[发明专利]一种基于云的样本数据库动态维护方法

权利要求书

1.一种基于云的样本数据库动态维护方法，其特征在于，包括如下步骤：

由客户端计算机收集程序特征及其对应的程序行为，并传送至服务器端；

在服务器端数据库中记录不同的程序特征及其对应的程序行为，以及黑/白名单；

结合现有已知黑/白名单中的程序特征及其对应的程序行为，对未知程序特征及程序行为进行分析，以更新黑/白名单。

2.如权利要求1所述的方法，其特征在于，所述对未知程序特征及其程序行为进行分析的步骤，包括：

如果未知程序特征与现有黑/白名单中的已知程序特征相同，则将该未知程序特征及其程序行为列入黑/白名单。

3.如权利要求1所述的方法，其特征在于，所述对未知程序特征及其程序行为进行分析的步骤，包括：

如果未知程序行为与现有黑/白名单中的已知程序行为相同或近似，则将该未知程序行为及其程序特征列入黑/白名单。

4.如权利要求1所述的方法，其特征在于，进一步包括：

在具有相同或近似行为的程序之间建立行为与特征的关联关系；

根据所述具有相同或近似行为的程序之间的关联关系，对未知程序特征及程序行为进行分析，以更新黑/白名单。

5.如权利要求4所述的方法，其特征在于，所述对未知程序特征及其程序行为进行分析的步骤，包括：

当某程序行为被列入黑/白名单时，在数据库中将该程序行为对应的程序特征列入黑/白名单，并将与该程序行为有关联关系的其他程序行为和程序特征也列入黑/白名单。

6.如权利要求4所述的方法，其特征在于，所述对未知程序特征及其程序行为进行分析的步骤，包括：

当某程序特征被列入黑/白名单时，在数据库中将该程序特征对应的程序行为列入黑/白名单，并将与该程序特征有关联关系的其他程序行为和程序特征也列入黑/白名单。

7.如权利要求1所述的方法，其特征在于，进一步包括：

在数据库中针对被列入黑名单的程序，进一步记录该程序的逆向行为，以在确认客户端计算机中存在或运行过该被列入黑名单的程序时，执行所述逆向行为。

8.如权利要求1所述的方法，其特征在于，进一步包括：

在数据库中针对被列入黑名单的程序，根据该程序的行为，确定客户端计算机被感染文件的信息；

根据被感染文件的信息，将存储于数据库中的一份完好的对应文件下载至客户端计算机中覆盖被感染文件。

9.如权利要求1所述的方法，其特征在于，进一步包括：

在数据库中进一步记录在一预设时间内由不同客户端计算机收集到的相同的程序特征的数量变化；

根据所述程序特征的数量变化，对未知程序特征及程序行为进行分析，以更新黑/白名单。

10.如权利要求9所述的方法，其特征在于，所述根据程序特征的数量变化，对未知程序特征及程序行为进行分析的步骤，包括：

如果在一预设时间内，由不同客户端计算机收集到的某个未知程序特征的数量增减超过阈值，则在数据库中将该程序特征及其对应的程序行为列入黑名单。