СПОСОБ И СИСТЕМА АНАЛИЗА РАБОТЫ ПРАВИЛ ОБНАРУЖЕНИЯ ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ

1. Способ признания надежности правила обнаружения файлов, в котором:
а) выделяют из множества файлов, по меньшей мере, два подмножества файлов: подмножество А и подмножество Б на основании критерия;
б) создают правило обнаружения файлов на основании, по меньшей мере, одного файла принадлежащего подмножеству А;
в) проверяют файлы из множества файлов, не входящие в подмножество А и подмножество Б, на срабатывание правила обнаружения;
г) отбирают файлы из множества, на которых сработало правило обнаружения во время проверки;
д) сравнивают отобранные файлы, по меньшей мере, с одним файлом принадлежащим подмножеству А и с файлами, принадлежащими подмножеству Б;
е) признают правило обнаружения надежным, когда ни один из отобранных файлов в результате сравнения по п. д) оказался не похож на файлы из подмножества Б, и отобранные файлы похожи на, по меньшей мере, один файл из подмножества А.
2. Способ по п.1, в котором выделяют на основании критерия опасности файлов из множество файлов два подмножества файлов: подмножество А - подмножество вредоносных файлов и подмножество Б - подмножество безопасных файлов
3. Способ по п.1, в котором для сравнения файлов получают характеристики файлов.
4. Способ по п.3, в котором файлы по результатам сравнения признают похожими, если степень сходства между файлами превышает установленный порог.
5. Способ по п.4, в котором степень сходства между файлами определяют на основании степени сходства характеристик файлов.
6. Система признания надежности правила обнаружения содержит:
а) средство кластеризации, предназначенное для:
- выделения из множества файлов, по меньшей мере, два подмножества файлов: подмножество А и подмножество Б - на основании критерия;
- отбора файлов из множества, на которых сработало правило обнаружения во время проверки;
б) средство создания правила, связанное со средством кластеризации и файловым хранилищем и предназначенное для создания правила обнаружения, по меньшей мере, для одного файла принадлежащего подмножеству А;
в) средство анализа, связанное с файловым хранилищем и средством создания правил, предназначенное для:
- сравнения отобранных файлов, по меньшей мере, с одним файлом принадлежащим подмножеству А и с файлами, принадлежащими подмножеству Б;
- признания правила обнаружения надежным, когда ни один из отобранных файлов в результате вышеуказанного сравнения оказался непохож на файлы из подмножества Б и отобранные файлы похожи на, по меньшей мере, один файл из подмножества А.
7. Система по п.6, в которой средство кластеризации дополнительно предназначено для получения характеристик файлов.
8. Система по п.6, в которой средство анализа дополнительно определяет степень сходства характеристик файлов.
9. Система по п.8, в которой средство анализа определяет степень сходства файлов на основании степени сходства характеристик.
10. Система по п.9, в которой средство анализа признает файлы похожими, если степень сходства файлов превышает установленный порог.