TW201525746A - 電子檔案處理方法以及相關之處理裝置 - Google Patents

電子檔案處理方法以及相關之處理裝置 Download PDF

Info

Publication number
TW201525746A
TW201525746A TW104108578A TW104108578A TW201525746A TW 201525746 A TW201525746 A TW 201525746A TW 104108578 A TW104108578 A TW 104108578A TW 104108578 A TW104108578 A TW 104108578A TW 201525746 A TW201525746 A TW 201525746A
Authority
TW
Taiwan
Prior art keywords
content data
file
data
passive
regenerated
Prior art date
Application number
TW104108578A
Other languages
English (en)
Other versions
TWI534650B (zh
Inventor
Samuel Harrison Hutton
Trevor Goddard
Original Assignee
Glasswall Ip Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Glasswall Ip Ltd filed Critical Glasswall Ip Ltd
Publication of TW201525746A publication Critical patent/TW201525746A/zh
Application granted granted Critical
Publication of TWI534650B publication Critical patent/TWI534650B/zh

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/562—Static detection
    • G06F21/565—Static detection by checking file integrity
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/562—Static detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q10/00—Administration; Management
    • G06Q10/10—Office automation; Time management
    • G06Q10/107—Computer-aided management of electronic mailing [e-mailing]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Virology (AREA)
  • Health & Medical Sciences (AREA)
  • General Physics & Mathematics (AREA)
  • General Health & Medical Sciences (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

一種處理方法，藉由辨識電子檔案中的部分內容資料並判斷是否每個部分內容資料皆為具有固定目的的被動內容資料或是具有相關功能的主動內容資料來處理電子檔案。若該部分為被動內容資料，則判斷是否必須重新產生該部分被動內容資料。若該部分為主動內容資料，則藉由分析該部分來判斷是否必須重新產生該部分主動內容資料。接下來，根據判定為即將重新產生的部分內容資料來產生再生電子檔案。

Description

電子檔案處理方法以及相關之處理裝置
本發明係有關於電腦系統以及用於防止不想要的碼和資料傳播散佈系統之操作方法。本發明特別有關於改善申請人參考文件GB專利申請第05117494號中所說明的系統與方法。
在過去十年中，電腦系統漸漸的受到不想要的碼的攻擊。截至目前為止所遭遇最嚴重的不想要的碼的攻擊為電腦病毒。電腦病毒(如同其生物學上的名稱)可以感染機器，並且藉由對電子郵件系統的資源下指令而將帶有病毒的電子郵件從病毒所在的電腦傳送至通訊錄中的其他電腦而感染其他機器。其中所浪費的頻寬對使用者來說是件惱人的事情。另外，許多病毒會在每台病毒所在的電腦上執行一些不想要的動作，例如清除電腦中的檔案。
病毒及其他惡意的內容通常來自不同的附加檔案，然其可能會隱藏為部分的電子郵件，使得接收者於接收病毒時無法將其拆離並且會執行程式碼。許多應用程式(例如文字處理器、試算表以及資料庫)皆包括強有力的巨指令腳本語 言，以允許文件/檔案包括可執行某些操作的腳本。撰寫病毒者可使用這樣的腳本語言來撰寫巨指令病毒，使得具有附加文件/檔案的電子郵件可挾帶隱藏的病毒。
不想要的碼並不單單只包括病毒。包含隱藏惡意刺探軟體(spyware)的免費程式可隱藏地安裝於使用者電腦，並且將所瀏覽的網站或是其他異動回報至遠端電腦。某些惡意刺探軟體將會企圖使數據機重複的撥打高費率電話，而惡意刺探軟體的撰寫者便可從中取得來自電信運營商(telecom operator)的利潤。其他類型有害的程式碼包括有毒軟體、蟲以及破解密碼。
病毒是從一電腦自我傳輸至其他電腦，其他類型之不想要的碼係藉由濫發(spam)電子郵件而隱藏地發佈至光碟或是非故意的從所瀏覽的網站下載而發佈。所有這種類型之不想要的碼存在或真實目的通常隱藏於目標擁有者與電腦使用者中。儘管某些類型之不想要的碼相對無害，而其他類型之不想要的碼可能可以消滅有價值的商務資料，因此產生了提供防毒軟體的公司。
目前已知的防毒軟體係由程式所構成，並且可執行於待保護的電腦。這樣的程式通常操作於監控模式，並於每次存取檔案時檢查即將存取之檔案中的病毒；或可操作於掃瞄模式，在掃瞄模式中，所有特定位置中(例如光碟)的檔案皆會被掃瞄。防毒程式供應者係監控病毒的爆發，並且當偵測到新的病毒時，防毒程式會伴隨著分析病毒並且擷取用來偵測病毒的資料。接下來，執行特定防毒程式的電腦可取得該資料，並 且會將該資料上傳至防毒程式公司的網站以供下載。
藉由各種不同的方式皆可以偵測到病毒。所儲存形成部分病毒的特徵程式碼串列以及掃瞄該串列出現與否的輸入檔案可作為病毒的”特性”或是”指紋”。另外，藉由指定特徵可偵測病毒，並且可藉由解析來源碼或腳本檔案來偵測病毒特性的預定操作。
不幸的，病毒如同其生物學的副本很容易被改變，只要對程式碼稍作改變(取代大小寫字母)即可改變病毒的特性。藉由任意方法可將用來偵測病毒的資料檔案變成無限大，且防毒程式所花費的時間會隨著必須檢查特性或規則的成長而增加。這在病毒掃瞄模式中尚可以被接受，然而在監控模式中會持續增加存取檔案所需要的等待時間。另外，當下載量變大並且更常需要執行下載時，使用者必須承受無法下載必要的更新並將因而無法對最新的(最危險的)病毒產生有效的防護的風險。
因此，本發明係透過全然不同的方式來防護不想要的程式碼。本發明實施例提供一種接收包含預定資料格式內容資料之電子檔案的方法，該方法包括下列步驟：藉由接收電子檔案、判斷資料格式以及解析內容資料來判定是否符合預定資料格式，若內容資料符合預定資料格式，則再生解析的資料而產生該資料格式的再生電子檔案。
本發明亦提供具有這種程式的電腦系統、程式以及媒體。
本發明實施例係分析每個接收檔案並接著根據接 收檔案重建一替代檔案。由於受保護的電腦尚無法直接儲存或存取原始檔案，因此不會直接危害電腦。例如，可將其儲存為無法被執行的位元反置形式或其他型式。另一方面，使用只產生清除碼與資料的產生器常式將可產生替代檔案。因此可以產生符合接收檔案中任何碼之不想要的碼。
本發明關於電腦檔案的某些部分係取決於與電腦檔案中長久以來被視為事實相關之新的應用程式。輸入電腦的大量檔案現今為標準的檔案格式。私有軟體(proprietary program)係建立自己的檔案格式(這些程式使用的資料必須符合這些格式)，然其足以提供對不同私有軟體之間資料交換的需求，首先，私有軟體通常具有輸入濾波器來讀取被其他私有軟體寫入的資料，第二，存在與任何私有軟體不相關的許多格式。這種同屬格式的例子為ASCII文字、豐富文字格式(rich text format,RTF)、超文本標記語言(Hyper Text Markup Language,HTML)以及擴展標記語言(eXtendible Markup Language,XML)。
因此，若檔案中的資料即將被任何應用程式讀取，則必須精確地符合硬性標準(rigid standard)，且不同檔案所使用的格式係廣泛的被瞭解。本發明的發明者瞭解，即使允許檔案使用廣泛變異的格式，大部分的檔案包含符合某些相對有限實體限制的資料。例如，大部分的作業系統與應用程式將會接受較長標題的檔案，但大部分的使用者在大部分的時候係使用較短且易於辨識的檔案名稱。
因此，本發明實施例所執行的分析可包括偵測資 料是否符合用於違反實際限制之指定檔案類型的規格。這些實際的限制致能本發明來偵測一般可接受的檔案。任何不對應至此類型之實際限制之檔案內容不會被遞送至產生器程式，並因而無法以可執行形式到達使用者電腦。
因此，可以看見本發明實施例藉由不同的方法來操作傳統防毒程式。傳統防毒程式係用來偵測病毒，並且略過未被偵測為病毒的任何資料。因此，傳統防毒程式總是無法避免使用者遭受較大的危害，也就是未知的病毒。在防毒公司注意到所發射的每個新病毒之前，這些新病毒必定已經感染數台電腦。
另外，即使已安裝了防毒軟體並且持有最新組已偵測資料，在防毒軟體偵測到病毒之前，病毒通常會儲存於已防護電腦的硬碟或其他媒體中。若基於某些原因使得防毒軟體無法執行，則病毒會被啟動。
在美國專利公開第2003/0145213號中係揭露一系統，在該系統的檔案中偵測到巨指令或是惡意碼，接下來將檔案重建為樣版，並且從樣版中移除非惡意碼，以提供未受感染版本的檔案。
藉由完全對比的方式使得本發明不需要針對偵測病毒或是甚至拒絕類病毒的特性。反之，其可以完全拒絕所有的輸入檔案並取代其位置，該位置可能產生無法包含不期望碼與資料的檔案。因而可避免不期望碼與資料以可執行的形式到達受防護電腦的硬碟，也無法從一電腦傳遞至另一電腦。另外，本發明係提供對未知病毒的即時防護，使其不必維持所有 已知病毒的最新資料庫。
在此提到美國專利公開第2003/229810號，其中揭露避免病毒之光學防火牆的提案。在說明書中揭露一系統，系統中的防火牆電腦接收一檔案(例如影像檔案)，並且將影像顯示於防火牆電腦的顯示器。光學感測陣列掃瞄影像，接下來將已掃瞄的影像提供至指定收件者。任何隱藏於影像中的病毒不會顯示，並且因而不會傳送至已掃瞄的影像中。在變異中可使用螢幕的位元映像(bitmap)來取代實際的螢幕顯示。
基於各種理由，上述美國專利所揭露的光學耦合器防火牆無法提供對病毒有效且可信賴的防護。
例如，使用光學字元辨識(optical character recognition,OCR)軟體再生可提供不精確的資訊。另外，使用視訊科技來再生影像可提供比指定更低品質的影像。同樣的，若輸入檔案包含病毒，則接收輸入檔案的電腦將會受到感染。
另一方面，藉由分析以及再生檔案來取代執行檔案、顯示檔案以及光學的掃瞄檔案，本發明實施例可提供替代檔案，大部分例子中的替代檔案很接近模擬的原始檔案(若不具有不期望碼)，使得產生替代檔案透明化。
檔案格式在複雜度上有所變化。一方面，文字檔案具有簡易格式。包含腳本或巨指令例如文字處理或試算紙檔案)的檔案具有中等複雜度，反之唯有藉由碼剖析器才能完全分析包含碼的檔案。根據本發明實施例，這樣的碼分析通常可用來將所有巨指令以及腳本從檔案中移除，並且不會傳遞包含單獨程式、碼、巨指令或是腳本的任何檔案。
必須瞭解的是，有些時候使用者可能會想要接收這樣的檔案。因此，在本發明較佳實施例中可沿著用來過濾檔案來源的濾波器操作，以便從某些來源傳遞檔案(或是某些類型的檔案)，並且拒絕來自其他電腦中這樣的檔案。
因此，本發明實施例可封鎖使用者接收所有來源檔案中的碼，平行濾波器僅允許接收來自已知來源中這樣的檔案。因此，使用者可接收可能會被發明所拒絕之例如來自系統管理員或是已認證網站的檔案。本發明係藉由辨識使用者想接收碼的這些來源來封鎖不想要的碼。
由於本發明可藉由偵測與檔案標準的符合度以及一般使用者的特徵而不是藉由偵測病毒來操作，因此不需要頻繁的進行更新，只有在標準增益普及接收度有重大改變或是使用者特性有實質改變時才需要進行更新，與分散式防毒更新的速度相比，上述兩者皆為較慢的處理程序。
本發明係揭露一種處理方法，藉由辨識電子檔案中的部分內容資料並判斷是否每個部分內容資料皆為具有固定目的的被動內容資料或是具有相關功能的主動內容資料來處理電子檔案。若部分為被動內容資料，則判斷是否必須重新產生該部分被動內容資料。若部分為主動內容資料，則藉由分析該部分來判斷是否必須重新產生該部分主動內容資料。接下來，從判定為即將重新產生之部分內容資料產生再生電子檔案。
101‧‧‧電子檔案
102‧‧‧來源
103‧‧‧傳輸媒介
105‧‧‧防毒應用程式
106‧‧‧湊雜資料庫
107‧‧‧作業系統
109‧‧‧目的地系統
111‧‧‧輸入介面
113‧‧‧處理器
115‧‧‧剖析器
117‧‧‧記憶裝置
119‧‧‧可移除式媒體驅動器
120‧‧‧CD
121、123‧‧‧輸出介面
125‧‧‧顯示器
127‧‧‧鍵盤
131‧‧‧符合度分析器
133‧‧‧湊雜產生器
134‧‧‧湊雜核對器
135‧‧‧內容再生器
501‧‧‧MP3檔案
503‧‧‧再生MP3檔案
601‧‧‧JPEG影像檔案
603‧‧‧錯誤分離模組
607‧‧‧子目錄
201‧‧‧來源位置
203‧‧‧網際網路
205‧‧‧網際網路服務業者
209‧‧‧輸出連結
207‧‧‧電子郵件客戶伺服器
211‧‧‧輸入連結
901‧‧‧RFC822標頭
909‧‧‧文字
915‧‧‧文字/HTML
927‧‧‧可執行碼
921‧‧‧ZIP檔案(基本64編碼)
905、911、917、923、929‧‧‧邊界
903、907、913、919、925‧‧‧MIME標頭
第1圖顯示根據本發明實施例所述之電子檔案系統。
第2圖顯示用於本發明實施例的電腦系統。
第3圖顯示根據本發明實施例所述之處理程序的流程圖。
第4圖顯示根據本發明實施例所述之發展與測試方法的流程圖。
第5圖顯示第4圖所示之發展與測試方法的示意圖。
第6圖顯示根據本發明另一實施例所述之發展與測試的示意圖。
第7圖顯示根據本發明第二實施例所述之電子郵件系統的方塊圖。
第8圖顯示根據本發明第二實施例所述之處理程序的流程圖。
第9圖顯示形成電子郵件之不同部分配置的示意圖。
第10圖顯示根據本發明第三實施例所述之處理程序的流程圖。
為讓本發明之上述和其他目的、特徵、和優點能更明顯易懂，下文特舉出較佳實施例，並配合所附圖式，作說明如下：實施例：第1圖顯示根據本發明第一實施例所述之基本系統配置圖。於來源102處產生電子檔案並藉由傳輸媒介103傳送該電子檔案。傳輸媒介103可以為任何用來傳送電子檔案的媒體， 例如固線式(hardwired)或是無線系統或網路。一般的方法為透過傳輸媒介103傳送電子檔案，直到電子檔案到達目的地。在此實施例中，防毒(anti-virus,AV)應用程式105係安裝於目的地系統109中。AV應用程式105的操作將使得輸入電子檔案資料無法進入目的地系統之作業系統107，直到輸入電子檔案資料被分析或重新產生並且被判定為允許進入作業系統107。如下所述，接收電子檔案的某些部分可能被分析為違反預定義的許可格式，對於接收電子檔案的其他部分而言，可產生湊雜(hash)並且查找先前辨識為非惡意內容的湊雜資料庫106。AV應用程式105包括符合度分析器(conformity analyser)131、湊雜產生器133、湊雜核對器134以及內容再生器(re-generator)135，用以判斷電子檔案101是否具有傳送至作業系統107的許可以及用來再生的許可內容。
第2圖顯示使用第1圖目的地系統109之電腦系統的方塊圖。系統109於輸入介面111接收輸入電子檔案101。輸入介面111係連接至處理器113，處理器113係實現接收檔案的各種處理程序。處理器113包括用來剖析接收電子檔案101內容的剖析器115。處理器113更連接至記憶裝置117以及可移除式媒體驅動器119而讀取可移除式媒體驅動器119的資料或是將資料寫入可移除式媒體驅動器119(例如CD 120或是軟碟(未圖示))。處理器113亦連接至數個輸出介面(121,123)，以致能作為輸出裝置(例如顯示器125以及鍵盤127)的連結。
因此，當輸入可執行檔案進入防毒應用程式時不 允許檔案自動執行，系統將會以任意適當的擾亂格式將輸入電子檔案儲存於記憶體中。
在此實施例中，擾亂方法會將位元組內的位元順序顛倒。也就是，依序接收位元0至7，但是以位元反置的方式儲存，例如位元0與位元7交換、位元1與位元6交換、位元2與位元5交換以及位元3與位元4交換。因此，包含1 0 1 1 0 0 0 0的位元組可依下列順序儲存0 0 0 0 1 1 0 1。在此方法中，任何可執行碼皆無法自動執行，同樣的任何受感染的電子檔案皆無法感染防毒應用程式或是目的地作業系統。
第3圖顯示在本發明實施例中由防毒應用程式105所實現之處理步驟流程圖，用來判斷是否允許電子檔案101傳送至目的地作業系統107。在步驟S3-1中係藉由任何適當的裝置將電子檔案101輸入防毒應用程式105，使防毒應用程式105接收電子檔案101。輸入裝置可根據所接收之電子檔案101類型以及待傳送的介質而有所不同。在此實施例中係允許電子檔案101輸入防毒應用程式。
在此實施例中，系統109接收的電子檔案101包括即將被防毒應用程式105分析之至少一部分的內容資料。該部分內容資料可以為被動的內容資料，其為具有固定指定資料型態的內容，例如文字、圖片、影音或是影像內容資料。另外，該部分的內容資料亦可以為主動內容資料，例如腳本(script)、巨指令(macros)或是可執行碼。
在此實施例中，防毒應用程式僅允許透過符合複數所儲存已知、可允許、預定義格式之一者的被動內容資料以 及辨識為非惡意的主動內容資料來傳送。根據本發明實施例，電子檔案可由根據包括特定規則組檔案類型規格所編碼與設置的內容資料所組成，每個檔案類型(文字、HTML、XML以及試算表等等)皆具有相關的規則組。一般檔案類型通常由檔案名稱的下標(例如.pdf,.txt,.doc)或是檔案資料的前幾個位元組來標示。許多檔案類型包括代表檔案結構的標頭，接著為內容資料(例如文字、數量、影音或是影像資料、腳本、巨指令)。電子檔案101可包括複數部分內容資料，其中某些部分為被動內容而某些部分為主動內容。
被動內容資料可包括參數(例如標示內容資料的標籤顯示為粗體)。形成檔案類型規格的規則可用來指定參數之值與範圍。
熟悉此技藝之人士皆瞭解，應用程式可開啟特定類型的檔案以包含剖析器而將形成檔案類型規格的規則應用至檔案，以萃取待顯示或處理的內容資料。例如，文字處理應用程式可依照其專屬檔案格式(例如微軟的Word)、其他文字處理應用程式的專屬檔案程式、以及同屬(generic)檔案格式(例如豐富文字格式(rich text format,RTF)、ASCII以及HTML)來開啟檔案。應用程式可以將被動內容資料儲存為包含產生器而將形成檔案類型規格的規則應用至被動內容資料之特定類型檔案，以產生請求格式的檔案。
在此實施例中，每個檔案類型係儲存為預定格式。預定格式通常包括形成檔案規格的規則。然而，預定格式僅包括關於時常使用部分格式的規則。另外，預定格式包括限 制內容和參數之值以及/或範圍的規則，使得只能包括一般以及時常使用之值與範圍。因此，只有部分被動內容的既定類型檔案以及包含除了常常發生的資料與參數之外可根據本發明所儲存之預定格式來進行解析。
HTML頁面的I-資料框以及MP3檔案的一般封裝物件(general encapsulation object,GEOB)標籤為不被允許傳送至系統的被動內容資料類型元件。不被允許傳送至系統之不常使用的資料值為在ASCII檔案中除了一般所使用TAB,CR/LF以及LF字元之外的控制字元。
上述內容資料也可以為主動內容資料。所接收的電子檔案1(01可以為包含標準HTML標籤以及相關文字內容的數個部分被動內容資料或是包含可執行腳本(例如javascript或是VB script功能)的至少一部分主動內容資料之HTML頁面。所接收電子檔案101的特定組規則可用來判斷主動內容資料。例如，用於HTML文件的該組規則將包括對”<javascript>”標籤的定義，其係用於定義作為Javascript可執行碼的部分HTML檔案。根據本發明另一實施例，用於Microsoft Word檔案/文件的特定組規則係定義子檔案的目錄結構以及包含於特定Microsoft Word檔案內的子目錄。一種標示為”VBA”的特定子目錄係用來定義Microsoft Word檔案內的巨指令。定義部分主動內容的子檔案的另一實施例為檔案”_VBA_PROJECT”。其他具有非標準名稱的子檔案可列於定義Microsoft Word檔案內其他主動內容部分的”PROJECTwm”檔案中。
因此，在步驟S3-3中，處理器113辨識即將被處 理的下個部分內容，這是第一次執行已接收電子檔案101內容的第一部份。在此實施例中，如檔案類型規格的定義，辨識此部分的方法係取決於電子檔案的結構。因此，處理器113係根據所接收檔案的類型對已接收電子檔案101進行處理，以根據與該檔案類型之檔案類型規格相關的特定組規則辨識下個部分內容。例如，用於JPEG檔案的檔案類型規格包括定義包含關於JPEG圖片資料之數個標籤的一組規則。根據本發明另一實施例，HTML檔案係由根據定義用於HTML檔案元件之不同組標籤的特定組規則而設置的內容資料所構成。
在步驟S3-4中，處理器113會判斷目前已辨識部分內容是否與已接收電子檔案101的類型相關且對應至被特定組規則辨識的部分。若處理器113判定該部分內容並非由特定檔案類型規則的定義，則已接收電子檔案101在步驟S3-15中係藉由取代隔離中的電子檔案而被封鎖。因此，已接收電子檔案101將不會以任何型式再生，並且中止對該檔案的處理。
換句話說，若處理器113判定部分內容資料已經過辨識，則在步驟S3-5中，處理器113將判定目前已辨識的部分內容為被動或主動內容資料。另外，在此實施例中，處理器113根據與已接收電子檔案101相關的特定組規則來進行判斷。
若處理器113在步驟S3-5中判定部分內容為被動內容資料，則符合度分析器131係於步驟S3-6處理該部分被動內容資料，以判斷該部分內容是否符合上述預定格式。熟悉此技藝之人士皆瞭解，已辨識部分被動內容可包括複數子部 分，每個部分皆具有不同的相關預定格式。在此實施例中，在步驟S3-6中可遞迴的呼叫符合度分析器131來輪流處理每個子部分，以判斷每個子部分是否符合個別的預定格式。在步驟S3-7中，若符合度分析器131判定該電子檔案為上述格式，且所有的參數符合與特定電子檔案類型相關之預定格式，則在步驟S3-9中被允許的部分被動內容資料會傳送至內容再生器135來執行再生。在此實施例中，內容資料再生器135係用以根據與原始已接收電子檔案類型相關的預定格式之部分已許可內容資料來再生替代檔案。
接下來，處理步驟繼續進行至步驟S3-13，在步驟S3-13處理器113係判斷是否具有任何其他內容需要進行處理。若判斷具有其他內容需要執行處理，則處理器113會返回步驟S3-3來辨識下一部分即將被處理的內容。
若在步驟S3-7中符合度分析器131判定該部分被動內容不符合任何預定格式，則在步驟S3-11中，處理器113會判定在防毒應用程式105中是否設定為清除模式旗標。在此實施例中，電子檔案101中不符合部分不會再生之清除已接收電子檔案101的處理步驟可藉由設定於記憶體117中的旗幟所控制。藉由將清除模式旗幟設定為”是”以致能步驟S3-12的清除處理程序，使得已接收電子檔案101中的不符合部分被移除或清除，並且不會出現於再生檔案中。在此清除處理的例子中，檔案中包含未知功能的任何片段或部分會因而被移除，但仍舊提供使用者可使用的再生檔案。換句話說，清除旗幟可能被設定為”否”來去能清除處理程序。若清除處理程序被去能， 則信息或電子檔案的任何部分會被判定為不一致，使得電子檔案完全被封鎖，並且不會以任何型式進行再生。
若已設定清除旗幟且於步驟S3-12中執行清除處理程序，則處理程序進行至步驟S3-9，其中內容再生器135係用來再生對應於已接收電子檔案101中不符合部分之再生檔案中的清除部分。在此實施例中，剩餘的清除部分可包括不具有不符合原始電子檔案資料之相關部分的標籤。另外，可插入標籤使得結果檔案維持與原始接收電子檔案類型相關的預定格式。一旦清除部分以預定格式再生，則在步驟S3-13中，處理器113係判定是否有如上所述之任何其他需要處理的內容。如第3圖之實施例，若已辨識的部分被動內容資料包括複數子部分，則符合度分析器131在步驟S3-6中將會遞迴地依序處理每個複數子部分，以於步驟S3-7中判定是否全部的被動內容資料皆符合預定格式。另外，可能可以對符合度分析器131判定不符合預定格式的每個子部分執行清除處理程序。
以上對步驟S3-7至S3-15的描述係有關於對已接收電子檔案101中被動部分內容資料的處理程序。然而，如上所述，該部分內容資料可以為主動容資料。因此，若處理器113在步驟S3-5中判定目前的部分內容為主動內容資料，則在步驟S3-17中，湊雜產生器133係用來產生用於部分主動內容的湊雜。在步驟S3-19中，湊雜核對器134係核對湊雜資料庫來判斷所產生的湊雜是否以存在於湊雜資料庫106中。若湊雜已存在於湊雜資料庫106中，表示相關的部分主動內容在先前已辨識為非惡意的，且已允許的主動內容係於步驟S3-9中傳送 至內容再生器135而由再生器135來進行再生。換句話說，若在步驟S3-19中判定湊雜不存在於湊雜資料庫106中，則在步驟S3-21中處理程序繼續進行至步驟S3-11，其中處理器113係判定是否需要對該部分主動內容資料執行清除處理程序或是電子檔案是否需要被封鎖。處理程序接下來進行至步驟S3-13，其中處理器113係判定是否有其他內容需要被處理。若判定有其他內容需要被處理，則處理器113重複步驟S3-3至S3-21直到接收電子檔案101的所有部分已處理，若該部分為許可的內容資料，則進行再生。
一旦完成對所有部分已接收電子檔案的處理程序，則在步驟S3-25中再生電子檔案係依序正向遞送至目的地系統109的作業系統107，使其可以正常的方式進行處理。擷取並再生藉由形成該預定格式規則從檔案中擷取出的所有被動內容資料以及被辨識為非惡意的所有主動內容資料，且無法擷取出的任何部分也無法進行再生。
在此方法中，由於檔案的符合度核對以及再生，病毒無法進入並感染作業系統，事實上是藉由擷取一般格式的被動內容資料以及非惡意的主動資料來進行再生。
熟悉此技藝之人士皆瞭解，當沒有重新產生不一致的部分已接收電子檔案101時，防毒應用程式105的內容再生器135可於再生電子檔案中插入相關的警告文字來通知接收者不允許部分的信息通過。另外，可選擇性的使此警告文字顯示不允許該部分通過的原因。
另外，電子檔案101中部分被動內容的子部分可 能會被封鎖，也就是若該部分與經過許可的預定格式不一致則不會重新產生並且較佳為將其抹除。也就是，若ASCII電子檔案中的字元串列包括控制字元(例如’BBL’字元)，此字元串列可以被由防毒應用程式105所插入的警告文字取代，以通知接收者由於串列的該部分不符合預定格式，因此不會對該部分重新產生電子檔案。符合度分析器131並非特定用來尋找未經許可的控制字元(例如’BBL’字元)，而是僅使通過許可的控制字元通過(如預定經過許可的格式所定義)。
登記湊雜
在上述說明中，湊雜資料庫106包含先前分析並且標示為好的或非惡意主動內容資料的湊雜值。熟悉此技藝之人士皆瞭解，需要持續的維護這樣的資料庫來維持並更新新遭遇之非惡意腳本、巨指令以及可執行碼，使得系統與方法可以達到最佳效能。現在我們將簡單的描述如何於管理模式期間分析這些新遭遇的主動內容資料並使其包含於湊雜資料庫106中。
在此實施例中，第1圖所顯示之目的地系統1(09為網頁代理伺服器(web proxy server)，用來接收來自系統管理者的請求，並且將腳本註冊於HTML頁面中。在此實施例中，系統管理者係使用不同於一般用來瀏覽網頁的連接埠(例如連接埠8181)將該HTML頁面與即將註冊為HTTP請求的腳本一同傳送至網頁代理伺服器109。使用不同於一般網頁流量請求的連接埠也會讓註冊腳本更安全，因為存取此連接埠可以受到防火強的限制。雖然使用這樣獨特的連接埠會讓網頁代理伺服器109瞭解系統管理者正在請求註冊腳本，額外的安全性可以 藉由執行另外的驗證查核(例如限制許可的IP位址以及使用密碼)而達成。
一旦成功地完成驗證，網頁代理伺服器109係將請求傳遞至網際網路並且等待HTTP的回應，接下來會將HTTP回應回傳至網頁代理伺服器109。網頁代理伺服器109會將已接收的回應標記為註冊請求而不是當作一般的瀏覽回應，且該回應將會傳遞至防毒應用程式105。在此實施例中具有將要註冊腳本之HTML網頁的已接收回應係藉由防毒應用程式105以相同於第3圖的上述方法來操作，但是在此實施例中的例外是，由於已接收檔案被標記為註冊請求，因此防毒應用程式105係定義為操作於註冊模式而不是操作於上述正常查核模式。
在註冊處理程序中，符合度分析器131係檢查已接收檔案之HTML部分是否符合HTML規格並且具有合理的值。在處理已接收檔案的Javascript部分時，湊雜產生器133係產生用於特定Javascript功能的湊雜，且防毒應用程式105會檢查該湊雜目前是否存在於湊雜資料庫106中。若先前已註冊過該腳本，則不需要對該特定腳本進行任何動作。然而，若該腳本未出現於湊雜資料庫106中，則防毒應用程式105將會蒐集關於該特定腳本的資訊並呈現給系統管理員，以判斷是否應該註冊該腳本。在此實施例中，將會產生顯示給系統管理者的HTML形式，讓系統管理者指示出應該將哪一些腳本註冊於湊雜資料庫106中。為了產生HTML形式，資料結構係用來蒐集可能註冊至待處理HTML頁面的所有湊雜。為了提供充足的資訊給系統管理者使其做決定，在此實施例中，該功能的全文 係與所產生的湊雜一同包含於資料結構中。一旦防毒應用程式105處理所有部分的已接收HTM檔案，使得資料結構隨著系統管理員將要檢視的湊雜與功能而增加，資料結構中的每個項目係格式化為HTML形式中的項目。當資料結構中的所有項目皆轉換為HTML型式之後，會將該型式傳送至系統管理者來辨識那個新遭遇的腳本為非惡意的並將其包含於湊雜資料庫106中。一旦接收到來自系統管理者的註冊回應，則會將所指示腳本的湊雜加入湊雜資料庫106中。
發展階段
以上為對處理檔案資料以及藉由已知的資料重寫檔案之系統與方法的說明，該資料為適用於檔案格式規格以及其他特定限制的資料，或是在先前被辨識為非惡意資料，以確保檔案接收者接收到非惡意資料。為了確保接下來整個發展階段操作的正確性，因此在防毒應用程式105的測試發展期間出現幾個爭議性的問題。現在就一一的說明這些爭議的問題。
雙層錯誤偵測
在重寫處理程序期間，所執行的錯誤可能會產生再生檔案的可能性，再生檔案不適用於假設要執行之上述系統與方法的檔案格式規格以及其他特定限制。因此，在發展內容再生器135期間必須測試再生檔案以確保整個發展階段操作的正確性。
第4圖顯示再生器135的發展與測試階段期間的處理程序。如第4圖所示，再生器135的測試開始於步驟S4-1，在步驟S4-1中係接收電子檔案。這相同於第3圖中接收電子檔案的步驟。在步驟S4-3中，處理器113係處理電子檔案， 以判斷電子檔案中經過許可的內容並因此重新產生預定格式之檔案。步驟S4-3所執行的處理步驟與上述第3圖中的步驟類似。如上所述，第3圖的處理結果不是產生再生檔案(步驟S3-25)就是隔離該電子檔案(S3-15)。因此，在步驟S4-5中，處理器113係判斷是否產生再生檔案，若沒有產生再生檔案，則在步驟S4-7中判斷目前的電子檔案因為不符合預定格式而被隔離。
換句話說，若已產生再生檔案，則在步驟S4-8中清除旗幟會被設定為去能，使得於步驟S4-9的二次處理中處理再生檔案時，當碰到任何不符合預定格式或是其他特定限制的任何內容時，處理將會立即失效。在步驟S4-9中所執行的步驟為第3圖中所說明的步驟。在步驟S4-11中，處理器113再次判斷是否產生再生檔案。若步驟S4-9的處理結果為產生再生檔案，則在步驟S4-13中確認再生器135的功能性是正確的。換句話說，若在步驟S4-9中沒有產生再生檔案，則代表在步驟S4-15中再生器135已失效。
因此，若在步驟S4-3中一次處理的再生步驟期間產生任何錯誤，這些錯誤會呈現於在步驟S4-9中進行二次處理的再生檔案中。接下來，在二次處理中會將這些錯誤標示為不符合目前系統與方法所執行之檔案格式或其他特定限制之具有錯誤的再生檔案。
在此將說明於發展與測試期間錯誤偵測的具體實施例。在接下來的實施例中係藉由上述方法來處理MP3音樂檔案。一般來說，在這樣的MP3檔案內具有各種不同包含關 於特定音樂之額外資訊的標籤，這些標籤係與編碼音樂資料隔離。一旦這樣的MP3標籤為”TCOM”標籤，該標籤詳細說明了關於特定MP3檔案之音樂資料內容組合器(composer)的資訊。
第5圖顯示根據本發明實施例所述之雙層測試與發展方法中待處理之MP3音樂檔案的示意圖。第5圖所顯示儲存於未交換原始資料緩衝器中的範例MP3檔案501包括標籤”TCOM”、TCOM資料以及音樂資料內容。處理器113係於步驟S4-3的一次處理期間讀取MP3檔案501。在第5圖的實施例中，再生器135的執行錯誤係導致錯誤的將”TCOM”標籤重新寫入至輸出緩衝器，使得再生的MP3檔案503包含無效的標籤”TCMO”。因此，此標籤不符合MP3檔案格式規格，因而當於步驟S4-9之二次處理期間處理再生檔案503時將會遭遇不合法的”TCMO”標籤且再生檔案503將會被隔離。由於在二次處理期間無法重新產生檔案，使得再生器135無法於一次處理期間正確的重新產生電子檔案。
錯誤分離(faultsplit)
在本發明系統與方法發展期間的另一爭議性的問題為處理程序必須對數個電子檔案進行測試，以蒐集關於已知好的檔案的資訊並且產生已知非惡意資料檔案格式以及其他特定限制之資料庫。檢查電子檔案的處理程序通常依賴產品發展者處理發展模式中的每個檔案並且估計輸出來判定所需執行的動作。此處理程序需要相當多的資源。
為了克服此問題，因而設計一種可有效自動檢查程序並且幫助產品發展者估計輸出之發展與測試方法。該方法 係透過蒐集檔案之目錄重複處理並且對目錄中的每個檔案執行第3圖之處理與再生步驟。由於處理程序係對目錄中的每個檔案進行操作，因此處理程序係回傳狀態碼以及錯誤串列，並且詳細說明隔離檔案或是取代隔離檔案的任何原因。對於處理程序的每個可能錯誤原因將會回傳適當的錯誤碼以及原因串列。本發展與測試方法係使用這些回傳串列來產生具有以錯誤碼以及原因串列作為子目錄名稱的子目錄。該方法亦根據錯誤碼與原因串列將每個對應檔案移動至個別的子目錄。一旦完成對所有檔案的處理，產品發展可快速的檢視所有封鎖檔案或是取代隔離檔案的原因清單。另外，產品發展者可藉由察看每個子目錄內的數個檔案而查明這些原因的相對重要性。在此方法中，產品發展者可找出導致最多中止的錯誤原因。
第6圖顯示此發展與測試處理程序的示意圖。第6圖顯示可藉由錯誤分離發展與測試模組603來處理的JPEG影像檔案601目錄。目錄601中的每個檔案係傳送至防毒應用程式105，防毒應用程式105對每個檔案的操作係於第3圖有詳細說明。當完成每個特定檔案的處理，若於處理特定檔案時發生錯誤，防毒應用程式105會回傳其狀態與原因。
在第6圖的實施例中，防毒應用程式105於處理檔案”圖片1.jpg”時發現具有原因串列”錯誤標頭值(incorrect header value)”的錯誤0054。此錯誤碼與原因串列係回傳至錯誤分離模組603。錯誤分離模組603係判斷子目錄是否已存在相同的錯誤串列，若是，則只需要將對應的檔案複製至子目錄中。在第6圖之實施例中不具有其他的子目錄，因此錯誤分離 模組603產生錯誤串列名稱為”failure_0054_incorrect_header_value”的新子目錄607。一旦產生子目錄607，則會接著將對應的檔案”圖片1.jpg”複製至此子目錄607中。
錯誤分離模組603處理原始目錄601中的每個檔案直到該目錄中的所有檔案皆被處理為止。在此方法中，一旦完成發展與測試處理程序，當處理原始目錄601中的檔案並且將對應檔案複製至個別子目錄時，目錄結構607將會包含適用於所遭遇之每個錯誤碼的子目錄。
第二實施例
接下來的第二實施例係與第一實施例類似，電子檔案為透過網際網路將電子郵件從發信者傳送至目的裝置(在此實施例中為網際網路服務業者Internet Service Provider,ISP))。ISP將電子郵件轉寄至電子郵件客戶伺服器，當接收時，電子郵件客戶伺服器將電子郵件轉寄至指定的接收者收件匣。
第7圖顯示根據本發明實施例之電子郵件系統的配置圖，其中包含本發明之防毒應用程式。傳送者係從來源位置201轉寄電子郵件。藉由電子郵件中的網域名稱可以將電子郵件透過網際網路203轉寄至網際網路服務業者(ISP)205。收件者的電子郵件客戶伺服器207係透過開啟連結而連接至ISP 205。第一連結為用來將輸出電子郵件從電子郵件客戶伺服器207轉寄至ISP 205的簡單郵件傳輸協議(Simple Mail Transfer Protocol,SMTP)輸出連結209。第二連結為從ISP 205擷取電子郵件的郵局協議(Post Office Protocol)輸入連結211。
防毒應用程式105係設置於ISP 205。防毒應用程 式105係常駐於連接至收件者電子郵件客戶伺服器207的輸入/輸出連接埠，用來分析電子郵件客戶伺服器207待傳送與接收之所有輸出與輸入電子郵件。
在此實施例中，防毒應用程式105為藉由已知電腦編程技術來執行的一組電腦程式碼。在電子郵件進入電子郵件客戶伺服器207之前，所有傳送至電子郵件客戶伺服器207的電子郵件皆必須通過防毒應用程式105。同樣的，由電子郵件客戶伺服器207轉寄至ISP 205的所有電子郵件在進入ISP 205之前皆必須通過防毒應用程式105。
防毒應用程式105藉由解析進入應用程式的資料來分析輸入電子郵件訊息。如同第一實施例，資料係以編碼模式儲存，以中止任何可執行檔案的執行。防毒應用程式105係判定個別部分的輸入電子郵件是否符合通過許可的預定格式，若不符合，則重新產生每個部分的電子郵件訊息。因此，不允許電子郵件中的任何病毒進入感染收件者的系統，或是透過收件者的系統感染ISP。
如第一實施例的說明，在此實施例中的符合度分析器131係藉由分析每個特定資料類型來判斷是否符合適用於該資料類型的預定格式，並且擷取符合的內容資料。接下來，內容再生器135係使用預定許可格式重新產生適用於該資料類型的資料。在此實施例中係藉由特定的符合度分析器以及內容再生器來分析並再生每個型態的資料。
每個符合度分析器131係根據所接收的資料類型對資料執行特定組規則。該規則係由適用於該檔案類型以及實 際發生於已知資料類型的例子之官方預定規格所定義。一般來說，該規則僅允許小部分符合檔案類型規格的檔案，但也可能放寬官方規格中通常會被違背的某些規則。例如，電子郵件位址不應該包含空白，但是一些常用的電子郵件應用程式係違反此規則，使得電子郵件通常在這方面會違反規格，因此根據此實施例所接受包含空白之電子郵件位址來分析電子郵件的預定格式，因此該實施例可分析並擷取這樣的電子郵件位址。
同樣的，符合度分析裝置可檢查資料檔案中的某些參數。例如，若標頭顯示該檔案為RTF檔案，則讀取資料的前幾個位元組並根據RTF檔案格式規格來判斷是否正確。
第8圖顯示根據本發明實施例所述之系統如何與防毒應用程式合作的流程圖。如第8圖所示，在步驟S8-1中，ISP係透過SMTP輸入連結接收電子郵件。
在步驟S8-3中，通訊協定符合度分析裝置係執行讀取輸入電子郵件基本格式並重新產生電子郵件的程序，使其符合基本電子郵件通訊協定。電子郵件讀取器係藉由不符合規格的方式讀取電子郵件。接下來，該讀取資料係傳送至符合基本電子郵件通訊協定的電子郵件寫入器。在此方法中，一般的不符合規格的電子郵件會被轉換為符合規格的電子郵件。例如，若收件者的電子郵件位址是不好的格式，電子郵件寫入器係重新寫入使其符合規格(例如藉由移除空白或是在末端插入結束角括號(closing angle bracket))。
另一實施例為當接收到不具有標頭”寄件者”的電子郵件訊息。在此實施例中係將電子郵件訊息封裝為包含標 頭”寄件者”的全新電子郵件訊息。
電子郵件中的其他參數也必須符合規格。例如，行長度、使用正確的ASCII字元碼、使用適當且正確的基本64編碼、完整的標頭資訊(‘收件者’,’主旨’等等)、介於電子郵件標頭與內容之間的間距等等。
若電子郵件不符合規格，則部分的電子郵件無法重先寫入，因此當不符合規格的部分遺失時必須判斷是否存在合理的電子郵件。若判斷結果為存在合理的電子郵件，則重新寫入不具有不符合規格部分的電子郵件。並且在此出會出現警告文字。
同樣的，通訊協定符合度分析裝置可能會拒絕整封電子郵件。例如，若通訊協定符合度分析裝置偵測到電子郵件內的大量資料係使用不符合規格的基本64編碼，則在步驟S8-17中會徹底的拒絕該電子郵件。
若通訊協定符合度分析裝置判斷該電子郵件不符合電子郵件協定，則通訊協定符合度分析裝置會重新產生電子郵件並傳送至下一步驟進行處理。
所有的電子郵件皆應當符合當前用於電子郵件的RFC標準(例如RFC 822及其後續)。在此標準中係定義如何產生電子郵件。當電子郵件通過通訊協定符合度分析裝置後，RFC 822符合度分析裝置係檢查判定電子郵件是否符合該RFC 822標準。RFC 822符合度分析裝置係藉由將電子郵件分成數個分開的元件，尋找電子郵件中的邊界(如下述)，並接著解析電子郵件的每個成分部分來判斷是否符合RFC 822來執行符 合度檢查。
必須瞭解的是，當更新RFC標準時必須進行更新，以確保RFC 822符合度分析裝置可檢查所有已知資料類型的符合度。
眾所皆知的是，電子郵件是由數個個別部分所組成(如第9圖所示)。電子郵件的開頭為RFC 822標頭901，在標頭中定義了幾個欄位，例如寄件人、收件人以及主旨等等。接下來為MIME標頭903，定義用於延伸協定的數個欄位，例如”內容類型”，其中定義用來指示電子郵件不同部分之間邊界的文字。
在標頭(901,903)之後係為第一邊界905。電子郵件的下一部份開始於另一個MIME標頭907，定義用於此部分的格式。在此實施例中的此部分包括即將以文字格式顯示的文字。因此接著為文字909區塊。在文字區塊909的末端具有另一個邊界911。
另一個MIME標頭913代表電子郵件下一部分的格式。在此實施例中，電子郵件的下一部份係為混合了文字與HTML格式的區塊915。另一邊界917係用來表示電子郵件此部分的結尾。
對下一部份的電子郵件來說，MIME標頭919代表電子郵件附加檔案的資料類型，在此實施例中為ZIP檔案。ZIP檔案921為基本64編碼並且附加至電子郵件中。另一邊界923代表ZIP檔案區塊的結尾。
對電子郵件的最後部分來說，MIME標頭925代表 電子郵件另一附加檔案的資料類型，在此實施例中為部分的可執行碼。可執行碼927為電子郵件中部分主動內容資料的範例。接下來為代表可執行碼區塊結果的最後邊界929。
在第8圖的步驟S8-7中，RFC 822符合度分析裝置係透過解析器來解析形成電子郵件的ASCII字元。RFC 822符合度分析裝置可用來偵測電子郵件的邊界並檢查某些參數是否符合已知可接受預定格式。例如，RFC 822符合度分析裝置係藉由檢查行長度來判斷其是否符合RFC 822標準，並且僅於行長度為2000或小於2000時才執行再生。
進一步的檢查可以判斷電子郵件中以解析的資料是否符合RFC 822標準。例如，檢查電子郵件中的字元是否為定義於標準中的已知可接受ASCII字元，以及標頭長度是否符合標準定義。這些檢查清單僅為RFC 822符合度分析裝置用來檢查的一些例子(熟悉此技藝之人士皆瞭解RFC 822符合度分析裝置用來檢查的其他部分)，然而本發明並未限定於上述範圍。
如同分析該已解析資料來判斷其是否符合基本RFC 822標準，RFC 822符合度分析裝置亦可檢查某些參數是否符合實際RFC 822標準電子郵件的範例。也就是，某些參數的規格仍保留給使用者來定義，因此，實際上只能使用合理的值。例如，電子郵件通常只包括少數的部分。因此，若所接收的電子郵件包括1000個邊界，其必定不是實際RFC 822標準電子郵件的例子並因而會被RFC 822符合度分析裝置封鎖，也就是不會再生且較佳為被抹除。
對包含資料之電子郵件的每個元件部分皆需要執行進一步的符合度檢查，防毒應用程式係判斷元件部分是否由被動或主動內容資料所構成，如上述第一實施例中的討論。若判定元件部分為被動內容資料，則在步驟S8-9中，元件部分係根據對應部分的資料類型而平行的正向遞送至個別的被動內容資料符合度分析器。也就是，若被分析的電子郵件部分定義為文字，組成文字的ASCII字元則正向遞送至文字符合度分析裝置。若被分析的電子郵件部分定義為TIFF檔案，則組成TIFF檔案的字元係正向遞送至TIFF符合度分析裝置。
在步驟S8-9中，每個被動資料符合度分析裝置係藉由分析正向遞送來的資料來判斷是否符合主旨格式。若資料符合，則透過符合度分析裝置重新產生資料。若資料中包含任何不符合的資料，則排除該資料，或是有可能的話藉由符合度分析裝置執行再生使其成為符合的資料。執行再生使其符合資料的實施例為，不論是否遺失資料，皆在RTF檔案中增加巢狀括號。
若電子郵件包括巢狀之不同類型的資料，則會遞迴的呼叫被動資料符合度分析器，使得不同的特定裝置依序執行，且每個特定裝置皆會保持於另一資料類型被發現的每個點。在此方法中，具有zip檔案的電子郵件包括文字處理文件，包括JPEG圖片檔的電子郵件可藉由不同的符合度分析裝置(zip、文字處理、JPEG)來執行，以下拉巢狀檔案並且分析序列中的每個檔案。
換句話說，若防毒應用程式判定元件部分係由主 動內容資料所構成，則在步驟S8-10中主動內容資料分析器會分析該資料，以判斷腳本、巨指令或是可執行碼為非惡意的。由主動內容資料分析器所執行的處理步驟係產生適用於主動內容的湊雜，並且判斷湊雜是否出現於湊雜資料庫中。在第一實施例中已說明此處理程序。
在分析的最後，檔案係藉由符合度再生部分而合理化。藉由在步驟S8-11中判斷再生足夠的部分電子郵件以形成適當的同調、可瞭解並且值得的電子郵件，該資料係與使用再生部分之RFC 822符合度分析裝置相似，如步驟S8-13所示。此確保再生的電子郵件係以正確的格式轉寄。接下來，在驟S8-15中，應用程式係使用SMTP協定將再生電子郵件轉寄至收件者。
然而，若在步驟S8-11中，防毒應用程式判斷再生的部分電子郵件不足以形成有用的電子郵件，則在步驟S8-17中會拒絕該電子郵件。在步驟S8-17期間係將警告文字轉寄至電子郵件的收件者，以告知本來要記送的電子郵件被系統所拒絕。警告文字可包括訊息被刪除的詳細資訊，以及幫助接收者辨識傳送者或是電子郵件被reject原因之進一步的資訊。
以下為用於此實施例之被動內容資料符合度分析器之一些實施例的詳細說明，其可使用於步驟S8-9。例如，若電子郵件的元件部分根據RFC 822標頭、MIME標頭或是檔案延伸主旨為文字資料，文字元件部分係遞送至文字符合度分析裝置。文字符合度分析裝置係透過解析文字資料來判斷是否符合其預定許可格式(如下述)。
在此有數種不同類型的文字檔案，例如逗號分隔變量(Comma Separated Variable,CSV)以及豐富文字格式(Rich Text Format,RTF)，文字符合度分析裝置首先必須辨別已解析資料主旨為哪一種類型的文字檔案。附加至電子郵件的所有檔案將具有關於代表應該為哪種檔案類型的檔案延伸(file extension)。文字符合度分析裝置係分析該MIME標頭內的已解析檔案延伸，以判斷文字檔案是否為傳ASCII檔案。若是，僅必須使用ASCII符合度分析裝置(如下述)。
然而，若文字符合度分析裝置於分析時判斷文字檔案為除了純ASCII之外的檔案類型，例如CSV檔案，則將會呼叫CSV符合度分析裝置來分析並重新產生該CSV資料。首先，由於該ASCII符合度分析裝置係分析構成電子郵件內文字檔案的ASCII字元，以判斷文字串列是否符合ASCII預定格式，若是，則重新產生該ASCII檔案。
ASCII符合度分析裝置係解析該資料，以確保檔案符合最小ASCII預定格式。例如，ASCII符合度分析裝置僅允許ASCII字元32至127，以及即將被再生且遞送至系統的四個控制字元”換行(line feed)”(LF=10)，”回車(carriage return)”(CR=13)，”標記(tab)”(TAB=9)以及”垂直標記(vertical tab)”(VT=11)。
如防毒應用程式的定義，其他控制字元(例如bell字元(BEL=7))並未在適用於ASCII格式之預定許可格式中。因此，ASCII符合度分析裝置在帶解析之ASCII碼區塊中並不會重新產生BEL字元，但其將會拒絕ASCII字元。
ASCII符合度分析裝置執行分析的其他例子：
．自然行長度是否小於1024字元？
．字長度是否小於25字元？
．空白對字元的百分比是否小於預定限制？
若在任何時候該ASCII符合度分析裝置因為不符合基本預定格式而無法重新產生適用於該部分ASCII碼的資料，則ASCII符合度分析裝置係檢查資料並判斷是否符合其他類型的ASCII碼。例如，來源碼、BinHex以及基本64等等。若該資料符合其他類型的ASCII碼，則將資料正向遞送至與該ASCII類型相關的符合度分析裝置，其他的ASCII類型可以為上述的來源碼符合度分析裝置、BinHex符合度分析裝置或是基本64符合度分析裝置。可以瞭解的是，基本64 ASCII編碼檔案亦可包含該編碼資料中其他類型的檔案。接下來，這些其他類型的檔案亦可以被正向遞送至相關的檔案類型符合度分析裝置等等。
適用於其他ASCII編碼類型的被動內容資料符合度分析器更可具有適用於電子郵件此部分內資料之符合度限制。例如，可藉由檢查檔案來判斷其是否為適當結構的編碼，是否具有正確的行長度等等。一旦每個被動內容資料符合度分析器判定內容符合參數時，則擷取其內容，並藉由被動內容資料符合度分析器將所擷取的內容資料再生為許可預定格式。
一旦ASCII符合度分析裝置完成其任務，再生的ASCII資料會被正向遞送至資料主旨所屬的相關文字符合度分析裝置。在此實施例中，文字檔案為CSV檔案，因此資料會 被正向遞送至CSV符合度分析裝置。
以下為由CSV符合度分析裝置執行檢查的實施例。CSV符合度分析裝置係解析ASCII資料，以確保其中沒有長文字段落，這樣的段落並不是CSV檔案的部分預定格式。由於不符合的資料會被CSV符合度分析裝置拒絕，因此任何的資料皆無法被解析。CSV符合度分析裝置亦會檢查並判斷其定界符號數量是否符合CSV檔案預定的定界符號數量。當CSV符合度分析裝置判定資料不符合時，會將該資料再生為相同的格式。
在此方法中，只有部分符合預定格式的文字檔案被允許通過防毒應用程式的下一階段。在資料被重編並且遞送至目的地之前，只有符合的部分文字檔案會與其他已再生資料類型一同被再生。因此，任何包含病毒的電子郵件部分不符合併且會被封鎖，也就是不會被再生並且較佳的被抹除。任何不符合的部分不被允許通過防毒應用程式並且感染作業系統。
另一種符合度分析裝置為標籤圖像文件格式(Tagged Image File Format,TIFF)符合度分析裝置，用來分析並再生TIFF檔案。
TIFF檔案為具有設置於預定格式中的一組目錄以及標籤之結構格式。無法判斷圖像資料本身是否代表有意義的圖像。然而，TIFF符合度分析裝置係解析並分析圖像資料，以確保其處於預定限制內。
藉由解析並分析TIFF檔案中的標頭資訊來判斷正確的資料是否完整。例如，TIFF符合度分析裝置係執行檢查 來判斷標頭資訊是否包括合理TIFF圖像限制內的解析度、尺寸以及深度欄位。另外，TIFF符合度分析裝置係判斷標頭中所標示的條紋數量是否符合該圖像資料。
TIFF檔案通常係藉由LZW(Lempel-Ziv-Welch)壓縮技術來進行壓縮。TIFF檔案包括複數TIFF條紋，在此實施例中的每個TIFF條紋為防毒應用程式105所操作圖像中的最小單位、原子或是元件，並且可應用於實際的限制中。每個TIFF條紋係藉由符合度分析裝置進行壓縮，並且判斷條紋長度是否在合理預定限制內。例如，若條紋長度不等於或小於最大圖像尺寸限制(例如，大於標準A0紙張尺寸)，則該條紋會被拒絕。若其中一個條紋被TIFF符合度分析裝置拒絕，則整個TIFF檔案會被拒絕。
TIFF符合度分析裝置亦會對TIFF檔案內的標籤(也就是參數資料)進行分析。藉由檢查標籤是否違反預定許可格式來判斷標籤是否位於特定階(根據標頭中的標籤資訊目錄)，並且判斷標籤是否以正確的方法彼此關聯。
當TIFF符合度分析裝置判定該資料符合預定許可格式時，會重新產生資料以建立具有原始檔案名稱的再生TIFF檔案(其中檔案名稱係符合預定格式)。袋重編入電子郵件的再生TIFF檔案係正向遞送至電子郵件伺服器。
在TIFF檔案本身中可具有其他圖像類型。例如，JPEG圖像可以被封裝於TIFF檔案中。若TIFF符合度分析裝置偵測到不同的圖像類型，則會將與圖像相關的資料遞送至其他的符合度分析裝置，在此實施例中為JPEG符合度分析裝 置。JPEG符合度分析裝置會接著解析並分析資料，以判斷是否符合期望的JPEG格式，若符合則將其再生為JPEG格式資料。接下來，再生資料會被重編為用來重編再生電子郵件的再生TIFF格式。此電子郵件會接著遞送至電子郵件伺服器。
本實施例的另一選擇為讓防毒應用程式插入警告文字來取帶電子郵件中不符合的部分。也就是，內容資料符合度分析器解析部分資料來判定該部分不符合預定許可格式，於再生電子郵件時，符合度分析器可插入警告文字來取代不符合的部分，以通知電子郵件的指定收件者電子郵件的部分被防毒應用程式拒絕。另外，若符合度分析汽油於不符合的因素而拒絕整個電子郵件，則防毒應用程式係於電子郵件中插入警告文字來通知指定收件者電子郵件的一部分被封鎖，也就是不會執行再生且較佳為被防毒應用程式抹除。
第三實施例
參照第10圖，現在將要說明本發明的第三實施例。此第三實施例結合了第一與第二實施例的特徵，包括在第一或第二實施例中所討論的任何選擇性。
此實施例係有關於防毒應用程式封鎖部分或是整個電子郵件時的狀態(代表此實施例中不符合的部分)。參照第一實施例所討論的第3圖，基於許多理由都會發生這樣的狀況，例如在步驟S3-15中，由於部分的被動內容資料不符合預定格式且並未設定清除格式，因此可能將整個檔案置放於隔離所。另外，若在步驟S3-11中設定清除模式旗幟，則可忽略部分的被動內容資料。
在此實施例中，當防毒應用程式判定電子檔案或是其子部分不符合時，則不允許電子檔案通過目的地作業系統，而是將原始電子檔案傳遞至來源過濾器應用程式，以判定該電子檔案是否在來自可靠的來源。
這是根據預期接收來自某些可靠來源的系統所判定。系統藉由檢視儲存於技藝體中違反預定來源清單的資料類型清單來執行判定，以判斷資料類型是否為來源所接受，換句話說就是透過來源來過濾電子郵件。因此，若接收來自可靠來源中包含不符合資料的檔案，則將不符合資料的檔案視為來自可靠來源的資料一般為非惡意的，並允許原始不符合資料的檔案通過作業系統。在此方法中，包括防毒應用程式以及來源過濾應用程式的系統係動態地允許大部分安全的電子檔案傳遞至其指定目的地。
第10圖顯示根據第三實施例所述之處理程序的流程圖。在步驟S10-1中，防毒應用程式係判定部分檔案是否為不符合的資料，若是則封鎖檔案。若被防毒應用程式封鎖，則會將不符合的部分傳遞至來源過濾應用程式確定所接收檔案是否來自可靠來源(如步驟S10-3所示)。
來源過濾應用程式係根據系統使用者偏好來判定不符合部分是否來自可靠來源。系統的技藝體中係儲存檔案類型清單以及關於這些不被視為可靠來源的來源(例如寄件者的位址)。因此，系統可根據檔案寄件者以及檔案類型來判斷是否允許檔案通過。
若在步驟S10-3中判定檔案類型不在允許來源的 清單中，則於步驟S10-5中封鎖之。若判定為允許通過的檔案類型，則不符合部分在步驟S10-7中係略過防毒應用程式。在步驟S10-9中防毒應用程式係重新產生剩餘的已接收檔案，重編該已再生的符合部分，並且在步驟S10-11中略過檔案中的不符合部分。
例如，銀行系統接收來自已知寄件者的大量電子郵件，包括與複雜巨指令結合的試算紙，對於附加試算紙中的巨指令可能不是預定許可格式，使得巨指令符合度分析裝置可封鎖此部分的電子郵件。
然而，由於銀行系統可判斷傳送此電子郵件的寄件者，且在檔案類型資料庫中該寄件者被認定為銀行系統可靠的伙伴，則電子郵件中的試算紙會被視為非惡意的。因此，系統使用者可設定來源過濾應用程式，以允許不符合的巨指令部分略過防毒應用程式並且電子郵件的再生部分共同重編入電子郵件。
另外，來源過濾應用程式可操作於判斷所接收來自防毒應用程式的已再生檔案是否被允許繼續通過目的地系統的模式。若防毒應用程式接收包含不符合部分的檔案(但不足以讓防毒應用程式拒絕整個檔案)，使得再生的符合檔案不同於原始檔案，則該再生檔案會被遞送至來源過濾應用程式。例如，由於防毒應用程式執行清除檔案程序，使得原始檔案尺寸可能比再生檔案的檔案尺寸大。
來源過濾應用程式係用來判斷所接收檔案類型是否來自經過認可的來源，若是，則允許該檔案類型通過系統。
其他實施例
必須瞭解的是，在此所揭露的僅作為本發明的實施例，任何熟習此項技藝者，在不脫離本發明之精神和範圍內，當可做些許的更動與潤飾。
必須瞭解的是，本發明可應用於可以將電子檔案從來源移動至目的地的任何系統。本發明傳送電子檔案的方法並未限定為任何特定方法。也就是，電子檔案可從電腦系統硬體內的一元件傳送至另一元件。另外，電子檔案可以藉由空氣從基地台傳送至行動電話裝置。同樣的，電子檔案可藉由區域網路(local area network,LAN)、廣域網路(wide area network,WAN)或是網際網路來傳送。
熟悉此技藝之人士皆瞭解，在資源受限於目的地裝置(例如行動電話)的網路環境中，由於受限的資源，使得每個裝置可具有執行上述實施例中部分處理步驟的功能性。在這樣的實施例中，網路上可具有其他具有全功能性的網路裝置。其他網路裝置亦可藉由將較新的功能性與其他網路裝置結合而具有任何較新的功能性。在此方法中，不需要更新網路上每個資源受限的裝置。在行動電話網路中，每個行動電話被製造時可具有初始的限制功能。行動電話功能可藉由手持裝置使用者安裝其他軟體而被更新。若新安裝的軟體係用來請求並接收未知格式的電子檔案至行動電話的防毒應用程式上，接下來防毒應用程式將會辨識何時不具有處理接收電子檔案的能力，並且會將該電子檔案遞送至具有全功能性的網路裝置。網路裝置將會被更新以辨識新的功能性，並因而可於行動電話上處理已 接收電子檔案。接下來，網路裝置可將再生版本的電子檔案遞送回行動電話。另外，具有全功能性的網路裝置可設定為用來擷取傳送至行動電話的資料。接下來，在將再生版本傳送至行動電話之前，網路裝置可在功能性受限的行動電話上處理特定電子檔案。
在上述第一實施例中，防毒應用程式係設置於目的地系統中。熟悉此技藝之人士皆瞭解，當防毒應用程式可在沿著傳輸路徑上的點分析電子檔案時，可以將防毒應用程式設置於來源或是傳輸媒體中。
在上述第一實施例中，電子檔案係由根據包含特定組規則的檔案類型規格來編碼與設置的內容資料所構成。熟悉此技藝之人士皆瞭解，所接收的電子檔案101可以為串流資料(例如視訊或影音串流中的串流資料)。在這樣的例子中，除了根據包含特定組規則的檔案類型規格而編碼與設置之外，所接收的資料可根據協定規格(例如用於串流資料的傳輸協定)來編碼與設置。因此，為了儲存用於每個檔案類型規格的預定格式以及規則，防毒應用程式亦可儲存用於各種協定規格的預定格式與規則。接下來，防毒應用程式可處理已接收串流資料來判斷資料是否根據用於協定的預定格式來編碼與設置。
在上述第一實施例的目的地系統109內具有湊雜資料庫106以及湊雜產生器133。熟悉此技藝之人士皆瞭解，對電子檔案中部份主動內容資料的處理程序可藉由傳統的其他防毒應用程式來實現。例如，若已接收電子檔案為具有巨指令的Microsoft Word文件，防毒應用程式105將會處理構成被 動內容資料的大量的Word文件，以判斷其是否為安全的文件，且傳統的防毒產品可藉由掃瞄構成主動內容資料的巨指令內容，以判斷其是否包括已知的開發。然而，這樣的選擇具有可依賴第三防毒應用程式的優點，若應用程式的資料庫不是最新時容易受到零天的攻擊。另外，目的地系統109可藉由與下載病毒特性資料庫相同的機制下載來自可靠第三者的已知好腳本、巨指令、可行碼等等的湊雜資料庫來更新其湊雜資料庫106。此機制亦可用來提交包含於第三者湊雜資料庫中的巨指令、腳本以及可執行碼。
在上述第一實施例中，若被動內容資料不符合預定格式且清除模式旗幟被去能，則會隔離整個電子檔案。熟悉此技藝之人士皆瞭解，當整個檔案被置放於隔離所時，未知格式/規格的部分電子檔案可透過處理主動內容資料的方法來執行操作。因此，會產生適用於這些部分未知內容的湊雜，並且會檢查該湊雜是否違背好的內容之湊雜資料庫。
在上述第一實施例中，若致能清除模式旗幟，則會執行清除處理程序來移除不符合的部分，且內容再生器係根據預定檔案類型重新產生再生檔案中必要的空白或乾淨的區段。熟悉此技藝之人士皆瞭解，在此清除處理程序中，可額外的將處理器設定為對部分內容資料執行明顯的校正。例如，由於明顯的省略某些資料位元而形成壞的JPEG檔案。在具有這樣明顯錯誤的例子中，可於清除處理程序期間加入遺失的位元，以修改部分的內容資料。
在上述第一實施例中所產生的湊雜係適用於主動 內容資料的任何部分。若該腳本、巨指令以及可執行碼被修正為不具有語意上的差異，則所有不同版本的主動內容資料可能會產生不同的湊雜，並且必須將所有的湊雜登記於湊雜資料庫中。為了避免這個狀況，因此可以將腳本、巨指令以及可執行碼正規化，因此可於產生即將儲存於湊雜資料庫中的湊雜之前移除配置與變異名稱改變。例如，可移除所有的空白與換行，並且以標準符號取代所有的變異名稱。即使所產生的腳本、巨指令或是可執行碼可能表現為無效的，當功能性相同但是具有不同潤釋的腳本、巨指令或是可執行碼被正規化為相同的文字時，這個問題就變得不重要了。例如，下列部分程式碼係定義了可於HTML檔案內所接收的Javascript功能。
藉由移除所有的空白(字串外部)並且以標準名稱(在此例中為$<n>，其中<n>為對每個變數增加的次數)取代所有變數可以將此部分的程式碼正規化。在此實施例中，正規化後的程式碼如下：
在上述第一實施例中所產生的湊雜係適用於部分的主動內容資料。熟悉此技藝之人士皆瞭解，兩種不同腳本、巨指令或是可執行碼的函式可產生相同的湊雜。為了降低此情況發生的可能性，可以在產生湊雜之前藉由以預定且可重複的方法增加隨機位元來暗存(salt)腳本、巨指令或是可執行碼，使其更難以如同已註冊腳本般的讓惡意腳本通過。熟悉此技藝之人士皆瞭解，藉由這樣的方法修改主動內容資料，將使得熟悉湊雜資料庫的人更難產生如同許可主動內容資料般通過的惡意腳本、巨指令或是可執行碼，因為製造者在湊雜產生之前並不具有修改或變更內容之處理程序的知識。
在上述第一實施例中，湊雜資料庫106為單一資料庫，用來儲存適用於先前標示為非惡意的主動內容資料之所有湊雜。熟悉此技藝之人士皆瞭解，湊雜資料庫可用來儲存複數資料庫，例如適用於每個已知類型之腳本、巨指令或是可執行碼的資料庫。在此方法中係針對主動內容資料的類型來查找湊雜資料庫，例如由於該湊雜符合已註冊Javascript，使得VB腳本無法錯誤地的通過。
另外，必須瞭解的是，對於前述任何實施例的其他選擇來說，任何驅動設備可讓使用者於接收電子檔案時手動地驅動任何防毒應用程式或是來源過濾應用程式所做的決定。也就是，當防毒應用程式中的符合度分析裝置封鎖部分或整封電子郵件時，由於其不一致性，使用者可選擇允許重新產 生不一致的檔案並將其重編入電子郵件中。實現此選擇的一種方法為供應指定收件者文字警告訊息，並詢問收件者是否允許被分析為不一致的電子郵件如同符合預定許可格式般的通過系統。若可重編電子郵件，則對於此警告訊息的回應係提供符合度分析裝置再生指令。另外，允許原始電子郵件通過防毒應用程式以及來源過濾應用程式並且在不執行再生的情況下通過系統。
另外，必須瞭解的是，如上述第二實施例所述之防毒應用程式可設置於除了ISP電子郵件伺服器之外的其他地方。例如，防毒應用程式可設置並安裝於收件者的電子郵件客戶伺服器中。在此方法中，任何從電子郵件客戶伺服器遞送至硬碟上收件者之收件夾的電子郵件為如上述之再生電子郵件。
另外，必須瞭解的是，防毒應用程式可固線於半導體裝置中，例如矽、砷化鉀(GaAs)、磷化銦(InP)，然其並非用以限定本發明的範圍。也就是，防毒應用程式具有可計量的任務，其不需要對處理程序更新對預定義符合格式的定義。實現防毒應用程式之任務所需要的指令包括可於任何適當半導體裝置上實現的解析、分析、再生以及重編程序另外，實現防毒應用程式所需要的指令可儲存於半永久或永久記憶裝置。接下來，記憶裝置可用來執行關於連結處理器的防毒應用程式。在這些例子中，可提供與本發明待防護之電腦不同的電腦，作為包含不同於待防護電腦之處理器以及記憶體的個別裝置(例如數據卡、網路卡或是硬碟驅動控制器中的個別裝置)。其優點為可完全地將輸入電子檔案與檔案系統以及其他待防護電 腦之資源隔離，並將其儲存於無法正常寫入或更新的位置，以避免防毒應用程式本身破解密碼的攻擊，換句話說也就是實體防護等級。半導體裝置係由處理器以及記憶裝置所構成，其中處理器係執行記憶裝置中的防毒應用程式，並且將輸入檔案儲存於記憶裝置中而隔離之。
另外，必須瞭解的是，上述半導體裝置可作為使用傳統方法之任何適當網路卡的一部分。在此方法中，用於通訊網路中的網路卡為可藉由使用上述方法重新產生已接收電子檔案來確保網路對不期望碼或資料執行防護的裝置。
另外，必須瞭解的是，藉由電腦裝置可接收第一實施例中所述之電子檔案，其中電子檔案係儲存於可移除式記憶裝置中。例如，電子檔案可儲存於直接連接或是透過無線媒體連接至電腦裝置的USB磁碟裝置、智慧卡、保全數位(secure digital,SD)記憶裝置、多媒體卡(multi media card,MMC)記憶裝置、XD卡、軟碟、ZIP磁碟、可攜式硬碟或是其他適當的記憶裝置中。
另外，必須瞭解的是，此應用程式中的作業系統可以為使用檔案的任何系統。例如，嵌入式系統、路由器、網路卡等等。
另外，必須瞭解的是，其他編碼方法可用來確保任何已接收可執行檔案無法自動的被執行。例如，編碼方法係使用位元組交換方法來儲存每對輸入位元組。在此實施例中，若防毒應用程式依序接收6位元組ABCDEF，並且依下列順序儲存於記憶體中BADCFE。第一位元組(A)係儲存於第二記憶 體位置，且第二位元組(B)係儲存於第一記憶體位置。每一對已接收位元係倒置的出現於接下來的記憶體位置。在此方法中，任何可執行碼無法自動的執行，並且任何受感染的電子檔案無法感染防毒應用程式或是目的地作業統。
在上述實施例中，目的地系統係接收電子檔案來進行處理。熟悉此技藝之人士皆瞭解，當處理通訊串流內的檔案資料時，資料係以定量或封包的方式到達目的地系統，藉由計算定量或封包資料可形成整個待處理的電子檔案。一般來說，接收整個電子檔案並且儲存於連續的記憶體中。在這樣的例子中，若必須分析電子檔案中不同位置的資料以確認電子檔案，由於整個檔案出現於記憶體中使得這樣的處理程序為可行的。例如，例如網路卡或路由器之裝置通常具有受限的記憶體資源，且其可能不適用於暫存這些裝置內要執行的整個電子檔案。在這樣的環境中，來源裝置(例如傳送者的電腦)將具有比資源受限網路裝置更多的資源。來源裝置可因而被設定為用來重新寫入電子檔案，使得所有必須由防毒應用程式一起處理的相關檔案區段將會依序流至來源受限裝置。在此方法中，來源受限裝置不需要暫存整個電子檔案，且可使用較小的緩衝器來儲存待處理檔案的這些部分。一旦部分電子檔案經過處理並且被判定為非惡意的，該部分可以被再生並且立即傳送至目的地裝置(例如收件者的電腦)。若在此方法中使用全緩衝方法，則可達成相對於叢發性型態傳輸的串流資料傳輸，其中資料串流係持續開始並中止。
本發明雖以較佳實施例揭露如上，然其並非用以 限定本發明的範圍，任何熟習此項技藝者，在不脫離本發明之精神和範圍內，當可做些許的更動與潤飾，因此本發明之保護範圍當視後附之申請專利範圍所界定者為準。
102‧‧‧來源
103‧‧‧傳輸媒介
105‧‧‧防毒應用程式
106‧‧‧湊雜資料庫
107‧‧‧作業系統
109‧‧‧目的地系統
131‧‧‧符合度分析器
133‧‧‧湊雜產生器
134‧‧‧湊雜核對器
135‧‧‧內容再生器

Claims (10)

  1. 一種處理方法，適用於處理一電子檔案，包括：辨識上述電子檔案中的一部分內容資料；判斷上述已辨識部分內容資料是否為具有一固定目的的被動內容資料，或是具有一相關功能的主動內容資料；若判定上述已辨識部分內容資料為被動內容資料，則：判斷上述部分被動內容資料的一檔案類型或是通訊協定；以及若上述被動內容資料符合包含對應於上述檔案類型或通訊協定的一組規則之一預定資料格式，則判斷上述部分被動內容資料是否會被重新產生；若判定上述已辨識部分內容資料為主動內容資料，則分析上述部分主動內容資料來判定上述部分主動內容資料是否即將被重新產生；以及若判定即將重新產生上述部分內容資料，則重新產生上述部分內容資料以建立一再生電子檔案，其中上述分析部分主動內容資料的步驟包括：產生用於上述部分主動內容資料的一湊雜；判斷所產生的上述湊雜是否出現於正規化已知好的主動內容資料的一湊雜資料庫中；以及若所產生的上述湊雜出現於正規化已知好的主動內容資料的該湊雜資料庫中，則判定上述部分主動內容資料即將被重新產生；以及其中該處理方法更包括正規化部分主動內容資料的步驟， 且其中上述產生湊雜的步驟係產生用於已正規化部分主動內容資料的一湊雜。
  2. 如申請專利範圍第1項所述之處理方法，其中上述電子檔案中的一部份被動內容資料包括複數子部分被動內容資料，其中對上述每個子部分執行處理可用來判斷上述子部分被動內容資料是否符合一預定資料格式，若所有上述子部分皆符合一預定資料格式，則判定上述部分被動內容資料符合上述預定資料格式。
  3. 如申請專利範圍第1或2項所述之處理方法，其中若無法判定上述部份被動內容資料之目的預定資料格式，則將分析該部分被動內容資料作為部分主動內容資料來分析。
  4. 如申請專利範圍第1項所述之處理方法，更包括以預定且可重複的方式變更部分主動內容資料的步驟，且其中上述產生湊雜的步驟係產生用於以變更部分主動內容資料的一湊雜。
  5. 如申請專利範圍第1至4項中任一項所述之處理方法，更包括將編碼格式的上述電子檔案儲存於記憶體中。
  6. 一種電腦可讀取媒體，包括一電腦程式，上述電腦程式係於上述電腦程式執行於一電腦時用來執行申請專利範圍第1項至第5項中的任一方法。
  7. 一種半導體裝置，包括包含複數指令的一記憶體裝置，用來執行申請專利範圍第1項至第5項中的任一方法。
  8. 一種處理裝置，用來處理一電子檔案，包括：用來辨識上述電子檔案中的一部份內容資料的裝置； 用來判斷所辨識的上述部分內容資料為具有一固定目的的被動內容資料或是具有一相關功能的主動內容資料的裝置；用來判斷部分被動內容資料之一檔案類型或是通訊協定的裝置，藉由判斷上述被動內容資料是否符合包含對應於上述檔案類型或通訊協定的一組規則之一預定資料格式來判斷部分被動內容資料是否需要重新產生的裝置；用來分析部分主動內容資料以判斷部分主動內容資料是否必須重新產生的裝置；以及用以當部分內容資料被判定為必須重新產生時，用來重新產生部分內容資料而產生一再生電子檔案的裝置，其中上述分析部分主動內容資料的裝置更包括：用以產生用於上述部分主動內容資料的一湊雜的裝置；用以判斷所產生的上述湊雜是否出現於正規化已知好的主動內容資料的一湊雜資料庫中的裝置；以及用以在若所產生的上述湊雜出現於正規化已知好的主動內容資料的該湊雜資料庫中則判定上述部分主動內容資料即將被重新產生的裝置；以及其中更包括用以正規化部分主動內容資料的裝置，且其中上述用以產生一湊雜的裝置係產生用於已正規化部分主動內容資料的一湊雜。
  9. 如申請專利範圍第8項所述之處理裝置，其中用來判斷部分被動內容資料之檔案類型或是通訊協定的裝置包括複數符合度分析器，每個上述符合度分析器係與特定檔案類型 或通訊協定相關。
  10. 如申請專利範圍第8或9項所述之處理裝置，若至少一部分主動內容資料不需要被重新產生且上述清除模式為去能，則上述電子檔案會被設置於隔離所中。
TW104108578A 2006-12-04 2007-11-12 電子檔案處理方法以及相關之處理裝置 TWI534650B (zh)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
GB0624224A GB2444514A (en) 2006-12-04 2006-12-04 Electronic file re-generation

Publications (2)

Publication Number Publication Date
TW201525746A true TW201525746A (zh) 2015-07-01
TWI534650B TWI534650B (zh) 2016-05-21

Family

ID=37671847

Family Applications (2)

Application Number Title Priority Date Filing Date
TW104108578A TWI534650B (zh) 2006-12-04 2007-11-12 電子檔案處理方法以及相關之處理裝置
TW096142679A TWI488065B (zh) 2006-12-04 2007-11-12 電子檔案處理方法、預處理方法及測試方法、以及相關之處理裝置、預處理系統及測試系統

Family Applications After (1)

Application Number Title Priority Date Filing Date
TW096142679A TWI488065B (zh) 2006-12-04 2007-11-12 電子檔案處理方法、預處理方法及測試方法、以及相關之處理裝置、預處理系統及測試系統

Country Status (10)

Country Link
US (3) US8533824B2 (zh)
EP (1) EP2089829A2 (zh)
JP (3) JP5069308B2 (zh)
CN (2) CN103530558A (zh)
AU (1) AU2007330580B2 (zh)
CA (1) CA2671804C (zh)
GB (1) GB2444514A (zh)
MY (2) MY170629A (zh)
TW (2) TWI534650B (zh)
WO (1) WO2008068450A2 (zh)

Families Citing this family (178)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8549638B2 (en) 2004-06-14 2013-10-01 Fireeye, Inc. System and method of containing computer worms
US8793787B2 (en) 2004-04-01 2014-07-29 Fireeye, Inc. Detecting malicious network content using virtual environment components
US8584239B2 (en) 2004-04-01 2013-11-12 Fireeye, Inc. Virtual machine with dynamic data flow analysis
US9106694B2 (en) 2004-04-01 2015-08-11 Fireeye, Inc. Electronic message analysis for malware detection
US8566946B1 (en) 2006-04-20 2013-10-22 Fireeye, Inc. Malware containment on connection
US8171553B2 (en) 2004-04-01 2012-05-01 Fireeye, Inc. Heuristic based capture with replay to virtual machine
US7587537B1 (en) 2007-11-30 2009-09-08 Altera Corporation Serializer-deserializer circuits formed from input-output circuit registers
US8528086B1 (en) 2004-04-01 2013-09-03 Fireeye, Inc. System and method of detecting computer worms
US8898788B1 (en) 2004-04-01 2014-11-25 Fireeye, Inc. Systems and methods for malware attack prevention
US8881282B1 (en) 2004-04-01 2014-11-04 Fireeye, Inc. Systems and methods for malware attack detection and identification
GB2427048A (en) 2005-06-09 2006-12-13 Avecho Group Ltd Detection of unwanted code or data in electronic mail
US8615800B2 (en) * 2006-07-10 2013-12-24 Websense, Inc. System and method for analyzing web content
US20080141376A1 (en) * 2006-10-24 2008-06-12 Pc Tools Technology Pty Ltd. Determining maliciousness of software
US9654495B2 (en) 2006-12-01 2017-05-16 Websense, Llc System and method of analyzing web addresses
US9729513B2 (en) * 2007-11-08 2017-08-08 Glasswall (Ip) Limited Using multiple layers of policy management to manage risk
GB0709527D0 (en) 2007-05-18 2007-06-27 Surfcontrol Plc Electronic messaging system, message processing apparatus and message processing method
WO2010002816A1 (en) 2008-06-30 2010-01-07 Websense, Inc. System and method for dynamic and real-time categorization of webpages
US8997219B2 (en) 2008-11-03 2015-03-31 Fireeye, Inc. Systems and methods for detecting malicious PDF network content
US8850571B2 (en) 2008-11-03 2014-09-30 Fireeye, Inc. Systems and methods for detecting malicious network content
US8881287B1 (en) * 2009-03-20 2014-11-04 Symantec Corporation Systems and methods for library function identification in automatic malware signature generation
US8832829B2 (en) 2009-09-30 2014-09-09 Fireeye, Inc. Network-based binary file extraction and analysis for malware detection
GB201008868D0 (en) 2010-05-27 2010-07-14 Qinetiq Ltd Computer security
JP5779334B2 (ja) 2010-11-09 2015-09-16 デジタルア−ツ株式会社 出力制御装置、出力制御プログラム、出力制御方法および出力制御システム
WO2012160366A1 (en) 2011-05-20 2012-11-29 Bae Systems Plc Supervised data transfer
CN102855432B (zh) * 2011-06-27 2015-11-25 北京奇虎科技有限公司 一种文件、文件夹解锁和删除方法及系统
TWI439097B (zh) 2011-08-26 2014-05-21 Univ Nat Taiwan Science Tech 跨站腳本攻擊產生方法
TWI494787B (zh) * 2012-05-28 2015-08-01 Hung Chi Lin Vba模組隱藏方法
US9292688B2 (en) * 2012-09-26 2016-03-22 Northrop Grumman Systems Corporation System and method for automated machine-learning, zero-day malware detection
US11126720B2 (en) 2012-09-26 2021-09-21 Bluvector, Inc. System and method for automated machine-learning, zero-day malware detection
US10572665B2 (en) 2012-12-28 2020-02-25 Fireeye, Inc. System and method to create a number of breakpoints in a virtual machine via virtual machine trapping events
US9176843B1 (en) 2013-02-23 2015-11-03 Fireeye, Inc. Framework for efficient security coverage of mobile software applications
US8990944B1 (en) 2013-02-23 2015-03-24 Fireeye, Inc. Systems and methods for automatically detecting backdoors
US9009823B1 (en) 2013-02-23 2015-04-14 Fireeye, Inc. Framework for efficient security coverage of mobile software applications installed on mobile devices
US9195829B1 (en) 2013-02-23 2015-11-24 Fireeye, Inc. User interface with real-time visual playback along with synchronous textual analysis log display and event/time index for anomalous behavior detection in applications
US9367681B1 (en) 2013-02-23 2016-06-14 Fireeye, Inc. Framework for efficient security coverage of mobile software applications using symbolic execution to reach regions of interest within an application
US8813242B1 (en) * 2013-02-25 2014-08-19 Mobile Iron, Inc. Auto-insertion of information classification
US9104867B1 (en) 2013-03-13 2015-08-11 Fireeye, Inc. Malicious content analysis using simulated user interaction without user involvement
US9355247B1 (en) 2013-03-13 2016-05-31 Fireeye, Inc. File extraction from memory dump for malicious content analysis
US9626509B1 (en) 2013-03-13 2017-04-18 Fireeye, Inc. Malicious content analysis with multi-version application support within single operating environment
US9430646B1 (en) 2013-03-14 2016-08-30 Fireeye, Inc. Distributed systems and methods for automatically detecting unknown bots and botnets
US9311479B1 (en) 2013-03-14 2016-04-12 Fireeye, Inc. Correlation and consolidation of analytic data for holistic view of a malware attack
US9413781B2 (en) 2013-03-15 2016-08-09 Fireeye, Inc. System and method employing structured intelligence to verify and contain threats at endpoints
US10713358B2 (en) 2013-03-15 2020-07-14 Fireeye, Inc. System and method to extract and utilize disassembly features to classify software intent
US9495180B2 (en) 2013-05-10 2016-11-15 Fireeye, Inc. Optimized resource allocation for virtual machines within a malware content detection system
US9635039B1 (en) 2013-05-13 2017-04-25 Fireeye, Inc. Classifying sets of malicious indicators for detecting command and control communications associated with malware
EP3722954B1 (en) 2013-06-24 2023-09-06 Cylance Inc. Automated system for generative multimodel multiclass classification and similarity analysis using machine learning
US10133863B2 (en) 2013-06-24 2018-11-20 Fireeye, Inc. Zero-day discovery system
US9300686B2 (en) 2013-06-28 2016-03-29 Fireeye, Inc. System and method for detecting malicious links in electronic messages
US20150082424A1 (en) * 2013-09-19 2015-03-19 Jayant Shukla Active Web Content Whitelisting
EP3049983B1 (en) * 2013-09-24 2018-07-25 McAfee, LLC Adaptive and recursive filtering for sample submission
US9736179B2 (en) 2013-09-30 2017-08-15 Fireeye, Inc. System, apparatus and method for using malware analysis results to drive adaptive instrumentation of virtual machines to improve exploit detection
US9171160B2 (en) 2013-09-30 2015-10-27 Fireeye, Inc. Dynamically adaptive framework and method for classifying malware using intelligent static, emulation, and dynamic analyses
US9628507B2 (en) 2013-09-30 2017-04-18 Fireeye, Inc. Advanced persistent threat (APT) detection center
US10515214B1 (en) 2013-09-30 2019-12-24 Fireeye, Inc. System and method for classifying malware within content created during analysis of a specimen
US9294501B2 (en) 2013-09-30 2016-03-22 Fireeye, Inc. Fuzzy hash of behavioral results
US9690936B1 (en) 2013-09-30 2017-06-27 Fireeye, Inc. Multistage system and method for analyzing obfuscated content for malware
GB2518880A (en) * 2013-10-04 2015-04-08 Glasswall Ip Ltd Anti-Malware mobile content data management apparatus and method
US9921978B1 (en) 2013-11-08 2018-03-20 Fireeye, Inc. System and method for enhanced security of storage devices
DE102013226171A1 (de) * 2013-12-17 2015-07-02 Siemens Aktiengesellschaft Vorrichtung und Verfahren zur Übertragung von Daten
US9756074B2 (en) 2013-12-26 2017-09-05 Fireeye, Inc. System and method for IPS and VM-based detection of suspicious objects
US9747446B1 (en) 2013-12-26 2017-08-29 Fireeye, Inc. System and method for run-time object classification
US9507935B2 (en) 2014-01-16 2016-11-29 Fireeye, Inc. Exploit detection system with threat-aware microvisor
US10469510B2 (en) * 2014-01-31 2019-11-05 Juniper Networks, Inc. Intermediate responses for non-html downloads
US9262635B2 (en) 2014-02-05 2016-02-16 Fireeye, Inc. Detection efficacy of virtual machine-based analysis with application specific events
US9241010B1 (en) 2014-03-20 2016-01-19 Fireeye, Inc. System and method for network behavior detection
US10242185B1 (en) 2014-03-21 2019-03-26 Fireeye, Inc. Dynamic guest image creation and rollback
US9591015B1 (en) 2014-03-28 2017-03-07 Fireeye, Inc. System and method for offloading packet processing and static analysis operations
US9432389B1 (en) 2014-03-31 2016-08-30 Fireeye, Inc. System, apparatus and method for detecting a malicious attack based on static analysis of a multi-flow object
US9223972B1 (en) 2014-03-31 2015-12-29 Fireeye, Inc. Dynamically remote tuning of a malware content detection system
US9973531B1 (en) 2014-06-06 2018-05-15 Fireeye, Inc. Shellcode detection
US9438623B1 (en) 2014-06-06 2016-09-06 Fireeye, Inc. Computer exploit detection using heap spray pattern matching
US9594912B1 (en) 2014-06-06 2017-03-14 Fireeye, Inc. Return-oriented programming detection
US10084813B2 (en) 2014-06-24 2018-09-25 Fireeye, Inc. Intrusion prevention and remedy system
US10805340B1 (en) 2014-06-26 2020-10-13 Fireeye, Inc. Infection vector and malware tracking with an interactive user display
US9398028B1 (en) 2014-06-26 2016-07-19 Fireeye, Inc. System, device and method for detecting a malicious attack based on communcations between remotely hosted virtual machines and malicious web servers
US10002252B2 (en) 2014-07-01 2018-06-19 Fireeye, Inc. Verification of trusted threat-aware microvisor
US9363280B1 (en) 2014-08-22 2016-06-07 Fireeye, Inc. System and method of detecting delivery of malware using cross-customer data
US9306940B2 (en) * 2014-09-08 2016-04-05 Square, Inc. Mitigating risk of account enumeration
US10671726B1 (en) 2014-09-22 2020-06-02 Fireeye Inc. System and method for malware analysis using thread-level event monitoring
US10027689B1 (en) 2014-09-29 2018-07-17 Fireeye, Inc. Interactive infection visualization for improved exploit detection and signature generation for malware and malware families
US9773112B1 (en) 2014-09-29 2017-09-26 Fireeye, Inc. Exploit detection of malware and malware families
US9419991B2 (en) * 2014-09-30 2016-08-16 Juniper Networks, Inc. De-obfuscating scripted language for network intrusion detection using a regular expression signature
EP3222024A1 (en) 2014-11-21 2017-09-27 Bluvector, Inc. System and method for network data characterization
US9330264B1 (en) 2014-11-26 2016-05-03 Glasswall (Ip) Limited Statistical analytic method for the determination of the risk posed by file based content
US9690933B1 (en) 2014-12-22 2017-06-27 Fireeye, Inc. Framework for classifying an object as malicious with machine learning for deploying updated predictive models
US10075455B2 (en) 2014-12-26 2018-09-11 Fireeye, Inc. Zero-day rotating guest image profile
US9934376B1 (en) 2014-12-29 2018-04-03 Fireeye, Inc. Malware detection appliance architecture
US9838417B1 (en) 2014-12-30 2017-12-05 Fireeye, Inc. Intelligent context aware user interaction for malware detection
US10148693B2 (en) 2015-03-25 2018-12-04 Fireeye, Inc. Exploit detection system
US9690606B1 (en) 2015-03-25 2017-06-27 Fireeye, Inc. Selective system call monitoring
US9438613B1 (en) 2015-03-30 2016-09-06 Fireeye, Inc. Dynamic content activation for automated analysis of embedded objects
US9483644B1 (en) 2015-03-31 2016-11-01 Fireeye, Inc. Methods for detecting file altering malware in VM based analysis
US10474813B1 (en) 2015-03-31 2019-11-12 Fireeye, Inc. Code injection technique for remediation at an endpoint of a network
US10417031B2 (en) 2015-03-31 2019-09-17 Fireeye, Inc. Selective virtualization for security threat detection
US9654485B1 (en) 2015-04-13 2017-05-16 Fireeye, Inc. Analytics-based security monitoring system and method
US9594904B1 (en) 2015-04-23 2017-03-14 Fireeye, Inc. Detecting malware based on reflection
US10642753B1 (en) 2015-06-30 2020-05-05 Fireeye, Inc. System and method for protecting a software component running in virtual machine using a virtualization layer
US10726127B1 (en) 2015-06-30 2020-07-28 Fireeye, Inc. System and method for protecting a software component running in a virtual machine through virtual interrupts by the virtualization layer
US10454950B1 (en) 2015-06-30 2019-10-22 Fireeye, Inc. Centralized aggregation technique for detecting lateral movement of stealthy cyber-attacks
US11113086B1 (en) 2015-06-30 2021-09-07 Fireeye, Inc. Virtual system and method for securing external network connectivity
US10715542B1 (en) 2015-08-14 2020-07-14 Fireeye, Inc. Mobile application risk analysis
US10176321B2 (en) 2015-09-22 2019-01-08 Fireeye, Inc. Leveraging behavior-based rules for malware family classification
US10033747B1 (en) 2015-09-29 2018-07-24 Fireeye, Inc. System and method for detecting interpreter-based exploit attacks
US10817606B1 (en) 2015-09-30 2020-10-27 Fireeye, Inc. Detecting delayed activation malware using a run-time monitoring agent and time-dilation logic
US10706149B1 (en) 2015-09-30 2020-07-07 Fireeye, Inc. Detecting delayed activation malware using a primary controller and plural time controllers
US10601865B1 (en) 2015-09-30 2020-03-24 Fireeye, Inc. Detection of credential spearphishing attacks using email analysis
US10210329B1 (en) 2015-09-30 2019-02-19 Fireeye, Inc. Method to detect application execution hijacking using memory protection
US9825989B1 (en) 2015-09-30 2017-11-21 Fireeye, Inc. Cyber attack early warning system
US9825976B1 (en) 2015-09-30 2017-11-21 Fireeye, Inc. Detection and classification of exploit kits
US10284575B2 (en) 2015-11-10 2019-05-07 Fireeye, Inc. Launcher for setting analysis environment variations for malware detection
US10846117B1 (en) 2015-12-10 2020-11-24 Fireeye, Inc. Technique for establishing secure communication between host and guest processes of a virtualization architecture
US10447728B1 (en) 2015-12-10 2019-10-15 Fireeye, Inc. Technique for protecting guest processes using a layered virtualization architecture
US10108446B1 (en) 2015-12-11 2018-10-23 Fireeye, Inc. Late load technique for deploying a virtualization layer underneath a running operating system
US10050998B1 (en) 2015-12-30 2018-08-14 Fireeye, Inc. Malicious message analysis system
US10565378B1 (en) 2015-12-30 2020-02-18 Fireeye, Inc. Exploit of privilege detection framework
US10621338B1 (en) 2015-12-30 2020-04-14 Fireeye, Inc. Method to detect forgery and exploits using last branch recording registers
US10133866B1 (en) 2015-12-30 2018-11-20 Fireeye, Inc. System and method for triggering analysis of an object for malware in response to modification of that object
US9824216B1 (en) 2015-12-31 2017-11-21 Fireeye, Inc. Susceptible environment detection system
US11552986B1 (en) 2015-12-31 2023-01-10 Fireeye Security Holdings Us Llc Cyber-security framework for application of virtual features
US10581874B1 (en) 2015-12-31 2020-03-03 Fireeye, Inc. Malware detection system with contextual analysis
JP2017142552A (ja) * 2016-02-08 2017-08-17 株式会社日立アドバンストシステムズ マルウェア注意喚起装置および方法
US10785255B1 (en) 2016-03-25 2020-09-22 Fireeye, Inc. Cluster configuration within a scalable malware detection system
US10601863B1 (en) 2016-03-25 2020-03-24 Fireeye, Inc. System and method for managing sensor enrollment
US10476906B1 (en) 2016-03-25 2019-11-12 Fireeye, Inc. System and method for managing formation and modification of a cluster within a malware detection system
US10671721B1 (en) 2016-03-25 2020-06-02 Fireeye, Inc. Timeout management services
US10826933B1 (en) 2016-03-31 2020-11-03 Fireeye, Inc. Technique for verifying exploit/malware at malware detection appliance through correlation with endpoints
US10893059B1 (en) 2016-03-31 2021-01-12 Fireeye, Inc. Verification and enhancement using detection systems located at the network periphery and endpoint devices
US20170353475A1 (en) 2016-06-06 2017-12-07 Glasswall (Ip) Limited Threat intelligence cloud
US10169585B1 (en) 2016-06-22 2019-01-01 Fireeye, Inc. System and methods for advanced malware detection through placement of transition events
US10462173B1 (en) 2016-06-30 2019-10-29 Fireeye, Inc. Malware detection verification and enhancement by coordinating endpoint and malware detection systems
US10592678B1 (en) 2016-09-09 2020-03-17 Fireeye, Inc. Secure communications between peers using a verified virtual trusted platform module
US10491627B1 (en) 2016-09-29 2019-11-26 Fireeye, Inc. Advanced malware detection using similarity analysis
JP2018063563A (ja) * 2016-10-12 2018-04-19 Ｊｎｓ株式会社 コンピュータ装置及びコンピュータシステム
US10795991B1 (en) 2016-11-08 2020-10-06 Fireeye, Inc. Enterprise search
US9858424B1 (en) 2017-01-05 2018-01-02 Votiro Cybersec Ltd. System and method for protecting systems from active content
US10587647B1 (en) 2016-11-22 2020-03-10 Fireeye, Inc. Technique for malware detection capability comparison of network security devices
US10552610B1 (en) 2016-12-22 2020-02-04 Fireeye, Inc. Adaptive virtual machine snapshot update framework for malware behavioral analysis
US10581879B1 (en) 2016-12-22 2020-03-03 Fireeye, Inc. Enhanced malware detection for generated objects
US10523609B1 (en) 2016-12-27 2019-12-31 Fireeye, Inc. Multi-vector malware detection and analysis
US10331889B2 (en) 2017-01-05 2019-06-25 Votiro Cybersec Ltd. Providing a fastlane for disarming malicious content in received input content
US10013557B1 (en) 2017-01-05 2018-07-03 Votiro Cybersec Ltd. System and method for disarming malicious code
US10331890B2 (en) 2017-03-20 2019-06-25 Votiro Cybersec Ltd. Disarming malware in protected content
US10904286B1 (en) 2017-03-24 2021-01-26 Fireeye, Inc. Detection of phishing attacks using similarity analysis
US10848397B1 (en) 2017-03-30 2020-11-24 Fireeye, Inc. System and method for enforcing compliance with subscription requirements for cyber-attack detection service
US10798112B2 (en) 2017-03-30 2020-10-06 Fireeye, Inc. Attribute-controlled malware detection
US10902119B1 (en) 2017-03-30 2021-01-26 Fireeye, Inc. Data extraction system for malware analysis
US10791138B1 (en) 2017-03-30 2020-09-29 Fireeye, Inc. Subscription-based malware detection
US10601848B1 (en) 2017-06-29 2020-03-24 Fireeye, Inc. Cyber-security system and method for weak indicator detection and correlation to generate strong indicators
US10855700B1 (en) 2017-06-29 2020-12-01 Fireeye, Inc. Post-intrusion detection of cyber-attacks during lateral movement within networks
US10503904B1 (en) 2017-06-29 2019-12-10 Fireeye, Inc. Ransomware detection and mitigation
US10893068B1 (en) 2017-06-30 2021-01-12 Fireeye, Inc. Ransomware file modification prevention technique
US10747872B1 (en) 2017-09-27 2020-08-18 Fireeye, Inc. System and method for preventing malware evasion
US10805346B2 (en) 2017-10-01 2020-10-13 Fireeye, Inc. Phishing attack detection
US11108809B2 (en) 2017-10-27 2021-08-31 Fireeye, Inc. System and method for analyzing binary code for malware classification using artificial neural network techniques
US11240275B1 (en) 2017-12-28 2022-02-01 Fireeye Security Holdings Us Llc Platform and method for performing cybersecurity analyses employing an intelligence hub with a modular architecture
US11005860B1 (en) 2017-12-28 2021-05-11 Fireeye, Inc. Method and system for efficient cybersecurity analysis of endpoint events
US11271955B2 (en) 2017-12-28 2022-03-08 Fireeye Security Holdings Us Llc Platform and method for retroactive reclassification employing a cybersecurity-based global data store
US10826931B1 (en) 2018-03-29 2020-11-03 Fireeye, Inc. System and method for predicting and mitigating cybersecurity system misconfigurations
US11558401B1 (en) 2018-03-30 2023-01-17 Fireeye Security Holdings Us Llc Multi-vector malware detection data sharing system for improved detection
US10956477B1 (en) 2018-03-30 2021-03-23 Fireeye, Inc. System and method for detecting malicious scripts through natural language processing modeling
US11003773B1 (en) 2018-03-30 2021-05-11 Fireeye, Inc. System and method for automatically generating malware detection rule recommendations
US11075930B1 (en) 2018-06-27 2021-07-27 Fireeye, Inc. System and method for detecting repetitive cybersecurity attacks constituting an email campaign
JP6671693B2 (ja) * 2018-06-27 2020-03-25 株式会社プロット 電子ファイルの無害化処理プログラム、電子ファイルの無害化処理方法および記録媒体
US11314859B1 (en) 2018-06-27 2022-04-26 FireEye Security Holdings, Inc. Cyber-security system and method for detecting escalation of privileges within an access token
US11228491B1 (en) 2018-06-28 2022-01-18 Fireeye Security Holdings Us Llc System and method for distributed cluster configuration monitoring and management
US11316900B1 (en) 2018-06-29 2022-04-26 FireEye Security Holdings Inc. System and method for automatically prioritizing rules for cyber-threat detection and mitigation
US11182473B1 (en) 2018-09-13 2021-11-23 Fireeye Security Holdings Us Llc System and method for mitigating cyberattacks against processor operability by a guest process
US11763004B1 (en) 2018-09-27 2023-09-19 Fireeye Security Holdings Us Llc System and method for bootkit detection
US11368475B1 (en) 2018-12-21 2022-06-21 Fireeye Security Holdings Us Llc System and method for scanning remote services to locate stored objects with malware
US11347851B2 (en) 2019-02-25 2022-05-31 Saudi Arabian Oil Company System and method for file artifact metadata collection and analysis
US10992703B2 (en) * 2019-03-04 2021-04-27 Malwarebytes Inc. Facet whitelisting in anomaly detection
US11258806B1 (en) 2019-06-24 2022-02-22 Mandiant, Inc. System and method for automatically associating cybersecurity intelligence to cyberthreat actors
US11556640B1 (en) 2019-06-27 2023-01-17 Mandiant, Inc. Systems and methods for automated cybersecurity analysis of extracted binary string sets
US11392700B1 (en) 2019-06-28 2022-07-19 Fireeye Security Holdings Us Llc System and method for supporting cross-platform data verification
US11886585B1 (en) 2019-09-27 2024-01-30 Musarubra Us Llc System and method for identifying and mitigating cyberattacks through malicious position-independent code execution
US11637862B1 (en) 2019-09-30 2023-04-25 Mandiant, Inc. System and method for surfacing cyber-security threats with a self-learning recommendation engine
TWI723664B (zh) * 2019-12-05 2021-04-01 中華電信股份有限公司 惡意圖像檔案淨化方法及系統
WO2022162379A1 (en) 2021-01-29 2022-08-04 Glasswall (Ip) Limited Machine learning methods and systems for determining file risk using content disarm and reconstruction analysis

Family Cites Families (85)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5050212A (en) 1990-06-20 1991-09-17 Apple Computer, Inc. Method and apparatus for verifying the integrity of a file stored separately from a computer
US5649095A (en) 1992-03-30 1997-07-15 Cozza; Paul D. Method and apparatus for detecting computer viruses through the use of a scan information cache
US5655130A (en) 1994-10-14 1997-08-05 Unisys Corporation Method and apparatus for document production using a common document database
US5745897A (en) 1994-11-21 1998-04-28 Bay Networks Group, Inc. Method and system for compiling management information base specifications
NL1000669C2 (nl) * 1995-06-26 1996-12-31 Nederland Ptt Werkwijze en inrichtingen voor het overdragen van data met controle op transmissiefouten.
US6493761B1 (en) 1995-12-20 2002-12-10 Nb Networks Systems and methods for data processing using a protocol parsing engine
US5832208A (en) 1996-09-05 1998-11-03 Cheyenne Software International Sales Corp. Anti-virus agent for use with databases and mail servers
US6144934A (en) 1996-09-18 2000-11-07 Secure Computing Corporation Binary filter using pattern recognition
US5951698A (en) * 1996-10-02 1999-09-14 Trend Micro, Incorporated System, apparatus and method for the detection and removal of viruses in macros
JPH10143403A (ja) * 1996-11-12 1998-05-29 Fujitsu Ltd 情報管理装置および情報管理プログラム記憶媒体
US6807632B1 (en) * 1999-01-21 2004-10-19 Emc Corporation Content addressable information encapsulation, representation, and transfer
JPH11224190A (ja) 1998-02-09 1999-08-17 Yaskawa Electric Corp コンピュータネットワーク網に接続した計算機の保護方法及びそのプログラムを記録した記録媒体
US6401210B1 (en) * 1998-09-23 2002-06-04 Intel Corporation Method of managing computer virus infected files
US6336124B1 (en) 1998-10-01 2002-01-01 Bcl Computers, Inc. Conversion data representing a document to other formats for manipulation and display
US6519702B1 (en) 1999-01-22 2003-02-11 Sun Microsystems, Inc. Method and apparatus for limiting security attacks via data copied into computer memory
US7391865B2 (en) 1999-09-20 2008-06-24 Security First Corporation Secure data parser method and system
WO2001026004A2 (en) 1999-10-04 2001-04-12 Kana Communications, Inc. Method and apparatus for interprocess messaging and its use for automatically generating transactional email
US6697950B1 (en) 1999-12-22 2004-02-24 Networks Associates Technology, Inc. Method and apparatus for detecting a macro computer virus using static analysis
EP1122932B1 (en) 2000-02-04 2006-08-09 Aladdin Knowledge Systems Ltd. Protection of computer networks against malicious content
US7225181B2 (en) 2000-02-04 2007-05-29 Fujitsu Limited Document searching apparatus, method thereof, and record medium thereof
US7093135B1 (en) 2000-05-11 2006-08-15 Cybersoft, Inc. Software virus detection methods and apparatus
GB2357939B (en) * 2000-07-05 2002-05-15 Gfi Fax & Voice Ltd Electronic mail message anti-virus system and method
GB0016835D0 (en) * 2000-07-07 2000-08-30 Messagelabs Limited Method of, and system for, processing email
US7636945B2 (en) 2000-07-14 2009-12-22 Computer Associates Think, Inc. Detection of polymorphic script language viruses by data driven lexical analysis
US6895011B1 (en) * 2000-08-15 2005-05-17 Lucent Technologies Inc. Method and apparatus for re-sequencing data packets
JP4415232B2 (ja) 2000-10-12 2010-02-17 ソニー株式会社 情報処理装置および方法、並びにプログラム記録媒体
US7322047B2 (en) 2000-11-13 2008-01-22 Digital Doors, Inc. Data security system and method associated with data mining
US9311499B2 (en) 2000-11-13 2016-04-12 Ron M. Redlich Data security system and with territorial, geographic and triggering event protocol
JP2002259187A (ja) * 2001-03-01 2002-09-13 Nec Corp 異常ファイル検出および除去を目的とした着脱可能ファイル監視システム
US7058858B2 (en) 2001-04-23 2006-06-06 Hewlett-Packard Development Company, L.P. Systems and methods for providing automated diagnostic services for a cluster computer system
US6895534B2 (en) 2001-04-23 2005-05-17 Hewlett-Packard Development Company, L.P. Systems and methods for providing automated diagnostic services for a cluster computer system
US8095597B2 (en) * 2001-05-01 2012-01-10 Aol Inc. Method and system of automating data capture from electronic correspondence
US7502829B2 (en) 2001-06-21 2009-03-10 Cybersoft, Inc. Apparatus, methods and articles of manufacture for intercepting, examining and controlling code, data and files and their transfer
CN1324898C (zh) 2001-07-12 2007-07-04 捷讯研究有限公司 用于为移动通信设备提供远程数据访问的系统和方法
US7526572B2 (en) 2001-07-12 2009-04-28 Research In Motion Limited System and method for providing remote data access for a mobile communication device
US7487544B2 (en) 2001-07-30 2009-02-03 The Trustees Of Columbia University In The City Of New York System and methods for detection of new malicious executables
US6947947B2 (en) * 2001-08-17 2005-09-20 Universal Business Matrix Llc Method for adding metadata to data
US20040008368A1 (en) 2001-09-07 2004-01-15 Plunkett Michael K Mailing online operation flow
GB2381170A (en) * 2001-10-19 2003-04-23 Ipwireless Inc Method and arrangement for asynchronous processing of CCTrCH data
US20030079142A1 (en) 2001-10-22 2003-04-24 Aladdin Knowledge Systems Ltd. Classifying digital object security category
US20030079158A1 (en) 2001-10-23 2003-04-24 Tower James Brian Secured digital systems and a method and software for operating the same
CN1352426A (zh) * 2001-11-26 2002-06-05 北京实达铭泰计算机应用技术开发有限公司 一种计算机病毒防御方法
US7363506B2 (en) * 2002-01-30 2008-04-22 Cybersoft, Inc. Software virus detection methods, apparatus and articles of manufacture
US6922827B2 (en) 2002-02-22 2005-07-26 Bea Systems, Inc. Iterative software development environment with prioritized build rules
US20030163732A1 (en) 2002-02-28 2003-08-28 Parry Travis J. Device-specific firewall
US7171691B2 (en) 2002-04-10 2007-01-30 International Business Machines Corporation Content sanitation via transcoding
US20030229810A1 (en) 2002-06-05 2003-12-11 Bango Joseph J. Optical antivirus firewall for internet, LAN, and WAN computer applications
US7240279B1 (en) 2002-06-19 2007-07-03 Microsoft Corporation XML patterns language
DE10235819B4 (de) 2002-08-05 2005-12-01 Utz Schneider Verfahren und Anordnung zum Blockieren von an einen Benutzer gesendeten Daten und/oder Informationen und/oder Signalen elektronischer Medien sowie deren Verwendung
GB2391965B (en) 2002-08-14 2005-11-30 Messagelabs Ltd Method of, and system for, heuristically detecting viruses in executable code
US8335779B2 (en) 2002-08-16 2012-12-18 Gamroe Applications, Llc Method and apparatus for gathering, categorizing and parameterizing data
TWI231899B (en) * 2002-10-29 2005-05-01 Trek 2000 Int Ltd System and method for authentication
US7020804B2 (en) * 2002-12-03 2006-03-28 Lockheed Martin Corporation Test data generation system for evaluating data cleansing applications
US7644361B2 (en) 2002-12-23 2010-01-05 Canon Kabushiki Kaisha Method of using recommendations to visually create new views of data across heterogeneous sources
US20050071477A1 (en) 2003-03-27 2005-03-31 Microsoft Corporation Providing information links via a network
US7269733B1 (en) 2003-04-10 2007-09-11 Cisco Technology, Inc. Reliable embedded file content addressing
GB2400933B (en) 2003-04-25 2006-11-22 Messagelabs Ltd A method of, and system for, heuristically detecting viruses in executable code by detecting files which have been maliciously altered
US20040230894A1 (en) 2003-05-16 2004-11-18 Dethe Elza Method and system for enabling collaborative authoring of hierarchical documents with versioning
US20040240472A1 (en) * 2003-05-28 2004-12-02 Alok Kumar Method and system for maintenance of packet order using caching
WO2005008457A1 (en) * 2003-07-08 2005-01-27 Seventh Knight Automatic regeneration of computer files description
US20050081057A1 (en) 2003-10-10 2005-04-14 Oded Cohen Method and system for preventing exploiting an email message
US8239687B2 (en) 2003-11-12 2012-08-07 The Trustees Of Columbia University In The City Of New York Apparatus method and medium for tracing the origin of network transmissions using n-gram distribution of data
US7467409B2 (en) 2003-12-12 2008-12-16 Microsoft Corporation Aggregating trust services for file transfer clients
US7475427B2 (en) 2003-12-12 2009-01-06 International Business Machines Corporation Apparatus, methods and computer programs for identifying or managing vulnerabilities within a data processing network
US20050149720A1 (en) 2004-01-07 2005-07-07 Shimon Gruper Method for speeding up the pass time of an executable through a checkpoint
US7707634B2 (en) * 2004-01-30 2010-04-27 Microsoft Corporation System and method for detecting malware in executable scripts according to its functionality
US7721334B2 (en) 2004-01-30 2010-05-18 Microsoft Corporation Detection of code-free files
US7512658B2 (en) * 2004-02-26 2009-03-31 International Business Machines Corporation Providing a portion of an electronic mail message based upon a transfer rate, a message size, and a file format
US7607172B2 (en) 2004-03-02 2009-10-20 International Business Machines Corporation Method of protecting a computing system from harmful active content in documents
US8186026B2 (en) * 2004-03-03 2012-05-29 Rockstar Bidco, LP Technique for maintaining secure network connections
US7451394B2 (en) 2004-04-30 2008-11-11 Convergys Cmg Utah System and method for document and data validation
US7444521B2 (en) * 2004-07-16 2008-10-28 Red Hat, Inc. System and method for detecting computer virus
GB0418066D0 (en) 2004-08-13 2004-09-15 Ibm A prioritization system
US20060044605A1 (en) * 2004-08-24 2006-03-02 Schneider Charles R Systems, methods and computer program products for labeled forms processing
EP1828902A4 (en) 2004-10-26 2009-07-01 Rudra Technologies Pte Ltd SYSTEM AND METHOD FOR IDENTIFYING AND REMOVING MALWARE ON A COMPUTER SYSTEM
US10043008B2 (en) * 2004-10-29 2018-08-07 Microsoft Technology Licensing, Llc Efficient white listing of user-modifiable files
US7636856B2 (en) 2004-12-06 2009-12-22 Microsoft Corporation Proactive computer malware protection through dynamic translation
US8037534B2 (en) 2005-02-28 2011-10-11 Smith Joseph B Strategies for ensuring that executable content conforms to predetermined patterns of behavior (“inverse virus checking”)
US9507919B2 (en) * 2005-04-22 2016-11-29 Microsoft Technology Licensing, Llc Rights management system for streamed multimedia content
CA2606998C (en) * 2005-05-05 2014-09-09 Ironport Systems, Inc. Detecting unwanted electronic mail messages based on probabilistic analysis of referenced resources
US20060272006A1 (en) 2005-05-27 2006-11-30 Shaohong Wei Systems and methods for processing electronic data
GB2427048A (en) 2005-06-09 2006-12-13 Avecho Group Ltd Detection of unwanted code or data in electronic mail
US20070067397A1 (en) * 2005-09-19 2007-03-22 Available For Licensing Systems and methods for sharing documents
US7756834B2 (en) 2005-11-03 2010-07-13 I365 Inc. Malware and spyware attack recovery system and method
US7966654B2 (en) * 2005-11-22 2011-06-21 Fortinet, Inc. Computerized system and method for policy-based content filtering

Also Published As

Publication number Publication date
AU2007330580B2 (en) 2013-03-21
JP5628455B2 (ja) 2014-11-19
TWI488065B (zh) 2015-06-11
US20130326624A1 (en) 2013-12-05
US20150269382A1 (en) 2015-09-24
JP2014194822A (ja) 2014-10-09
MY149569A (en) 2013-09-13
CN101611412B (zh) 2014-02-12
CA2671804C (en) 2014-08-26
GB2444514A (en) 2008-06-11
US8533824B2 (en) 2013-09-10
JP2010511951A (ja) 2010-04-15
CN103530558A (zh) 2014-01-22
JP5069308B2 (ja) 2012-11-07
GB0624224D0 (en) 2007-01-10
CA2671804A1 (en) 2008-06-12
CN101611412A (zh) 2009-12-23
JP2012230704A (ja) 2012-11-22
WO2008068450A3 (en) 2008-08-07
MY170629A (en) 2019-08-21
US9038174B2 (en) 2015-05-19
WO2008068450A2 (en) 2008-06-12
AU2007330580A1 (en) 2008-06-12
US20100154063A1 (en) 2010-06-17
TWI534650B (zh) 2016-05-21
TW200825836A (en) 2008-06-16
EP2089829A2 (en) 2009-08-19

Similar Documents

Publication Publication Date Title
TWI534650B (zh) 電子檔案處理方法以及相關之處理裝置
US11218495B2 (en) Resisting the spread of unwanted code and data
AU2012258355B2 (en) Resisting the Spread of Unwanted Code and Data
AU2013204036A1 (en) Improvements in Resisting the Spread of Unwanted Code and Data