[发明专利]文件检测及威胁等级判定方法、装置及系统

说明书

本发明实施例提供文件检测及威胁等级判定方法、装置及系统，涉及计算机系统安全领域。该方法包括：依据恶意文件样本和安全文件样本，建立行为特征数据库；在待检测文件对应的虚拟环境下，获取所述待检测文件的行为；将所述待检测文件的行为与所述行为特征数据库中的数据作对比；若所述待检测文件与所述行为特征数据库中的所述恶意文件的行为匹配，确定所述待检测文件的威胁等级。由于行为特征数据库中的行为是经过训练得到，采用了文件的动态行为分析，因此对加壳、混淆、多态、变形等可执行文件保护技术保护的文件仍然有效，能够准确判断出文件是否为恶意文件。

技术领域

本发明涉及计算机系统安全领域，具体而言，涉及文件检测及威胁等级判定方法、装置及系统。

背景技术

随着计算机网络技术的高速发展，计算机已经普及到了千家万户，成为了大众的娱乐和办公不可或缺的重要工具。计算机的高速发展的同时，恶意文件也得到了很大的发展空间。例如计算机病毒，是属于恶意文件的一种，编写计算机病毒的作者通过控制受害者的计算机来达到窃取用户信息或破坏用户系统的目的。目前，对恶意文件的检测主要有以下两种方式：

通过文件本身的二进制数据和文件本身的结构特征进行判断，这种方式是传统的杀毒软件常用的方式，杀毒软件通过提取病毒的特征码和哈希值作为标识恶意程序的标志，存入到杀毒软件的病毒库当中，当有新的文件需要检测，则从已有的特征库中进行匹配，确认恶意软件的种类，这种方式需要不断积累特征库，不能够查杀和识别新的恶意软件，当今恶意软件数量级的庞大，传统的特征库查杀法已经不能够满足现状。

通过人工分析恶意文件样本，分析恶意文件的行为，记录恶意文件的动态特征，根据恶意文件的动态特征进行判断恶意文件的危险程度，这种方式需要大量的人工进行手动分析，并总结恶意行为数据库和等级，这种方式需要耗费大量人力来维护这个数据行为特征数据库。

发明内容

有鉴于此，本发明实施例的目的在于提供一种文件检测及威胁等级判定方法、装置及系统，以快速、精确的判断未知文件是否为恶意文件，并进行威胁等级判定。

本发明实施例提供一种文件检测及威胁等级判定方法，包括：依据恶意文件样本和安全文件样本，建立行为特征数据库；在待检测文件对应的虚拟环境下，获取所述待检测文件的行为；将所述待检测文件的行为与所述行为特征数据库中的数据作对比；若所述待检测文件与所述行为特征数据库中的所述恶意文件的行为匹配，确定所述待检测文件的威胁等级。

优选的，所述依据恶意文件样本和安全文件样本，建立行为特征数据库的步骤包括：获取恶意文件样本和安全文件样本，所述恶意文件样本包括多个恶意文件，所述安全文件样本包括多个安全文件；利用沙箱技术对所述恶意文件样本和所述安全文件样本的所有行为进行监控、记录和收集；将收集的所述恶意文件样本和所述安全文件样本的所有行为进行训练；生成所述恶意文件样本和所述安全文件样本的所有行为以及组合行为，并建立行为特征数据库。

优选的，所述方法还包括：将待检测文件的行为与所述行为特征数据库中的行为一一匹配，或将待检测文件的组合行为与所述行为特征数据库中的组合行为进行匹配；所述行为特征数据库中的恶意文件的行为具有威胁等级，依据所述待检测文件的行为与所述行为特征数据库中相匹配的恶意文件的行为的个数及威胁等级，确定所述待检测文件的威胁等级。

优选的，所述方法还包括：在所述待检测文件对应的虚拟环境下，获取待检测文件的静态特征，所述虚拟环境通过沙箱建立；在确定所述待检测文件的威胁等级之后还包括：将所述待检测文件的行为和静态特征加入所述行为特征数据库。

本发明实施例还提供一种文件检测及威胁等级判定装置，包括：建立模块，用于依据恶意文件样本和安全文件样本，建立行为特征数据库；获取模块，用于在待检测文件对应的虚拟环境下，获取所述待检测文件的行为；对比模块，用于将所述待检测文件的行为与所述行为特征数据库中的数据作对比；确定模块，用于若所述待检测文件与所述行为特征数据库中的所述恶意文件的行为匹配，确定所述待检测文件的威胁等级。