[发明专利]一种基于云的样本数据库动态维护方法

说明书

技术领域

本发明涉及信息安全技术领域，尤其涉及一种基于云安全的样本数据库动态维护方法。

背景技术

随着计算机技术在社会生活中各个领域的广泛运用，恶意程序(Malwar，malicious software，指任何故意创建用来执行未经授权并通常是有害行为的软件程序)也如同其附属品一样接踵而来。由于这些恶意程序所具有的感染性、复制性及破坏性，其已成为困扰计算机使用的一个重大问题，因此，在网络威胁飙升的今天，更新病毒特征码成为企业及网民每天必备的工作，从每周一次到每天一次，直至时刻更新，而传统杀毒软件是将病毒库放在客户端计算机，在客户端进行文件的分析工作，在扫描过程中会反复在本地病毒库中进行比对，占用大量系统资源，并且随着病毒库的不断升级，病毒库的容量越来越大，分析文件时所耗费的时间也越来越长，让客户端计算机越用越慢，因此，反病毒行业必须寻找新的技术突破。

“云安全(Cloud Security)”计划即是网络时代信息安全的最新体现，它融合了并行处理、网格计算、未知病毒行为判断等新兴技术概念，将“云计算”的理念应用到了安全领域。

“云安全”计划的实现是与其样本数据库的构建息息相关的，因此，如何有效的组织并维护样本数据库，遂成为业界亟待解决的问题。

发明内容

本发明所要解决的技术问题在于提供一种基于云的样本数据库动态维护方法，以提高数据库维护以及程序分析的效率，帮助对程序进行黑白判别以及文件的恢复。

为解决上述技术问题，本发明提供一种基于云的样本数据库动态维护方法，包括如下步骤：

由客户端计算机收集程序特征及其对应的程序行为，并传送至服务器端；

在服务器端数据库中记录不同的程序特征及其对应的程序行为，以及黑/白名单；

结合现有已知黑/白名单中的程序特征及其对应的程序行为，对未知程序特征及程序行为进行分析，以更新黑/白名单。

其中，所述对未知程序特征及其程序行为进行分析的步骤，可以包括：

如果未知程序特征与现有黑/白名单中的已知程序特征相同，则将该未知程序特征及其程序行为列入黑/白名单。

其中，所述对未知程序特征及其程序行为进行分析的步骤，可以包括：

如果未知程序行为与现有黑/白名单中的已知程序行为相同或近似，则将该未知程序行为及其程序特征列入黑/白名单。

其中，所述方法可以进一步包括：

在具有相同或近似行为的程序之间建立行为与特征的关联关系；

根据所述具有相同或近似行为的程序之间的关联关系，对未知程序特征及程序行为进行分析，以更新黑/白名单。

其中，所述对未知程序特征及其程序行为进行分析的步骤，可以包括：

当某程序行为被列入黑/白名单时，在数据库中将该程序行为对应的程序特征列入黑/白名单，并将与该程序行为有关联关系的其他程序行为和程序特征也列入黑/白名单。

其中，所述对未知程序特征及其程序行为进行分析的步骤，可以包括：

当某程序特征被列入黑/白名单时，在数据库中将该程序特征对应的程序行为列入黑/白名单，并将与该程序特征有关联关系的其他程序行为和程序特征也列入黑/白名单。

其中，所述方法可以进一步包括：

在数据库中针对被列入黑名单的程序，进一步记录该程序的逆向行为，以在确认客户端计算机中存在或运行过该被列入黑名单的程序时，执行所述逆向行为。

其中，所述方法可以进一步包括：

在数据库中针对被列入黑名单的程序，根据该程序的行为，确定客户端计算机被感染文件的信息；

根据被感染文件的信息，将存储于数据库中的一份完好的对应文件下载至客户端计算机中覆盖被感染文件。

其中，所述方法可以进一步包括：

在数据库中进一步记录在一预设时间内由不同客户端计算机收集到的相同的程序特征的数量变化；

根据所述程序特征的数量变化，对未知程序特征及程序行为进行分析，以更新黑/白名单。

其中，所述根据程序特征的数量变化，对未知程序特征及程序行为进行分析的步骤，可以包括：

如果在一预设时间内，由不同客户端计算机收集到的某个未知程序特征的数量增减超过阈值，则在数据库中将该程序特征及其对应的程序行为列入黑名单。

本发明通过客户端收集程序行为并关联到程序特征，从而在数据库中记录程序特征及其对应的程序行为，根据收集到的程序行为和程序特征的关联关系，可以在数据库中对样本进行分析归纳，从而有助于对软件或程序进行黑白的分类判别，还可以针对黑名单中的恶意软件制定相应的清除或恢复措施。