СИСТЕМА И СПОСОБ КОМПЛЕКСНОГО ОБНАРУЖЕНИЯ НАПРАВЛЕННЫХ АТАК НА РАСПРЕДЕЛЕННУЮ КОРПОРАТИВНУЮ ИНФРАСТРУКТУРУ

1. Система комплексного обнаружения вредоносных объектов, включающая:
средство обнаружения подозрительных объектов, предназначенное для получения информации о по меньшей мере одном объекте на вычислительном устройстве, содержащей в том числе контрольную сумму объекта; анализа упомянутой информации об объекте, при этом анализ производится на основании набора эвристических правил, используемых средством обнаружения подозрительных объектов, и позволяет определить, является ли анализируемый объект подозрительным или нет; для передачи собираемой информации и объектов на анализ средству анализа объектов; для получения со стороны средства анализа объектов запроса на передачу потенциально вредоносного объекта, а также для передачи потенциально вредоносного объекта на анализ средству анализа объектов, если передача была разрешена средством соблюдения политик безопасности; для сбора информации об объекте, если он был признан потенциально вредоносным, при этом упомянутая информация включает по меньшей мере журнал вызовов API-функций, время появления объекта на вычислительном устройстве, и для передачи собранной информацию о подозрительном объекте средству анализа объектов;
базу описаний подозрительных объектов, связанную со средством обнаружения подозрительных объектов, которая содержит используемые указанным средством эвристические правила и правила для сбора информации об объектах;
средство анализа объектов, связанное со средством обнаружения подозрительных объектов, предназначенное для анализа информации об объекте, полученной от средства обнаружения подозрительных объектов, при этом в результате анализа, производимого на основании набора эвристических правил, используемых средством анализа объектов, определяют, является ли объект потенциально вредоносным или нет, а также для запроса на передачу потенциально вредоносного объекта; для анализа потенциально вредоносных объектов, получаемых со стороны средства обнаружения подозрительных объектов, при этом в рамках упомянутого анализа выясняют, превосходит ли степень сходства потенциально вредоносного объекта с каким-либо объектом из базы данных вредоносных объектов заранее установленный порог, и если степень сходства потенциально вредоносного объекта с каким-либо объектом из базы данных вредоносных объектов превосходит заранее установленный порог, то признают упомянутый объект вредоносным;
при этом признание подозрительного объекта потенциально вредоносным в соответствии с эвристическими правилами осуществляется путем сопоставления информации об анализируемом объекте и информации об объектах, хранящейся в базе данных безопасных объектов, базе данных вредоносных объектов;
при этом набор эвристических правил, которые используются для упомянутого анализа, отличается от набора эвристических правил, используемых средством обнаружения подозрительных объектов;
базу данных безопасных объектов;
базу данных вредоносных объектов;
отличающаяся тем, что дополнительно содержит взаимосвязанные между собой средство прогнозирования возможных вредоносных воздействий и базу данных прогнозируемых вредоносных воздействий, при этом средство прогнозирования возможных вредоносных воздействий связано с базой данных безопасных объектов и базой данных вредоносных объектов, а база данных прогнозируемых вредоносных воздействий связана со средством обнаружения подозрительных объектов и средством прогнозирования возможных вредоносных воздействий, средством анализа объектов.
2. Способ комплексного обнаружения вредоносных объектов, заключающийся в том, что:
получают информацию о по меньшей мере одном объекте при помощи средства обнаружения подозрительных объектов;
анализируют упомянутую информацию об объекте при помощи средства обнаружения подозрительных объектов, при этом на основании набора эвристических правил, используемых средством обнаружения подозрительных объектов, определяют, является ли анализируемый объект подозрительным или нет;
собирают при помощи средства обнаружения подозрительных объектов информацию об объекте, если он был признан подозрительным на этапе ранее, при этом упомянутая информация включает по меньшей мере журнал вызовов API-функций, время появления объекта на вычислительном устройстве, и передают собранную информацию о подозрительном объекте средству анализа объектов;
производят анализ полученной от средства обнаружения подозрительных объектов информации об объекте средством анализа объектов, при этом на основании набора эвристических правил, используемых средством анализа объектов, определяют, является ли подозрительный объект потенциально вредоносным или нет, и посылают запрос на передачу потенциально вредоносного объекта;
при этом признание подозрительного объекта потенциально вредоносным в соответствии с эвристическими правилами осуществляется путем сопоставления информации об анализируемом объекте и информации об объектах, хранящейся в базе данных вредоносных объектов, базе данных безопасных объектов;
при этом набор эвристических правил, которые используются для упомянутого анализа, отличается от набора эвристических правил, используемых средством обнаружения подозрительных объектов;
получают запрос со стороны средства анализа объектов на передачу потенциально вредоносного объекта при помощи средства обнаружения подозрительных объектов;
определяют при помощи средства соблюдения политик безопасности возможность передачи потенциально вредоносного объекта средству анализа объектов; при этом, если передача потенциально вредоносного объекта запрещена в соответствии с используемой средством соблюдения политик безопасности политики безопасности, средство соблюдения политик безопасности запрещает передачу потенциально вредоносного объекта средству анализа объектов, в противном случае передача разрешена;
передают при помощи средства обнаружения подозрительных объектов потенциально вредоносный объект для анализа средству анализа объектов, если передача была разрешена средством соблюдения политик безопасности на этапе ранее;
анализируют полученный потенциально вредоносный объект при помощи средства анализа объектов, при этом выясняют, превосходит ли степень сходства потенциально вредоносного объекта с каким-либо объектом из базы данных вредоносных объектов заранее установленный порог, и если степень сходства потенциально вредоносного объекта с каким-либо объектом из базы данных вредоносных объектов превосходит заранее установленный порог, то признают упомянутый объект вредоносным;
отличающийся тем, что в случае отсутствия схожих объектов путем сопоставления информации об анализируемом объекте и информации об объектах, хранящихся в базе данных вредоносных объектов и базе данных безопасных объектов при помощи средства обнаружения подозрительных объектов или средства анализа объектов, обращаются в базу данных прогнозируемых вредоносных воздействий, дополнительно, каждый раз после обновления базы данных вредоносных объектов или базы данных безопасных объектов анализируют при помощи средства прогнозирования возможных вредоносных воздействий, информацию об объектах и формируют базу данных прогнозируемых вредоносных воздействий, в которой хранят результаты, полученные в ходе анализа базы данных безопасных объектов и базы данных вредоносных объектов.