[发明专利]一种勒索病毒监控方法及装置

权利要求书

1.一种勒索病毒监控方法，其特征在于，包括：

监测到存在对蜜罐系统进行操作的可疑操作后，获取与所述可疑操作对应的可疑序列；

初始化沙箱系统，将所述可疑序列输入所述沙箱系统进行重放，若重放的结果和所述可疑序列满足预置恶意条件，则确定所述可疑序列为恶意序列；

获取与对用户系统进行操作的正常操作对应的正常序列后，将所述正常操作、所述可疑操作和恶意操作输入预置机器学习引擎进行训练，得到第一分类模型；

再次向所述第一分类模型输入所述恶意序列，对所述第一分类模型进行勒索病毒类型的分类，得到第二分类模型；

所述对所述第一分类模型进行勒索病毒类型的分类的步骤，包括：

基于序列相似度对所述第一分类模型进行勒索病毒类型的分类；

所述基于序列相似度对所述第一分类模型进行勒索病毒类型的分类具体为：

通过词嵌套方式计算所述恶意序列之间的序列相似度，根据所述序列相似度对所述第一分类模型进行勒索病毒类型的分类；

将所述用户系统上的操作序列输入所述第二分类模型，若是勒索病毒所产生的序列，则进行预警。

2.根据权利要求1所述的勒索病毒监控方法，其特征在于，所述若重放的结果和所述可疑序列满足预置恶意条件具体为：

若被重放的文件状态为预置恶意状态，且所述可疑序列包含加密API的调用的子序列。

3.根据权利要求2所述的勒索病毒监控方法，其特征在于，所述预置恶意状态为已删除或无法打开或打开异常。

4.根据权利要求1至3任意一项所述的勒索病毒监控方法，其特征在于，所述将所述用户系统上的操作序列输入所述第二分类模型，若是勒索病毒所产生的序列，则进行预警之后还包括：

将所述勒索病毒产生的序列输入所述第二分类模型中进行模型更新。

5.根据权利要求1至3任意一项所述的勒索病毒监控方法，其特征在于，所述将所述用户系统上的操作序列输入所述第二分类模型，若是勒索病毒所产生的序列，则进行预警之后还包括：

生成所述勒索病毒的监控报告。

6.一种勒索病毒监控装置，其特征在于，包括：

获取模块，用于监测到存在对蜜罐系统进行操作的可疑操作后，获取与所述可疑操作对应的可疑序列；

重放模块，用于初始化沙箱系统，将所述可疑序列输入所述沙箱系统进行重放，若重放的结果和所述可疑序列满足预置恶意条件，则确定所述可疑序列为恶意序列；

训练模块，用于获取与对用户系统进行操作的正常操作对应的正常序列后，将所述正常操作、所述可疑操作和恶意操作输入预置机器学习引擎进行训练，得到第一分类模型；

分类模块，用于再次向所述第一分类模型输入所述恶意序列，对所述第一分类模型进行勒索病毒类型的分类，得到第二分类模型；

所述分类模块具体用于：

再次向所述第一分类模型输入所述恶意序列，基于序列相似度对所述第一分类模型进行勒索病毒类型的分类，得到第二分类模型；

所述基于序列相似度对所述第一分类模型进行勒索病毒类型的分类具体为：

通过词嵌套方式计算所述恶意序列之间的序列相似度，根据所述序列相似度对所述第一分类模型进行勒索病毒类型的分类；

监控模块，用于将所述用户系统上的操作序列输入所述第二分类模型，若是勒索病毒所产生的序列，则进行预警。

7.一种勒索病毒监控装置，其特征在于，包括处理器和存储器，所述存储器上存储有计算机程序指令，当所述程序指令被处理器执行时实现如权利要求1至权利要求5中任一项所述的勒索病毒监控方法。

8.一种计算机可读存储介质，其特征在于，所述介质上存储有计算机程序指令，当所述程序指令被处理器执行时实现如权利要求1至权利要求5中任一项所述的勒索病毒监控方法。