[发明专利]磁盘引导区病毒识别方法及装置

权利要求书

1.一种磁盘引导区病毒识别方法，所述方法应用于服务端，其特征在于，包括以下步骤：

获取预先存储的引导区病毒的已知行为模式，并获取磁盘主引导记录及所述磁盘主引导记录执行时调用的磁盘数据，其中，所述磁盘主引导记录及所述磁盘数据是所述服务端从磁盘样本开始读取的磁盘样本文件，所述磁盘样本文件为所述服务端从客户端收集的磁盘数据样本；

根据获取的所述磁盘主引导记录及磁盘数据建立模拟执行环境，模拟所述磁盘主引导记录的执行过程；

在模拟所述磁盘主引导记录的执行过程中，服务端通过文件读写接口从磁盘样本开始从所述磁盘样本文件中读取磁盘数据，对所述磁盘样本文件进行读操作，分析并记录所述磁盘样本文件的写操作，并将写入的内容作为所述磁盘主引导记录的模拟行为模式；

通过所述服务端的模拟器与磁盘样本黑白样本判定程序的交互操作将记录的所述模拟行为模式与已知行为模式进行对比分析，对磁盘引导区病毒进行识别；

其中，在通过将记录的所述模拟行为模式与已知行为模式进行对比分析，对磁盘引导区病毒进行识别之后，所述方法还包括：将所述磁盘主引导记录及磁盘数据标记为需进行人工分析的磁盘数据样本。

2.如权利要求1所述的方法，其特征在于，所述通过将记录的所述模拟行为模式与已知行为模式进行对比分析，对磁盘引导区病毒进行识别的步骤包括：

在记录的所述模拟行为模式与已知行为模式匹配成功时，识别所述模拟行为模式所对应的磁盘引导区已被病毒感染，标记所述磁盘主引导记录执行时调用的磁盘数据为黑样本。

3.一种磁盘引导区病毒识别装置，所述装置应用于服务端，其特征在于，包括：

数据获取模块，用于获取预先存储的引导区病毒的已知行为模式，并获取磁盘主引导记录及所述磁盘主引导记录执行时调用的磁盘数据，其中，所述磁盘主引导记录及所述磁盘数据是所述服务端从磁盘样本开始读取的磁盘样本文件，所述磁盘样本文件为所述服务端从客户端收集的磁盘数据样本；

模拟执行模块，用于根据获取的所述磁盘主引导记录及磁盘数据建立模拟执行环境，模拟所述磁盘主引导记录的执行过程；在模拟所述磁盘主引导记录的执行过程中，服务端通过文件读写接口从磁盘样本开始从所述磁盘样本文件中读取磁盘数据，对所述磁盘样本文件进行读操作，分析并记录所述磁盘样本文件的写操作，并将写入的内容作为所述磁盘主引导记录的模拟行为模式；

病毒识别模块，用于通过所述服务端的模拟器与磁盘样本黑白样本判定程序的交互操作将记录的所述模拟行为模式与已知行为模式进行对比分析，对磁盘引导区病毒进行识别；

其中，所述装置还包括：样本标记模块，用于将所述磁盘主引导记录及磁盘数据标记为需进行人工分析的磁盘数据样本。

4.如权利要求3所述的装置，其特征在于，所述病毒识别模块还用于：

在记录的所述模拟行为模式与已知行为模式匹配成功时，识别所述模拟行为模式所对应的磁盘引导区已被病毒感染，标记所述磁盘主引导记录执行时调用的磁盘数据为黑样本。