ИСПОЛЬЗОВАНИЕ РЕШЕНИЙ ПОЛЬЗОВАТЕЛЕЙ ДЛЯ ОБНАРУЖЕНИЯ НЕИЗВЕСТНЫХ КОМПЬЮТЕРНЫХ УГРОЗ

1. Способ определения компьютерных угроз, содержащий:
а) выявляют связанное с компьютерной безопасностью событие на компьютере пользователя и связанный с этим событием объект;
б) отслеживают действие пользователя на компьютере пользователя, которое связано с выявленным событием;
в) отправляют данные о связанном с выявленным событием объекте и о связанном с выявленным событием действии пользователя на сторону облачного сервиса;
г) определяют связанный с выявленным событием объект как компьютерную угрозу в зависимости от связанного с выявленным событием действия пользователя и роли пользователя.
2. Способ по п.1, в котором компьютерными угрозами могут быть:
а) вредоносные программы и нежелательные программы;
б) ссылки, которые ведут на веб-страницы с вредоносными и нежелательными программами;
в) уязвимости.
3. Способ по п.1, в котором событием, связанным с компьютерной безопасностью, может быть, по крайней мере, одно из:
а) запуск неизвестного файла;
б) открытие неизвестной ссылки.
4. Способ по п.1, в котором выделенным объектом может быть, по крайней мере, один из:
а) файл;
б) ссылка.
5. Способ по п.1, в котором действием пользователя может быть, по крайней мере, одно из:
а) блокировка или разрешение запуска файла;
б) блокировка или разрешения открытия неизвестной ссылки в браузере.
6. Способ по п.1, в котором роль пользователя определяется на основании, по крайней мере, одного из следующих параметров:
а) репутации, которая складывается из активностей пользователя;
б) аномалий, связанных с активностями пользователя;
в) информации об используемом антивирусном приложении;
а) информации о компьютере пользователя.
7. Способ по п.6, в котором активностью пользователя является по крайней мере одно из:
а) количество обнаруженных угроз;
б) количество уникальных обнаруженных угроз;
в) активность работы с интерфейсом;
г) активность заражения компьютера.
8. Способ по п.7, в котором активности пользователя динамически изменяются со временем.
9. Способ по п.1, в котором роль пользователя имеет заданный вес.
10. Способ по п.9, в котором вес роли пользователя учитывается для определения объекта как компьютерной угрозы в соответствии с действием пользователя.
11. Способ по п.10, в котором для определения объекта как компьютерной угрозы могут учитываться действия, по меньшей мере, двух различных пользователей.
12. Способ по п.1, в котором для определения объекта как компьютерной угрозы в соответствии с действием пользователя используется вес решения пользователя по объекту.
13. Способ по одному из пп.9 и 12, в котором вес решения пользователя по объекту изменяется в соответствии с весом роли пользователя.
14. Способ по п.13, в котором для определения объекта как компьютерной угрозы вес решения пользователя по объекту должен превысить заданный порог.
15. Способ по п.9, в котором вес роли пользователя может изменяться по мере обработки статистики по действиям всех пользователей с данной ролью.
16. Способ по п.1, в котором дополнительно изменяют параметры роли пользователя после подтверждения события как связанного или не связанного с компьютерной угрозой.
17. Система определения компьютерных угроз, содержащая:
а) средство регистрации событий на компьютере пользователе, связанное со средством отправки нотификаций, при этом средство регистрации событий предназначено для:
(i) выявления связанного с компьютерной безопасностью события на компьютере пользователя,
(ii) отслеживания действия пользователя на компьютере пользователя, которое связано с выявленном событием,
(iii) выделения объекта на компьютере пользователя, который породил выявленное событие;
б) средство отправки нотификаций, связанное со средством обсчета действий пользователей, при этом средство отправки нотификаций предназначено для отправки данных об объекте на компьютере пользователя, который породил выявленное событие, а также данных о действии пользователя на компьютере пользователя;
в) средство обсчета действий пользователей, предназначенное для определения объекта на компьютере пользователя, который породил выявленное событие, как компьютерную угрозу в соответствии с действием пользователя и ролью пользователя.
18. Система по п.17, в которой средство обсчета действий пользователей также связано с базой данных правил репутации, в которой хранятся правила для обсчета действий пользователя по определенным активностям.
19. Система по п.17, в которой средство обсчета действий пользователей также связано с базой данных репутации пользователей, в которой хранятся данные об обнаруженных объектах на компьютере пользователя, которые породили выявленные события, а также данные о действиях пользователя.
20. Система по п.17, в которой также присутствуют:
а) средство верификации действий пользователей, связанное с средством обсчета действий пользователей, базой данных репутации пользователей, базой данных правил верификации, при этом средство верификации действий пользователей проверяет достоверность данных об объекте на компьютере пользователя, который породил выявленное событие, а также данных о действии пользователя на компьютере пользователя;
б) база данных правил верификации, связанная со средством верификации действий пользователей, при этом средство верификации действий пользователей предназначено для хранения правил проверки достоверности получаемых данных от пользователей.
21. Система по п.17, в которой также используется средство отслеживания действий пользователя, которое связано со средством регистрации событий, при этом средство отслеживания действий пользователя предназначено для определения конкретного пользователя, работающего за компьютером.