[发明专利]审核设备

说明书

对其他申请的交叉引用

本申请要求对于2009年8月17日提交的美国临时专利申请号61/234,604、标题为DETECTION OF MALWARE的优先权、于2009年11月2日提交的美国临时专利申请号61/257,043、标题为AUDITING A DEVICE的优先权以及于2009年12月14日提交美国临时专利申请号61/286,369、标题为AUDITING A DEVICE的优先权，出于所有目的通过引用将以上每个全部结合于此。

背景技术

用于检测存在未授权程序现有技术通常是资源密集的。例如它们一般需要持续更新（例如黑名单）和针对问题定期或者连续扫描。如果受这样的技术保护的设备具有有限资源（诸如有限的存储器）或者由电池供电则使该情形恶化。作为一个示例，具有有限资源的设备可能不能存储用于检测所有已知未授权程序的定义。作为另一示例，扫描未授权程序通常是功率密集的动作并且可能快速耗尽电池供电的设备的电池。在一些环境中，中央机构用来促进发现未授权程序。这一方式的一个缺点在于它通常需要受保护的设备编译设备活动的详细日志。生成这样的日志是资源密集的（例如需要大量盘储存；用于汇编日志数据的处理能力；以及用于向中央机构递送日志数据的带宽）并且也可能出现隐私问题。

用于检测存在未授权程序的现有技术一般还易受这样的程序尝试引起不正确报告的攻击。例如rootkit可以“监听”应用向操作系统的请求并且可以修改这些请求及其响应。如果应用请求关于什么进程在运行的信息，则恶意rootkit应用可以通过从操作系统返回的报告中去除关于其本身的信息来避免检测。

也已知用于屏蔽安装或者执行未授权程序的现有技术易受恶意软件的如下新实例攻击，由于缺乏关于这些实例的结构和功能的信息而可能不可立即检测它们。因此并且无论可用于设备的资源如何，如果未授权程序充分复杂和/或前所未见，则它可以规避检测并且引起未检测到的损害。并且如果用户已经有意安装未授权程序以绕过检测（例如为了促进软件盗版），则传统技术可能无法定位未授权程序或者任何其他未授权活动。

附图说明

在下文详细描述和附图中公开本发明的各种实施例。

图1图示了其中提供设备审核的环境的实施例。

图2图示了设备的实施例。

图3图示了用于执行设备审核的过程的实施例。

图4图示了用于执行设备审核的过程的实施例。

图5A图示了在执行图3中所示过程之前的存储器的表示。

图5B图示了在图3中所示过程出现之时的存储器的表示。

图6图示了用于执行设备审核的过程的实施例。

图7图示了用于与审核设备结合使用的伪代码的示例。

图8图示了用于执行设备审核的过程的示例。

图9图示了其中提供设备审核的环境的实施例。

图10图示了设备的一部分的实施例。

图11图示了用于执行设备审核的过程的实施例。

图12图示了根据步进读取存储器的一部分。

图13图示了用于选择性地读取存储器的过程的实现的实施例。

图14图示了用于对设备审核的一部分定时的过程的实现的实施例。

具体实施方式

现在用多种方式实现本发明，包括实现为过程；装置；系统；物质组成；在计算机可读存储介质上体现的计算机程序产品；和/或处理器（诸如被配置成执行在耦合到处理器的存储器上存储和/或由该存储器提供的指令的处理器）。在本说明书中，这些实现或者本发明可以采用的任何其他形式可以称为技术。一般而言，可以在本发明的范围内变更公开的过程的步骤顺序。除非另有指明，描述为被配置成执行任务的部件（诸如处理器或者存储器）可以被实现为暂时被配置成在给定的时间执行该任务的一般部件或者被制造以执行该任务的具体部件。如这里所用，术语‘处理器’是指被配置成处理数据（诸如计算机程序指令）的一个或者多个设备、电路和/或处理核。

下文与图示本发明原理的附图一起提供对本发明的一个或者多个实施例的详细描述。结合这样的实施例描述本发明，但是本发明并不限于任何实施例。本发明的范围仅受权利要求书限制，并且本发明涵盖诸多替代方案、修改和等效实施例。在下文描述中阐述诸多具体细节以便提供对本发明的透彻理解。出于举例的目的而提供这些细节，并且无这些具体细节中的一些或者所有细节也可以根据权利要求实现本发明。为求简洁，不详细地描述与本发明有关的技术领域中已知的技术材料，使得没有不必要地使本发明难以理解。