[发明专利]经由信誉系统的恶意软件检测

权利要求书

1.一种在计算机化系统上过滤数字电子内容的方法，包括：

访问数字文件；

从该文件中提取多个高级别特征；以及

使用分类器评估该多个高级别特征以确定该文件是良性的还是恶意的。

2.根据权利要求1所述的过滤数字电子内容的方法，其中评估包括：在客户端系统上使用分类器来确定该文件是良性的还是恶意的，以及如果在客户端系统上确定该文件是恶意的，则该文件的散列被发送到信誉服务器以最终确定该文件是良性的还是恶意的。

3.根据权利要求2所述的过滤数字电子内容的方法，其中所述信誉服务器最终确定该文件是良性的还是恶意的包括下列中的至少一项：如果该散列匹配已知的恶意文件，则确定该文件是恶意的，以及如果该散列不匹配已知的良性文件，则确定该文件是恶意的。

4.根据权利要求1所述的过滤数字电子内容的方法，其中该分类器包括一个或多个决策树。

5.根据权利要求1所述的过滤数字电子内容的方法，其中该多个高级别特征包括文件大小、文件随机性、开始代码串以及文件几何中的至少一个。

6.根据权利要求1所述的过滤数字电子内容的方法，进一步包括：使用从该文件的运行时属性中提取的行为数据评估该二进制文件，以确定该文件是良性的还是恶意的。

7.根据权利要求1所述的过滤数字电子内容的方法，其中评估包括：确定由该文件使用的库或资源中的至少一个。

8.根据权利要求1所述的过滤数字电子内容的方法，其中提取和评估中的至少一个在客户端计算机、网关设备、后端服务器和实时云中分类系统中的一个或多个中实现。

9.根据权利要求1所述的过滤数字电子内容的方法，进一步包括：如果该文件被确定是良性的，则将该文件转发到请求计算机，以及如果该文件被确定是恶意的，则阻止文件的传递。

10.根据权利要求1所述的过滤数字电子内容的方法，其中评估包括：在本地系统上执行第一评估以识别至少一个可疑文件，将该可疑文件的高级别特征转发给信誉服务器以进行最终确定，从该信誉服务器接收对该可疑文件的最终确定，并仅仅阻止由该信誉服务器确定为恶意的那些文件。

11.根据权利要求10所述的过滤数字电子内容的方法，其中该客户端进一步将该文件的散列发送到该信誉服务器。

12.根据权利要求11所述的过滤数字电子内容的方法，其中该信誉服务器追踪该文件散列的一个或多个特征。

13.根据权利要求12所述的过滤数字电子内容的方法，其中追踪该文件散列的一个或多个特征包括以下中的一个或多个：每个散列的查询量、自从该散列第一次出现以来的时间、查询该散列的客户端的数目、以及查询该散列的客户端的分布。

14.一种计算机网络设备，包括：

网络连接，可操作以访问数字文件；以及

提取模块，可操作以从该文件中提取多个高级别特征；以及

评估模块，可操作以使用分类器来评估该多个高级别特征以确定该文件是良性的还是恶意的。

15.根据权利要求14所述的计算机网络设备，其中该分类器包括决策树。

16.根据权利要求14所述的计算机网络设备，其中该多个高级别特征包括文件大小、文件随机性、开始代码串以及文件几何的中的至少一个。

17.根据权利要求14所述的计算机网络设备，其中该评估模块进一步可操作以使用从该文件的运行时属性中提取的行为数据来评估该二进制文件，以确定该文件是良性的还是恶意的。

18.根据权利要求14所述的计算机网络设备，其中评估包括：确定由该文件使用的库或资源中的至少一个。

19.根据权利要求14所述的计算机网络设备，其中该设备包括客户端计算机、网关设备、后端服务器、以及实时云分类系统中的一个或多个。

20.根据权利要求14所述的计算机网络设备，其中该评估模块进一步可操作以如果该文件被确定是良性的，则将该文件转发到一个请求计算机，以及如果该文件被确定是恶意的，则阻止文件的传递。