СЛОЖНОЕ КЛАССИФИЦИРОВАНИЕ ДЛЯ ВЫЯВЛЕНИЯ ВРЕДОНОСНЫХ ПРОГРАММ

1. Хостовая система, содержащая по меньшей мере один процессор, конфигурированный с возможностью выполнять модуль управления сущностей, средство оценки сущностей и классифицирующий движок, при этом:
модуль управления сущностей конфигурирован с возможностью управлять коллекцией оцениваемых программных сущностей, причем управление коллекции содержит:
идентификацию набора сущностей-потомков первой сущности коллекции;
определение, завершена ли первая сущность;
в ответ, когда первая сущность завершена, определение, завершены ли все члены набора сущностей-потомков; и
в ответ, когда все члены набора сущностей-потомков завершены, удаление первой сущности из коллекции;
средство оценки сущностей конфигурировано с возможностью:
оценивать первую сущность согласно критерию оценки; и
в ответ, когда первая сущность удовлетворяет критерию оценки, передавать индикатор оценки в классифицирующий движок; и
классифицирующий движок конфигурирован с возможностью:
записывать первый показатель, определенный для первой сущности, и второй показатель, определенный для второй сущности коллекции, причем первый и второй показатели определены согласно критерию оценки;
в ответ на запись первого и второго показателей и в ответ на получение индикатора оценки, обновлять второй показатель согласно индикатору оценки; и
в ответ, определять, является ли вторая сущность вредоносной согласно обновленному второму показателю.
2. Хостовая система по п. 1, в которой классифицирующий движок дополнительно конфигурирован с возможностью:
в ответ на получение индикатора оценки, обновлять первый показатель согласно индикатору оценки; и
в ответ, определять, является ли первая сущность вредоносной согласно обновленному первому показателю.
3. Хостовая система по п. 1, в которой первая сущность является порождением второй сущности.
4. Хостовая система по п. 1, в которой вторая сущность является порождением первой сущности.
5. Хостовая система по п. 1, в которой первая сущность содержит секцию кода, внедренного второй сущностью.
6. Хостовая система по п. 1, в которой вторая сущность содержит секцию кода, внедренного первой сущностью.
7. Хостовая система по п. 1, в которой обновление второго показателя содержит изменение второго показателя на величину, определенную согласно w·S, где S является первым показателем и w представляет собой численный вес.
8. Хостовая система по п. 1, в которой управление коллекции оцениваемых программных сущностей дополнительно содержит:
перехват запуска новой программной сущности; и
в ответ, добавление новой программной сущности в коллекцию.
9. Энергонезависимый машиночитаемый носитель, хранящий инструкции, которые, при выполнении, конфигурируют по меньшей мере один процессор хостовой системы с возможностью:
управлять коллекцией оцениваемых программных сущностей, причем управление коллекции содержит:
идентификацию набора сущностей-потомков первой сущности коллекции;
определение, завершена ли первая сущность;
в ответ, когда первая сущность завершена, определение, завершены ли все члены набора сущностей-потомков; и
в ответ, когда все члены набора сущностей-потомков завершены, удаление выбранной сущности из коллекции;
записывать первый показатель, определенный для первой сущности, и второй показатель, определенный для второй сущности коллекции, при этом первый и второй показатели определены согласно критерию оценки;
в ответ на запись первого и второго показателей, оценивать первую сущность согласно критерию оценки;
в ответ на оценку первой сущности, когда первая сущность удовлетворяет критерию оценки, обновлять второй показатель; и
в ответ на обновление второго показателя, определять, является ли вторая сущность вредоносной согласно обновленному второму показателю.
10. Машиночитаемый носитель по п. 9, в котором указанный по меньшей мере один процессор дополнительно конфигурирован с возможностью:
в ответ на оценку первой сущности, когда первая сущность удовлетворяет критерию оценки, обновлять первый показатель; и
в ответ, определять, является ли первая исполняемая сущность вредоносной согласно обновленному первому показателю.
11. Машиночитаемый носитель по п. 9, в котором первая сущность является порождением второй сущности.
12. Машиночитаемый носитель по п. 9, в котором вторая сущность является порождением первой сущности.
13. Машиночитаемый носитель по п. 9, в котором первая сущность содержит секцию кода, внедренного второй сущностью.
14. Машиночитаемый носитель по п. 9, в котором вторая сущность содержит секцию кода, внедренного первой сущностью.
15. Машиночитаемый носитель по п. 9, в котором обновление второго показателя содержит изменение второго показателя на величину, определенную согласно w⋅S, где S является первым показателем и w представляет собой численный вес.
16. Машиночитаемый носитель по п. 9, в котором управление коллекции оцениваемых программных сущностей дополнительно содержит:
перехват запуска новой программной сущности; и
в ответ, добавление новой программной сущности в коллекцию.
17. Хостовая система, содержащая по меньшей мере один процессор, конфигурированный с возможностью выполнять средство оценки сущностей, и классифицирующий движок, при этом:
средство оценки сущностей конфигурировано с возможностью:
оценивать первую программную сущность согласно критерию оценки, при этом первая программная сущность выполняется на клиентской системе; и
в ответ, когда первая программная сущность удовлетворяет критерию оценки, передавать индикатор оценки в классифицирующий движок; и
классифицирующий движок конфигурирован с возможностью:
в ответ на получение индикатора оценки, обновлять показатель согласно индикатору оценки, причем показатель определен для второй программной сущности, прежде выполнявшейся на хостовой системе, при этом вторая программная сущность завершена в момент обновления показателя; и
в ответ, определять, является ли вторая программная сущность вредоносной согласно обновленному второму показателю.
18. Хостовая система по п. 17, в которой первая программная сущность является порождением второй программной сущности.
19. Хостовая система по п. 17, в которой первая программная сущность содержит секцию кода, внедренного второй программной сущностью.
20. Способ, содержащий:
применение по меньшей мере одного процессора хостовой системы для определения, удовлетворяет ли первая программная сущность, выполняющаяся на хостовой системе, критерию оценки;
в ответ, когда первая программная сущность удовлетворяет критерию оценки, применение указанного по меньшей мере одного процессора для обновления показателя, определенного для второй программной сущности, выполнявшейся прежде на хостовой системе, причем вторая программная сущности завершена в момент обновления показателя, при этом показатель определен согласно критерию оценки; и
в ответ на обновление второго показателя, применение указанного по меньшей мере одного процессора для определения, является ли вторая программная сущность вредоносной согласно обновленному второму показателю.
21. Способ по п. 20, в котором первая программная сущность является порожденной сущностью второй программной сущности.
22. Способ по п. 20, в котором первая программная сущность содержит секцию кода, внедренного второй программной сущностью.