[发明专利]用于检测恶意代码的方法和系统

权利要求书

1.一种检测恶意代码的方法，包括：

接收检测样本；

利用多种恶意代码鉴定器分别对所述检测样本进行检测以获得多个检测结果；

根据文件信誉评分策略，确定检测结果的可信度和信誉值，其中所述可信度表示检测结果是否具有恶意性和/或安全性，所述信誉值为对应可信度的量化信任程度，所述可信度包括疑黑和疑白，其中疑黑表示检测结果可能具有恶意性，疑白表示检测结果可能具有安全性；以及

基于所述检测结果的可信度和信誉值确定所述检测样本的最终鉴定结果；

其中，所述基于所述检测结果的可信度和信誉值确定所述检测样本的最终鉴定结果包括：

根据可信度和信誉值判定策略对所述检测结果的可信度和信誉值进行处理以获得对所述检测样本的最终鉴定结果；

其中，所述根据可信度和信誉值判定策略对所述检测结果的可信度和信誉值进行处理包括：

若所述检测结果的可信度之间存在冲突，则根据所述检测结果的冲突优先级来确定最终鉴定结果，其中，所述冲突优先级根据所述文件信誉评分策略分配；

所述可信度和信誉值判定策略包括以下至少一项：

若所述多个检测结果均为疑黑，则当所述多个检测结果的累计信誉值在第一预定阈值以上时，判定所述检测样本的最终鉴定结果为黑状态，否则判定所述检测样本的最终鉴定结果为灰状态；

若所述多个检测结果均为疑白，则当所述多个检测结果的累计信誉值在第二预定阈值以上时，判定所述检测样本的最终鉴定结果为白状态，否则判定所述检测样本的最终鉴定结果为灰状态；以及

若所述多个检测结果存在疑黑疑白冲突，则当疑黑的检索结果的信誉值与疑白的检索结果的信誉值之间的差距在第三预定阈值以上时，判定所述检测样本的最终鉴定结果与信誉值高的检索结果一致，否则判定所述检测样本的最终鉴定结果为灰状态。

2.根据权利要求1所述的方法，其中，根据文件信誉评分策略，确定检测结果的可信度和信誉值包括：

在所述文件信誉评分策略中，根据已知的各种恶意代码的信息，预先设置各类恶意代码检测结果的可信度；以及根据恶意代码鉴定器的误报率，预先设置各类恶意代码检测结果的信誉值。

3.根据权利要求2所述的方法，其中，根据文件信誉评分策略，确定检测结果的可信度和信誉值包括：

确定与所述检测结果匹配的恶意代码检测结果；以及

将匹配的恶意代码检测结果的可信度和信誉值赋予所述检测结果。

4.根据权利要求1所述的方法，其中，所述可信度和信誉值判定策略包括以下至少一项：

若所述多个检测结果存在具有恶意性具有安全性冲突并且冲突优先级不一样时，则判定所述检测样本的最终鉴定结果与具有最高优先级的检测结果一致；

若所述多个检测结果均为可能具有恶意性，则当所述多个检测结果的累计信誉值在第一预定阈值以上时，判定所述检测样本的最终鉴定结果为具有恶意性状态，否则判定所述检测样本的最终鉴定结果为不确定状态；

若所述多个检测结果均为可能具有安全性，则当所述多个检测结果的累计信誉值在第二预定阈值以上时，判定所述检测样本的最终鉴定结果为具有安全性状态，否则判定所述检测样本的最终鉴定结果为不确定状态；以及

若所述多个检测结果存在可能具有恶意性可能具有安全性冲突，则当可能具有恶意性的检索结果的信誉值与可能具有安全性的检索结果的信誉值之间的差距在第三预定阈值以上时，判定所述检测样本的最终鉴定结果与信誉值高的检索结果一致，否则判定所述检测样本的最终鉴定结果为不确定状态。

5.根据权利要求1所述的方法，其中，根据可信度和信誉值判定策略对所述检测结果的可信度和信誉值进行处理包括：

若所述检测结果的可信度之间存在冲突，则根据所述检测结果的冲突优先级和信誉值来确定最终鉴定结果。

6.根据权利要求5所述的方法，其中，所述可信度包括以下任一：黑、白、灰，其中黑表示检测结果具有恶意性，白表示检测结果具有安全性，灰表示不确定。