[发明专利]程序鉴别方法及装置

权利要求书

1.一种程序鉴别方法，其特征在于，所述方法包括：

获取恶意程序样本执行操作行为的行为链，并将所述恶意程序样本执行操作行为的行为链存储至本地数据库；

当检测到待识别程序执行操作行为时，生成所述待识别程序执行操作行为的行为链；

将所述待识别程序执行操作行为的行为链与所述本地数据库中恶意程序样本执行操作行为的行为链进行相似度比对；

如果相似度比对结果符合相似条件，则判定所述待识别程序为恶意程序，拦截所述恶意程序执行相应的操作。

2.根据权利要求1所述的方法，其特征在于，所述获取恶意程序样本对应的行为链，并将所述恶意程序样本对应的行为链存储至本地数据库包括：

收集恶意程序样本，提取所述恶意程序样本的操作行为；

通过沙箱机制解析所述恶意程序样本的操作行为，得到恶意程序样本执行操作行为的行为链；

将所述恶意程序样本执行操作行为的行为链存储至本地数据库。

3.根据权利要求2所述的方法，其特征在于，所述通过沙箱机制解析所述恶意程序样本的操作行为，得到恶意程序样本执行操作行为的行为链包括：

通过沙箱机制监控所述恶意程序样本执行操作行为过程中的行为操作，得到恶意程序样本在操作行为过程中产生的多个子行为；

将所述恶意程序样本在操作行为过程中产生的多个子行为按照执行顺序进行排序，得到恶意程序样本执行操作行为的行为链。

4.根据权利要求1所述的方法，其特征在于，所述当检测到待识别程序执行操作行为时，生成所述待识别程序执行操作行为的行为链包括：

当检测到待识别程序执行操作行为时，获取待识别程序在执行操作行为过程中产生的多个子行为；

将所述待识别程序在执行操作行为过程中产生的多个子行为按照执行顺序进行排序，生成所述待识别程序执行操作行为的行为链。

5.根据权利要求1所述的方法，其特征在于，所述将所述待识别程序执行操作行为的行为链与所述本地数据库中恶意程序样本执行操作行为的行为链进行相似度比对包括：

分别提取所述待识别程序执行操作行为的行为链中多个子行与所述本地数据库中恶意程序样本在执行操作行为的行为链中多个子行，得到所述待识别程序对应的多个子行为以及所述恶意程序样本对应的多个子行为；

按照预设比对规则将所述待识别程序对应的多个子行为与所述恶意程序样本对应的多个子行为进行相似度比对。

6.根据权利要求5所述的方法，其特征在于，所述预设比对规则包括依据行为链对应相同子行为数量进行相似度比对，所述按照预设规则将所述待识别程序对应的多个子行为与所述恶意程序样本对应的多个子行为进行相似度比对包括：

分别遍历所述待识别程序对应的多个子行为与所述恶意程序样本对应的多个子行，统计相同子行为数量；

根据所述相同子行为数量将所述待识别程序对应的多个子行为与所述恶意程序样本对应的多个子行为进行相似度比对；

所述如果相似度比对结果符合相似条件，则判定所述待识别程序为恶意程序，拦截所述恶意程序执行相应的操作具体包括：

如果所述相同子行为数量大于第一预设数值，则判定所述待识别程序为恶意程序，拦截所述恶意程序执行相应的操作。