[发明专利]用于恶意代码检测的准确保证的系统及方法

说明书

本发明提供一种方法，用于认证由一被允许的代码建立一网络连线的一企图，所述方法包含︰提供具有多个之前被观测的多个堆栈跟踪模板的一数据集，其中所述多个堆栈跟踪模板的每一个代表在多个堆栈跟踪中普遍存在的一堆栈跟踪模式，其中所述多个堆栈跟踪是通过监控多个用户的多个堆栈而记录，其中所述多个用户是在一连线建立过程中执行一被允许的代码，其中所述连线建立过程是用于建立与所述被允许的代码相关的多个网络连线；接收一新的堆栈跟踪，其中所述新的堆栈跟踪是在用于一新的网络连线的一新的连线建立过程中被一新的用户记录；测量所述新的堆栈跟踪与所述多个堆栈跟踪模板之间的一相似度，以识别与一堆栈跟踪模板的一匹配；评估所述被匹配到的堆栈跟踪模板，以用于一被预定的规则要求；及以所述被匹配到的堆栈跟踪模板来更新一规则集数据库，以认证与多个堆栈模板相关联的多个新的网络连线建立，其中所述多个堆栈模板与所述被匹配到的堆栈跟踪模板相匹配。

相关申请案

此申请案主张根据第35号美国法典第119(e)条于2014年11月25日提交申请的美国临时专利申请案第62/083,985号以及于2015年04月14日提交申请的美国临时专利申请案第62/147,040号的优先权，其内容通过引用的方式并入本文整体中。

背景技术

本发明，于其一些实施例中，是有关于用于恶意连线检测的多个系统及多个方法，特别是，但非专门是，有关于用于恶意通信检测的准确保证的多个系统及多个方法。

某些种类的恶意代码攻击多个计算机且使用所述主计算机以通过一网络连线与多个其它服务器连接。于一示例中，所述网络连线是由所述恶意代码本身所引发，例如，以传送一被窃取的数据至一远程服务器。于另一示例中，所述恶意软件将一代码插入至一正当的应用程序，接着，所述被插入的代码引发至一远程服务器的一连线，以传送一被窃取的数据。

一种恶意攻击的一示例为一先进的有针对性的攻击(ATA)，所述先进的有针对性的攻击为一复杂的攻击，于所述复杂的攻击中，未经授权的一方获得存取一网络的权限，且保持长时间不被检测到。大多数的先进的有针对性的攻击的意图为窃取数据，而非为对所述网络造成损害。多个先进的有针对性的攻击是针对具有高价值信息的多个行业中的多个组织，所述多个行业例如为多个信用卡服务商、多个政府机关，及金融服务业。

多个反先进的有针对性的攻击的解决方案的多个示例是基于所述攻击的检测或所述渗透的恶意代码的检测。于另一示例中，多个其它的工具被设计以检测在行动中的一不正常或恶意活动。

发明内容

依据本发明的一些实施例的一方面，一种用于认证由一被允许的代码建立一网络连线的一企图的方法被提供，所述方法包含步骤：提供具有多个之前被观测的多个堆栈跟踪模板的一数据集，其中所述多个堆栈跟踪模板的每一个代表在多个堆栈跟踪中普遍存在的一堆栈跟踪模式，其中所述多个堆栈跟踪是通过监控多个用户的多个堆栈而记录，其中所述多个用户是在一连线建立过程中执行一被允许的代码，其中所述连线建立过程是用于建立与所述被允许的代码相关的多个网络连线；接收一新的堆栈跟踪，其中所述新的堆栈跟踪是在用于一新的网络连线的一新的连线建立过程中被一新的用户记录；测量所述新的堆栈跟踪与所述多个堆栈跟踪模板之间的一相似度，以识别与一堆栈跟踪模板的一匹配；评估所述被匹配到的堆栈跟踪模板，以用于一被预定的规则要求；及以所述被匹配到的堆栈跟踪模板来更新一规则集数据库，以认证与多个堆栈模板相关联的多个新的网络连线建立，其中所述多个堆栈模板与所述被匹配到的堆栈跟踪模板相匹配。

可选地，所述多个堆栈跟踪模板被指定为代表所述被允许的代码的一可疑恶意行为。