JP6126672B2 - 悪性コード検出方法及びシステム - Google Patents

Description

本開示は、一般的にコンピュータ技術分野に関し、具体的には、ネットワーク情報セキュリティ分野に関し、特に、悪性コード検出方法及びシステムに関する。

インターネットの急速な発展に伴い、悪性コードによる不正利益チェーンが既に形成されている。悪性コードは、情報のセキュリティへの脅威等の悪意を目的とするプログラムであり、通常、被害コンピュータに隠れて破壊し又は情報を窃取する。新規に増加する悪性コードサンプルは、一日数万となっているので、従来のクライアントでの検出方式は、徐々にクラウド検出削除の検出方式に変化している。

クラウド検出削除は、クラウドコンピューティング技術のウィルス対策での応用である。クラウドコンピューティングは、設定可能なコンピューティングリソースの共有プールに対する便利なオンデマンドのネットワーク・アクセスを可能にするサービス配信モデルである。簡単に言えば、クラウドコンピューティングは、クラウドコンピューティングサービスプロバイダがクラウドコンピューティングのストレージとコンピューティングセンターを構築し、ユーザがネットワークによって「クラウド」にアクセスし、「クラウド」をデータ記憶及びアプリケーションサービスのセンターとするものである。クラウド検出削除は、アンチウイルスベンダーがクラウドオンラインサーバクラスターを作成し、大量の検出特徴及び検出ルールを記憶して、且つ各種鑑別器を用いてマッチングして検出することである。ソフトウェアクライアントは、検出しようとするオブジェクトの情報をネットワーキングによってクラウドサーバにアップロードし、サーバの検出結果を待つ。

しかし、各種鑑別器は、その検出方法がいずれも自分の利点及び欠陥を有し、検出結果が誤報される可能性もあり、それによりクラウドでの最終的な鑑別結果に影響を与える。
従来の技術における上記欠陥又は不備に鑑みて、悪性コードの検出精度を効果的に向上させることができる解決策を提供することが期待される。

本願の一態様は、悪性コード検出方法を提供し、当該方法は、検出サンプルを受信するステップと、多種の悪性コード鑑別器を利用して検出サンプルをそれぞれ検出して複数の検出結果を取得するステップと、検出結果の信頼度及び信用値を決定するステップと、検出結果の信頼度及び信用値に基づいて検出サンプルの最終的な鑑別結果を決定するステップとを含み、ここで、信頼度は、検出結果が悪意及び／又は安全性を有するかどうかを示し、信用値は、信頼度と対応する定量化した信頼の程度である。

本願の別の態様は、悪性コード検出システムを更に提供し、当該システムは、検出サンプルを受信するためのクラウド検出サーバと、クラウド検出サーバから検出サンプルを受信し且つ検出サンプルをそれぞれ検出して複数の検出結果を取得するための複数の異なるタイプの悪性コード鑑別器と、検出結果の信頼度及び信用値を決定し、且つ検出結果の信頼度及び信用値に基づいて検出サンプルの最終的な鑑別結果を決定するためのファイル信用判定部とを含み、ここで、信頼度は、検出結果が悪意及び／又は安全性を有するかどうかを示し、信用値は、信頼度と対応する定量化した信頼の程度である。

本願の実施例に係る悪性コード検出の解決策は、複数の悪性コード鑑別器の検出結果に信頼度及び信用値を割り当てることによって、各種の悪性コード鑑別器の特性を十分に利用して、悪性コード検出の精度を向上させることができる。いくつかの実施例において、検出結果の信用値は、悪性コード鑑別器の誤報率を示し、信用値に基づいて検出結果を判定し、サンプル鑑別結果の誤報率を低下させることができる。また、他の実施例において、信頼度及び信用値判定ポリシに応じて、検出結果の信頼度及び信用値の細粒度に基づいて鑑別結果を調整することができる。

以下の図面を参照しながら非限定的な実施例を詳細に説明することにより、本願の他の特徴、目的及び利点はより明らかになる。
図１は、本願の実施例を適用可能なシステムアーキテクチャを模式的に示す図である。 図２は、本願の一実施例に係る悪性コード検出方法を模式的に示すフローチャートである。 図３は、本願に係るファイル信用評価ポリシを模式的に示すルールテーブルである。 図４は、本願の実施例に係るルールテーブルを利用して検出結果の信頼度及び信用値を決定する方法を模式的に示すフローチャートである。 図５は、本願に係る信頼度及び信用値の判定ポリシの判定ロジックを模式的に示すフローチャートである。 図６は、本願の実施例に係る悪性コード検出システムを模式的に示す構造模式図である。 図７は、本願の実施例におけるサーバを実現することに適するコンピュータシステムを示す構造模式図である。

以下、図面と実施例を参照しながら本願を更に詳細に説明する。ここで説明されている具体的な実施例は、係る発明を解釈するためのものに過ぎず、本発明の範囲を制限するものではないと理解することができる。さらに、説明の便宜上、図面には、本発明と関連する部分のみを示す。

衝突しない限り、本願の実施例及び実施例の特徴は相互に組合せることができる。以下、図面を参照しながら、実施例に基づいて本願を詳細に説明する。
図１は、本願の実施例を適用可能なシステムアーキテクチャ１００を模式的に示す図である。

図１に示すように、システムアーキテクチャ１００は、端末装置１０１、１０２、ネットワーク１０３、及びサーバ１０４、１０５、１０６、１０７を含んでもよい。ネットワーク１０３は、端末装置１０１、１０２とサーバ１０４、１０５、１０６、１０７との間に通信リンクを提供するための媒体である。ネットワーク１０３は、例えば、有線、無線通信リンク、又は光ファイバケーブル等の様々な接続タイプを含んでもよい。

ユーザ１１０は、例えばＷｅｂブラウジング、データダウンロード等の様々なサービスをアクセスするために、端末装置１０１、１０２を用いてネットワーク１０３を介してサーバ１０４、１０５、１０６、１０７とインタラクションすることができる。端末装置１０１、１０２には、様々なクライアントアプリケーション、例えばユニテーブルリソースロケータＵＲＬクラウドサービスにアクセスできるアプリケーションをインストールすることができ、これらの様々なクライアントアプリケーションは、ブラウザ、セキュリティアプリケーション等を含むが、これらに限定されない。テーブル
端末装置１０１、１０２は、様々な電子機器であってもよく、パソコン、スマートフォン、スマートテレビ、タブレットＰＣ、パーソナル・デジタル・アシスタント（ＰＤＡ）、及び電子書リーダー等を含むがこれに限定されるものではない。

サーバ１０４、１０５、１０６、１０７は、様々なサービスを提供するサーバであってもよい。サーバは、ユーザのサービス要求に応じてサービスを提供することができる。なお、１つのサーバは、１種又は多種のサービスを提供することができ、同一のサービスは、複数のサーバで提供することもできる。本願の実施例によれば、係るサーバは、クラウドに位置してもよく、これらのサーバは、クラウド検出サーバ、種々の悪性コード鑑別サーバ、及びファイル信用判定サーバ等を含むが、これに限定されるものではない。

また、図１における端末装置、ネットワーク、及びサーバの数は、例示的なものに過ぎない。実際の必要に応じて、任意の数の端末装置、ネットワーク、及びサーバを有しうる。

従来の各種鑑別器は、その検出方法がいずれも自分の利点及び欠陥を有し、検出結果が誤報される可能性もあり、それにより、クラウドでの最終的な鑑別結果に影響を与える。
従来の技術の上記欠陥に鑑みて、本願の実施例は、ファイル信用値による悪性コード検出の解決策を提供する。具体的には、各悪性コード鑑別器に対して検出サンプルの検出結果に信頼度及び信用値を割り当てる。信頼度は、検出結果が悪意及び／又は安全性を有するかどうかを示し、信用値は信頼度と対応する定量化した信頼の程度である。次に、１つ又は複数の検出結果の、信頼度及び信用値に基づいて検出サンプルの最終的な鑑別結果を決定する。

図２は、本願の一実施例に係る悪性コード検出方法を模式的に示すフローチャートである。図２に示すような方法は、サーバ側のシステムで実行され、当該システムはクラウドに位置してもよい。

図２に示すように、ステップ２１０において、検出サンプルを受信する。
サーバは、クライアントから検出サンプルを受信することができる。クライアントは、悪性コードの検出又はウィルスの検出削除が必要である時、サーバに要求することができ、それとともに、検出する必要があるサンプルをサーバにアップロードしてもよい。

続いて、ステップ２２０において、多種の悪性コード鑑別器を利用して検出サンプルをそれぞれ検出して複数の検出結果を取得する。
サーバは、検出サンプルを受信した後、当該検出サンプルを複数の悪性コード鑑別器に割り当て、各悪性コード鑑別器で悪性コード検出をそれぞれ行うことができる。

いくつかの実施例では、サーバは、検出サンプルを前処理した後に悪性コード鑑別器に割り当てることもできる。前処理は、例えば、異なるタイプの検出サンプルに対して、異なる処理を予め行うことを含んでもよい。例えば、圧縮ファイルに対して、まず解凍してもよい。

いくかの実施例では、サーバは、一部又は全部の悪性コード鑑別器に検出サンプルを選択的に割り当てることができる。例えば、サーバは、検出サンプルの特性に基づいて、明らかに当該種類の検出サンプルに適しない悪性コード鑑別器を除外し、それにより検出結果の精度を向上させる。

一般的には、鑑別方法に基づく特徴により、悪性コード鑑別器は、静特性に基づく鑑別器、動特性に基づく鑑別器、及び、静特性と動特性とに基づく鑑別器に分けることができる。静特性は、ファイル名称、プログラム形態、ＡＰＩ（アプリケーションプログラミングインターフェース）数量特性、ファイルのバージョン情報、ファイルサイズ情報、ＰＥ（移植可能・実行可能）の構造特性、及びファイル保護情報等を含んでもよい。動特性は、自己始動動作、プロセス隠し動作、及び通信隠し動作等を含んでもよい。本願は、悪性コード鑑別器のタイプを制限せず、従来の技術の既知の、又は将来開発される様々なタイプの悪性コード鑑別器を使用することができる。

悪性コード鑑別器の検出結果は、例えば、検出された悪性コードのカテゴリーを含んでもよい。コンピュータアンチウイルス研究機構（ＣＡＲＯ）は、悪性コードの分類命名法を提出し、その命名ルールは、
［＜ｍａｌｗａｒｅ＿ｔｙｐｅ＞：／／］［＜ｐｌａｔｆｏｒｍ＞］／＜ｆａｍｉｌｙ＿ｎａｍｅ＞［．＜ｇｒｏｕｐ＿ｎａｍｅ＞］ ￥［．＜ｉｎｆｅｃｔｉｖｅ＿ｌｅｎｇｔｈ＞］［．＜ｖａｒｉａｎｔ＞［＜ｄｅｖｏｌｕｔｉｏｎ］］［＜ｍｏｄｉｆｉｅｒｓ＞］であり、
ただし、＜ｍａｌｗａｒｅ＿ｔｙｐｅ＞は、悪性コードのタイプ（一般的には、ｖｉｒｕｓ（ウィルス）、ｂａｃｋｄｏｏｒ（バックドア）、Ｔｒｏｊａｎ（トロイの木馬）、Ａｄｗａｒｅ（アドウェア）等である）を明らかに指摘する。＜ｐｌａｔｆｏｒｍ＞フィールドは、悪性コードの実行に必要なオペレーティングシステム環境を定義し、例えば「Ｗ３２」又は「Ｗｉｎ３２」は、３２ビットＷｉｎｄｏｗｓ（登録商標）オペレーティングシステムを指し、「Ｌｉｎｕｘ」はＬｉｎｕｘ（登録商標）システムを指し、「ＯＳＸ」はＭａｃ ＯＳＸを指す。＜ｆａｍｉｌｙ＿ｎａｍｅ＞及び＜ｇｒｏｕｐ＿ｎａｍｅ＞フィールドは、通常、悪性コードのファミリ情報を示す。＜ｉｎｆｅｃｔｉｖｅ＿ｌｅｎｇｔｈ＞フィールドは、ファイル感染型ウィルスの感染長さを定義する。＜ｖａｒｉａｎｔ＞（通常に１つのアルファベットである）フィールドは、同じ悪性コードファミリを有する変種を区別することに用いられる。残りのフィールドは、具体的な環境により定義される。

以下は、いくつの一般的な悪性コードの名称の例であり、
Ｎｅｔ−Ｗｏｒｍ：／／Ｗｉｎ３２．Ｗｅｌｃｈｉａは、Ｗｉｎｄｏｗｓプラットテーブルのネットワークワームであり、
Ｂａｃｋｄｏｏｒ：／／Ｗｉｎ３２．ｃｉａｄｏｏｒ．１２１は、ｃｉａｄｏｏｒファミリに属するＷｉｎｄｏｗｓプラットテーブルのバックドア型のトロイの木馬であり、
Ｖｉｒｕｓ：／／Ｗｉｎ３２．Ｐａｒｉｔｅ．Ｂは、Ｐａｒｉｔｅファミリに属するｗｉｎｄｏｗｓメモリ常駐型ファイル感染ウィルスである。

上記命名ルールは、強制的に実行するものではないため、異なるアンチマルウェアサービスのプロバイダは、悪性コードのカテゴリーに対して異なる命名方法を有する可能性がある。言い換えれば、異なる悪性コード鑑別器が、同じ検出サンプルから検出された悪性コードに対して異なる命名方法を有する可能性がある。

次に、ステップ２３０において、検出結果の信頼度及び信用値を決定する。
本文において、信頼度は、検出結果が悪意及び／又は安全性を有するかどうか、言い換えれば、検出される悪性コードカテゴリーが脅威性を有するかどうか、又は安全性を有するかどうかを示す。信用値は、信頼度と対応する定量化した信頼の程度である。

いくつかの実施例では、信頼度は黒、白、灰、疑似黒及び疑似白のいずれかを含んでもよく、ただし黒は、検出結果が悪意を有することを示し、白は、検出結果が安全性を有することを示し、灰は、不確定であることを示し、疑似黒は、検出結果が悪意を有する可能性があることを示し、及び疑似白は、検出結果が安全性を有する可能性があることを示す。

信用値は、様々な数値特徴、例えば正の整数で示されることができる。検出結果の信頼度に対して、相応の信用値を有してもよい。例えば、ある検出結果の信頼度が黒であれば、それと対応する信用値が１００である。これは当該検出の結果が悪意を有する確率が非常に高いことを示す。また、例えば、ある検出結果の信頼度が灰であれば、それと対応する信用値が１である。これは当該検出の結果が悪意を有するかどうかが不確定であり、且つこの不確定の確率が非常に低いことを示す。

いくつかの実施例では、検出結果の信頼度及び信用値の決定は、ファイル信用評価ポリシに基づいて行われる。ファイル信用評価ポリシでは、既知の様々な悪性コードの情報に基づき各種の悪性コード検出結果の信頼度を予め設定し、さらに悪性コード鑑別器の誤報率に基づき各種の悪性コード検出結果の信用値を予め設定することができる。例えば、現在、多種の悪性コード及びこれらの悪性コードの属するファミリが既知であり、従ってこれらの既知情報に基づいて各種の悪性コード検出結果の信頼度を予め設定することができる。なお、悪性コード鑑別器の履歴判定結果に基づいて、鑑別器の誤報率を統計することができ、それにより、誤報率に基づき各種の悪性コード検出結果の信用値を予め設定することができる。代替的又は追加的に、ウイルスアナリストは、蓄積した経験に基づいて、信頼度及び／又は信用値をマニュアル調整することもできる。

図３は、本願に係るファイル信用評価ポリシを模式的に示すルールテーブルである。図２のステップ２３０では、当該ルールテーブルに基づいて検出結果の信頼度及び信用値を決定できる。

図３に示すように、第一列は、異なるルールを識別するためのルールＩＤであり、第二列は、鑑別器エンジンが実行するタスクタイプであり、当該タスクタイプは、ファイル処理の緊急性及び重要性に応じて区別することができ、第三列は、各種の悪性コード鑑別器である鑑別器エンジンであり、第四列は、異なるルールが衝突する時の優先度（後に説明する）を識別するための衝突優先度であり、第五列は、鑑別器エンジンが検出した各種検出結果である鑑別ルールであり、検出された悪性コードのタイプを識別することができ、第六列は、各ルール又は悪性コード検出結果に対応する信頼度であり、第七列は、各ルールの相応な信頼度と対応する定量化した信頼の程度である信用値である。なお、ルールテーブルは、他の内容を含んでもよい。本出願の実施例を不明瞭にしないように、図３には、それらの付加的な内容を示していない。

図４は、本願の実施例に係るルールテーブルを利用して検出結果の信頼度及び信用値を決定する方法を模式的に示すフローチャートであり、即ち、図２のステップ２３０の一実現方式を模式的に示す図である。

図４に示すように、ステップ４１０では、検出結果にマッチングする悪性コード検出結果を決定する。当該ステップでは、ルールテーブルを検索することによって、検出結果にマッチングするルールを決定することができる。

例えば、サンプル７２ＡＡＣ５４３Ｂ９ＣＢＢＦ５９７８５２Ｅ２５４３２５７７２ＢＦが多種の悪性コード鑑別器によって検出削除された後の検出結果は、以下のとおりである。

ＧＳｃａｎ：Ａｄｗａｒｅ．Ｗｉｎ３２．ＭｕｌｔｉＰｌｕｇ．ｓｕｓｐ
ＰＳｃａｎ：Ｗｉｎ３２／Ｒａｍｎｉｔ．Ａ ｖｉｒｕｓ
ＤＳｃａｎ：０．２
図３に示されるルールテーブルを例とすれば、この場合、ＧＳｃａｎ鑑別器エンジンの検出結果がルール４０５にマッチングし、ＰＳｃａｎ鑑別器エンジンの検出結果とマッチングするルールを発見せず、ＤＳｃａｎ鑑別器エンジンの検出結果とマッチングルールをも発見しないことを決定することができる。

続いて、ステップ４２０において、マッチングされた悪性コード検出結果の信頼度及び信用値を対応する検出結果に付与する。
上記例において、図３のルールテーブルに基づけば、ルール４０５の信頼度が疑似黒であり、値が５０であり、従って、ＧＳｃａｎ鑑別器エンジンの検出結果は、信頼度が疑似黒であり、値が５０である。残りの鑑別器エンジンの検出結果は、ルールにマッチングせず、従って、これらの検出結果は捨てられる。

図２に戻る。検出結果の信頼度及び信用値を決定した後、続くステップ２４０において、検出結果の信頼度及び信用値に基づき、検出サンプルの最終的な鑑別結果を決定する。
いくつかの実施例では、信頼度及び信用値の判定ポリシに基づき、検出結果の信頼度及び信用値を処理して、検出サンプルの最終的な鑑別結果を取得する。

複数の検出結果の信頼度が合致する時、最終的な鑑別結果を比較的容易に決定することができる。複数の検出結果の信頼度が合致せず、衝突がある時、信頼度及び信用値の判定ポリシは、検出結果の衝突優先度及び／又は信用値を考慮することもできる。従って、上記ステップ２３０では、ファイル信用に基づいてポリシを割り当てるとともに、検出結果に衝突優先度を割り当てる（例えば、図３のテーブルの第４列の衝突優先度に基づいて割り当てる）。最終的な鑑別結果を決定するために、多種の信頼度及び信用値の判定ポリシを設計することができる。

図５は、本願に係る信頼度及び信用値の判定ポリシの判定ロジックを模式的に示すフローチャートである。
図５に示すように、ステップ５０１では、信頼度及び信用値が決定された検出結果をまとめてファイル信頼値テーブルにする。続いて、ステップ５０２では、これらの検出結果の信頼度がすべて黒であるかどうかを判断する。そうである場合、ステップ５２０に移行して、最終的な鑑別結果が黒状態であると判定し、そうでなければ、ステップ５０３に移行する。

ステップ５０３では、これらの検出結果の信頼度がすべて灰であるかどうかを判断する。そうである場合、ステップ５３０に移行して、最終的な鑑別結果が灰状態であると判定し、そうでなければ、ステップ５０４に移行する。

ステップ５０４では、これらの検出結果の信頼度がすべて白であるかどうかを判断する。そうである場合、ステップ５４０に移行し、最終的な鑑別結果が白状態であると判定し、そうでなければ、ステップ５０５に移行する。

ステップ５０５では、これらの検出結果の信頼度がすべて疑似黒であるかどうかを判断する。そうである場合、ステップ５０６において、検出結果の信用値を加算する。続いて、ステップ５０７において、加算された信用値が第１の所定閾値以上であるかどうかを判断し、そうである場合、ステップ５２０に移行して、最終的な鑑別結果が黒状態であると判定し、そうでなければ、ステップ５３０に移行し、最終的な鑑別結果が灰状態であると判定する。第１の所定閾値は、例えば、１００であってもよい。ステップ５０５において否定判断されると、ステップ５０８に移行する。

ステップ５０８では、これらの検出結果の信頼度がすべて疑似白であるかどうかを判断する。そうである場合、ステップ５０９において、検出結果の信用値を加算する。続いて、ステップ５１０において、加算された信用値が第２の所定閾値以上であるかどうかを判断し、そうである場合、ステップ５４０に移行し、最終的な鑑別結果が白状態であると判定し、そうでなければ、ステップ５３０に移行し、最終的な鑑別結果が灰状態であると判定する。第２の所定閾値は、例えば、１００であってもよい。ステップ５０８において否定判断されると、ステップ５１１に移行する。

ステップ５１１では、これらの検出結果の信頼度に黒と白の衝突があるかどうかを判断する。そうである場合、ステップ５１２において、検出結果の衝突優先度を比較する。信頼度が黒である検出結果の衝突優先度が最も高いことに応じて、ステップ５２０に移行し、最終的な鑑別結果が黒状態であると判定する。信頼度が白である検出結果の衝突優先度が最も高いことに応じて、ステップ５４０に移行し、最終的な鑑別結果が白状態であると判定する。言い換えれば、最終的な鑑別結果は、最も高い衝突優先度を有する検出結果と合致する。信頼度がそれぞれ黒及び白である検出結果の衝突優先度が同じであることに応じて、ステップ５３０に移行し、最終的な鑑別結果が灰状態であると判定する。ステップ５１１において否定判断されると、ステップ５１３に移行する。

ステップ５１３では、これらの検出結果の信頼度に黒と疑似白の衝突があるかどうかを判断する。そうである場合、ステップ５２０に移行し、最終的な鑑別結果が黒状態であると直接的に判定し、そうでなければ、ステップ５１４に移行する。

ステップ５１４では、これらの検出結果の信頼度に白と疑似黒の衝突があるかどうかを判断する。そうである場合、ステップ５４０に移行し、最終的な鑑別結果が白状態であると直接的に判定し、そうでなければ、ステップ５１５に移行する。

ステップ５１５では、これらの検出結果の信頼度に疑似黒と疑似白の衝突があるかどうかを判断し、そうである場合、ステップ５１６において、疑似黒の検索結果の信用値と疑似白の検索結果の信用値との間の差を決定する。例えば、疑似黒の信用値から疑似白の信用値を引くことができる。逆にしてもよい。疑似黒の信用値と疑似白の信用値の差値が第１の閾値以上である、即ち、疑似黒の信用値が疑似白の信用値より十分に高いことに応じて、ステップ５２０に移行し、最終的な鑑別結果が黒状態であると判定する。疑似黒の信用値と疑似白の信用値の差値が第２の閾値以下である、即ち、疑似黒の信用値が疑似白の信用値より十分に低いことに応じて、ステップ５４０に移行し、最終的な鑑別結果が白状態であると判定する。疑似黒の信用値と疑似白の信用値の差値が第１の閾値と第２の閾値との間にある、即ち、疑似黒の信用値と疑似白の信用値との差があまり大きくないことに応じて、ステップ５３０に移行し、最終的な鑑別結果が灰状態であると判定する。いくつかの実施例では、第１の閾値と第２の閾値の絶対値は同じであってもよく、例えば、第１の閾値が１００であり、第２の閾値が−１００であってもよい。従って、上記判断ロジックは、複数の検出結果に疑似黒と疑似白との衝突があると、疑似黒の検索結果の信用値と疑似白の検索結果の信用値との間の差が第３の所定閾値以上である場合、最終的な鑑別結果は信用値が高い検索結果と合致すると判定し、そうでなければ最終的な鑑別結果が灰状態であると判定するように、表してもよい。ここで、第３の所定閾値は、第１の閾値及び第２の閾値の絶対値、例えば１００である。

ステップ５１５で否定判断されると、ステップ５１７に移行し、他の可能な衝突を判断する。これらの衝突は十分に激しくなく、簡単な判定ロジックを利用して判断することができる。例えば、黒と疑似黒との衝突がある時、最終的な結果が黒状態であると判定し、白と疑似白との衝突がある時、最終的な結果が白状態であると判定し、疑似黒と灰との衝突又は疑似白と灰との衝突がある時、最終的な結果が灰状態であると判定する。説明の便宜上、図５にこれらの衝突の判断を示していない。また、結ぶ線を明瞭にするために、図５に黒状態５２０、灰状態５３０及び白状態５４０のような重複の最終的な結果ブロック図を示し、このような図示方法は、図５の判定ロジックに影響を与えない。

ただし、図５に示される判定ロジックは、例示的なものである。当業者は他の判定ロジックを設定してもよい。例えば、図５の黒と白の衝突は、衝突優先度に基づいて判定されるが、疑似黒と疑似白との衝突のように信用値に基づいて判定されてもよい。また、例えば、図５の疑似黒と疑似白との衝突は、信用値に基づいて判定されるが、衝突優先度に基づいて判定されてもよい。さらに、例えば、黒と白との衝突及び疑似黒と疑似白との衝突は、衝突優先度と信用値とを同時に考慮して判定されてもよい。例えば、まず、衝突優先度に基づいて判定し、衝突優先度が同じである場合、さらに信用値に基づいて判定してもよい。

前記例示を振り返ると、即ち、サンプル７２ＡＡＣ５４３Ｂ９ＣＢＢＦ５９７８５２Ｅ２５４３２５７７２Ｂに対して、多種の悪性コード鑑別器により検出除去された後の検出結果は、以下のとおりである。

ＧＳｃａｎ：Ａｄｗａｒｅ．Ｗｉｎ３２．ＭｕｌｔｉＰｌｕｇ．ｓｕｓｐ
ＰＳｃａｎ：Ｗｉｎ３２／Ｒａｍｎｉｔ．Ａ ｖｉｒｕｓ
ＤＳｃａｎ：０．２
図３に示されるルールテーブルを例とすれば、ＧＳｃａｎ鑑別器エンジンの検出結果は、ルール４０５にマッチングし、信頼度が疑似黒であり、値が５０である。他の鑑別器エンジンの検出結果は、いずれかのルールにマッチングしていないので、それらは、捨てられる。

図５に示される判定ロジックに応じて、この時に検出結果は、信頼度が疑似黒であり、値が５０であるので、第１の所定閾値（例えば１００）より低く、従って、最終的な鑑別結果が灰状態であると判定する。

また、例えば、仮にサンプルＥＦ１７６６Ｆ７５０Ｃ０１Ｄ７４１Ｆ８Ｄ９８０ＤＣ３４５ＤＤ２Ｆに対して、多種の悪性コード鑑別器により検出除去された後の検出結果が、それぞれ以下のとおりであるとする。

ＧＳｃａｎ：Ａｄｗａｒｅ．Ｗｉｎ３２．Ｄｏｗｎｌｏａｄｅｒ．Ｇｅｘ
ＰＳｃａｎ：Ｗｉｎ３２／Ｗａｐｏｍｉ．ＡＸ ｖｉｒｕｓ
ＤＳｃａｎ：０．３
図３に示されるルールテーブルを例とすれば、ＧＳｃａｎ鑑別器エンジンの検出結果は、ルール４０４にマッチングし、信頼度が黒であり、スコアが１００である。他の鑑別器エンジンの検出結果は、いずれかのルールにマッチングしていないので、それらは、捨てられる。

図５に示される判定ロジックに応じて、この時検出結果の信頼度がすべて黒であるので、最終的な鑑別結果が黒状態であると判定する。
ただし、図面には特定の順序で本発明の方法の操作を説明したが、当該特定の順序でこれらの操作を実行しなければならないこと、又は所望の結果を達成するためにすべての提示された操作を実行しなければならないことを要求又は暗示しない。逆に、フローチャートに示されているステップについては、実行順序を変更してもよい。例えば、図５の各種判定ロジックは、任意の順序で実行され、又は並行に行われることができる。追加的又は代替的に、いくつかのステップを省略したり、複数のステップを１つのステップに結合して実行したり、及び／又は１つのステップを複数のステップに分けて実行したりしてもよい。

図６は、本願の実施例に係る悪性コード検出システムを模式的に示す構造図である。図６に示されるシステムは、サーバ側に位置し、特にクラウドに位置する。当該システムは一般的に複数の機能の異なるサーバが相互に接続されてなるサーバクラスターを指し、これらのサーバは、外から見て一体であり、互いに協力し合って悪性コード検出の機能を達成する。

図６に示すように、悪性ＵＲＬを検出するためのシステム６００は、クラウド検出サーバ６１０、１つ又は複数の異なるタイプの悪性コード鑑別器６２０−１，６２０−２、…、６２０−Ｎ、及びファイル信用判定部６３０を含んでもよい。

クラウド検出サーバ６１０は、クライアントからアップロードされた検出サンプルを受信する。クラウド検出サーバ６１０は、さらに検出サンプルを各悪性コード鑑別器６２０−１， ６２０−２、…、６２０−Ｎに割り当てる。

各悪性コード鑑別器６２０−１、６２０−２、…、６２０−Ｎは、自身の鑑別方法に基づいて、クラウド検出サーバ６１０が割り当てた検出サンプルを検出する。これらの悪性コード鑑別器は、クラウド検出サーバと同じ又は異なるクラウドサーバに位置してもよい。

ファイル信用判定部６３０は、悪性コード鑑別器６２０−１、６２０−２、…、６２０−Ｎの検出結果を集めて分析処理して、検出サンプルの最終的な鑑別結果を決定する。いくつかの実施例では、検出結果を分析処理することは、検出結果の信頼度及び信用値を決定すること、及び検出結果の信頼度及び信用値に基づいて検出サンプルの最終的な鑑別結果を決定することを含む。

上記分析処理を実行するために、ファイル信用判定部６３０は、決定ユニット６３１及び判定ユニット６３２を含んでもよい。決定ユニット６３１は、ブロック６４０からのファイル信用評価ポリシに基づいて、検出結果の信頼度及び信用値を決定する。判定ユニット６３２は、ブロック６４０からの信頼度及び信用値の判定ポリシに基づいて検出結果の信頼度及び信用値を処理して検出サンプルの最終的な鑑別結果を取得する。

決定ユニット６３１は、検出結果の信頼度及び信用値を決定する場合、まず、検出結果にマッチングする悪性コードの検出結果を見つけて、次に、マッチングされる悪性コード検出結果の信頼度及び信用値を当該検出結果に付与することができる。

いくつかの実施例では、信頼度及び信用値の判定ポリシは、検出結果の衝突優先度をさらに考慮する。これらの実施例では、決定ユニット６３１は、さらに、検出結果に衝突優先度を割り当てるように配置される。具体的には、ファイル信用の評価ポリシに基づいて、検出結果の衝突優先度を決定する。判定ユニット６３２は更に、検出結果の信頼度の間に衝突がある場合、検出結果の衝突優先度及び／又は信用値に基づいて最終的な鑑別結果を決定するように配置される。

いくつかの実施例では、信頼度及び信用値の判定ポリシの例示的な判断ロジックは、
複数の検出結果がいずれも灰である場合に、検出テキストの最終的な鑑別結果が灰状態であると判定すること、
複数の検出結果がいずれも黒である場合に、検出ファイルの最終的な鑑別結果が黒状態であると判定すること、
複数の検出結果がいずれも白である場合に、検出ファイルの最終的な鑑別結果が白状態であると判定すること、
複数の検出結果に黒と白との衝突があり且つ衝突優先度が同じではない場合に、検出ファイルの最終的な鑑別結果が最高優先度を有する検出結果と合致すると判定すること、
複数の検出結果に黒と白との衝突があり且つ衝突優先度が同じである場合に、検出ファイルの最終的な鑑別結果が灰状態であると判定すること、
複数の検出結果に黒と疑似白との衝突がある場合に、検出ファイルの最終的な鑑別結果が黒状態であると判定すること、
複数の検出結果に白と疑似黒との衝突がある場合に、検出ファイルの最終的な鑑別結果が白状態であると判定すること、
複数の検出結果がいずれも疑似黒である場合に、複数の検出結果の累計信用値が第１の所定閾値以上であれば、検出ファイルの最終的な鑑別結果が黒状態であると判定し、そうでなければ、検出ファイルの最終的な鑑別結果が灰状態であると判定すること、
複数の検出結果がいずれも疑似白である場合に、複数の検出結果の累計信用値が第２の所定閾値以上であれば、検出ファイルの最終的な鑑別結果が白状態であると判定し、そうでなければ、検出ファイルの最終的な鑑別結果が灰状態であると判定すること、及び
複数の検出結果に疑似黒と疑似白との衝突がある場合に、疑似黒の検索結果の信用値と疑似白の検索結果の信用値との間の差が第３の所定閾値以上であれば、検出ファイルの最終的な鑑別結果が信用値の高い検索結果と合致すると判定し、そうでなければ、検出ファイルの最終的な鑑別結果が灰状態であると判定すること、の少なくとも１つを含んでもよい。

ただし、システム６００に記載された各サブシステム又はユニットは、図２〜図５を参照しながら説明された方法の各ステップに対応する。それにより、前記の方法に対して説明された操作と特徴は、同様にシステム６００及びそれに含まれるユニットに適用され、その詳細な説明を省略する。

以下、図７は、本願の実施例におけるサーバを実現することに適するコンピュータシステム７００を示す構造模式図である。
図７に示すように、コンピュータシステム７００は、読み出し専用メモリ（ＲＯＭ）７０２に記憶されたプログラム又は記憶部７０８からランダムアクセスメモリ（ＲＡＭ）７０３にロードされたプログラムに基づいて各種の適度な動作及び処理を実行することができる中央処理ユニット（ＣＰＵ）７０１を含む。ＲＡＭ ７０３は、システム７００の操作に必要な各種のプログラム及びデータを更に記憶している。ＣＰＵ ７０１、ＲＯＭ ７０２及びＲＡＭ ７０３は、バス７０４を介して互いに接続されている。入力／出力（Ｉ／Ｏ）インターフェース７０５もまた、バス７０４に接続されている。

キーボード及びマウス等を含む入力部７０６、例えば陰極線管（ＣＲＴ）、液晶ディスプレイ（ＬＣＤ）等、及びスピーカ等を含む出力部７０７、ハードディスク等を含む記憶部７０８、並びに、ＬＡＮカード及びモデム等を含むネットワークインターフェースカードの通信部７０９は、それぞれＩ／Ｏインターフェース７０５に接続されている。通信部７０９は、例えばインターネットのようなネットワークを介して通信処理を実行する。ドライバ７１０は、必要に応じてＩ／Ｏインターフェース７０５に接続される。例えば、磁気ディスク、光ディスク、光磁気ディスク、半導体メモリ等のようなリムーバブルメディア７１１は、必要に応じてドライバ７１０に取り付けられ、こうすると、ドライバ７１０から読み出されたコンピュータプログラムは、必要に応じて記憶部７０８にインストールされる。

特に本開示の実施例によれば、前記の図２〜図７を参照して説明された過程は、コンピュータソフトウェアプログラムとして実現することができる。例えば、本開示の実施例は、コンピュータプログラム製品を含み、当該コンピュータプログラム製品は、機械可読媒体に有形に具現化されるコンピュータプログラムを含み、前記コンピュータプログラムは、図２〜図５の方法を実行するためのプログラムコードを含む。このような実施例において、当該コンピュータプログラムは、通信部７０９を介してネットワークからダウンロードしてインストールされ、及び／又はリムーバブルメディア７１１からインストールされ得る。

図面におけるフローチャート及びブロック図は、本発明の各実施例に係るシステム、方法、及びコンピュータプログラム製品によって実現可能な体系構造、機能及び操作を示す。ここで、フローチャート又はブロック図における各枠は、１つのモジュール、プログラムセグメント、又はコードの一部を代表することができ、前記モジュール、プログラムセグメント、又はコードの一部は、規定された論理機能を達成するための１つ又は複数の実行可能な命令を含む。なお、いくつかの代替実施態様として、枠にマークされた機能は、図面にマークされた順序と異なる順序で実行されてもよい。例えば、接続して示される２つの枠は、実際的に、係る機能に応じて、ほぼ並行的に実行されてもよく、反対の順序で実行されてもよい。なお、ブロック図及び／又はフローチャートにおける各枠、並びに、ブロック図及び／又はフローチャートにおける枠の組合せは、規定された機能又は操作を実行する、ハードウェアに基づく専用システムで実現されてもよく、又は、専用ハードウェアとコンピュータの命令との組合せで実行されてもよい。

本願の実施例に記述されたユニット又はモジュールは、ソフトウェアで実現されてもよいし、ハードウェアで実現されてもよい。記述されたユニット又はモジュールは、プロセッサに設定されてもよい。これらのユニット又はモジュールの名称はある場合に当該ユニット又はモジュールの自体を限定するものではない。

一方、本願は、コンピュータ可読記憶媒体をさらに提供し、当該コンピュータ可読記憶媒体は、上記実施例の前記装置に含まれるコンピュータ可読記憶媒体であってもよく、独立に存在して、装置に組み立てされていないコンピュータ可読記憶媒体であってもよい。コンピュータ可読記憶媒体は、１つ又は１つ以上のプログラムを記憶し、前記プログラムは、１つ又は１つ以上のプロセッサで本願に記述された公式の入力方法を実行することに用いられる。

以上の記述は、本願の最適実施例及び使用された技術的原理の説明に過ぎない。当業者が理解すべきであることは、本願に係る発明の範囲は、上記した技術的特徴の特定な組合せからなる技術案に限定されるものではなく、本発明の趣旨を逸脱しない範囲で、上記の技術的特徴又は同等の特徴の任意の組合せからなる他の技術的解決手段も含むべきであるということである。例えば、上記の特徴と本願に開示された（これに限定されない）類似の機能を持つ技術的特徴を、互いに置き換えてなる技術案が挙げられる。

Claims (10)

1. 悪性コード検出方法であって、
   検出サンプルを受信するステップと、
   多種の悪性コード鑑別器を利用して前記検出サンプルをそれぞれ検出して複数の検出結果を取得するステップと、
   検出結果の信頼度及び信用値を決定するステップと、
   前記検出結果の信頼度及び信用値に基づいて前記検出サンプルの最終的な鑑別結果を決定するステップと、を含んでおり、
   前記信頼度は、検出結果が悪意及び／又は安全性を有するかどうかを示し、前記信用値は、信頼度と対応する定量化した信頼の程度を示し、
   前記検出結果の信頼度及び信用値に基づいて前記検出サンプルの最終的な鑑別結果を決定するステップは、
   信頼度及び信用値の判定ポリシに基づき前記検出結果の信頼度及び信用値を処理して、前記検出サンプルの最終的な鑑別結果を取得するステップを含み、
   前記信頼度は、黒、白、灰、疑似黒及び疑似白のいずれかを含み、
   前記黒は、検出結果が悪意を有することを示し、前記白は、検出結果が安全性を有することを示し、前記灰は、不確定であることを示し、前記疑似黒は、検出結果が悪意を有する可能性があることを示し、前記疑似白は、検出結果が安全性を有する可能性があることを示し、
   前記信頼度及び信用値の判定ポリシは、
   前記複数の検出結果がいずれも灰である場合に、検出ファイルの最終的な鑑別結果が灰状態であると判定すること、
   前記複数の検出結果がいずれも黒である場合に、前記検出ファイルの最終的な鑑別結果が黒状態であると判定すること、
   前記複数の検出結果がいずれも白である場合に、前記検出ファイルの最終的な鑑別結果が白状態であると判定すること、
   前記複数の検出結果に黒と白との衝突があり且つ衝突優先度が同じではない場合に、前記検出ファイルの最終的な鑑別結果が最高優先度の検出結果と合致すると判定すること、
   前記複数の検出結果に黒と白との衝突があり且つ衝突優先度が同じである場合に、前記検出ファイルの最終的な鑑別結果が灰状態であると判定すること、
   前記複数の検出結果に黒と疑似白との衝突がある場合に、前記検出ファイルの最終的な鑑別結果が黒状態であると判定すること、
   前記複数の検出結果に白と疑似黒との衝突がある場合に、前記検出ファイルの最終的な鑑別結果が白状態であると判定すること、
   前記複数の検出結果がいずれも疑似黒である場合に、前記複数の検出結果の累計信用値が第１の所定閾値以上であれば、前記検出ファイルの最終的な鑑別結果が黒状態であると判定し、そうでなければ前記検出ファイルの最終的な鑑別結果が灰状態であると判定すること、
   前記複数の検出結果がいずれも疑似白である場合に、前記複数の検出結果の累計信用値が第２の所定閾値以上であれば、前記検出ファイルの最終的な鑑別結果が白状態であると判定し、そうでなければ前記検出ファイルの最終的な鑑別結果が灰状態であると判定すること、及び、
   前記複数の検出結果に疑似黒と疑似白との衝突がある場合に、疑似黒の検索結果の信用値と疑似白の検索結果の信用値との間の差が第３の所定閾値以上であれば、前記検出ファイルの最終的な鑑別結果が信用値の高い検索結果に合致すると判定し、そうでなければ前記検出ファイルの最終的な鑑別結果が灰状態であると判定すること
   の少なくとも１つを含むことを特徴とする悪性コード検出方法。
2. 前記検出結果の信頼度及び信用値を決定するステップは、
   ファイル信用評価ポリシに基づいて、検出結果の信頼度及び信用値を決定するステップを含んでおり、
   前記ファイル信用評価ポリシにおいては、既知の様々な悪性コードの情報に基づいて、各種の悪性コード検出結果の信頼度を予め設定し、さらに悪性コード鑑別器の誤報率に基づいて、各種の悪性コード検出結果の信用値を予め設定することを特徴とする請求項１に記載の方法。
3. 前記ファイル信用評価ポリシに基づいて、検出結果の信頼度及び信用値を決定するステップは、
   前記検出結果にマッチした悪性コード検出結果を決定するステップと、
   前記マッチした悪性コード検出結果の信頼度及び信用値を、前記検出結果に付与するステップと、を含むことを特徴とする請求項２に記載の方法。
4. 前記信頼度及び信用値の判定ポリシに基づき前記検出結果の信頼度及び信用値を処理するステップは、
   前記検出結果の信頼度の間に衝突がある場合に、前記検出結果の衝突優先度及び／又は信用値に基づいて最終的な鑑別結果を決定するステップを含むことを特徴とする請求項３に記載の方法。
5. 悪性コード検出システムであって、
   検出サンプルを受信するためのクラウド検出サーバと、
   前記クラウド検出サーバから検出サンプルを受信し、前記検出サンプルをそれぞれ検出して複数の検出結果を取得するための複数の異なるタイプの悪性コード鑑別器と、
   検出結果の信頼度及び信用値を決定し、前記検出結果の信頼度及び信用値に基づいて前記検出サンプルの最終的な鑑別結果を決定するためのファイル信用判定部と、
   を含んでおり、
   前記信頼度は、検出結果が悪意及び／又は安全性を有するかどうかを示し、前記信用値は、信頼度と対応する定量化した信頼の程度を示し、
   前記ファイル信用判定部は、
   信頼度及び信用値の判定ポリシに基づき前記検出結果の信頼度及び信用値を処理して、前記検出サンプルの最終的な鑑別結果を取得するための判定ユニットを含み、
   前記信頼度は、黒、白、灰、疑似黒及び疑似白のいずれかを含んでおり、
   前記黒は、検出結果が悪意を有することを示し、前記白は、検出結果が安全性を有することを示し、前記灰は、不確定であることを示し、前記疑似黒は、検出結果が悪意を有する可能性があることを示し、前記疑似白は、検出結果が安全性を有する可能性があることを示し、
   前記信頼度及び信用値の判定ポリシは、
   前記複数の検出結果がいずれも灰である場合に、検出ファイルの最終的な鑑別結果が灰状態であると判定すること、
   前記複数の検出結果がいずれも黒である場合に、前記検出ファイルの最終的な鑑別結果が黒状態であると判定すること、
   前記複数の検出結果がいずれも白である場合に、前記検出ファイルの最終的な鑑別結果が白状態であると判定すること、
   前記複数の検出結果に黒と白との衝突があり且つ衝突優先度が同じではない場合に、前記検出ファイルの最終的な鑑別結果が最高優先度を有する検出結果に合致すると判定すること、
   前記複数の検出結果に黒と白との衝突があり且つ衝突優先度が同じである場合に、前記検出ファイルの最終的な鑑別結果が灰状態であると判定すること、
   前記複数の検出結果に黒と疑似白との衝突がある場合に、前記検出ファイルの最終的な鑑別結果が黒状態であると判定すること、
   前記複数の検出結果に白と疑似黒との衝突がある場合に、前記検出ファイルの最終的な鑑別結果が白状態であると判定すること、
   前記複数の検出結果がいずれも疑似黒である場合に、前記複数の検出結果の累計信用値が第１の所定閾値以上であれば、前記検出ファイルの最終的な鑑別結果が黒状態であると判定し、そうでなければ前記検出ファイルの最終的な鑑別結果が灰状態であると判定すること、
   前記複数の検出結果がいずれも疑似白である場合に、前記複数の検出結果の累計信用値が第２の所定閾値以上であれば、前記検出ファイルの最終的な鑑別結果が白状態であると判定し、そうでなければ前記検出ファイルの最終的な鑑別結果が灰状態であると判定すること、及び、
   前記複数の検出結果に疑似黒と疑似白との衝突がある場合に、疑似黒の検索結果の信用値と疑似白の検索結果の信用値との間の違いが第３の所定閾値以上であれば、前記検出ファイルの最終的な鑑別結果が信用値の高い検索結果に合致すると判定し、そうでなければ前記検出ファイルの最終的な鑑別結果が灰状態であると判定すること
   の少なくとも１つを含むことを特徴とする悪性コード検出システム。
6. 前記ファイル信用判定部は、
   ファイル信用評価ポリシに基づいて、検出結果の信頼度及び信用値を決定するための決定ユニットを含んでおり、
   前記ファイル信用評価ポリシにおいては、既知の様々な悪性コードの情報に基づいて、各種の悪性コード検出結果の信頼度を予め設定するとともに、悪性コード鑑別器の誤報率に基づいて、各種の悪性コード検出結果の信用値を予め設定することを特徴とする請求項５に記載のシステム。
7. 前記決定ユニットは、
   前記検出結果にマッチした悪性コード検出結果を決定するように、また、
   前記マッチした悪性コード検出結果の信頼度及び信用値を前記検出結果に付与するように、更に構成されることを特徴とする請求項６に記載のシステム。
8. 前記決定ユニットは、検出結果に衝突優先度を割り当てるように更に構成されており、また、
   前記判定ユニットは、前記検出結果の信頼度の間に衝突がある場合に、前記検出結果の衝突優先度及び／又は信用値に基づいて最終的な鑑別結果を決定するように更に構成されることを特徴とする請求項７に記載のシステム。
9. 悪性コード検出システムであって、
   プロセッサと、
   記憶部と、
   を備え、
   前記記憶部は、コンピュータ可読命令を記憶し、前記コンピュータ可読命令が前記プロセッサより実行される場合に、前記プロセッサは、
   検出サンプルを受信し、
   多種の悪性コード鑑別器を利用して前記検出サンプルをそれぞれ検出して複数の検出結果を取得し、
   検出結果の信頼度及び信用値を決定し、
   前記検出結果の信頼度及び信用値に基づいて前記検出サンプルの最終的な鑑別結果を決定するように動作可能であり、
   前記信頼度は、検出結果が悪意及び／又は安全性を有するかどうかを示し、前記信用値は、信頼度と対応する定量化した信頼の程度を示し、
   前記検出結果の信頼度及び信用値に基づいて前記検出サンプルの最終的な鑑別結果を決定することは、
   信頼度及び信用値の判定ポリシに基づき前記検出結果の信頼度及び信用値を処理して、前記検出サンプルの最終的な鑑別結果を取得することを含み、
   前記信頼度は、黒、白、灰、疑似黒及び疑似白のいずれかを含み、
   前記黒は、検出結果が悪意を有することを示し、前記白は、検出結果が安全性を有することを示し、前記灰は、不確定であることを示し、前記疑似黒は、検出結果が悪意を有する可能性があることを示し、前記疑似白は、検出結果が安全性を有する可能性があることを示し、
   前記信頼度及び信用値の判定ポリシは、
   前記複数の検出結果がいずれも灰である場合に、検出ファイルの最終的な鑑別結果が灰状態であると判定すること、
   前記複数の検出結果がいずれも黒である場合に、前記検出ファイルの最終的な鑑別結果が黒状態であると判定すること、
   前記複数の検出結果がいずれも白である場合に、前記検出ファイルの最終的な鑑別結果が白状態であると判定すること、
   前記複数の検出結果に黒と白との衝突があり且つ衝突優先度が同じではない場合に、前記検出ファイルの最終的な鑑別結果が最高優先度の検出結果と合致すると判定すること、
   前記複数の検出結果に黒と白との衝突があり且つ衝突優先度が同じである場合に、前記検出ファイルの最終的な鑑別結果が灰状態であると判定すること、
   前記複数の検出結果に黒と疑似白との衝突がある場合に、前記検出ファイルの最終的な鑑別結果が黒状態であると判定すること、
   前記複数の検出結果に白と疑似黒との衝突がある場合に、前記検出ファイルの最終的な鑑別結果が白状態であると判定すること、
   前記複数の検出結果がいずれも疑似黒である場合に、前記複数の検出結果の累計信用値が第１の所定閾値以上であれば、前記検出ファイルの最終的な鑑別結果が黒状態であると判定し、そうでなければ前記検出ファイルの最終的な鑑別結果が灰状態であると判定すること、
   前記複数の検出結果がいずれも疑似白である場合に、前記複数の検出結果の累計信用値が第２の所定閾値以上であれば、前記検出ファイルの最終的な鑑別結果が白状態であると判定し、そうでなければ前記検出ファイルの最終的な鑑別結果が灰状態であると判定すること、及び、
   前記複数の検出結果に疑似黒と疑似白との衝突がある場合に、疑似黒の検索結果の信用値と疑似白の検索結果の信用値との間の差が第３の所定閾値以上であれば、前記検出ファイルの最終的な鑑別結果が信用値の高い検索結果に合致すると判定し、そうでなければ前記検出ファイルの最終的な鑑別結果が灰状態であると判定すること
   の少なくとも１つを含むことを特徴とする悪性コード検出システム。
10. 不揮発性のコンピュータ記憶媒体であって、
    コンピュータ可読命令を記憶しており、前記コンピュータ可読命令がプロセッサより実行される場合に、前記プロセッサは、
    検出サンプルを受信し、
    多種の悪性コード鑑別器を利用して前記検出サンプルをそれぞれ検出して複数の検出結果を取得し、
    検出結果の信頼度及び信用値を決定し、
    前記検出結果の信頼度及び信用値に基づいて前記検出サンプルの最終的な鑑別結果を決定するように動作可能であり、
    ここで、前記信頼度は、検出結果が悪意及び／又は安全性を有するかどうかを示し、前記信用値は、信頼度と対応する定量化した信頼の程度を示し、
    前記検出結果の信頼度及び信用値に基づいて前記検出サンプルの最終的な鑑別結果を決定することは、
    信頼度及び信用値の判定ポリシに基づき前記検出結果の信頼度及び信用値を処理して、前記検出サンプルの最終的な鑑別結果を取得することを含み、
    前記信頼度は、黒、白、灰、疑似黒及び疑似白のいずれかを含み、
    前記黒は、検出結果が悪意を有することを示し、前記白は、検出結果が安全性を有することを示し、前記灰は、不確定であることを示し、前記疑似黒は、検出結果が悪意を有する可能性があることを示し、前記疑似白は、検出結果が安全性を有する可能性があることを示し、
    前記信頼度及び信用値の判定ポリシは、
    前記複数の検出結果がいずれも灰である場合に、検出ファイルの最終的な鑑別結果が灰状態であると判定すること、
    前記複数の検出結果がいずれも黒である場合に、前記検出ファイルの最終的な鑑別結果が黒状態であると判定すること、
    前記複数の検出結果がいずれも白である場合に、前記検出ファイルの最終的な鑑別結果が白状態であると判定すること、
    前記複数の検出結果に黒と白との衝突があり且つ衝突優先度が同じではない場合に、前記検出ファイルの最終的な鑑別結果が最高優先度の検出結果と合致すると判定すること、
    前記複数の検出結果に黒と白との衝突があり且つ衝突優先度が同じである場合に、前記検出ファイルの最終的な鑑別結果が灰状態であると判定すること、
    前記複数の検出結果に黒と疑似白との衝突がある場合に、前記検出ファイルの最終的な鑑別結果が黒状態であると判定すること、
    前記複数の検出結果に白と疑似黒との衝突がある場合に、前記検出ファイルの最終的な鑑別結果が白状態であると判定すること、
    前記複数の検出結果がいずれも疑似黒である場合に、前記複数の検出結果の累計信用値が第１の所定閾値以上であれば、前記検出ファイルの最終的な鑑別結果が黒状態であると判定し、そうでなければ前記検出ファイルの最終的な鑑別結果が灰状態であると判定すること、
    前記複数の検出結果がいずれも疑似白である場合に、前記複数の検出結果の累計信用値が第２の所定閾値以上であれば、前記検出ファイルの最終的な鑑別結果が白状態であると判定し、そうでなければ前記検出ファイルの最終的な鑑別結果が灰状態であると判定すること、及び、
    前記複数の検出結果に疑似黒と疑似白との衝突がある場合に、疑似黒の検索結果の信用値と疑似白の検索結果の信用値との間の差が第３の所定閾値以上であれば、前記検出ファイルの最終的な鑑別結果が信用値の高い検索結果に合致すると判定し、そうでなければ前記検出ファイルの最終的な鑑別結果が灰状態であると判定すること
    の少なくとも１つを含むことを特徴とする不揮発性のコンピュータ記憶媒体。