СИСТЕМА И СПОСОБ ОБНАРУЖЕНИЯ НАПРАВЛЕННЫХ АТАК НА КОРПОРАТИВНУЮ ИНФРАСТРУКТУРУ

1. Способ обнаружения вредоносных объектов на вычислительном устройстве, в котором:
а) получают информацию о, по меньшей мере, одном объекте, в том числе контрольная сумма объекта, при помощи средства обнаружения подозрительных объектов;
б) анализируют упомянутую информацию об объекте при помощи средства обнаружения подозрительных объектов, признают анализируемый объект подозрительным в соответствии с набором эвристических правил, используемых средством обнаружения подозрительных объектов, и передают информацию об упомянутом объекте на анализ средству анализа объектов;
в) производят анализ полученной информации об объекте средством анализа объектов, признают подозрительный объект потенциально вредоносным в соответствии с набором эвристических правил, используемых средством анализа объектов;
г) передают потенциально вредоносный объект для анализа, осуществляемого средством анализа объектов, при помощи средства обнаружения подозрительных объектов на основании результатов анализа информации об объекте, произведенного средством анализа объектов;
д) анализируют полученный потенциально вредоносный объект при помощи средства анализа объектов и признают упомянутый объект вредоносным, если он похож на объект из базы данных вредоносных объектов.
2. Способ по п.1, в котором при помощи средства анализа объектов, на основании проведенного указанным средством анализа объекта и признания этого объекта вредоносным, формируют изменения эвристических правил, используемых средством обнаружения подозрительных объектов, и правила для устранения последствий присутствия указанного вредоносного объекта.
3. Способ по п.1, в котором принимают решение о возможности передачи информации об объекте и потенциально вредоносного объекта для анализа средством анализа объектов при помощи средства соблюдения политик безопасности.
4. Способ по п.1, в котором набор используемых средством обнаружения подозрительных объектов эвристических правил для обнаружения подозрительных объектов определяется при помощи средства соблюдения политик безопасности.
5. Способ по п.1, в котором похожими объектами считают объекты, степень сходства между которыми превышает заранее установленный порог.
6. Способ по п.5, в котором степень сходства между объектами определяют на основании степени сходства данных, хранящихся в соответствующих объектам файлах.
7. Способ по п.5, в котором степень сходства между объектами определяют на основании степени сходства информации об объектах.
8. Способ по п.5, в котором степень сходства между объектами определяют на основании степени сходства функционала соответствующих объектам файлов.
9. Способ по п.8, в котором в качестве функционала файла используют журнал вызовов API-функций операционной системы при эмуляции исполнения файла.
10. Способ по п.8, в котором в качестве функционала файла используют журнал вызова API-функций операционной системы при запуске объекта в виртуальной среде.
11. Способ по п.10, в котором для запуска объекта в виртуальной среде используется виртуальная машина с набором программного обеспечения и системных настроек, аналогичным набору, используемому на вычислительном устройстве из корпоративной инфраструктуры.
12. Способ по п.5, в котором степень сходства определяют в соответствии с одной из метрик: Хэмминга, Левенштейна, Жаккара, Дайса.
13. Система обнаружения вредоносных объектов на вычислительном устройстве, которая содержит:
а) средство обнаружения подозрительных объектов, предназначенное для обнаружения подозрительных объектов при помощи эвристических правил, а также сбора информации об объектах, в том числе контрольных сумм объектов, и передачи собираемой информации и объектов на анализ;
б) базу описаний подозрительных объектов, связанную со средством обнаружения подозрительных объектов, которая содержит используемые указанным средством эвристические правила и правила для сбора информации об объектах;
в) средство анализа объектов, связанное со средством обнаружения подозрительных объектов, предназначенное для анализа информации об объектах, признания в соответствии с анализом объектов потенциально вредоносными, анализа потенциально вредоносных объектов, получаемых со стороны средства обнаружения подозрительных объектов, и признании указанных объектов вредоносными, если они похожи на объекты, хранящиеся в базе данных вредоносных;
г) базу данных безопасных объектах, которая используется для хранения безопасных объектов и информации о безопасных объектах;
д) базу данных вредоносных объектах, которая используется для хранения вредоносных объектов и информации о вредоносных объектах;
е) средство обновления, связанное со средством анализа объектов и предназначенное для изменения набора эвристических правил, используемых средством обнаружения подозрительных объектов, в соответствии с изменениями, сформированными средством анализа объектов.
14. Система по п.13, в которой средство анализа объектов в соответствии с анализом объекта и признанием его вредоносным дополнительно формирует обновления эвристических правил, используемых средством обнаружения подозрительных объектов, и правила для устранения последствий присутствия вредоносного объекта.
15. Система по п.13, в которой набор используемых средством обнаружения подозрительных объектов эвристических правил для обнаружения подозрительных объектов определяется при помощи средства соблюдения политик безопасности.
16. Система по п.13, в которой похожими объектами считают объекты, степень сходства между которыми превышает заранее установленный порог.
17. Система по п.16, в которой степень сходства между объектами определяют на основании степени сходства данных, хранящихся в соответствующих объектам файлах.
18. Система по п.16, в которой степень сходства между объектами определяют на основании степени сходства информации об объектах.
19. Система по п.16, в которой степень сходства между объектами определяют на основании степени сходства функционала соответствующих объектам файлов.
20. Система по п.19, в которой в качестве функционала файла используют журнал вызовов API-функций операционной системы при эмуляции исполнения файла.
21. Система по п.19, в которой в качестве функционала файла используют журнал вызова API-функций операционной системы при запуске объекта в виртуальной среде.
22. Система по п.21, в которой для запуска объекта в виртуальной среде используется виртуальная машина с набором программного обеспечения и системных настроек, аналогичным набору, используемому на вычислительном устройстве из корпоративной инфраструктуры.
23. Система по п.16, в которой степень сходства определяют в соответствии с одной из метрик: Хэмминга, Левенштейна, Жаккара, Дайса.
24. Система по п.13, в которой дополнительно используется средство соблюдения политик безопасности, связанное со средством обнаружения подозрительных объектов и предназначенное для соблюдения средством обнаружения подозрительных объектов политик безопасности.