СИСТЕМА И СПОСОБ ДЛЯ ПРИМЕНЕНИЯ ИНДИКАТОРА РЕПУТАЦИИ ДЛЯ ОБЛЕГЧЕНИЯ СКАНИРОВАНИЯ НА НАЛИЧИЕ ВРЕДОНОСНЫХ ПРОГРАММ

1. Клиентская система, содержащая по меньшей мере один процессор, сконфигурированный для выполнения целевого процесса, причем целевой процесс содержит экземпляр главного исполняемого модуля и экземпляр общей библиотеки, при этом по меньшей мере один процессор дополнительно сконфигурирован для:
- приема от сервера первого индикатора репутации модуля главного исполняемого модуля и второго индикатора репутации модуля общей библиотеки, причем первый индикатор репутации модуля определен в соответствии с поведением еще одного экземпляра главного исполняемого модуля, при этом сервер сконфигурирован для выполнения транзакций по защите от вредоносных программ с множеством клиентских систем, содержащим указанную клиентскую систему;
- определения, в ответ на прием первого и второго индикатора репутации модуля, индикатора репутации процесса для целевого процесса в соответствии с первым и вторым индикатором репутации модуля, причем индикатор репутации процесса показывает, является ли целевой процесс, вероятно, вредоносным; и
- конфигурирования, в ответ на определение индикатора репутации процесса для целевого процесса, сканирования на наличие вредоносных программ в соответствии с индикатором репутации процесса, причем сканирование на наличие вредоносных программ выполняется посредством клиентской системы, чтобы определить, является ли целевой процесс вредоносным.
2. Клиентская система по п. 1, в которой конфигурирование сканирования на наличие вредоносных программ содержит:
- если индикатор репутации процесса показывает, что целевой процесс, вероятно, не является вредоносным, применение нестрогого протокола системы защиты, чтобы определить, является ли целевой процесс вредоносным; и
- в противном случае, применение строгого протокола системы защиты, чтобы определить, является ли целевой процесс вредоносным, причем строгий протокол системы защиты требует большего количества вычислительных ресурсов, чем нестрогий протокол системы защиты.
3. Клиентская система по п. 1, в которой первый индикатор репутации модуля содержит первый набор значений параметров сканирования, второй индикатор репутации модуля содержит второй набор значений параметров сканирования, определение индикатора репутации процесса содержит определение третьего набора значений параметров сканирования в соответствии с первым и вторым набором значений параметров сканирования, а конфигурирование сканирования на наличие вредоносных программ в соответствии с индикатором репутации процесса содержит применение третьего набора значений параметров сканирования, чтобы создать экземпляр набора параметров конфигурации движка защиты от вредоносных программ, выполняющегося в клиентской системе, причем движок защиты от вредоносных программ сконфигурирован для выполнения сканирования на наличие вредоносных программ.
4. Клиентская система по п. 3, в которой третий набор значений параметров сканирования определен в соответствии с объединением первого и второго набора значений параметров сканирования.
5. Клиентская система по п. 3, в которой третий набор значений параметров сканирования определен в соответствии с пересечением первого и второго набора значений параметров сканирования.
6. Клиентская система по п. 1, в которой выбранное значение параметров сканирования из первого набора значений параметров сканирования показывает выбранный метод эвристического анализа, применяемый для определения, является ли целевой процесс вредоносным.
7. Клиентская система по п. 1, в которой выбранное значение параметров сканирования из первого набора значений параметров сканирования обеспечивает выдачу команды второй клиентской системе на определение, выполняет ли целевой процесс выбранное действие.
8. Клиентская система по п. 1, в которой обеспечена возможность выполнения еще одного экземпляра главного исполняемого модуля во второй клиентской системе из множества клиентских систем.
9. Клиентская система по п. 1, в которой по меньшей мере один процессор дополнительно сконфигурирован, в ответ на конфигурирование сканирования на наличие вредоносных программ, для:
- обнаружения действия, осуществляемого целевым процессом, причем действие сконфигурировано для загрузки второго исполняемого модуля в целевой процесс;
- обновления, в ответ на обнаружение указанного действия, индикатора репутации процесса для целевого процесса в соответствии с третьим индикатором репутации модуля, определенным сервером для экземпляра второго исполняемого модуля; и
- реконфигурирования, в ответ, сканирования на наличие вредоносных программ в соответствии с обновленным индикатором репутации процесса.
10. Клиентская система по п. 1, в которой определение индикатора репутации процесса содержит:
- идентификацию всех исполняемых модулей, загружаемых целевым процессом, причем все исполняемые модули включают еще один экземпляр главного исполняемого модуля и экземпляр общей библиотеки;
- определение, является ли каждый модуль из всех исполняемых модулей, вероятно, вредоносным, в соответствии с индикатором репутации модуля, определенным сервером для экземпляра каждого модуля; и
- формулирование, в ответ, если каждый модуль из всех исполняемых модулей, вероятно, не является вредоносным, индикатора репутации процесса для целевого процесса, чтобы показать, что целевой процесс, вероятно, не является вредоносным.
11. Клиентская система по п. 10, в которой определение индикатора репутации процесса дополнительно содержит, в ответ на определение того, является ли каждый модуль, вероятно, вредоносным, и если по меньшей мере один модуль из всех исполняемых модулей, вероятно, является вредоносным, формулирование индикатора репутации целевого процесса, чтобы показать, что целевой процесс, вероятно, является вредоносным.
12. Клиентская система по п. 1, в которой по меньшей мере один процессор сконфигурирован, в ответ на конфигурирование сканирования на наличие вредоносных программ, для:
- определения, выполняет ли целевой процесс действие, указывающее на вредоносность; и
если целевой процесс выполняет действие, указывающее на вредоносность,
- идентификации подозреваемого модуля целевого процесса, причем подозреваемый модуль целевого процесса выполняет действие, указывающее на вредоносность;
- обновления индикатора репутации модуля для подозреваемого модуля, чтобы показать, что подозреваемый модуль, вероятно, является вредоносным;
- обновления, в ответ на обновление индикатора репутации модуля для подозреваемого модуля, индикатора репутации процесса для целевого процесса в соответствии с обновленным индикатором репутации модуля для подозреваемого модуля; и
- реконфигурирования сканирования на наличие вредоносных программ в соответствии с обновленным индикатором репутации процесса.
13. Клиентская система по п. 12, в которой по меньшей мере один процессор дополнительно сконфигурирован для передачи на сервер, в ответ на обновление индикатора репутации модуля для подозреваемого модуля, обновленного индикатора репутации модуля для подозреваемого модуля.
14. Клиентская система по п. 12, в которой по меньшей мере один процессор дополнительно сконфигурирован, в ответ на обновление индикатора репутации модуля для подозреваемого модуля, для:
- идентификации второго процесса, выполняющегося в клиентской системе, причем второй процесс содержит экземпляр подозреваемого модуля;
- определения, в ответ на идентификацию второго процесса, второго индикатора репутации процесса для второго процесса в соответствии с обновленным индикатором репутации модуля для подозреваемого модуля; и
- конфигурации, в ответ, второго сканирования на наличие вредоносных программ в соответствии со вторым индикатором репутации процесса, причем второе сканирование на наличие вредоносных программ осуществляется клиентской системой, чтобы определить, является ли второй процесс вредоносным.
15. Клиентская система по п. 1, в которой по меньшей мере один процессор дополнительно сконфигурирован, в ответ на конфигурирование сканирования на наличие вредоносных программ, для:
- определения, выполняет ли целевой процесс действие, указывающее на вредоносность; и
если целевой процесс выполняет действие, указывающее на вредоносность,
- применения строгого протокола системы защиты, чтобы определить, является ли второй процесс, выполняющийся в клиентской системе, вредоносным, причем строгий протокол системы защиты сформулирован независимо от того, является ли второй процесс, вероятно, вредоносным.
16. Клиентская система по п. 1, в которой по меньшей мере один процессор дополнительно сконфигурирован, в ответ на конфигурирование сканирования на наличие вредоносных программ, для:
- определения, выполняет ли целевой процесс действие, указывающее на вредоносность; и
если целевой процесс выполняет действие, указывающее на вредоносность,
- идентификации второго процесса, выполняющегося в клиентской системе;
- обновления, в ответ на идентификацию второго процесса, второго индикатора репутации процесса, определенного для второго процесса, чтобы показать, что второй процесс, вероятно, является вредоносным; и
- конфигурации, в ответ, второго сканирования на наличие вредоносных программ в соответствии с обновленным вторым индикатором репутации процесса, причем второе сканирование на наличие вредоносных программ осуществляется клиентской системой для определения, является ли второй процесс вредоносным.
17. Сервер, содержащий по меньшей мере один процессор, сконфигурированный для:
- определения первого индикатора репутации модуля для главного исполняемого модуля и второго индикатора репутации модуля общей библиотеки, причем первый индикатор репутации модуля определен в соответствии с поведением экземпляра главного исполняемого модуля; и
- передачи, в ответ на определение первого и второго индикатора репутации модуля, первого и второго индикатора репутации модуля в одну клиентскую систему из множества клиентских систем, сконфигурированную для осуществления с сервером транзакций по защите от вредоносных программ, причем указанная клиентская система сконфигурирована для выполнения целевого процесса, при этом целевой процесс содержит еще один экземпляр главного исполняемого модуля и экземпляр общей библиотеки, причем указанная клиентская система дополнительно сконфигурирована для:
- определения индикатора репутации процесса для целевого процесса в соответствии с первым и вторым индикатором репутации модуля, причем индикатор репутации процесса показывает, является ли целевой процесс, вероятно, вредоносным; и
- конфигурирования, в ответ на определение индикатора репутации процесса, сканирования на наличие вредоносных программ в соответствии с индикатором репутации процесса, причем сканирование на наличие вредоносных программ выполняется посредством указанной клиентской системы, чтобы определить, является ли целевой процесс вредоносным.
18. Сервер по п. 17, в котором конфигурирование сканирования на наличие вредоносных программ содержит:
- если индикатор репутации процесса показывает, что целевой процесс, вероятно, не является вредоносным, применение нестрогого протокола системы защиты, чтобы определить, является ли целевой процесс вредоносным; и
- в противном случае применение строгого протокола системы защиты, чтобы определить, является ли целевой процесс вредоносным, причем строгий протокол системы защиты требует большего количества вычислительных ресурсов, чем нестрогий протокол системы защиты.
19. Сервер по п. 17, в котором первый индикатор репутации модуля содержит первый набор значений параметров сканирования, второй индикатор репутации модуля содержит второй набор значений параметров сканирования, определение индикатора репутации процесса содержит определение третьего набора значений параметров сканирования в соответствии с первым и вторым набором значений параметров сканирования, а конфигурирование сканирования на наличие вредоносных программ в соответствии с индикатором репутации процесса содержит применение третьего набора значений параметров сканирования, чтобы создать экземпляр набора параметров конфигурации движка защиты от вредоносных программ, выполняющегося в клиентской системе, причем движок защиты от вредоносных программ сконфигурирован для осуществления сканирования на наличие вредоносных программ.
20. Сервер по п. 19, в котором третий набор значений параметров сканирования определен в соответствии с объединением первого и второго набора значений параметров сканирования.
21. Сервер по п. 19, в котором третий набор значений параметров сканирования определен в соответствии с пересечением первого и второго набора значений параметров сканирования.
22. Сервер по п. 17, в котором выбранное значение параметров сканирования из первого набора значений параметров сканирования показывает выбранный метод эвристического анализа, применяемый для определения, является ли целевой процесс вредоносным.
23. Сервер по п. 17, в котором выбранное значение параметров сканирования из первого набора значений параметров сканирования обеспечивает выдачу команды клиентской системе на определение, выполняет ли целевой процесс выбранное действие.
24. Сервер по п. 17, в котором экземпляр главного исполняемого модуля выполняется во второй клиентской системе из множества клиентских систем.
25. Сервер по п. 17, в котором клиентская система дополнительно сконфигурирована, в ответ на конфигурирование сканирования на наличие вредоносных программ, для:
- обнаружения действия, осуществляемого целевым процессом, причем действие сконфигурировано для загрузки второго исполняемого модуля в целевой процесс;
- обновления, в ответ на обнаружение указанного действия, индикатора репутации процесса для целевого процесса в соответствии с третьим индикатором репутации модуля, определенным сервером для экземпляра второго исполняемого модуля; и
- реконфигурирования, в ответ, сканирования на наличие вредоносных программ в соответствии с обновленным индикатором репутации процесса.
26. Сервер по п. 17, в котором определение индикатора репутации процесса содержит:
- идентификацию всех исполняемых модулей, загружаемых целевым процессом, причем все исполняемые модули содержат еще один экземпляр главного исполняемого модуля и экземпляр общей библиотеки;
- определение, является ли каждый модуль из всех исполняемых модулей, вероятно, вредоносным, в соответствии с индикатором репутации модуля, определенным сервером для экземпляра каждого модуля; и
- формулирование, в ответ, если каждый модуль из всех исполняемых модулей, вероятно, не является вредоносным, индикатора репутации процесса для целевого процесса, чтобы показать, что целевой процесс, вероятно, не является вредоносным.
27. Сервер по п. 26, в котором определение индикатора репутации процесса дополнительно содержит, в ответ на определение того, является ли каждый модуль, вероятно, вредоносным, и если по меньшей мере один модуль из всех исполняемых модулей, вероятно, является вредоносным, формулирование индикатора репутации процесса, чтобы показать, что целевой процесс, вероятно, является вредоносным.
28. Сервер по п. 17, в котором клиентская система дополнительно сконфигурирована, в ответ на конфигурирование сканирования на наличие вредоносных программ, для:
- определения, выполняет ли целевой процесс действие, указывающее на вредоносность; и
если целевой процесс выполняет действие, указывающее на вредоносность,
- идентификации подозреваемого модуля целевого процесса, причем подозреваемый модуль выполняет действие, указывающее на вредоносность;
- обновления индикатора репутации модуля для подозреваемого модуля, чтобы показать, что подозреваемый модуль, вероятно, является вредоносным;
- обновления, в ответ на обновление индикатора репутации модуля для подозреваемого модуля, индикатора репутации процесса для целевого процесса в соответствии с обновленным индикатором репутации модуля для подозреваемого модуля; и
- реконфигурирования сканирования на наличие вредоносных программ в соответствии с обновленным индикатором репутации процесса.
29. Сервер по п. 28, в котором клиентская система дополнительно сконфигурирована для передачи на сервер, в ответ на обновление индикатора репутации модуля для подозреваемого модуля, обновленного индикатора репутации модуля для подозреваемого модуля.
30. Сервер по п. 28, в котором клиентская система дополнительно сконфигурирована, в ответ на обновление индикатора репутации модуля для подозреваемого модуля, для:
- идентификации второго процесса, выполняющегося в клиентской системе, причем второй процесс содержит экземпляр подозреваемого модуля;
- определения, в ответ на идентификацию второго процесса, второго индикатора репутации процесса для второго процесса в соответствии с обновленным индикатором репутации модуля для подозреваемого модуля; и
- конфигурации, в ответ, второго сканирования на наличие вредоносных программ в соответствии со вторым индикатором репутации процесса, причем второе сканирование на наличие вредоносных программ осуществляется клиентской системой, чтобы определить, является ли второй процесс вредоносным.
31. Сервер по п. 17, в котором клиентская система дополнительно сконфигурирована, в ответ на конфигурирование сканирования на наличие вредоносных программ, для:
- определения, выполняет ли целевой процесс действие, указывающее на вредоносность; и
если целевой процесс выполняет действие, указывающее на вредоносность,
- применения строгого протокола системы защиты, чтобы определить, является ли вредоносным второй процесс, выполняющийся во второй клиентской системе, причем строгий протокол системы защиты сформулирован независимо от того, является ли второй процесс, вероятно, вредоносным.
32. Сервер по п. 17, в котором клиентская система дополнительно сконфигурирована, в ответ на конфигурирование сканирования на наличие вредоносных программ, для:
- определения, выполняет ли целевой процесс действие, указывающее на вредоносность; и
если целевой процесс выполняет действие, указывающее на вредоносность,
- идентификации второго процесса, выполняющегося в клиентской системе;
- обновления, в ответ на идентификацию второго процесса, второго индикатора репутации процесса, определенного для второго процесса, чтобы показать, что второй процесс, вероятно, является вредоносным; и
- конфигурирования, в ответ, второго сканирования на наличие вредоносных программ в соответствии с обновленным вторым индикатором репутации процесса, причем второе сканирование на наличие вредоносных программ осуществляется второй клиентской системой, чтобы определить, является ли второй процесс вредоносным.
33. Постоянный машиночитаемый носитель, хранящий команды, которые в случае их выполнения конфигурируют по меньшей мере один процессор клиентской системы, выполняющий целевой процесс, причем целевой процесс содержит экземпляр главного исполняемого модуля и экземпляр общей библиотеки, для:
- приема от сервера первого индикатора репутации модуля для главного исполняемого модуля и второго индикатора репутации модуля общей библиотеки, причем первый индикатор репутации модуля определен в соответствии с поведением еще одного экземпляра главного исполняемого модуля, причем сервер сконфигурирован для выполнения транзакций по защите от вредоносных программ с множеством клиентских систем, содержащим указанную клиентскую систему;
- определения, в ответ на прием первого и второго индикатора репутации модуля, индикатора репутации процесса для целевого процесса в соответствии с первым и вторым индикатором репутации модуля, причем индикатор репутации процесса показывает, является ли целевой процесс, вероятно, вредоносным; и
- конфигурирования, в ответ на определение индикатора репутации процесса для целевого процесса, сканирования на наличие вредоносных программ в соответствии с индикатором репутации процесса, причем сканирование на наличие вредоносных программ выполняется посредством указанной клиентской системы, чтобы определить, является ли целевой процесс вредоносным.
34. Клиентская система, содержащая по меньшей мере один процессор, сконфигурированный для выполнения целевого процесса, причем целевой процесс содержит экземпляр первого исполняемого модуля и экземпляр второго исполняемого модуля, при этом по меньшей мере один процессор дополнительно сконфигурирован для:
- приема от сервера первого индикатора репутации модуля для первого исполняемого модуля и второго индикатора репутации модуля для второго исполняемого модуля, причем первый индикатор репутации модуля определен в соответствии с поведением еще одного экземпляра первого исполняемого модуля, при этом сервер сконфигурирован для выполнения транзакций по защите от вредоносных программ с множеством клиентских систем, содержащим указанную клиентскую систему;
- определения, в ответ на прием первого и второго индикатора репутации модуля, индикатора репутации процесса для целевого процесса в соответствии с первым и вторым индикатором репутации модуля, причем индикатор репутации процесса показывает, является ли целевой процесс, вероятно, вредоносным; и
- конфигурирования, в ответ на определение индикатора репутации процесса для целевого процесса, сканирования на наличие вредоносных программ в соответствии с индикатором репутации процесса, причем сканирование на наличие вредоносных программ выполняется посредством указанной клиентской системы, чтобы определить, является ли целевой процесс вредоносным.
35. Сервер, содержащий по меньшей мере один процессор, сконфигурированный для выполнения транзакций по защите от вредоносных программ с множеством клиентских систем, причем множество клиентских систем содержит клиентскую систему, сконфигурированную для выполнения целевого процесса, причем целевой процесс содержит экземпляр первого исполняемого модуля и экземпляр второго исполняемого модуля, при этом по меньшей мере один процессор дополнительно сконфигурирован для:
- определения первого индикатора репутации модуля для первого исполняемого модуля и второго индикатора репутации модуля для второго исполняемого модуля, причем первый индикатор репутации модуля определен в соответствии с поведением еще одного экземпляра первого исполняемого модуля; и
- передачи, в ответ на определение первого и второго индикатора репутации модуля, первого и второго индикатора репутации модуля в клиентскую систему, причем клиентская система дополнительно сконфигурирована для:
- определения индикатора репутации процесса для целевого процесса в соответствии с первым и вторым индикатором репутации модуля, причем индикатор репутации процесса показывает, является ли целевой процесс, вероятно, вредоносным; и
- конфигурирования, в ответ на определение индикатора репутации процесса, сканирования на наличие вредоносных программ в соответствии с индикатором репутации процесса, причем сканирование на наличие вредоносных программ выполняется посредством клиентской системы, чтобы определить, является ли целевой процесс вредоносным.