CN103235918B - 可信文件的收集方法及*** - Google Patents

Abstract

本发明涉及网络通信技术领域，其公开了一种可信文件的收集方法及***。该可信文件的收集方法包括：获取样本文件的数字签名；确定数字签名是否可信；当确定数字签名可信时，将样本文件收集到预设的可信文件数据库中。根据本发明的可信文件的收集方法及***，通过获取样本文件的数字签名并判断数字签名是否可信的方式来收集可信文件。由此解决了现有技术中在前期通过训练产生可信特性码时需要用到大量的样本文件，而且训练过程较为耗时，导致收集不及时，比较滞后的问题。

Description

可信文件的收集方法及***

技术领域

本发明涉及网络通信技术领域，具体涉及一种可信文件的收集方法及***。

背景技术

在“云安全”体系中，可信文件的收集一直是个难题，一方面要尽可能全面地收集主流的可信文件，另一方面又要避免错误地收集到非可信文件，两者之间在一定程度上是矛盾的。

目前，在传统的可信文件收集方式中，一般采用特性码匹配的方式来判别文件是否可信。在这种方式中，首先，需要通过大量的可信文件来进行样本训练，从而学习产生可信的特性码；然后，在后续的收集过程中，根据待收集文件的特性码是否属于上面产生的可信的特性码来判定待收集的文件是否可信。

但是，上述方式在前期通过训练产生可信特性码时需要用到大量的样本文件，而且训练过程较为耗时，导致收集不及时，比较滞后。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的可信文件的收集方法及***。

依据本发明的一个方面，提供了一种可信文件的收集方法，包括：获取样本文件的数字签名；确定数字签名是否可信；当确定数字签名可信时，将样本文件收集到预设的可信文件数据库中。

可选地，确定数字签名是否可信具体包括：判断数字签名是否已存储在预设的可信签名数据库中，如果判断结果为是，则确定数字签名可信。

可选地，如果判断结果为否，则上述方法进一步包括步骤：根据预设的判断规则确定数字签名是否可信，且当根据判断规则确定数字签名可信时，进一步将数字签名存储到预设的可信签名数据库中。

可选地，预设的判断规则包括以下规则中的一个或多个：根据数字签名中包含的公司名称或颁发者名称判断数字签名是否属于正规公司的签名；根据预设的恶意签名数据库判断数字签名签发的历史样本中是否存在恶意样本，其中，预设的恶意签名数据库用于存储签发过恶意样本的数字签名；数字签名是否在有效期内；以及数字签名与可信签名数据库中已存储的数字签名之间的相似度是否大于预设阈值。

可选地，将样本文件收集到预设的可信文件数据库中之后进一步包括步骤：调用杀毒引擎定期扫描可信文件数据库中的文件；通过扫描确定可信文件数据库中存在可疑文件时，分析可疑文件是否为恶意文件；如果可疑文件为恶意文件，将恶意文件的数字签名从可信签名数据库中删除，并进一步在可信文件数据库中分析由恶意文件的数字签名签发的所有样本文件是否为恶意文件。

可选地，将样本文件收集到预设的可信文件数据库中之后进一步包括步骤：当确定可信签名数据库中的数字签名的签名证书失效，或者，确定数字签名的密钥泄漏时，将数字签名从可信签名数据库中删除，并进一步在可信文件数据库中分析由数字签名签发的所有样本文件是否为恶意文件。

依据本发明的另一方面，提供了一种可信文件的收集***，包括：获取模块，适于获取样本文件的数字签名；确定模块，适于确定数字签名是否可信；收集模块，适于当确定数字签名可信时，将样本文件收集到预设的可信文件数据库中。

可选地，确定模块适于判断数字签名是否已存储在预设的可信签名数据库中，如果判断结果为是，则确定数字签名可信。

可选地，如果判断结果为否，则确定模块进一步适于根据预设的判断规则确定数字签名是否可信，且当根据判断规则确定数字签名可信时，进一步将数字签名存储到预设的可信签名数据库中。

可选地，预设的判断规则包括以下规则中的一个或多个：根据数字签名中包含的公司名称或颁发者名称判断数字签名是否属于正规公司的签名；根据预设的恶意签名数据库判断数字签名签发的历史样本中是否存在恶意样本，其中，预设的恶意签名数据库用于存储签发过恶意样本的数字签名；数字签名是否在有效期内；以及数字签名与可信签名数据库中已存储的数字签名之间的相似度是否大于预设阈值。

可选地，该***进一步包括：扫描模块，适于调用杀毒引擎定期扫描可信文件数据库中的文件；分析模块，适于在扫描模块确定可信文件数据库中存在可疑文件时，分析可疑文件是否为恶意文件；网络后台模块，适于在可疑文件为恶意文件时，将恶意文件的数字签名从可信签名数据库中删除，并进一步在可信文件数据库中分析由恶意文件的数字签名签发的所有样本文件是否为恶意文件。

可选地，网络后台模块进一步适于：当确定可信签名数据库中的数字签名的签名证书失效，或者，确定数字签名的密钥泄漏时，将数字签名从可信签名数据库中删除，并进一步在可信文件数据库中分析由数字签名签发的所有样本文件是否为恶意文件。

根据本发明的可信文件的收集方法及***，通过获取样本文件的数字签名并判断数字签名是否可信的方式来收集可信文件。由此解决了现有技术中在前期通过训练产生可信特性码时需要用到大量的样本文件，而且训练过程较为耗时，导致收集不及时，比较滞后的问题，取得了能够直接根据数字签名收集可信文件，从而提高了收集效率的有益效果。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1示出了本发明实施例提供的可信文件的收集方法的流程图；以及

图2示出了本发明实施例提供的可信文件的收集***的结构图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

图1示出了本发明实施例提供的可信文件的收集方法的流程图。如图1所示，该方法起始于步骤S110，在步骤S110中，获取样本文件的数字签名。

这里提到的样本文件是通过下载等方式获得的待收集文件。获得样本文件之后，需要进一步获取样本文件中所包含的数字签名。其中，“数字签名”是指可以添加到文件中的电子安全标记，使用数字签名可以验证文件的发行者以及帮助验证文件自被数字签名后是否发生更改，一般正规软件厂商发布的软件都带有自身的数字签名。具体地，在获取样本文件中包含的数字签名时，可以通过调用windows提供的API接口Win-VerifyTrust进行获取。

通过步骤S110获取到样本文件的数字签名之后，接下来，在步骤S120中，进一步确定步骤S110中获取到的数字签名是否可信。具体地，在步骤S120中确定上述数字签名是否可信时，主要是通过判断上述数字签名是否已存储在预设的可信签名数据库中来实现的，如果判断出上述数字签名已经存储在了预设的可信签名数据库中，则确定上述数字签名可信。

其中，该预设的可信签名数据库用于存储可信的数字签名。在本发明实施例中，可以在可信文件收集方法的执行过程中动态创建该可信签名数据库。由于该可信签名数据库是动态创建的，因此，在通过步骤S120处理第一个样本文件之前，该可信签名数据库中存储的可信签名为空，因此，步骤S120中处理的第一个样本文件中的数字签名必然没有存储在该可信签名数据库中。

相应地，当判断出上述数字签名没有存储在该可信签名数据库中时，还需要进一步执行以下步骤：根据预设的判断规则确定上述数字签名是否可信，且当根据预设的判断规则确定出上述数字签名可信时，进一步将上述数字签名存储到该可信签名数据库中，从而实现该可信签名数据库的动态创建和更新。

其中，预设的判断规则可以包括以下四种规则中的一个或多个：

（1）根据上述数字签名中包含的公司名称或颁发者名称判断上述数字签名是否属于正规公司的签名。

在根据该规则进行判断时，首先需要获取数字签名中包含的公司名称或颁发者名称，其中，公司名称例如可以是百度、腾讯等签发数字签名的公司的名称，颁发者名称是指为签发数字签名的公司颁发该数字签名的上一级公司的名称。如果数字签名中包含的公司名称或颁发者名称属于正规公司的名称，则可以确定上述数字签名属于正规公司的签名，因而确定该数字签名是可信的；反之，则确定该数字签名是不可信的。其中，正规公司的名称通常是指一些为人们所熟知的知名公司（例如百度、腾讯等），可以预先筛选出这些公司的名称，并将其存储在一个列表中，以便于在该规则中使用。

通过该规则来判断数字签名是否可信的依据在于，通常情况下，正规公司签发的数字签名都是通过正规渠道得到的可信的数字签名。

（2）根据预设的恶意签名数据库判断上述数字签名签发的历史样本中是否存在恶意样本，其中，预设的恶意签名数据库用于存储签发过恶意样本的数字签名。

在根据该规则进行判断时，需要事先维护一个恶意签名数据库，每当发现恶意样本时，就将签发该恶意样本的数字签名存储到该恶意签名数据库中，从而确保几乎所有签发过恶意样本的数字签名都被存储到该恶意签名数据库中。由此一来，如果发现上述数字签名属于该恶意签名数据库，就可以确定该数字签名签发的历史样本中存在恶意样本，进而确定该数字签名为不可信；反之，则说明该数字签名可信。

通过该规则来判断数字签名是否可信的依据在于，通常情况下，一个数字签名会先后签发大量的样本文件，如果发现某一数字签名曾经签发过恶意样本（相应地该数字签名将被存储到恶意签名数据库中），就说明该数字签名有可能被非法人员盗用，因而该数字签名后续签发的样本文件也极有可能是不可信的。

（3）上述数字签名是否在有效期内。

在根据该规则进行判断时，首先需要获取数字签名中包含的签名时间和签名证书的有效期。例如，签名时间为2013年1月1日，有效期为3个月。因此，如果当前日期为2013年2月2日，则说明该数字签名仍然在有效期内，进而确定该数字签名是可信的；如果当前日期为2013年4月5日，则说明该数字签名已不在有效期内，进而确定该数字签名是不可信的。

通过该规则来判断数字签名是否可信的依据在于，通常情况下，有效期内的数字签名是合法的数字签名，而有效期外的数字签名则是已失效甚至非法的数字签名。

（4）上述数字签名与可信签名数据库中已存储的数字签名之间的相似度是否大于预设阈值。

在根据该规则进行判断时，需要将上述数字签名与可信签名数据库中已经存储的每一数字签名分别进行相似度比较，如果发现上述数据签名与可信签名数据库中已经存储的某一数字签名之间的相似度大于预设阈值，则可以推定该数字签名为可信；反之，推定该数字签名为不可信。

通过该规则来判断数字签名是否可信的依据在于，通常情况下，签发公司相同或者颁发者相同的多个数字签名之间存在着一定的相似性，这些相似的数字签名中如果有一个已经被确定为可信的，那么其余的几个也很可能是可信的。

上面介绍的四种规则可以单独使用，也可以结合起来使用。另外，除了这四种规则之外，本领域技术人员也可以灵活选用其他的规则来判断数字签名是否可信。

通过上面的方式，就可以在步骤S120中确定出数字签名是否可信。在上面介绍的步骤S120中，可信签名数据库是动态创建的，因此，当在步骤S120中处理第一个样本文件时，可信签名数据库中还没有存储可信的数字签名，因此，需要根据上述预设的判断规则来判断第一个样本文件中的数字签名是否可信，并在数字签名可信时将该数字签名添加到可信签名数据库中，后续的样本文件处理过程依此类推。通过这种方式，无需将创建可信签名数据库的步骤作为一个单独的步骤刻意执行，只需在每个样本文件的判断过程中随时动态地添加可信签名从而逐步完善该可信签名数据库即可，省去了单独创建该可信签名数据库的操作过程。

但是，在实际情况中，也可以根据需要，预先创建可信签名数据库，即：事先通过一定量的样本文件筛选出可信的数字签名，将其存储在可信签名数据库中。具体筛选时，也可以通过上面介绍的四种规则进行筛选。这样，在步骤S120中处理第一个样本文件时，就可以直接根据可信签名数据库来得到判断结果。这样的做法虽然需要单独创建可信签名数据库，但是在步骤S120中可以直接使用该数据库，无需再根据预设的规则对每个样本文件进行判断，因而也具备一定的优势。

或者，也可以将上述两种方式结合起来，预先筛选出一定数量的可信的数字签名，并根据这些数字签名完成可信签名数据库的初步创建，然后，在后续的步骤S120中，如果判断出数字签名属于该可信签名数据库，即可直接确定该数字签名可信；如果判断出数字签名不属于该可信签名数据库，则继续通过上面提到的预设的判断规则进行判断，并在判断出该数字签名可信时，进一步将该数字签名添加到可信签名数据库中，从而既可以在步骤S120刚开始执行时就能够使用该可信签名数据库，又可以在后续的过程中对该可信签名数据库进行完善，以便提高判断的准确性。

执行完步骤S120之后，在步骤S130中，当确定上述数字签名可信时，将相应的样本文件收集到预设的可信文件数据库中。在步骤S130中收集可信文件的依据在于，通常情况下，如果签发样本文件的数字签名是可信的，则该样本文件也是可信的。

通过上面的方式，就实现了可信文件的收集。在上述收集方式中，通过数字签名来识别可信文件，由于一个数字签名会对应大量的文件，所以通过数字签名可以轻松地收集到更多数量的可信文件，因此大大提高了收集效率。另外，由于数字签名难以模仿，本身就具有防伪功能，而且，只要正规厂商的数字签名是正确的，其签发的文件通常也都是正确的，所以，通过数字签名来收集可信文件还大大提高了收集的准确性，从而保证了可信文件数据库的收集文件的准确性。

进一步地，为了能够更好地保证可信文件数据库的收集文件的准确性，避免错误地收集到不可信的文件，该收集方法在步骤S130之后还可以进一步包括步骤S140。在步骤S140中，调用杀毒引擎定期扫描可信文件数据库中的文件；通过扫描确定可信文件数据库中存在可疑文件时，分析可疑文件是否为恶意文件；如果可疑文件为恶意文件，将恶意文件的数字签名从可信签名数据库中删除，并进一步在可信文件数据库中分析由该恶意文件的数字签名签发的所有样本文件是否为恶意文件。

其中，调用杀毒引擎定期扫描可信文件数据库中的文件时，可以通过常规的杀毒软件实现。当杀毒软件通过扫描发现可疑文件时，通常会通过弹窗等提示方式进行提示。本领域技术人员可以根据需要灵活设置杀毒软件确定可疑文件时所采用的规则，本发明对此不作限定。当发现可疑文件之后，需要进一步分析该可疑文件是否是恶意文件，具体地，可以根据可疑文件的行为特征来确定其是否为恶意文件，常见的恶意文件包括木马或病毒等，这些恶意文件的具体行为特征可根据其自身的特点进行设定。如果发现可信签名数据库中确实出现了恶意文件，则可以推定签发该恶意文件的数字签名有可能是不可信的，因而将签发该恶意文件的数字签名从可信签名数据库中删除，进一步地还可以将签发该恶意文件的数字签名存入恶意签名数据库中。

另外，由于该数字签名已经被推定为不可信的，因而，该数字签名所签发的其他样本文件也极有可能是不可信的（即潜在的恶意文件）。对此，还可以进一步地在可信文件数据库中逐一分析由该数字签名签发的所有样本文件是否为恶意文件，如果是恶意文件，则将其从可信文件数据库中删除，以维持可信文件数据库的收集文件的准确性。或者，为了能在第一时间内将这些潜在的恶意文件从可信文件数据库中删除，以及时避免这些潜在的恶意文件所造成的危害，也可以先在可信文件数据库中将该数字签名签发的所有样本文件全部删除，然后再通过逐一分析的方式来判断其是否是恶意文件，如果不是恶意文件，再将其重新添加到可信文件数据库中。

通过步骤S140中的定期扫描的方式，就可以实现对可信文件数据库的定期检查，以便剔除不可信的文件。除此之外，还可以在步骤S130之后进一步包括步骤S150。在步骤S150中，当确定可信签名数据库中的数字签名的签名证书失效，或者，确定数字签名的密钥泄漏时，将该数字签名从可信签名数据库中删除，并进一步在可信文件数据库中分析由该数字签名签发的所有样本文件是否为恶意文件。

其中，在确定可信签名数据库中的数字签名的签名证书是否失效时，主要是根据证书颁发者发布的证书吊销列表来判断的。证书颁发者通常会定期发布证书吊销列表，以便用户及时了解被吊销的证书。如果可信签名数据库中某一数字签名的签名证书被列在了该证书吊销列表中，则说明该数字签名的签名证书已经失效，因而该数字签名也变为不可信的，所以需要将其从可信签名数据库中删除，进一步地，还可以该数字签名添加到恶意签名数据库中。

在确定数字签名的密钥是否泄漏时，主要是根据网上发布的密钥泄漏消息来判断的。正规的软件厂商在发现密钥泄漏时，为了防止第三方利用该密钥来签发恶意文件，一般会在网上发布密钥泄漏的消息，以使用户及时了解这一情况。如果可信签名数据库中某一数字签名的密钥被发布在网上，则说明该数字签名的密钥已经泄漏，因而该数字签名也变为不可信的，所以需要将其从可信签名数据库中删除，进一步地，还可以该数字签名添加到恶意签名数据库中。

同样的，由于该数字签名已经被推定为不可信的，因而，该数字签名所签发的其他样本文件也极有可能是不可信的（即潜在的恶意文件）。对此，在步骤S150中也可以进一步地在可信文件数据库中逐一分析由该数字签名签发的所有样本文件是否为恶意文件，如果是恶意文件，则将其从可信文件数据库中删除，以维持可信文件数据库的收集文件的准确性。或者，为了能在第一时间内将这些潜在的恶意文件从可信文件数据库中删除，以及时避免这些潜在的恶意文件所造成的危害，也可以先在可信文件数据库中将该数字签名签发的所有样本文件全部删除，然后再通过逐一分析的方式来判断其是否是恶意文件，如果不是恶意文件，再将其重新添加到可信文件数据库中。

通过步骤S140和步骤S150的处理，就可以进一步提高可信文件数据库的收集文件的准确性，杜绝不可信文件的混入。

本发明实施例中，为了识别可信的数字签名和不可信的数字签名，分别设置了可信签名数据库和恶意签名数据库，实际情况中，也可以将可信签名数据库和恶意签名数据库合并为一个数据库，在该数据库中为每个数字签名单独设置一个级别，例如，本应存储在可信签名数据库中的数字签名的级别设置为可信，本应存储在恶意签名数据库中的数字签名的级别设置为不可信，从而既可以实现对数字签名的管理，又可以节省一个数据库的开销。

图2示出了本发明实施例提供的可信文件的收集***的结构图。如图2所示，该收集***包括：获取模块21、确定模块22以及收集模块23。其中，获取模块21适于获取样本文件的数字签名；确定模块22适于确定数字签名是否可信；收集模块23适于当确定数字签名可信时，将样本文件收集到预设的可信文件数据库中。

下面具体介绍一下各模块的工作过程。

其中，获取模块21在获取样本文件的数字签名时，可以通过调用windows提供的API接口Win-VerifyTrust进行获取。

确定模块22在确定上述数字签名是否可信时，主要是通过判断上述数字签名是否已存储在预设的可信签名数据库31中来实现的，如果判断出上述数字签名已经存储在了预设的可信签名数据库31中，则确定上述数字签名可信。

其中，该预设的可信签名数据库31用于存储可信的数字签名。在本发明实施例中，可以动态创建该可信签名数据库31。由于该可信签名数据库31是动态创建的，因此，在确定模块22处理第一个样本文件之前，该可信签名数据库中存储的可信签名为空，因此，确定模块22处理的第一个样本文件中的数字签名必然没有存储在该可信签名数据库31中。

相应地，当确定模块22判断出上述数字签名没有存储在该可信签名数据库31中时，还需要进一步执行以下处理：根据预设的判断规则确定上述数字签名是否可信，且当根据预设的判断规则确定出上述数字签名可信时，进一步将上述数字签名存储到该可信签名数据库31中，从而实现该可信签名数据库31的动态创建和更新。其中，预设的判断规则可参照方法实施例中相应部分的描述，此处不再赘述。

通过上面的方式，确定模块22就可以确定出数字签名是否可信。在上面介绍的方式中，可信签名数据库31是动态创建的，因此，当确定模块22处理第一个样本文件时，可信签名数据库31中还没有存储可信的数字签名，因此，需要根据上述预设的判断规则来判断第一个样本文件中的数字签名是否可信，并在数字签名可信时将该数字签名添加到可信签名数据库中，后续的样本文件处理过程依此类推。通过这种方式，无需将创建可信签名数据库的操作作为一个单独的操作刻意执行，只需在每个样本文件的判断过程中随时动态地添加可信签名从而逐步完善该可信签名数据库即可，省去了单独创建该可信签名数据库的操作过程。

但是，在实际情况中，也可以根据需要，预先创建可信签名数据库，即：事先通过一定量的样本文件筛选出可信的数字签名，将其存储在可信签名数据库中。具体筛选时，也可以通过上面介绍的四种规则进行筛选。这样，在确定模块22处理第一个样本文件时，就可以直接根据可信签名数据库来得到判断结果。这样的做法虽然需要单独创建可信签名数据库，但是确定模块22可以直接使用该数据库，无需再根据预设的规则对每个样本文件进行判断，因而也具备一定的优势。

或者，也可以将上述两种方式结合起来，预先筛选出一定数量的可信的数字签名，并根据这些数字签名完成可信签名数据库的初步创建，然后，如果确定模块22判断出数字签名属于该可信签名数据库，即可直接确定该数字签名可信；如果确定模块22判断出数字签名不属于该可信签名数据库，则继续通过上面提到的预设的判断规则进行判断，并在判断出该数字签名可信时，进一步将该数字签名添加到可信签名数据库中。

收集模块23在确定上述数字签名可信时，将相应的样本文件收集到预设的可信文件数据库32中。收集模块23收集可信文件的依据在于，通常情况下，如果签发样本文件的数字签名是可信的，则该样本文件也是可信的。

通过上述模块的相互配合，就实现了可信文件的收集。在上述过程中，通过数字签名来识别可信文件，由于一个数字签名会对应大量的文件，所以通过数字签名可以轻松地收集到更多数量的可信文件，因此大大提高了收集效率。另外，由于数字签名难以模仿，本身就具有防伪功能，而且，只要正规厂商的数字签名是正确的，其签发的文件通常也都是正确的，所以，通过数字签名来收集可信文件还大大提高了收集的准确性，从而保证了可信文件数据库的收集文件的准确性。

进一步地，为了能够更好地保证可信文件数据库的收集文件的准确性，避免错误地收集到不可信的文件，该收集***还可以进一步包括：扫描模块24，适于调用杀毒引擎定期扫描可信文件数据库中的文件；分析模块25，适于在扫描模块24确定可信文件数据库中存在可疑文件时，分析可疑文件是否为恶意文件；网络后台模块26，适于在可疑文件为恶意文件时，将恶意文件的数字签名从可信签名数据库中删除，并进一步在可信文件数据库中分析由恶意文件的数字签名签发的所有样本文件是否为恶意文件。关于扫描模块24、分析模块25和网络后台模块26的具体工作过程，可参照方法实施例中步骤S140的描述，此处不再赘述。

进一步地，网络后台模块26进一步适于：当确定可信签名数据库中的数字签名的签名证书失效，或者，确定数字签名的密钥泄漏时，将数字签名从可信签名数据库中删除，并进一步在可信文件数据库中分析由数字签名签发的所有样本文件是否为恶意文件。该过程可参照方法实施例中步骤S150的描述，此处不再赘述。

通过上述处理，就可以进一步提高可信文件数据库的收集文件的准确性，杜绝不可信文件的混入。

本发明实施例中进一步包括：

扫描模块，适于调用杀毒引擎定期扫描所述可信文件数据库中的文件；

分析模块，适于在所述扫描模块确定所述可信文件数据库中存在可疑文件时，分析所述可疑文件是否为恶意文件；

网络后台模块，适于在所述可疑文件为恶意文件时，将所述恶意文件的数字签名从可信签名数据库中删除，并进一步在可信文件数据库中分析由所述恶意文件的数字签名签发的所有样本文件是否为恶意文件。

本发明实施例中，所述网络后台模块进一步适于：当确定所述可信签名数据库中的数字签名的签名证书失效，或者，确定所述数字签名的密钥泄漏时，将所述数字签名从所述可信签名数据库中删除，并进一步在可信文件数据库中分析由所述数字签名签发的所有样本文件是否为恶意文件。

根据本发明的可信文件的收集方法及***，通过获取样本文件的数字签名并判断数字签名是否可信的方式来收集可信文件。由此解决了现有技术中在前期通过训练产生可信特性码时需要用到大量的样本文件，而且训练过程较为耗时，导致收集不及时，比较滞后的问题，取得了能够直接根据数字签名收集可信文件，从而提高了收集效率的有益效果。

在此提供的算法和显示不与任何特定计算机、虚拟***或者其它设备固有相关。各种通用***也可以与基于在此的示教一起使用。根据上面的描述，构造这类***所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。

本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书（包括伴随的权利要求、摘要和附图）中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书（包括伴随的权利要求、摘要和附图）中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器（DSP）来实现根据本发明实施例的浏览器客户端中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序（例如，计算机程序和计算机程序产品）。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

Claims (8)

1.一种可信文件的收集方法，包括：

获取样本文件的数字签名；

判断所述数字签名是否已存储在预设的可信签名数据库中，如果判断结果为是，则确定所述数字签名可信；

当确定所述数字签名可信时，将所述样本文件收集到预设的可信文件数据库中；

并且，所述将所述样本文件收集到预设的可信文件数据库中之后进一步包括步骤：

调用杀毒引擎定期扫描所述可信文件数据库中的文件；

通过扫描确定所述可信文件数据库中存在可疑文件时，分析所述可疑文件是否为恶意文件；

如果所述可疑文件为恶意文件，将所述恶意文件的数字签名从可信签名数据库中删除，进一步在可信文件数据库中删除由所述恶意文件的数字签名签发的所有样本文件，并逐一分析由所述恶意文件的数字签名签发的各个样本文件是否为恶意文件，当分析结果为否时将其重新添加到可信文件数据库中。

2.如权利要求1所述的方法，其中，在所述判断所述数字签名是否已存储在预设的可信签名数据库中的步骤中，如果判断结果为否，则进一步包括步骤：根据预设的判断规则确定所述数字签名是否可信，且当根据所述判断规则确定所述数字签名可信时，进一步将所述数字签名存储到所述预设的可信签名数据库中。

3.如权利要求2所述的方法，所述预设的判断规则包括以下规则中的一个或多个：

根据所述数字签名中包含的公司名称或颁发者名称判断所述数字签名是否属于正规公司的签名；

根据预设的恶意签名数据库判断所述数字签名签发的历史样本中是否存在恶意样本，其中，所述预设的恶意签名数据库用于存储签发过恶意样本的数字签名；

所述数字签名是否在有效期内；以及

所述数字签名与所述可信签名数据库中已存储的数字签名之间的相似度是否大于预设阈值。

4.如权利要求1-3任一所述的方法，所述将所述样本文件收集到预设的可信文件数据库中之后进一步包括步骤：

当确定所述可信签名数据库中的数字签名的签名证书失效，或者，确定所述数字签名的密钥泄漏时，将所述数字签名从所述可信签名数据库中删除，并进一步在可信文件数据库中分析由所述数字签名签发的所有样本文件是否为恶意文件。

5.一种可信文件的收集***，包括：

获取模块，适于获取样本文件的数字签名；

确定模块，适于判断所述数字签名是否已存储在预设的可信签名数据库中，如果判断结果为是，则确定所述数字签名可信；

收集模块，适于当确定所述数字签名可信时，将所述样本文件收集到预设的可信文件数据库中；

其中，进一步包括：

扫描模块，适于调用杀毒引擎定期扫描所述可信文件数据库中的文件；

分析模块，适于在所述扫描模块确定所述可信文件数据库中存在可疑文件时，分析所述可疑文件是否为恶意文件；

网络后台模块，适于在所述可疑文件为恶意文件时，将所述恶意文件的数字签名从可信签名数据库中删除，进一步在可信文件数据库中删除由所述恶意文件的数字签名签发的所有样本文件，并逐一分析由所述恶意文件的数字签名签发的各个样本文件是否为恶意文件，当分析结果为否时将其重新添加到可信文件数据库中。

6.如权利要求5所述的***，其中，如果判断结果为否，则所述确定模块进一步适于根据预设的判断规则确定所述数字签名是否可信，且当根据所述判断规则确定所述数字签名可信时，进一步将所述数字签名存储到所述预设的可信签名数据库中。

7.如权利要求6所述的***，所述预设的判断规则包括以下规则中的一个或多个：

根据所述数字签名中包含的公司名称或颁发者名称判断所述数字签名是否属于正规公司的签名；

根据预设的恶意签名数据库判断所述数字签名签发的历史样本中是否存在恶意样本，其中，所述预设的恶意签名数据库用于存储签发过恶意样本的数字签名；

所述数字签名是否在有效期内；以及

所述数字签名与所述可信签名数据库中已存储的数字签名之间的相似度是否大于预设阈值。

8.如权利要求7所述的***，所述网络后台模块进一步适于：当确定所述可信签名数据库中的数字签名的签名证书失效，或者，确定所述数字签名的密钥泄漏时，将所述数字签名从所述可信签名数据库中删除，并进一步在可信文件数据库中分析由所述数字签名签发的所有样本文件是否为恶意文件。