RU2011138462A

RU2011138462A - Использование решений пользователей для обнаружения неизвестных компьютерных угроз

Info

Publication number: RU2011138462A
Application number: RU2011138462/08A
Authority: RU
Inventors: Андрей Петрович Духвалов; Антон Владимирович Тихомиров
Original assignee: Закрытое акционерное общество "Лаборатория Касперского"
Priority date: 2011-09-20
Filing date: 2011-09-20
Publication date: 2013-04-10
Also published as: CN103065088A; CN103065088B

Abstract

1. Способ определения компьютерных угроз, содержащий:а) выявляют связанное с компьютерной безопасностью событие на компьютере пользователя и связанный с этим событием объект;б) отслеживают действие пользователя на компьютере пользователя, которое связано с выявленным событием;в) отправляют данные о связанном с выявленным событием объекте и о связанном с выявленным событием действии пользователя на сторону облачного сервиса;г) определяют связанный с выявленным событием объект как компьютерную угрозу в зависимости от связанного с выявленным событием действия пользователя и роли пользователя.2. Способ по п.1, в котором компьютерными угрозами могут быть:а) вредоносные программы и нежелательные программы;б) ссылки, которые ведут на веб-страницы с вредоносными и нежелательными программами;в) уязвимости.3. Способ по п.1, в котором событием, связанным с компьютерной безопасностью, может быть, по крайней мере, одно из:а) запуск неизвестного файла;б) открытие неизвестной ссылки.4. Способ по п.1, в котором выделенным объектом может быть, по крайней мере, один из:а) файл;б) ссылка.5. Способ по п.1, в котором действием пользователя может быть, по крайней мере, одно из:а) блокировка или разрешение запуска файла;б) блокировка или разрешения открытия неизвестной ссылки в браузере.6. Способ по п.1, в котором роль пользователя определяется на основании, по крайней мере, одного из следующих параметров:а) репутации, которая складывается из активностей пользователя;б) аномалий, связанных с активностями пользователя;в) информации об используемом антивирусном приложении;а) информации о компьютере пользователя.7. Способ по п.6, в котором актив

Claims

1. Способ определения компьютерных угроз, содержащий:

а) выявляют связанное с компьютерной безопасностью событие на компьютере пользователя и связанный с этим событием объект;

б) отслеживают действие пользователя на компьютере пользователя, которое связано с выявленным событием;

в) отправляют данные о связанном с выявленным событием объекте и о связанном с выявленным событием действии пользователя на сторону облачного сервиса;

г) определяют связанный с выявленным событием объект как компьютерную угрозу в зависимости от связанного с выявленным событием действия пользователя и роли пользователя.

2. Способ по п.1, в котором компьютерными угрозами могут быть:

а) вредоносные программы и нежелательные программы;

б) ссылки, которые ведут на веб-страницы с вредоносными и нежелательными программами;

в) уязвимости.

3. Способ по п.1, в котором событием, связанным с компьютерной безопасностью, может быть, по крайней мере, одно из:

а) запуск неизвестного файла;

б) открытие неизвестной ссылки.

4. Способ по п.1, в котором выделенным объектом может быть, по крайней мере, один из:

а) файл;

б) ссылка.

5. Способ по п.1, в котором действием пользователя может быть, по крайней мере, одно из:

а) блокировка или разрешение запуска файла;

б) блокировка или разрешения открытия неизвестной ссылки в браузере.

6. Способ по п.1, в котором роль пользователя определяется на основании, по крайней мере, одного из следующих параметров:

а) репутации, которая складывается из активностей пользователя;

б) аномалий, связанных с активностями пользователя;

в) информации об используемом антивирусном приложении;

а) информации о компьютере пользователя.

7. Способ по п.6, в котором активностью пользователя является по крайней мере одно из:

а) количество обнаруженных угроз;

б) количество уникальных обнаруженных угроз;

в) активность работы с интерфейсом;

г) активность заражения компьютера.

8. Способ по п.7, в котором активности пользователя динамически изменяются со временем.

9. Способ по п.1, в котором роль пользователя имеет заданный вес.

10. Способ по п.9, в котором вес роли пользователя учитывается для определения объекта как компьютерной угрозы в соответствии с действием пользователя.

11. Способ по п.10, в котором для определения объекта как компьютерной угрозы могут учитываться действия, по меньшей мере, двух различных пользователей.

12. Способ по п.1, в котором для определения объекта как компьютерной угрозы в соответствии с действием пользователя используется вес решения пользователя по объекту.

13. Способ по одному из пп.9 и 12, в котором вес решения пользователя по объекту изменяется в соответствии с весом роли пользователя.

14. Способ по п.13, в котором для определения объекта как компьютерной угрозы вес решения пользователя по объекту должен превысить заданный порог.

15. Способ по п.9, в котором вес роли пользователя может изменяться по мере обработки статистики по действиям всех пользователей с данной ролью.

16. Способ по п.1, в котором дополнительно изменяют параметры роли пользователя после подтверждения события как связанного или не связанного с компьютерной угрозой.

17. Система определения компьютерных угроз, содержащая:

а) средство регистрации событий на компьютере пользователе, связанное со средством отправки нотификаций, при этом средство регистрации событий предназначено для:

(i) выявления связанного с компьютерной безопасностью события на компьютере пользователя,

(ii) отслеживания действия пользователя на компьютере пользователя, которое связано с выявленном событием,

(iii) выделения объекта на компьютере пользователя, который породил выявленное событие;

б) средство отправки нотификаций, связанное со средством обсчета действий пользователей, при этом средство отправки нотификаций предназначено для отправки данных об объекте на компьютере пользователя, который породил выявленное событие, а также данных о действии пользователя на компьютере пользователя;

в) средство обсчета действий пользователей, предназначенное для определения объекта на компьютере пользователя, который породил выявленное событие, как компьютерную угрозу в соответствии с действием пользователя и ролью пользователя.

18. Система по п.17, в которой средство обсчета действий пользователей также связано с базой данных правил репутации, в которой хранятся правила для обсчета действий пользователя по определенным активностям.

19. Система по п.17, в которой средство обсчета действий пользователей также связано с базой данных репутации пользователей, в которой хранятся данные об обнаруженных объектах на компьютере пользователя, которые породили выявленные события, а также данные о действиях пользователя.

20. Система по п.17, в которой также присутствуют:

а) средство верификации действий пользователей, связанное с средством обсчета действий пользователей, базой данных репутации пользователей, базой данных правил верификации, при этом средство верификации действий пользователей проверяет достоверность данных об объекте на компьютере пользователя, который породил выявленное событие, а также данных о действии пользователя на компьютере пользователя;

б) база данных правил верификации, связанная со средством верификации действий пользователей, при этом средство верификации действий пользователей предназначено для хранения правил проверки достоверности получаемых данных от пользователей.

21. Система по п.17, в которой также используется средство отслеживания действий пользователя, которое связано со средством регистрации событий, при этом средство отслеживания действий пользователя предназначено для определения конкретного пользователя, работающего за компьютером.