与签名无关的基于系统行为的恶意软件检测

1.一种计算机实现的方法，包括：
识别对于包括一个或多个资源的处理系统的当前操作模式预期为活动的至少一个过程；
以所述当前操作模式和所述预期为活动的至少一个过程为基础计算所述处理系统的所述一个或多个资源的预期活动水平；
确定所述多个资源的实际活动水平；
如果在所述预期活动水平和所述实际活动水平之间检测到偏差，则将未预期活动的源识别为所述偏差的潜在原因；
使用策略准则来确定所述未预期活动是否合法；以及
如果所述未预期活动不合法，则将所述未预期活动的所述源分类为恶意软件，所述方法进一步包括：
识别所述处理系统的所述当前操作模式到新操作模式的改变；
识别预期为活动的第二至少一个过程；以及
以所述新操作模式和所述预期为活动的第二至少一个过程为基础调整所述预期活动水平。
2.如权利要求1所述的方法，进一步包括：
将所述处理系统的快照发送到远程服务器，其中所述远程服务器执行所述快照的验证。
3.如权利要求1所述的方法，进一步包括：
将所述处理系统的快照发送到远程服务器，其中所述远程服务器针对病毒签名分析所述快照。
4.如权利要求1所述的方法，进一步包括：
终止所述未预期活动的所述源。
5.如权利要求1所述的方法，其中
使用所述策略准则来确定所述未预期活动是否合法包括确定所述源是否被签名。
6.如权利要求1所述的方法，其中
使用所述策略准则来确定所述未预期活动是否合法包括：
警告用户所述未预期活动；以及
从所述用户获得关于所述未预期活动的反馈。
7.一种处理系统，包括：
至少一个处理器；以及
存储器，其耦接到所述至少一个处理器，所述存储器包括指令，所述指令在被执行时使所述处理器执行下面的操作：
识别对于包括一个或多个资源的处理系统的当前操作模式预期为活动的至少一个过程；
以所述当前操作模式和所述预期为活动的所述至少一个过程为基础计算所述处理系统的所述一个或多个资源的预期活动水平；
确定所述多个资源的实际活动水平；
如果在所述预期活动水平和所述实际活动水平之间检测到偏差，则将未预期活动的源识别为所述偏差的潜在原因；
使用策略准则来确定所述未预期活动是否合法；以及
如果所述未预期活动不合法，则将所述未预期活动的所述源分类为恶意软件，所述操作进一步包括：
识别所述处理系统的所述当前操作模式到新操作模式的改变；
识别预期为活动的第二至少一个过程；以及
以所述新操作模式和所述预期为活动的第二至少一个过程为基础调整所述预期活动水平。
8.如权利要求7所述的系统，其中，所述指令在被执行时进一步使所述处理器执行操作，所述操作包括：
将所述处理系统的快照发送到远程服务器，其中所述远程服务器执行所述快照的验证。
9.如权利要求7所述的系统，其中，所述指令在被执行时进一步使所述处理器执行操作，所述操作包括：
将所述处理系统的快照发送到远程服务器，其中所述远程服务器针对病毒签名分析所述快照。
10.如权利要求7所述的系统，其中，所述指令在被执行时进一步使所述处理器执行操作，所述操作包括：
终止所述未预期活动的所述源。
11.如权利要求7所述的系统，其中
使用所述策略准则来确定所述未预期活动是否合法包括确定所述源是否被签名。
12.如权利要求7所述的系统，其中
使用所述策略准则来确定所述未预期活动是否合法包括：
警告用户所述未预期活动；以及
从所述用户获得关于所述未预期活动的反馈。
13.一种处理系统，包括：
用于识别对于包括一个或多个资源的所述处理系统的当前操作模式预期为活动的至少一个过程的单元；
用于以所述当前操作模式和所述预期为活动的至少一个过程为基础计算所述处理系统的所述一个或多个资源的预期活动水平的单元；
用于确定所述多个资源的实际活动水平的单元；
用于如果在所述预期活动水平和所述实际活动水平之间检测到偏差，则将未预期活动的源识别为所述偏差的潜在原因的单元；
用于使用策略准则来确定所述未预期活动是否合法的单元；以及
用于如果所述未预期活动不合法，则将所述未预期活动的所述源分类为恶意软件的单元，
所述处理系统进一步包括：
用于识别所述处理系统的所述当前操作模式到新操作模式的改变的单元；
用于识别预期为活动的第二至少一个过程的单元；以及
用于以所述新操作模式和所述预期为活动的第二至少一个过程为基础调整所述预期活动水平的单元。
14.如权利要求13所述的处理系统，进一步包括：
用于将所述处理系统的快照发送到远程服务器的单元，其中所述远程服务器执行所述快照的验证。
15.如权利要求13所述的处理系统，进一步包括：
用于将所述处理系统的快照发送到远程服务器的单元，其中所述远程服务器针对病毒签名分析所述快照。
16.如权利要求13所述的处理系统，进一步包括：
用于终止所述未预期活动的所述源的单元。
17.如权利要求13所述的处理系统，其中
所述用于使用所述策略准则来确定所述未预期活动是否合法的单元包括用于确定所述源是否被签名的单元。
18.如权利要求13所述的处理系统，其中
所述用于使用所述策略准则来确定所述未预期活动是否合法的单元包括：
用于警告用户所述未预期活动的单元；以及
用于从所述用户获得关于所述未预期活动的反馈的单元。

暂无