[发明专利]程序鉴别方法及装置

说明书

本申请公开了一种程序鉴别方法、装置、计算机设备及计算机存储介质，涉及计算机安全技术领域，可以降低计算机系统存在的安全风险，提高操作系统的安全性。所述方法包括：获取恶意程序样本执行操作行为的行为链，并将所述恶意程序样本执行操作行为的行为链存储至本地数据库；当检测到待识别程序执行操作行为时，生成所述待识别程序执行操作行为的行为链；将所述待识别程序执行操作行为的行为链与所述本地数据库中恶意程序样本执行操作行为的行为链进行相似度比对；如果相似度比对结果符合相似条件，则判定所述待识别程序为恶意程序，拦截所述恶意程序执行相应的操作。

技术领域

本发明涉及计算机安全技术领域，尤其是涉及程序鉴别方法、装置、计算机设备及计算机存储介质。

背景技术

恶意程序是一个概括性的术语，指任何故意创建用来执行未经授权并通常是有害行为的软件程序。计算机病毒、后门程序、键盘记录器、密码盗取者、Word和Excel宏病毒、引导区病毒、脚本病毒(batch，windows shell，java等)、木马、犯罪软件、间谍软件和广告软件等等，都是一些可以称之为恶意程序的例子。

在现有的查杀体系中，基于已有的程序样本，当程序发生恶意行为后，将该程序判定为恶意程序，提取出恶意程序对应文件的特征值，将恶意程序文件对应的特征值存储至本地数据库，之后根据恶意程序对应文件的特征值来判别程序是否为恶意程序，并对恶意程序进行拦截、查杀等操作。

上述查杀体系虽然能在一定程度上达到保护客户端设备的目的，然而，通过在本地数据库存储恶意程序特征的来鉴别恶意程序的方式仅仅是针对已发生的恶意程序，对于未发生但是同样具有操作行为的程序是无法鉴别的，从而使得查杀体系不能成功拦截未攻击成功的恶意程序。

发明内容

有鉴于此，本发明提供了一种程序鉴别方法、装置、计算机设备及计算机存储介质，主要目的在于降低计算机系统存在的安全风险，提高操作系统的安全性。

依据本发明一个方面，提供了一种程序鉴别方法，该方法包括：

获取恶意程序样本执行操作行为的行为链，并将所述恶意程序样本执行操作行为的行为链存储至本地数据库；

当检测到待识别程序执行操作行为时，生成所述待识别程序执行操作行为的行为链；

将所述待识别程序执行操作行为的行为链与所述本地数据库中恶意程序样本执行操作行为的行为链进行相似度比对；

如果相似度比对结果符合相似条件，则判定所述待识别程序为恶意程序，拦截所述恶意程序执行相应的操作。

进一步地，所述获取恶意程序样本对应的行为链，并将所述恶意程序样本对应的行为链存储至本地数据库包括：

收集恶意程序样本，提取所述恶意程序样本的操作行为；

通过沙箱机制解析所述恶意程序样本的操作行为，得到恶意程序样本执行操作行为的行为链；

将所述恶意程序样本执行操作行为的行为链存储至本地数据库。

进一步地，所述通过沙箱机制解析所述恶意程序样本的操作行为，得到恶意程序样本执行操作行为的行为链包括：

通过沙箱机制监控所述恶意程序样本执行操作行为过程中的行为操作，得到恶意程序样本在操作行为过程中产生的多个子行为；

将所述恶意程序样本在操作行为过程中产生的多个子行为按照执行顺序进行排序，得到恶意程序样本执行操作行为的行为链。

进一步地，所述当检测到待识别程序执行操作行为时，生成所述待识别程序执行操作行为的行为链包括：

当检测到待识别程序执行操作行为时，获取待识别程序在执行操作行为过程中产生的多个子行为；