專利名稱：軟件信譽的建立和監(jiān)控系統及方法
技術領域：
本發(fā)明涉及計算機系統安全。更具體地講，本發(fā)明涉及一種建立并監(jiān)控計算機系 統的模塊信任度的系統和方法。
背景技術：
一種行為阻截系統探索式地對模塊進行監(jiān)控、并且阻截該行為阻截系統基于模塊 的信任等級而認為是惡意性的可疑行為。因此，在對行為進行阻截時評估一個模塊的信任 等級是非常重要的。

發(fā)明內容
根據一個實施方案，在形成一個模塊的信譽時獲得了對該模塊的行為的知識。如 果該模塊的行為發(fā)生了改變，那么這個改變會被檢測出來。在一個實施方案中，當確定該模 塊的行為已經改變時，該模塊的原始信譽則被丟失。以此方式，將惡意的被信任模塊檢測出 并且擊敗。當通過參見以下的詳細說明并且與附圖結合進行閱讀時，對多個實施方案會有最 好的理解。


圖1是根據一個實施方案的一種客戶機-服務器系統的簡圖，該客戶機-服務器 系統包括在主計算機系統上執(zhí)行的一種軟件信譽建立和監(jiān)控應用程序；圖2是根據一個實施方案的一種軟件信譽建立過程的流程圖；并且圖3是根據一個實施方案的一種軟件信譽監(jiān)控過程的流程圖。貫穿這些附圖和詳細說明，使用了相同的參考號來表明類似的元件。
具體實施例方式根據一個實施方案，在創(chuàng)建模塊的預期行為的信譽清單的運作210 (圖2)中，當形 成一個模塊的信譽時獲得了該模塊的行為的知識。如果該模塊的行為發(fā)生了改變，這個改 變在行為偏離預期行為檢查運作306 (圖3)中被檢測出來。在一個實施方案中，當確定該 模塊的行為已經改變時，在采取保護性動作的運作308 (圖3)中該模塊的原始信譽被丟失。 以此方式，將惡意的被信任模塊檢測出并且擊敗。更具體地講，圖1是根據一個實施方案的一種客戶機-服務器系統100的簡圖，該 客戶機-服務器系統包括在一個主計算機系統102上執(zhí)行的一種軟件信譽建立和監(jiān)控應用 程序106。主計算機系統(有時被稱作客戶機或用戶裝置)典型地包括一個中央處理單元 (CPU) 108 (有時被稱作處理器108)、一個輸入/輸出(I/O)接口 110、以及一個存儲器114。 主計算機系統102進一步包括多個標準裝置，如鍵盤116、鼠標118、打印機120、以及顯示裝置122，連同一個或多個標準輸入/輸出(I/O)裝置123，比如用于將數據輸入主計算機系 統102以及從主計算機系統102中輸出數據的光盤(⑶)或DVD驅動器、軟盤驅動器、或者 其他的數字的或波形端口。在一個實施方案中，軟件信譽建立和監(jiān)控應用程序106通過I/O裝置123從例如 ⑶、DVD、或軟盤中(它包含有軟件信譽建立和監(jiān)控應用程序106)被載入主計算機系統102中。主計算機系統102通過網絡124而連接到計算機系統100的服務器系統130上。 服務器系統130典型地包括顯示裝置132、處理器134、存儲器136、以及網絡接口 138。主計算機系統102還通過網絡124被連接到多個主計算機系統103A，103B,..., 103η (統稱為主計算機系統103，它們類似于主計算機系統102)上。此外，主計算機系統 102通過網絡124被連接到軟件信譽建立和監(jiān)控服務器計算機系統140(有時被稱作后端信 譽系統，它類似于服務器系統130)上。網絡124可以是用戶所感興趣的任何網絡或網絡系統。在不同的實施方案中，網 絡接口 138和I/O接口 110包括模擬調制解調器、數字調制解調器、或網絡接口卡。軟件信譽建立和監(jiān)控應用程序106被存儲于(例如)主計算機系統102的存儲器 114中，并且在主計算機系統102上執(zhí)行。主計算機系統102、主計算機系統103、軟件信譽建立和監(jiān)控服務器計算機系統 140、以及服務器系統130的具體類型和配置對于本實施方案不是本質性的。在此處的一個實施方案中，惡意代碼被定義為未經授權用戶得知和/或沒有授權 用戶的同意而進入計算機系統環(huán)境的任何計算機程序、模塊、模塊集、或代碼。圖2是根據一個實施方案的軟件信譽建立過程200的流程圖?，F在一起參見圖1 和圖2，在一個實施方案中，由處理器108執(zhí)行的軟件信譽建立和監(jiān)控應用程序106導致如 以下說明的軟件信譽建立過程200的運作。工作流從進入運作202移動到執(zhí)行未知模塊運作204。在執(zhí)行未知模塊運作204 中，執(zhí)行一個未知模塊(有時稱之為軟件)?？傮w上講，一個模塊包括可執(zhí)行的代碼。在一個實施方案中，一個模塊是一種應 用程序的一部分。例如，一個模塊是Internet Explorer 應用程序的一個插件(例如， Adobe Flash 模塊)。在又一個實施方案中，一個模塊是一個完整的應用程序。在一個實施方案中，一個應用程序是為最終用戶設計的一個程序或一組程序。更 具體地講，盡管存在著許多不同類型的應用程序，應用程序(也被稱作最終用戶程序)包括 數據庫程序、文字處理程序、以及電子表格。在一個實施方案中，應用程序和/或模塊是一個可執(zhí)行的文件?？蓤?zhí)行文件是旨 在由計算機將其內容解釋為一個程序的一種文件。在一個實例中，可執(zhí)行文件具有擴展 名.exe ( —個EXE文件)，但是在其他實施方案中它具有其他的擴展名，如.net。一個應用 程序和/或模塊是使用多項技術中的任意一項來執(zhí)行的(正如在具有本披露的益處的領域 中的普通技術人員將會認識到的)，并且所用的具體技術對于本實施方案不是本質性的。如在此使用的，一個模塊或者是一個已知模塊或者是一個未知模塊。已知模塊是 具有如以下進一步討論的一個相關聯的信譽清單的模塊。相比之下，未知模塊是沒有一個 相關聯的信譽清單的模塊。
對于執(zhí)行未知模塊運作204，工作流移動到監(jiān)控并記錄模塊行為運作206。在監(jiān)控并記錄 模塊行為運作206中，對所執(zhí)行的模塊的行為(有時稱之為動作) 進行監(jiān)控并且記錄。更具體地講，當在執(zhí)行未知模塊運作204中執(zhí)行該未知模塊時，該未知 模塊表現出多個動作，并且這些動作被稱作行為。一個模塊的說明性行為包括(1)該模塊 是否改變了系統范圍的設置；(2)該模塊訪問了何種類型的文件；(3)該模塊是否是一個啟 動程序；以及(4)所感興趣的任何其他模塊行為。示意性地，對哪種行為進行監(jiān)控并記錄是 可以(例如)由用戶或系統管理員來進行配置的。在一個實施方案中，該模塊在多個不同的設施中(例如，在不同的計算機系統和/ 或運作系統上)被執(zhí)行、監(jiān)控并記錄。例如，該模塊在主計算機系統102、103上被執(zhí)行、監(jiān) 控并記錄。在每個設施上，該模塊的行為都被監(jiān)控并記錄。該模塊所記錄的行為連同該設 施的特點是從每個設施(例如，一個后端信譽系統如軟件信譽建立和監(jiān)控服務器計算機系 統140)中收集的并被匯總。在另一個實施方案中，該模塊在一個單一的設施上被執(zhí)行、監(jiān)控和記錄，例如，在 一個單一的計算機系統(如主計算機系統102)上和/或一個單一的運作系統上。工作流從監(jiān)控并記錄模塊行為運作206可任選地移動到確定模塊信譽運作208。 在確定模塊信譽運作208中，該模塊的信譽例如是從該模塊所監(jiān)控并記錄的行為中來確定 的。在一個實施方案中，一旦已經監(jiān)控并記錄了該模塊足夠的副本，該模塊已經被執(zhí)行了足 夠的次數，和/或已經以其他方式充分地觀察了該模塊的行為，那么對于該模塊的信譽就 被建立起來。信譽是如被一個安全銷售商或安全產品所確定的該模塊的總體可信任度。在一個 實施方案中，信譽是通過一種信譽得分來測量的，盡管可以使用多項技術中的任意一項來 測量(正如在具有本披露的益處的領域中的普通技術人員將會認識到的)，并且所用的具 體技術不是本質性的。在一個實施方案中，一個模塊的特權是直接與該模塊的信譽相關的。該模塊得到 的信任越高，給予該模塊的特權就越大。為了說明這一點，如果發(fā)現一個模塊安裝間諜軟件、病毒程序、特洛伊木馬程序、 或其他的惡意代碼，則該模塊被確定為是不可信任的，即，該模塊的可信任度是該模塊是不 值得信任的。相反，如果發(fā)現一個模塊是安全的，則該模塊被確定為是值得信任的(受信任 的)，即，該模塊的可信任度是該模塊是值得信任的。盡管提供了可信任度的兩個實例，但是 可信任度可以被定義為具有非常大程度的粒度，這樣使其存在許多可信任等級(信任)的 等級。在另一個實施方案中，該模塊的信譽是基于多項指標，這些指標不是該模塊所監(jiān) 控并記錄的行為，并且因此確定模塊信譽運作208是一個可任選的運作。為了說明這一點， 假設一個軟件發(fā)行商在一段時間中發(fā)行了多個合法的模塊的情形。根據這個實例，如果該 模塊已經被同一軟件發(fā)行商所發(fā)行，則該模塊被識別為是值得信任的，即，該模塊的信譽是 該模塊是可信任的。根據另一個實例，假設以下情形，其中一個知名的合法軟件發(fā)行商(例如， Microsoft, 公司)發(fā)行了這個模塊。由于該模塊被一個知名的合法軟件發(fā)行商所發(fā)行，所 以該模塊被識別為是值得信任的，即，該模塊的信譽是該模塊是可信任的。
因此，該模塊的信譽在確定模塊信譽運作208中被建立，或者以其他方式建立。用 于建立模塊信譽的具體技術不是本質性的。然而，根據一個實施方案，如以下說明的，所建 立的信譽是取決于該模塊的表現與該信譽被建立時的表現是相同的。 工作流從確定模塊信譽運作208 (或在不進行確定模塊信譽運作208的情況下，從 監(jiān)控并記錄模塊行為運作206)移動到創(chuàng)建模塊預期行為的信譽清單運作210。在創(chuàng)建模塊 預期行為的信譽清單運作210中，基于該模塊被監(jiān)控并被記錄的行為(運作206)，創(chuàng)建了該 模塊的預期行為的一個信譽清單。更具體地講，該模塊的預期行為是在監(jiān)控并記錄模塊行為運作206中監(jiān)控并記錄 的該模塊的行為。換言之，該模塊的預期行為是該模塊被觀察到的正常行為。信譽清單是該模塊的預期行為的一個集合(例如，列表)。示例性地，根據以上實 例，信譽清單包括(1)若有的話，被該模塊改變的系統范圍的設置；(2)若有的話，由該模 塊訪問的文件類型；(3)如果為真，則該模塊是一個啟動程序；以及(4)該模塊的任何其他 的被監(jiān)控并被記錄的行為。工作流從創(chuàng)建模塊預期行為的信譽清單運作210移動到將信譽清單與信譽相關 聯運作212。在將信譽清單與信譽相關聯運作212中，將在創(chuàng)建模塊預期行為的信譽清單運 作210中創(chuàng)建的信譽清單與所建立的該模塊的信譽相關聯。更具體地講，將該模塊的預期 行為與所建立的信譽相關聯(即，相鏈接)。如以下參見圖3中的軟件信譽監(jiān)控過程300所展示的，只要該模塊表現為與信譽 清單中的預期行為相符，則該模塊維持該模塊所建立的信譽。然而，維持所建立的信譽是取 決于該模塊以預期的方式來表現(即，符合預期行為)。在一個具體的實施方案中，當該模塊的信譽是在確定模塊信譽運作208中基于該 模塊在監(jiān)控并記錄模塊行為運作206中所監(jiān)控并記錄的行為來確定時，維持所建立的信譽 是取決于該模塊以與該模塊的信譽被初始建立時的相同方式來表現。盡管一個模塊在此被說明為表現得與一個信譽清單相符，但是鑒于本披露，本領 域的普通技術人員應理解這意味著該模塊的行為(動作)與在信譽清單里所列出的或者以 其他方式所收集的行為(動作)是相同的或者實質上相似的。工作流從將信譽清單與信譽相關聯運作212移動到退出運作214，并在此中退出。圖3是根據一個實施方案的一種軟件信譽監(jiān)控過程300的流程圖?，F在一起參見 圖1和圖3，在一個實施方案中，由處理器108執(zhí)行的軟件信譽建立和監(jiān)控模塊106導致如 以下所說明的軟件信譽監(jiān)控過程300的運作。工作流從輸入運作302移動到被監(jiān)控模塊的行為的檢查運作304。在被監(jiān)控模塊 的行為的檢查運作304中，對于被監(jiān)控模塊是否正在采取動作(即，被監(jiān)控模塊是否有行 為)做出一個確定。如果被監(jiān)控模塊沒有行為，則工作流繼續(xù)留在被監(jiān)控模塊的行為的檢查運作304 處。相反，如果被監(jiān)控模塊有行為，工作流從被監(jiān)控模塊的行為的檢查運作304移動到行為 偏離預期行為檢查運作306。在行為偏離預期行為檢查運作306中，對于被監(jiān)控模塊的行為 是否偏離了該監(jiān)控模塊的預期行為做出一個確定。換言之，對于該模塊的行為是否已經從 預期行為中發(fā)生了改變做出一個確定。在一個實施方案中，將該模塊的預期行為的信譽以及信譽清單從(例如)軟件信譽建立和監(jiān)控服務器計算機系統140中下載到主計算機系統102中。在另一個實施方案中， 如以上說明的，在主計算機系統102上創(chuàng)建該模塊的預期行為的信譽和信譽清單。 在一個實施方案中，一個被監(jiān)控的模塊是具有已建立的信譽以及相關聯的信譽清 單(即，被預期以某種方式表現)的一個模塊。因此，如果被監(jiān)控模塊有行為，則在行為偏 離預期行為檢查運作306中將該行為與該模塊的預期行為進行比較。對該行為可以使用多項技術中的任意一項來進行比較(如在具有本披露的益處 的領域中的普通技術人員所認識的)，并且所用的具體技術不是本質性的。在一個實施方案 中，與預期行為的任何偏離都足以得出一個結論，即被監(jiān)控模塊的行為偏離了該被監(jiān)控模 塊的預期行為。在另一個實施方案中，在得出被監(jiān)控模塊的行為偏離了被監(jiān)控模塊的預期 行為的結論之前允許在行為中一定量的改變。若做出了該行為未偏離預期行為的確定，則工作流從行為偏離預期行為檢查運作 306移動并在退出運作310處退出或者返回到被監(jiān)控模塊的行為檢查運作304處。在這種 情況下，該模塊的表現如同預期，并且不進一步采取動作。相反，若做出了該行為確實偏離了預期行為的確定，則工作流從行為偏離預期行 為檢查運作306移動到采取保護性動作的運作308。在采取保護性動作的運作308中，采取 了保護性動作，例如，撤銷該模塊已建立的信譽。在一個實施方案中，該模塊丟失了它的信譽，S卩，它被分配了一個降低的信譽，這 樣使得與原始信譽相關聯的特權也被丟失或者降低了。為了說明這一點，在該模塊的原始 信譽下可能已經允許對該模塊的動作基于這個降低的信譽要經受增強的詳細審查和/或 阻截，這個降低的信譽是該模塊比在原始信譽下是較少值得信任的。此外，在一個實施方案中，在采取保護性動作的運作308中生成該模塊已經丟失 它的信譽和/或該模塊被改變的行為的提醒。該提醒被發(fā)送給一個后端信譽系統(如軟件 信譽建立和監(jiān)控服務器計算機系統140)、用戶、管理者、或以其他方式進行登錄?；谶@個提醒，在一個實施方案中，關于該模塊的信譽是未知的一個警告被發(fā)送 給考慮安裝該模塊的新用戶。例如，該警告是從軟件信譽建立和監(jiān)控服務器計算機系統140 發(fā)送到主計算機系統103上。這允許(例如)主計算機系統103的新用戶對于是否安裝該 模塊做出更為知情的決定。在另一個實施方案中，在采取保護性動作的運作308中阻截了該模塊被改變的行 為。盡管以上陳述了保護性動作的某些實例，但是鑒于本披露，本領域的普通技術人員將會 理解，在采取保護性動作的運作308中可以采取各種各樣的保護性動作。在某些情況下，該模塊的行為中的改變是合法的，S卩，并非是與惡意代碼相關聯 的。然而，因為這個新的行為未被作為因素考慮進原始的信譽決定中，所以該模塊丟失了它 的原始信譽。在一個實施方案中，基于這個新的行為并且將其結合而為該模塊創(chuàng)建一種新 的信譽。在其他情況下，該模塊的行為中的改變是惡意的，S卩，它是與惡意代碼相關聯的。 為了說明這一點，傳統上，使用黑名單防惡意軟件的解決方案。更具體地講，已知惡意代碼 的一個列表(有時被稱作黑名單)被用于確定一個模塊是否是惡意的。更近些時候，白名單防惡意軟件解決方案越來越多地得到使用。更具體地講，已知 的被信任模塊的一個列表(有時被稱作白名單)被用于確定是否允許執(zhí)行一個模塊。這個安全白名單為在一個系統上運行的模塊提供了有力的身份。在一個實例中，將一個模塊的 貢獻作者的信譽歸屬于該模塊自身。然而，當一個被信任的模塊(例如，一個白名單上的模塊)變成惡意性(即，包含 了惡意代碼)時會出現問題。這個惡意的被信任模塊的問題是一個僅允許執(zhí)行被信任模塊 的系統不可改變的后果。攻擊者將惡意代碼植入一個被信任的模塊中從而產生一個惡意的 被信任模塊，以便利用主計算機系統來(例如)竊取最終用戶數據并且將該偷竊套現。在一個實例中，為了得到信任和信心而被置于白名單上，攻擊者持續(xù)一段時間發(fā) 行多個合法模塊。一旦被置于白名單上，這些攻擊者創(chuàng)建被置于白名單上的一個惡意模塊， 該白名單是基于發(fā)行了多個合法模塊的攻擊者的過去的記錄。在另一個實例中，攻擊者成為一個知名的軟件公司的內部人士并且向這個知名的 軟件公司的模塊中插入惡意代碼?；谠撃K是被該知名的軟件公司發(fā)行的事實，該惡意 模塊被置于白名單上。盡管提供了幾個實例，但是可以使用多項技術中的任意一項來產生 一個惡意的被信任模塊(如在具有本披露的益處的領域內的普通技術人員所認識的)，并 且所用的具體技術不是本質性的。為了檢測并擊敗惡意的被信任模塊，如前所述，在圖2的軟件信譽建立過程200的 創(chuàng)建模塊預期行為的信譽清單運作210中，當形成一個模塊的信譽時，獲得了對該模塊的 行為的知識。如果該模塊的行為改變了，這個改變在圖3的軟件信譽監(jiān)控過程300的行為 偏離預期行為檢查的運作306中被檢測出來。在一個實施方案中，如以上所討論的，當確定 該模塊的行為已經改變時，該模塊的信譽在采取保護性動作的運作308中被改變(例如，丟 失)。作為一個假設的實例，假定一個軟件發(fā)行商創(chuàng)建了一個新的圖像編輯模塊Image. exe0這個新的圖像編輯模塊Image, exe不具有一個被分配的模塊預期行為的信譽清單，并 且因此是一個未知模塊。因此，再次參見圖2，該圖像編輯模塊Image, exe在執(zhí)行未知模塊運作204中被執(zhí) 行，并且其行為在監(jiān)控并記錄模塊行為運作206中被監(jiān)控并被記錄。示意性地，這個新的圖 像編輯模塊Image, exe不對要求用戶賬號控制(UAC)批準的主計算機系統102做出改變， 而是僅修改圖像文件?；谶@個行為，在確定模塊信譽運作208中，將該圖像編輯模塊Image, exe確定為 是一個被信任的模塊。在創(chuàng)建模塊預期行為的信譽清單運作210中創(chuàng)建該圖像編輯模塊 Image, exe的一種預期行為的信譽清單(即，在監(jiān)控并記錄模塊行為運作206中被監(jiān)控并被 記錄的行為)。在將信譽清單與信譽相關聯的運作212中，該信譽清單是與信譽相關聯的?，F在參見圖3，在該圖像編輯模塊Image, exe的使用過程中，在行為偏離預期行為 檢查運作306中做出該圖像編輯模塊Image, exe的行為已經改變的一個確定。示意性地， 在該圖像編輯模塊Image, exe內部的惡意代碼(即，一個惡意的被信任模塊)釣取系統服 務并且改變系統文件。然而，在采取保護性動作的運作308中阻截這個惡意行為并且發(fā)出一個提醒。如 這個實例所演示的，根據不同的實施方案，惡意的被信任模塊被檢測出并且被擊敗。 再次參見圖1，盡管軟件信譽建立和監(jiān)控應用程序106被稱為是一個應用程序，這 僅是說明性的。軟件信譽建立和監(jiān)控應用程序106應當能夠從一個應用程序或運作系統中調用。在一個實施方 案中，一個應用程序總體上被定義為是任何可執(zhí)行的代碼。此外，在具 有本披露的益處的領域中的普通技術人員將會理解，當所說是一個應用程序或一個運作采 取某個動作時，該動作是由一個處理器執(zhí)行一個或多個指令的結果。盡管已經說明了用于客戶機-服務器配置的多個實施方案，但是一個實施方案是 使用任何適當的硬件配置或手段(包括個人計算機、工作站、便攜式裝置、或計算機裝置的 網絡)來實現的。在其他實施方案中使用了不是客戶機-服務器配置的其他網絡配置，例 如，對等、基于萬維網的、內部網、以及互聯網的多種網絡配置。在此，根據一個實施方案，計算機程序產品包括被配置為存儲計算機可讀代碼的 一種有形的存儲媒質。計算機程序產品的一些實例是⑶-ROM光盤、DVD、ROM卡、軟盤、磁帶、 計算機硬驅動器、以及網絡上的多個服務器。如圖1所示，這個媒質屬于計算機系統本身。然而，這個媒質還是從計算機系統上 拆下的。例如，軟件信譽建立和監(jiān)控應用程序106被存儲在物理地位于與處理器108不同 的位置上的一個存儲器(例如，服務器系統130的存儲器136)中。處理器108應當被連接 到存儲器136上。這可以在一種客戶機-服務器系統中實現，或者可替代地通過經由調制 解調器和模擬線路、或者數字接口和數字載波線路到另一個計算機上的連接而實現。更確切地說，在一個實施方案中，主計算機系統102和/或服務器系統130是便攜 式計算機、工作站、雙向傳呼機、蜂窩電話、數字無線電話、個人數字助理、服務器計算機、互 聯網設施、或者任何其他裝置，該裝置包括執(zhí)行根據在此說明的至少一個實施方案的軟件 信譽建立和監(jiān)控應用程序106的部件。類似地，在另一個實施方案中，主計算機系統102和 /或服務器系統130包括以下各項多個不同的計算機、無線裝置、蜂窩電話、數字電話、雙 向傳呼機、個人數字助理、服務器計算機、或者這些裝置的任何希望的組合，這些裝置被相 互連接以便執(zhí)行在此所述的多種方法。鑒于本披露，根據一個實施方案的軟件信譽建立和監(jiān)控應用程序106可以在各種 各樣的計算機系統配置中實施。此外，軟件信譽建立和監(jiān)控應用程序106可以被存儲為在 不同裝置的存儲器中的不同模塊。例如，軟件信譽建立和監(jiān)控應用程序106可以最初被存 儲在服務器系統130中，并且必要時，軟件信譽建立和監(jiān)控應用程序106的一部分可以被傳 送到主計算機系統102上并且在主計算機系統102上執(zhí)行。因此，軟件信譽建立和監(jiān)控功 能的一部分會在服務器系統130的處理器134上執(zhí)行，并且另一部分會在主計算機系統102 的處理器108上執(zhí)行。鑒于本披露，本領域的普通技術人員可以在各種各樣的物理硬件配 置中使用該用戶感興趣的運作系統和計算機編程語言來實施不同的實施方案。在又一個實施方案中，軟件信譽建立和監(jiān)控應用程序106被存儲在服務器系統 130的存儲器136中。軟件信譽建立和監(jiān)控應用程序106在網絡124上被傳送給主計算機 系統102中的存儲器114。在這個實施方案中，網絡接口 138和I/O接口 110將包括模擬調 制解調器、數字調制解調器、或網絡接口卡。如果使用了調制解調器，則網絡124包括一個 通信網絡，并且軟件信譽建立和監(jiān)控應用程序106是通過該通信網絡下載的。本披露提供了多個示例性實施方案。其范圍不限于這些示例性實施方案。無論是 由本說明書明確提供的還是由本說明書所暗示的，鑒于本披露，本領域的普通技術人員可 以實施眾多的變體。
權利要求
1.一種計算機實施的方法，包括記錄一個模塊的行為，所述記錄的行為是所述模塊的一種預期行為；并且 對照所述模塊取決于所述預期行為的表現來制定所述模塊的一種信譽。
2.如權利要求1所述的計算機實施的方法，進一步包括將所述預期行為與所述模塊的 所述信譽相關聯。
3.如權利要求2所述的計算機實施的方法，其中所述將所述預期行為與所述模塊的一 種信譽相關聯包括創(chuàng)建所述預期行為的一個信譽清單；并且 將所述信譽清單與所述信譽相關聯。
4.如權利要求3所述的計算機實施的方法，其中所述信譽清單是所述預期行為的一個集合。
5.如權利要求1所述的計算機實施的方法，進一步包括執(zhí)行所述模塊，其中在所述執(zhí) 行時，所述模塊表現出所述行為。
6.如權利要求1所述的計算機實施的方法，其中所述模塊的所述行為包括所述模塊在 多個設施上的行為。
7.如權利要求1所述的計算機實施的方法，其中所述信譽是所述模塊的總體可信任度。
8.如權利要求1所述的計算機實施的方法，進一步包括從所述記錄的行為中確定所述 模塊的所述信譽。
9.如權利要求8所述的計算機實施的方法，其中所述預期行為是在進行從所述記錄的 行為中對所述模塊的所述信譽的所述確定時所述模塊的一種行為。
10.如權利要求1所述的計算機實施的方法，進一步包括確定所述模塊的新行為是否 偏離了所述預期行為。
11.如權利要求10所述的計算機實施的方法，其中當確定所述模塊的所述新行為未偏 離所述預期行為時，所述計算機實施的方法進一步包括不采取進一步動作。
12.如權利要求10所述的計算機實施的方法，其中當確定所述模塊的所述新行為確實 偏離了所述預期行為時，所述計算機實施的方法進一步包括采取保護性動作。
13.如權利要求12所述的計算機實施的方法，其中所述采取保護性動作包括撤銷所述信譽。
14.如權利要求13所述的計算機實施的方法，其中所述撤銷所述信譽包括向所述模塊 分配一個降低的信譽。
15.如權利要求12所述的計算機實施的方法，其中所述采取保護性動作包括產生所述 模塊的所述新行為已經偏離了所述預期行為的一個提醒。
16.如權利要求15所述的計算機實施的方法，其中，基于所述提醒，對考慮安裝所述模 塊的新用戶發(fā)出一個警告。
17.如權利要求16所述的計算機實施的方法，其中所述警告包括將所述模塊具有一種 未知的信譽通知給所述新用戶。
18.如權利要求12所述的計算機實施的方法，其中所述采取保護性動作包括阻截所述 的新行為。
19.一種計算機系統，包括一個存儲器，該存儲器已在其中存儲了一個軟件信譽建立和監(jiān)控應用程序；以及 一個處理器，該處理器連接到所述存儲器上，其中所述的軟件信譽建立和監(jiān)控應用程 序的執(zhí)行產生了一種方法，該方法包括記錄一個模塊的行為，所述記錄的行為是所述模塊的一種預期行為；并且 對照所述預期行為取決于所述模塊的表現來制定所述模塊的一種信譽。
20.一種計算機程序產品，該計算機程序產品包括一種有形的計算機可讀存儲媒質，該 計算機可讀存儲媒質包含計算機程序代碼，該計算機程序代碼包括一個軟件信譽建立和監(jiān)控應用程序，該應用程序用于記錄一個模塊的行為，所述記錄 的行為是所述模塊的一種預期行為；并且所述軟件信譽建立和監(jiān)控應用程序進一步用于對照所述預期行為取決于所述模塊的 表現來制定所述模塊的一種信譽。
全文摘要
在形成一個模塊的信譽時獲取對該模塊的行為的知識。如果該模塊的行為發(fā)生了改變，對這個改變進行檢測。在一個實施方案中，在確定了該模塊的行為已經改變時，則丟失該模塊的原始信譽。以此方式，檢測并且擊敗惡意的被信任的模塊。
文檔編號G06F21/00GK102037472SQ200980118751
公開日2011年4月27日 申請日期2009年6月9日 優(yōu)先權日2008年6月18日
發(fā)明者B·赫納克, W·曹貝樂 申請人:賽門鐵克公司