤的流程图。

首先，在描述的实施例中，应用程序360通过网络20，把文件保存或修改到服务器计算机350。指纹程序380A接收创建所述文件的指纹的请求。指纹程序380A创建所述文件的指纹。指纹程序380A通过网络320，向病毒扫描程序370A发送扫描请求。扫描请求包括在服务器计算机350A上保存或修改的文件的文件路径和指纹。

在步骤400，病毒扫描程序370A通过网络320，从指纹程序380A接收对于在服务器计算机350A上保存或修改的文件的扫描请求。在一个实施例中，所述扫描请求包括在服务器计算机350A上保存或修改的文件的文件名和指纹。

病毒扫描程序370A确定在服务器计算机350A上存储或修改的文件的指纹是否已被保存在指纹数据库385A中(判定410)。病毒扫描程序370A访问指纹数据库385A。病毒扫描程序370A比较接收的指纹和保存在指纹数据库385A上的指纹。病毒扫描程序370A判定包含在扫描请求内的指纹是否匹配保存在指纹数据库385A上的任意指纹。如果接收的指纹匹配保存的指纹(判定410，“是”分枝)，那么病毒扫描程序370A进入步骤450。如果接收的指纹不匹配保存的指纹，那么病毒扫描程序370A进入步骤420(判定410，“否”分枝)。

在步骤420，病毒扫描程序370A就恶意软件扫描文件。在一个实施例中，病毒扫描程序370A利用基于签名的检测来检测恶意软件。签名是每种已知病毒独有的代码。病毒扫描程序370A比较文件的内容和已知病毒签名的数据库(未图示)。病毒扫描程序370A确定文件的内容是否完全匹配保存在数据库中的任何已知病毒签名。如果病毒扫描程序370A确定文件包括病毒签名，那么病毒扫描程序370A确定该文件被恶意软件感染。

在另一个实施例中，病毒扫描程序370A利用基于试探的检测来检测恶意软件。病毒扫描程序370A比较文件的内容和已知病毒签名的数据库(未图示)。病毒扫描程序370A确定文件的任意内容是否部分匹配保存在数据库中的任何已知病毒签名。如果病毒扫描程序370A确定文件包括部分匹配已知病毒签名的内容，那么病毒扫描程序370A确定文件被恶意软件感染。在另一个实施例中，病毒扫描程序370A利用另一种检测方法检测恶意软件。

在步骤430，病毒扫描程序370A创建病毒扫描报告。在一个实施例中，病毒扫描报告是指示文件是否包括恶意软件的简单的通过/未通过报告。在另一个实施例中，病毒扫描报告是突出匹配或部分匹配已知的病毒扫描的文件内的任何内容的详细报告。

在步骤440，病毒扫描程序370A把创建的病毒扫描报告以及在服务器计算机350A上保存或修改的文件的指纹保存到指纹数据库385A。

在步骤450，病毒扫描程序370A通过网络320，把病毒扫描报告发送给指纹程序380A。病毒扫描程序370A还把病毒扫描报告以及在服务器计算机350A上保存或修改的文件的指纹发送给指纹数据库385B。病毒扫描程序370A还可把病毒扫描报告和指纹发送给在相同的分布式数据处理环境中的多个指纹数据库。

图5按照本发明的一个实施例，描述图1的服务器计算机30、服务器计算机40和服务器计算机50的各个组件的方框图。图5还按照本发明的一个实施例，描述图3的服务器计算机330、服务器计算机340A-B和服务器计算机350A-B的各个组件的方框图。应理解图5只提供一种实现的例示，并不意味对其中可实现不同实施例的环境的任何限制。可以作出对描述的实施例的许多修改。

服务器计算机30、服务器计算机40、服务器计算机50、服务器计算机30、服务器计算机340A-B和服务器计算机350A-B都可包括通信架构502，通信架构502提供计算机处理器504、存储器506、永久存储器508、通信单元510和输入/输出(I/O)接口512之间的通信。通信架构502可以用为在处理器(比如微处理器、通信子系统(communications)和网络处理器等)、系统存储器、外设和系统内的任何其它硬件组件之间传送数据和/或控制信息而设计的任何体系结构实现。例如，可以用一条或多条总线，实现通信架构502。

存储器506和永久存储器508都是计算机可读存储介质。在本实施例中，存储器306包括随机存取存储器(RAM)514和高速缓冲存储器516。通常，存储器506可包括任何适当的易失性或非易失性计算机可读存储介质。

应用程序60被保存在服务器计算机30的永久存储器508中，以便通过服务器计算机30的存储器506中的一个或多个存储器，由服务器计算机30的相应计算机处理器504中的一个或多个处理器执行。病毒扫描程序70被保存在服务器计算机40的永久存储器508中，以便通过服务器计算机40的存储器506中的一个或多个存储器，由服务器计算机40的相应计算机处理器504中的一个或多个处理器执行。指纹程序80、指纹数据库85、和重复数据删除程序90都被保存在服务器计算机50的永久存储器508中，以便通过服务器计算机50的存储器506中的一个或多个存储器，由服务器计算机50的相应计算机处理器504中的一个或多个处理器执行。

应用程序360被保存在服务器计算机330的永久存储器508中，以便通过服务器计算机330的存储器506中的一个或多个存储器，由服务器计算机330的相应计算机处理器504中的一个或多个处理器执行。病毒扫描程序370A-B被保存在服务器计算机340A-B的永久存储器508中，以便通过服务器计算机340A-B的存储器506中的一个或多个存储器，由服务器计算机340A-B的相应计算机处理器504中的一个或多个处理器执行。指纹程序380A-B、指纹数据库385A-B、和重复数据删除程序390A-B都被保存在服务器计算机350A-B的永久存储器508中，以便通过服务器计算机350A-B的存储器506中的一个或多个存储器，由服务器计算机350A-B的相应计算机处理器504中的一个或多个处理器执行。

在本实施例中，永久存储器508包括硬磁盘驱动器。另一方面，或者除了硬磁盘驱动器之外，永久存储器508可包括固态硬盘驱动器、半导体存储器件、只读存储器(ROM)、可擦可编程只读存储器(EPROM)、闪存、或者能够保存程序指令或数字信息的任何其它计算机可读存储介质。

永久存储器508使用的介质也可以是可拆卸的。例如，可拆卸硬盘驱动器可用于永久存储器508。其它例子包括插入驱动器中，以便转移到也是永久存储器508的一部分的另一个计算机可读存储介质上的光盘和磁盘、U盘驱动器、和智能卡。

在这些例子中，通信单元510提供与其它服务器或设备的通信。在这些例子中，通信单元510包括一个或多个网络接口卡。通过利用物理通信链路和/或无线通信链路，通信单元510可提供通信。应用程序60被保存在服务器计算机30的永久存储器508中，以便通过服务器计算机30的存储器506中的一个或多个存储器，由服务器计算机30的相应计算机处理器504中的一个或多个处理器执行。病毒扫描程序70被保存在服务器计算机40的永久存储器508中，以便通过服务器计算机40的存储器506中的一个或多个存储器，由服务器计算机40的相应计算机处理器504中的一个或多个处理器执行。指纹程序80、指纹数据库85、和重复数据删除程序90都被保存在服务器计算机50的永久存储器508中，以便通过服务器计算机50的存储器506中的一个或多个存储器，由服务器计算机50的相应计算机处理器504中的一个或多个处理器执行。

应用程序360被保存在服务器计算机330的永久存储器508中，以便通过服务器计算机330的存储器506中的一个或多个存储器，由服务器计算机330的相应计算机处理器504中的一个或多个处理器执行。病毒扫描程序370A-B被保存在服务器计算机340A-B的永久存储器508中，以便通过服务器计算机340A-B的存储器506中的一个或多个存储器，由服务器计算机340A-B的相应计算机处理器504中的一个或多个处理器执行。指纹程序380A-B、指纹数据库385A-B、和重复数据删除程序390A-B都被保存在服务器计算机350A-B的永久存储器508中，以便通过服务器计算机350A-B的存储器506中的一个或多个存储器，由服务器计算机350A-B的相应计算机处理器504中的一个或多个处理器执行。

I/O接口512允许与连接到服务器计算机30、服务器计算机40、服务器计算机50、服务器计算机30、服务器计算机340A-N或服务器计算机350A-B的其它设备的数据输入和输出。例如，I/O接口512可提供与诸如键盘、小键盘、触摸屏和/或某种其它适当的输入设备之类的外部设备518的连接。外部设备518还可包括诸如U盘驱动器、便携式光盘或磁盘、和存储卡之类的便携式计算机可读存储介质。用于实践本发明的实施例的软件和数据，例如应用程序60可被保存在这样的便携式计算机可读存储介质上，并可通过服务器计算机30的相应I/O接口512被加载到服务器计算机30的永久存储器508上。用于实践本发明的实施例的软件和数据，例如病毒扫描程序70可被保存在这样的便携式计算机可读存储介质上，并可通过服务器计算机40的I/O接口512被加载到服务器计算机40的永久存储器508上。用于实践本发明的实施例的软件和数据，例如指纹程序80、指纹数据库85和重复数据删除程序90可被保存在这样的便携式计算机可读存储介质上，并可通过服务器计算机50的I/O接口312被加载到服务器计算机50的永久存储器508上。

用于实践本发明的实施例的软件和数据，例如应用程序60可被保存在这样的便携式计算机可读存储介质上，并可通过服务器计算机330的相应I/O接口512分别被加载到服务器计算机330的永久存储器508上。用于实践本发明的实施例的软件和数据，例如病毒扫描程序370A-B可被保存在这样的便携式计算机可读存储介质上，并可通过服务器计算机340A-B的I/O接口512被加载到服务器计算机340A-B的永久存储器508上。用于实践本发明的实施例的软件和数据，例如指纹程序380A-B、指纹数据库385A-B和重复数据删除程序390A-B可被保存在这样的便携式计算机可读存储介质上，并可通过服务器计算机350A-B的I/O接口312被加载到服务器计算机350A-B的永久存储器508上。

这里说明的程序是根据在本发明的具体实施例中，实现所述程序所用于的应用识别的。然而，应意识到这里的任何特定程序命名仅仅是为了便利起见使用的，从而本发明并不局限于仅仅用在由这样的命名识别和/或暗示的任何特定应用中。

附图中的流程图和框图显示了根据本发明的多个实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

Claims (14)

1.一种确定在重复数据删除处理之前是否应就恶意软件扫描文件的方法，所述方法包括以下步骤：

接收第一文件被存储或修改到计算系统的指示，其中计算系统是分布式数据处理环境的一部分；

一个或多个处理器创建第一文件的指纹；

所述一个或多个处理器确定第一文件的指纹还未被保存在一个或多个保存的指纹的储存库中；

响应确定第一文件的指纹还未被保存在一个或多个保存的指纹的储存库中，所述一个或多个处理器扫描第一文件，以确定第一文件是否被恶意软件感染；

响应确定第一文件未被恶意软件感染，所述一个或多个处理器启动关于第一文件的重复数据删除处理；和

所述一个或多个处理器把第一文件的指纹保存到一个或多个保存的指纹的储存库。

2.按照权利要求1所述的方法，其中第一文件被存储或修改到计算系统的指示包括就恶意软件扫描第一文件的请求。

3.按照权利要求1所述的方法，还包括一个或多个处理器把第一文件的指纹保存到分布式数据处理环境中的保存的指纹的一个或多个其它储存库的步骤。

4.按照权利要求3所述的方法，还包括一个或多个处理器把第一文件的病毒扫描结果保存到一个或多个保存的指纹的储存库的步骤。

5.按照权利要求1所述的方法，其中所述一个或多个处理器确定第一文件的指纹还未被保存在一个或多个保存的指纹的储存库中的步骤包括：

所述一个或多个处理器访问一个或多个保存的指纹的储存库；和

所述一个或多个处理器比较第一文件的指纹和已保存在一个或多个保存的指纹的储存库中的一个或多个指纹。

6.按照权利要求1所述的方法，还包括以下步骤：

接收第二文件被保存或修改到计算系统的指示；

所述一个或多个处理器创建第二文件的指纹；

所述一个或多个处理器确定第二文件的指纹还未被保存在一个或多个保存的指纹的储存库中；

响应确定第二文件的指纹还未被保存在一个或多个保存的指纹的储存库中，所述一个或多个处理器扫描第二文件，以确定第二文件是否被恶意软件感染；和

响应确定第二文件被恶意软件感染，所述一个或多个处理器拒绝第二文件。

7.按照权利要求1所述的方法，还包括以下步骤：

接收第三文件被保存或修改到计算系统的指示；

所述一个或多个处理器创建第三文件的指纹；

所述一个或多个处理器确定第三文件的指纹已被保存在一个或多个保存的指纹的储存库中；和

响应确定第三文件的指纹已被保存在一个或多个保存的指纹的储存库中，所述一个或多个处理器访问保存的关于第三文件的病毒扫描结果。

8.一种确定在重复数据删除处理之前是否应就恶意软件扫描文件的计算机系统，所述系统包括用于进行按照权利要求1-7的任意方法的所有步骤的装置。

9.一种确定在重复数据删除处理之前是否应就恶意软件扫描文件的计算机系统，所述计算机系统包括：

一个或多个计算机处理器；

一个或多个计算机可读存储介质；

保存在计算机可读存储介质上，以便由所述一个或多个处理器中的至少一个处理器执行的程序指令，所述程序指令包括：

接收第一文件被存储或修改到计算系统的指示的程序指令，其中计算系统是分布式数据处理环境的一部分；

创建第一文件的指纹的程序指令；

确定第一文件的指纹还未被保存在一个或多个保存的指纹的储存库中的程序指令；

响应确定第一文件的指纹还未被保存在一个或多个保存的指纹的储存库中，扫描第一文件，以确定第一文件是否被恶意软件感染的程序指令；

响应确定第一文件未被恶意软件感染，启动关于第一文件的重复数据删除处理的程序指令；和

把第一文件的指纹保存到一个或多个保存的指纹的储存库的程序指令。

10.按照权利要求9所述的计算机系统，其中第一文件被存储或修改到计算系统的指示包括就恶意软件扫描第一文件的请求。

11.按照权利要求9所述的计算机系统，还包括保存在计算机可读存储介质上，以便由所述一个或多个处理器中的至少一个处理器执行的程序指令，所述程序指令把第一文件的指纹保存到分布式数据处理环境中的保存的指纹的一个或多个其它储存库。

12.按照权利要求11所述的计算机系统，还包括保存在计算机可读存储介质上，以便由所述一个或多个处理器中的至少一个处理器执行的程序指令，所述程序指令把第一文件的病毒扫描结果保存到一个或多个保存的指纹的储存库。

13.按照权利要求9所述的计算机系统，其中确定第一文件的指纹还未被保存在一个或多个保存的指纹的储存库中的程序指令包括：

访问一个或多个保存的指纹的储存库的程序指令；和

比较第一文件的指纹和已保存在一个或多个保存的指纹的储存库中的一个或多个指纹的程序指令。

14.按照权利要求9所述的计算机系统，还包括：

保存在计算机可读存储介质上，以便由所述一个或多个处理器中的至少一个处理器执行的程序指令，该程序指令接收第二文件被保存或修改到计算系统的指示；

保存在计算机可读存储介质上，以便由所述一个或多个处理器中的至少一个处理器执行的程序指令，该程序指令创建第二文件的指纹；

保存在计算机可读存储介质上，以便由所述一个或多个处理器中的至少一个处理器执行的程序指令，该程序指令确定第二文件的指纹还未被保存在一个或多个保存的指纹的储存库中；

保存在计算机可读存储介质上，以便由所述一个或多个处理器中的至少一个处理器执行的程序指令，该程序指令响应确定第二文件的指纹还未被保存在一个或多个保存的指纹的储存库中，扫描第二文件，以确定第二文件是否被恶意软件感染；和

保存在计算机可读存储介质上，以便由所述一个或多个处理器中的至少一个处理器执行的程序指令，该程序指令响应确定第二文件被恶意软件感染，拒绝第二文件。