[发明专利]文件检测及威胁等级判定方法、装置及系统

权利要求书

1.一种文件检测及威胁等级判定方法，其特征在于，包括：

依据恶意文件样本和安全文件样本，建立行为特征数据库；

在待检测文件对应的虚拟环境下，获取所述待检测文件的行为；

将所述待检测文件的行为与所述行为特征数据库中的数据作对比；

若所述待检测文件与所述行为特征数据库中的所述恶意文件的行为匹配，确定所述待检测文件的威胁等级。

2.根据权利要求1所述的文件检测及威胁等级判定方法，其特征在于，所述依据恶意文件样本和安全文件样本，建立行为特征数据库的步骤包括：

获取恶意文件样本和安全文件样本，所述恶意文件样本包括多个恶意文件，所述安全文件样本包括多个安全文件；

利用沙箱技术对所述恶意文件样本和所述安全文件样本的所有行为进行监控、记录和收集；

将收集的所述恶意文件样本和所述安全文件样本的所有行为进行训练；

生成所述恶意文件样本和所述安全文件样本的所有行为以及组合行为，并建立行为特征数据库。

3.根据权利要求1所述的文件检测及威胁等级判定方法，其特征在于，所述方法还包括：

将待检测文件的行为与所述行为特征数据库中的行为一一匹配，或将待检测文件的组合行为与所述行为特征数据库中的组合行为进行匹配；

所述行为特征数据库中的恶意文件的行为具有威胁等级，依据所述待检测文件的行为与所述行为特征数据库中相匹配的恶意文件的行为的个数及威胁等级，确定所述待检测文件的威胁等级。

4.根据权利要求1所述的文件检测及威胁等级判定方法，其特征在于，所述方法还包括：

在所述待检测文件对应的虚拟环境下，获取待检测文件的静态特征，所述虚拟环境通过沙箱建立；

在确定所述待检测文件的威胁等级之后还包括：将所述待检测文件的行为和静态特征加入所述行为特征数据库。

5.一种文件检测及威胁等级判定装置，其特征在于，包括：

建立模块，用于依据恶意文件样本和安全文件样本，建立行为特征数据库；

获取模块，用于在待检测文件对应的虚拟环境下，获取所述待检测文件的行为；

对比模块，用于将所述待检测文件的行为与所述行为特征数据库中的数据作对比；

确定模块，用于若所述待检测文件与所述行为特征数据库中的所述恶意文件的行为匹配，确定所述待检测文件的威胁等级。

6.根据权利要求5所述的文件检测及威胁等级判定装置，其特征在于，所述建立模块还包括：

获取单元，用于获取恶意文件样本和安全文件样本，所述恶意文件样本包括多个恶意文件，所述安全文件样本包括多个安全文件；

收集单元，用于利用沙箱技术对所述恶意文件样本和所述安全文件样本的所有行为进行监控、记录和收集；

训练单元，用于将收集的所述恶意文件样本和所述安全文件样本的所有行为进行训练；

建立单元，用于生成所述恶意文件样本和所述安全文件样本的所有行为以及组合行为，并建立行为特征数据库。

7.根据权利要求5所述的文件检测及威胁等级判定装置，其特征在于，所述对比模块还用于：将待检测文件的行为与所述行为特征数据库中的行为一一匹配，或将待检测文件的组合行为与所述行为特征数据库中的组合行为进行匹配；

所述确定模块还用于：所述行为特征数据库中的恶意文件的行为具有威胁等级，依据所述待检测文件的行为与所述行为特征数据库中相匹配的恶意文件的行为的个数及威胁等级，确定所述待检测文件的威胁等级。

8.根据权利要求5所述的文件检测及威胁等级判定装置，其特征在于，所述获取模块还用于：在所述待检测文件对应的虚拟环境下，获取待检测文件的静态特征，所述虚拟环境通过沙箱建立；

所述文件检测及威胁等级判定装置还包括加入模块，用于将所述待检测文件的行为和静态特征加入所述行为特征数据库。