[发明专利]过滤规则的生成方法、装置、及存储介质、电子装置

说明书

本发明提供了一种过滤规则的生成方法、装置、及存储介质、电子装置，其中，该方法包括：在多种预设行为中选取部分行为，得到行为组合；在软件行为数据库中，利用查询语句查询行为数据中包括行为组合中所有行为的软件样本，其中，软件行为数据库中包括多个软件样本的行为数据，每个软件样本的行为数据用于记录对应的软件样本在运行时产生的多个历史行为，且每个软件样本被预先标注有对应的安全等级；判断查询到的软件样本的安全等级是否满足预设需求；如果是，则将行为组合确定为过滤规则。通过本发明，解决了现有技术中的过滤规则的生成方法复杂、且不易确定过滤效果的问题。

技术领域

本发明涉及安全防护领域，具体而言，涉及一种过滤规则的生成方法、装置、及存储介质、电子装置。

背景技术

传统的静态规则匹配方式，通常采用几个字符串相与的方式在软件样本的沙箱日志中进行匹配，如果命中的软件样本的安全等级都为黑(危险)，则该规则是黑规则，如果命中的软件样本的安全等级都为白(安全)，则该规则是白规则。此外，还存在待鉴定(未知)、灰(谨慎)等安全等级对应的规则。

现有的静态规则在匹配沙箱日志时，规则的选取、组合没有相应的参考，无法实时评估规则效果，并且新规则添加后，无法对旧日志进行全量快速回扫。

针对相关技术中存在的上述问题，目前尚未发现有效的解决方案。

发明内容

本发明实施例提供了一种过滤规则的生成方法、装置、及存储介质、电子装置，以至少解决现有技术中的过滤规则的生成方法复杂、且不易确定过滤效果的问题。

根据本发明的一个实施例，提供了一种过滤规则的生成方法，包括：在多种预设行为中选取部分行为，得到行为组合；在软件行为数据库中，利用查询语句查询行为数据中包括行为组合中所有行为的软件样本，其中，软件行为数据库中包括多个软件样本的行为数据，每个软件样本的行为数据用于记录对应的软件样本在运行时产生的多个历史行为，且每个软件样本被预先标注有对应的安全等级；判断查询到的软件样本的安全等级是否满足预设需求；如果是，则将行为组合确定为过滤规则。

进一步地，在判断查询到的软件样本的安全等级是否满足预设需求之后，该方法还包括：如果否，则在多种预设行为中，选取部分行为之外的一个或多个行为，加入至行为组合中，得到更新的行为组合；利用更新的行为组合重新在软件行为数据库中查询，以判断是否将更新的行为组合确定为过滤规则。

进一步地，该方法还包括：利用预先在操作系统中注入的多个Hook点，监听在沙箱中运行的软件样本是否产生对应的行为，其中，每个Hook点用于监听对应的一种行为；记录在沙箱中运行的软件样本针对多个Hook点对应的行为的调用情况，得到对应的软件样本的行为数据；根据得到的软件样本的行为数据，生成或更新软件行为数据库。

进一步地，多种预设行为是与多个Hook点一一对应的行为。

进一步地，软件样本数据库按照预设周期更新，在将行为组合确定为过滤规则之后，该方法还包括：在软件样本数据库更新的情况下，在更新的软件样本数据库中查询行为数据中包括行为组合中所有行为的软件样本；判断在更新的软件样本数据库中查询到的软件样本的安全等级是否满足预设需求；如果否，则放弃过滤规则。

进一步地，行为组合是有序的，每个软件样本的行为数据记录的多个历史行为依照行为发生的时间顺序排列，在软件行为数据库中，利用查询语句查询行为数据中包括行为组合中所有行为的软件样本，包括：在软件行为数据库中，查询行为数据中包括行为组合中所有行为、且顺序与行为组合的顺序相同的软件样本。

进一步地，在软件行为数据库中，查询行为数据中包括行为组合中所有行为、且顺序与有序组合的顺序相同的软件样本，包括：根据有序组合生成查询语句；利用查询语句，在软件行为数据库中执行查询操作。