СИСТЕМА И СПОСОБ ДЛЯ СНИЖЕНИЯ НАГРУЗКИ НА ОПЕРАЦИОННУЮ СИСТЕМУ ПРИ РАБОТЕ АНТИВИРУСНОГО ПРИЛОЖЕНИЯ

1. Способ определения требующих анализа событий при антивирусной проверке на основании текущего статуса доверенности процесса, который включает в себя этапы, на которых:
а) отслеживают выполнение процесса в операционной системе;
б) определяют текущий статус процесса;
в) в зависимости от текущего статуса процесса устанавливают, по крайней мере, один тип событий, события которого необходимо выявлять в потоке всех событий,
при этом устанавливаемыми типами событий являются, по крайней мере, обязательные или критические события, где:
- обязательным событием является событие, при выявлении которого необходимо произвести оценку статуса процесса с целью возможного изменения текущего статуса процесса;
- критическим событием является событие, при выявлении которого необходимо произвести оценку статуса процесса на основании проведения антивирусной проверки запущенного процесса или файла, из которого был запущен указанный процесс;
г) проводят анализ каждого выявленного события, тип которого соответствует установленному типу событий на этапе в), с помощью критериев оценки;
д) изменяют текущий статус процесса согласно проведенному анализу;
е) определяют тип событий, события которого необходимо выявлять в потоке всех событий при антивирусной проверке, на основании измененного текущего статуса процесса.
2. Способ по п.1, в котором статус процесса может являться доверенным или недоверенным, где:
если статус является доверенным, то устанавливают только обязательный тип событий для последующего выявления в потоке всех событий,
если статус является недоверенным, то устанавливают обязательный и критический типы событий для последующего выявления в потоке всех событий.
3. Способ по п.1, в котором первоначальный статус процесса определяется на основании статуса доверенности файла, из которого был запущен процесс.
4. Способ по п.1, где обязательным событием является, по крайней мере, одно из событий:
- запуск файла;
- закрытие файла;
- открытие сетевого соединения;
- чтение файла.
5. Способ по п.1, где критическим событием является, по крайней мере, одно из событий:
- создание нового файла, нового процесса или нового потока;
- запись в файл;
- внедрение в адресное пространство другого процесса;
- изменение настроек в операционной системе, в частности, настроек безопасности;
- доступ к ключам реестра, отвечающим за автозагрузку.
6. Способ по п.1, где критерием оценки, по крайней мере, является одно из событий:
- открытие файла с текущим статусом недоверенный;
- запуск нового потока в процессе;
- создание процессом еще одного процесса;
- запись в адресное пространство другого процесса;
- загрузка процессом библиотеки из альтернативного потока NTFS;
- установление сетевого соединения;
- модификация содержимого файла, если модифицирующий процесс имеет статус недоверенный.
7. Система определения требующих анализа событий при антивирусной проверки на основании текущего статуса доверенности процесса, которая содержит:
а) базу данных обязательных событий, предназначенную для хранения списка обязательных событий и предоставления указанного списка средству мониторинга процессов;
б) базу данных критических событий, предназначенную для хранения списка критических событий и предоставления указанного списка средству мониторинга процессов;
в) средство мониторинга процессов, предназначенное для:
- отслеживания выполнения процесса в операционной системе;
- определения текущего статуса процесса;
- определения, по крайней мере, одного типа событий, события которого необходимо выявлять в потоке всех событий,
при этом определенным типом событий являются, по крайней мере, обязательные или критические события, где:
- обязательным событием является событие, при выявлении которого необходимо произвести оценку статуса процесса с целью возможного изменения текущего статуса процесса;
- критическим событием является событие, при выявлении которого необходимо произвести оценку статуса процесса на основании проведения антивирусной проверки запущенного процесса и файла, из которого был запущен указанный процесс;
- передачи информации о выявленном событие, тип которого соответствует определенному типу событий, и текущем статусе процесса средству обработки событий с последующим получением решения об изменении текущего статуса процесса;
- изменения текущего статуса процесса в соответствие с полученным решением от средства обработки событий об изменении текущего статуса процесса с последующим определением типа событий, события которого необходимо выявлять в потоке всех событий при антивирусной проверке;
г) средство обработки событий, предназначенное для:
- проведения анализа каждого выявленного события, информация о котором предоставлена средством мониторинга процессов, согласно текущему статусу процесса с помощью критериев оценки;
- вынесения решения о необходимости изменения текущего статуса процесса;
- передачи указанного решения средству мониторинга процессов;
д) базу данных критериев оценки, предназначенную для хранения информации о критериях оценки и передачи указанной информации средству обработки событий.
8. Система по п.7, которая содержит средство антивирусной защиты, предназначенное для проведения антивирусной проверки процесса и файла, из которого был запущен указанный процесс.
9. Система по п.7, в которой статус процесса может являться доверенным или недоверенным, где:
если статус является доверенным, то устанавливают только обязательный тип событий для последующего выявления в потоке всех событий,
если статус является недоверенным, то устанавливают обязательный и критический типы событий для последующего выявления в потоке всех событий.
10. Система по п.7, которая содержит базу данных доверенных объектов, предназначенную для хранения информации о доверенных объектах и предоставления указанной информации средству мониторинга процессов.
11. Система по п.10, в которой первоначальный статус запущенного процесса определяется на основании статуса доверенности файла, из которого был запущен процесс.
12. Система по п.7, в которой обязательным событием, хранящимся в базе данных обязательных событий, является, по крайней мере, одно из событий:
- запуск файла;
- закрытие файла;
- установление сетевого соединения;
- обращение к какому-либо файлу.
13. Система по п.7, в которой критическим событием, хранящимся в базе данных критических событий, является, по крайней мере, одно из событий:
- создание нового файла, нового процесса или нового потока;
- запись в файл;
- внедрение в адресное пространство другого процесса;
- изменение настроек в операционной системе, в частности, настроек безопасности;
- доступ к ключам реестра, отвечающим за автозагрузку.
14. Система по п.7, в которой критерием оценки, по крайней мере, является одно из событий:
- открытие файла с текущим статусом недоверенный;
- запуск нового потока в процессе;
- создание процессом еще одного процесса;
- запись в адресное пространство другого процесса;
- загрузка процессом библиотеки из альтернативного потока NTFS;
- запуск сетевого соединения;
- модификация содержимого файла, если модифицирующий процесс имеет статус недоверенный.
15. Система по п.7, в которой оценка события, указывающего на открытие сетевого соединения, также производится с помощью взаимодействия с удаленными устройствами, содержащими указанную систему.