[发明专利]使用声誉指示符来促进恶意软件扫描的系统和方法

摘要

所描述的系统和方法允许保护计算机系统使其免受诸如病毒、特洛伊木马和间谍软件等恶意软件影响。声誉管理器结合反恶意软件引擎而执行。所述声誉管理器根据由目标进程加载的一组可执行模块(诸如，共享库)的声誉来确定在所述计算机系统上执行的所述目标进程的声誉。所述反恶意软件引擎可经配置以采用进程特定协议来针对恶意软件扫描所述目标进程，所述协议根据进程声誉来选择。被信任为非恶意的进程可因此使用比未知或不受信任进程更宽松的协议来扫描。可执行模块的所述声誉可为静态的；模块声誉指示符可由远程声誉服务器存储和/或检索。进程声誉可为可动态改变的，即，由所述声誉管理器响应于进程生命周期和/或安全事件重复重新计算。

主权项

1.一种客户端系统，其包括：存储器，以及至少一个硬件处理器，其连接所述存储器且经配置以执行反恶意软件引擎，所述反恶意软件引擎经配置以监视恶意活动的目标进程，其中所述目标进程在所述客户端系统上执行，其中所述目标进程包括主要可执行模块的例子和共享库的例子，且其中所述至少一个硬件处理器经进一步配置以：从服务器接收所述主要可执行模块的第一模块声誉指示符和所述共享库的第二模块声誉指示符，所述第一模块声誉指示符根据所述主要可执行模块的另一例子的行为而确定，其中所述服务器经配置以与包含所述客户端系统的多个客户端系统一起执行反恶意软件事务，其中所述第一模块声誉指示符包括第一组监视规则的指示符，且其中所述第二模块声誉指示符包括第二组监视规则的指示符；响应于接收所述第一模块声誉指示符和所述第二模块声誉指示符，根据所述第一模块声誉指示符和所述第二模块声誉指示符确定是否所述目标进程可能是恶意的；以及响应于确定是否所述目标进程可能是恶意的，当所述目标进程不可能是恶意的时，将所述第一组监视规则和所述第二组监视规则组合成一组经组合的监视规则；以及根据所述一组经组合的监视规则配置所述反恶意软件引擎监视所述目标进程。