专利名称：文件扫描系统的制作方法
技术领域：
本发明涉及网络安全技术领域，具体涉及一种文件扫描系统。
背景技术：
恶意程序是一个概括性的术语，指任何故意创建用来执行未经授权并通常是有害 行为的软件程序。计算机病毒、后门程序、键盘记录器、密码盗取者、Word和Excel宏病毒、引导区病毒、脚本病毒(batch, windows shell, java等)、木马、犯罪软件、间谋软件和广告软件等等，都是一些可以称之为恶意程序的例子。为了防止恶意程序对计算机的攻击，一般都需要在计算机上安装杀毒软件对系统中的文件进行扫描，以鉴别出恶意程序并进行查杀。为了快速地识别和查杀恶意程序，同时为了减轻客户端的资源消耗，目前的安全防护软件越来越多地使用云安全技术。云安全技术即把客户端的文件传给服务器端，在服务器端中存储了大量样本文件，服务器端通过将客户端上传的文件与其存储的样本文件进行比对，从而对客户端文件的安全性做出判定，然后客户端安全软件根据服务器端传回的信息对恶意程序进行报告和处理。由于恶意程序的种类和数量不断地增加，服务器端中的样本文件也要不断地更新，因此客户端每天需要将数以万计的样本文件上传到服务器端，云安全中心利用定期升级的第三方杀毒软件(即除云安全中心之外的其他杀毒软件)每天对全部的样本文件进行扫描，以鉴别出其中的可疑样本文件。但是，第三方杀毒软件的扫描能力是有限的，随着样本文件数量的增多，这种方式显然会降低文件扫描效率。
发明内容
鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的文件扫描系统。依据本发明，提供了一种文件扫描系统，包括客户端和服务器端，其中，客户端包括文件上传模块，适于将样本文件上传至存储服务器中；服务器端包括存储服务器、文件下载服务器和扫描服务器，所述存储服务器包括数据库，适于存储所述文件上传模块上传的样本文件；所述文件下载服务器包括文件下载模块，适于从所述数据库中下载样本文件并传输至扫描服务器中；所述扫描服务器包括文件扫描装置，该文件扫描装置包括概率计算模块，适于针对待扫描样本文件，分别计算每个待扫描样本文件被鉴别为可疑的概率；
排序模块，适于对所述待扫描样本文件按照其被鉴别为可疑的概率进行排序；抽取模块，适于获取扫描文件的个数K,从排序后的待扫描样本文件中抽取可疑概率高的K个待扫描样本文件，K为正整数；扫描模块，适于对所述K个待扫描样本文件进行扫描，鉴别出其中的可疑样本文件。本发明实施例中，该文件扫描装置还包括等级检测模块，适于在概率计算模块分别计算每个待扫描样本文件被鉴别为可疑的概率之前，检测全部样本文件的等级，所述样本文件的等级包括安全等级、未知等级、可疑/高度可疑等级、以及恶意等级；获取模块，适于获取未知等级的样本文件，将获取到的未知等级的样本文件作为待扫描样本文件。本发明实施例中，排序模块按照待扫描样本文件被鉴别为可疑的概率从大到小进行排序；所述K个待扫描样本文件为排序后的待扫描样本文件中的前K个待扫描样本文件。本发明实施例中，概率计算模块包括时间点获取子模块，适于针对每个待扫描样本文件，获取该待扫描样本文件对应的本次扫描的时间点n2以及上次扫描的时间点Ii1 ；概率计算子模块，适于计算从时间点Ii1开始到时间点n2为止，所述待扫描样本文件在本次扫描中被鉴别为可疑的概率Pr (N≥Ii1, N≤n21 α，β )Pr (N ^ Ii1, N ^ n21 α , β ) = Pr (N ^ Ii11 α , β ) -Pr (N ^ η2+1 α , β )；其中，参数α和β为通过对待扫描样本文件数据进行最大似然估计得到的参数。本发明实施例中，该文件扫描装置还包括建立模块，适于在概率计算模块分别计算每个待扫描样本文件被鉴别为可疑的概率之前，为每个待扫描样本文件建立一个信息库，所述信息库中包括该待扫描样本文件对应的上次扫描的时间点叫。本发明实施例中，概率计算子模块包括概率计算单元，适于计算每个待扫描样本文件前η-i次没有被鉴别为可疑，第η次被鉴别为可疑的概率Pr (N≥η I α，β ):
权利要求
1.一种文件扫描系统，包括客户端和服务器端，其中， 客户端包括 文件上传模块，适于将样本文件上传至存储服务器中； 服务器端包括存储服务器、文件下载服务器和扫描服务器， 所述存储服务器包括 数据库，适于存储所述文件上传模块上传的样本文件； 所述文件下载服务器包括 文件下载模块，适于从所述存储服务器的数据库中下载样本文件并传输至扫描服务器中； 所述扫描服务器包括文件扫描装置，所述文件扫描装置包括 概率计算模块，适于针对待扫描样本文件，分别计算每个待扫描样本文件被鉴别为可疑的概率； 排序模块，适于对所述待扫描样本文件按照其被鉴别为可疑的概率进行排序； 抽取模块，适于获取扫描文件的个数K，从排序后的待扫描样本文件中抽取可疑概率高的K个待扫描样本文件，K为正整数； 扫描模块，适于对所述K个待扫描样本文件进行扫描，鉴别出其中的可疑样本文件。
2.根据权利要求I所述的系统，其中，所述文件扫描装置还包括 等级检测模块，适于在概率计算模块分别计算每个待扫描样本文件被鉴别为可疑的概率之前，检测全部样本文件的等级，所述样本文件的等级包括安全等级、未知等级、可疑/高度可疑等级、以及恶意等级； 获取模块，适于获取未知等级的样本文件，将获取到的未知等级的样本文件作为待扫描样本文件。
3.根据权利要求I所述的系统，其中， 所述排序模块按照待扫描样本文件被鉴别为可疑的概率从大到小进行排序； 所述K个待扫描样本文件为排序后的待扫描样本文件中的前K个待扫描样本文件。
4.根据权利要求I所述的系统，所述概率计算模块包括 时间点获取子模块，适于针对每个待扫描样本文件，获取该待扫描样本文件对应的本次扫描的时间点n2以及上次扫描的时间点Ii1 ； 概率计算子模块，适于计算从时间点ηι开始到时间点n2为止，所述待扫描样本文件在本次扫描中被鉴别为可疑的概率Pr (N彡Ii1, N彡n21 α，β ): Pr (N ^ Ii1, N ^ η21 α , β ) = Pr (N ^ Ii11 α , β ) -Pr (N ^ η2+1 α , β )； 其中，参数α和β为通过对待扫描样本文件数据进行最大似然估计得到的参数。
5.根据权利要求4所述的系统，其中，所述文件扫描装置还包括 建立模块，适于在概率计算模块分别计算每个待扫描样本文件被鉴别为可疑的概率之前，为每个待扫描样本文件建立一个信息库，所述信息库中包括该待扫描样本文件对应的上次扫描的时间点Ii1。
6.根据权利要求4所述的系统，其中，所述概率计算子模块包括 概率计算单元，适于计算每个待扫描样本文件前η-l次没有被鉴别为可疑，第η次被鉴别为可疑的概率Pr (N彡η α , β)
全文摘要
本发明实施例公开了一种文件扫描系统，以解决文件扫描效率低的问题。所述系统包括客户端和服务器端，其中，客户端包括文件上传模块；服务器端包括存储服务器、文件下载服务器和扫描服务器，所述存储服务器包括数据库文件下载模块；所述扫描服务器包括文件扫描装置，所述文件扫描装置包括概率计算模块；排序模块；抽取模块，适于获取扫描文件的个数K，从排序后的待扫描样本文件中抽取可疑概率高的K个待扫描样本文件，K为正整数；扫描模块，适于对所述K个待扫描样本文件进行扫描，鉴别出其中的可疑样本文件。本发明提高了扫描效率，并且能够尽可能多地鉴别出可疑样本文件，提高扫描样本文件的准确性。
文档编号H04L29/06GK102970283SQ20121042884
公开日2013年3月13日 申请日期2012年10月31日 优先权日2012年10月31日
发明者于春功, 贺超 申请人:北京奇虎科技有限公司, 奇智软件(北京)有限公司