[发明专利]APT信息的确定方法及装置、存储介质、电子装置

权利要求书

1.一种APT信息的确定方法，其特征在于，包括：获取恶意样本；对所述恶意样本进行静态检测得到第一样本信息，以及对所述恶意样本进行动态检测得到第二样本信息；根据所述第一样本信息或所述第二样本信息确定所述恶意样本的高级持续性威胁APT信息；

其中，根据所述第一样本信息或所述第二样本信息确定所述恶意样本的高级持续性威胁APT信息包括：确定与所述第一样本信息或所述第二样本信息匹配的攻陷指标IOC信息；根据所述IOC信息查找与所述恶意样本相关的上下文；从所述上下文中解析得到所述恶意样本的家族信息和历史访问信息；将所述家族信息和所述历史访问信息确定为所述恶意样本的APT信息；

在所述获取恶意样本之后，所述方法还包括：

检测所述恶意样本的文件类型或运行所述恶意样本的设备类型；若所述文件类型为公有文件，则将所述恶意样本发送至公用的云端服务器；若所述文件类型为私有文件，则将所述恶意样本发送至私有的云端服务器或本地服务器；若所述设备类型为指定环境的设备，则将所述恶意样本发送至私有的云端服务器或本地服务器；若所述设备类型为通用环境的设备，则将所述恶意样本发送至公用的云端服务器，其中，公用的云端服务器，私有的云端服务器或本地服务器设置有用于静态检测的静态沙箱和用于动态检测的动态沙箱。

2.根据权利要求1所 述的方法，其特征在于，对所述恶意样本进行静态检测得到第一样本信息包括：将所述恶意样本输入静态沙箱；使用所述静态沙箱采集所述恶意样本的元数据；根据所述元数据获取所述恶意样本的第一样本信息。

3.根据权利要求1所 述的方法，其特征在于，对所述恶意样本进行动态检测得到第二样本信息包括：将所述恶意样本输入动态沙箱；在所述动态沙箱中模拟运行所述恶意样本，并根据模型运行所述恶意样本时生成的主机行为检测所述恶意样本的第一样本信息。

4.根据权利要求1所述的方法，其特征在于，获取恶意样本包括以下至少之一：从业务系统的网络流量中获取第一恶意样本；从钓鱼邮件的附件列表中获取第二恶意样本。

5.根据权利要求1所 述的方法，其特征在于，在根据所述第一样本信息或所述第二样本信息确定所述恶意样本的高级持续性威胁APT信息之后，所述方法还包括：根据所述APT信息追溯APT攻击源的身份信息。

6.一种APT信息的确定装置，其特征在于，包括：获取模块，用于获取恶意样本；检测模块，用于对所述恶意样本进行静态检测得到第一样本信息，以及对所述恶意样本进行动态检测得到第二样本信息；确定模块，用于根据所述第一样本信息或所述第二样本信息确定所述恶意样本的高级持续性威胁APT信息；

所述确定模块 ，具体用于确定与所述第一样本信息或所述第二样本信息匹配的攻陷指标IOC信息；根据所述IOC信息查找与所述恶意样本相关的上下文；从所述上下文中解析得到所述恶意样本的家族信息和历史访问信息；将所述家族信息和所述历史访问信息确定为所述恶意样本的APT信息；

所述检测模块，还用于检测所述恶意样本的文件类型或运行所述恶意样本的设备类型；若所述文件类型为公有文件，则将所述恶意样本发送至公用的云端服务器；若所述文件类型为私有文件，则将所述恶意样本发送至私有的云端服务器或本地服务器；若所述设备类型为指定环境的设备，则将所述恶意样本发送至私有的云端服务器或本地服务器；若所述设备类型为通用环境的设备，则将所述恶意样本发送至公用的云端服务器，其中，公用的云端服务器，私有的云端服务器或本地服务器设置有用于静态检测的静态沙箱和用于动态检测的动态沙箱。

7.根据权利要求6所 述的装置，其特征在于，所述检测模块包括：输入单元，用于将所述恶意样本输入静态沙箱；采集单元，用于使用所述静态沙箱采集所述恶意样本的元数据；获取单元，用于根据所述元数据获取所述恶意样本的第一样本信息。

8.一种存储介质，其特征在于，所述存储介质中存储有计算机程序，其中，所述计算机程序被设置为运行时执行权利要求1至6任一项中所述的方法。

9.一种电子装置，包括存储器和处理器，其特征在于，所述存储器中存储有计算机程序，所述处理器被设置为运行所述计算机程序以执行权利要求1至6任一项中所述的方法。