«Лаборатория Касперского» запатентовала технологию создания правил фильтрации малозначимых событий, используемых при анализе программного обеспечения.

Одним из эффективных методов проверки ПО на наличие вредоносных функций является эмуляция: программный код разбивается на отдельные команды, каждая из которых исполняется в виртуальной среде. В таком случае операционная система и данные пользователя не подвергаются опасности. Однако при этом требуется обработка огромного количества данных – специального протокола событий, который анализируется на предмет выявления потенциально вредоносных действий.

Для того чтобы протокол не был перегружен малозначимыми событиями, применяются механизмы предварительной фильтрации, позволяющие очистить его от подобной информации до начала анализа. Специальный фильтрационный модуль удаляет из протоколов лишнее, руководствуясь пополняемой базой данных, содержащей правила фильтрации. В полученном «Лабораторией Касперского» патенте описывается способ формирования подобных правил. Он заключается в проведении эмуляции на серверах компании. Сначала на базе наиболее распространенных инструментов разработки создается множество тестовых программ, которые запускаются в изолированной виртуальной среде, где составляется протокол событий. Далее в нем выявляются многократно повторяющиеся малозначимые события, информация о которых добавляется в базу данных правил фильтрации. Таким образом, впоследствии, при работе защитных решений на компьютерах конечных пользователей подобные события будут автоматически удалены из протокола до начала анализа, что позволит сэкономить вычислительные ресурсы.

Данная технология уже реализована и используется в решениях Kaspersky Security для бизнеса, Kaspersky Internet Security для виртуальных сред, Kaspersky Internet Security для всех устройств и Kaspersky Crystal.