[发明专利]一种智能化的Docker容器恶意文件检测方法和装置

权利要求书

1.一种智能化的Docker容器恶意文件检测方法，其特征在于，应用于服务器，所述方法包括：

获取目标Docker容器的原始镜像中的多个文件，所述目标Docker容器为待检测的Docker容器；

针对所述多个文件中的每个文件，利用基于yara规则的恶意文件特征码对该文件进行检测，以判断该文件是否为恶意文件，得到第一检测结果；

针对所述多个文件中的每个文件，利用杀毒软件对该文件进行检测，以判断该文件是否为恶意文件，得到第二检测结果；

获取所述目标Docker容器的原始镜像中的多个网页文件；

针对所述多个网页文件中的每个网页文件，将该网页文件输入网页分类模型，以检测该网页是否为Webshell网页后门文件，得到第三检测结果。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

获取多个样本网页文件，所述多个样本网页文件中的每个样本网页文件携带标记，该标记表征该样本网页文件的静态特征，其中，所述多个样本网页文件中的一部分为Webshell网页后门文件；

以所述多个样本网页文件为输入，对预设模型进行训练，得到所述网页分类模型，所述网页分类模型用于判断单个网页文件是否为Webshell网页后门文件。

3.根据权利要求2所述的方法，其特征在于，所述静态特征至少包括以下特征中的至少一种：信息熵、重合指数、最大单词长度、危险函数个数、文件压缩比、Eval函数个数。

4.根据权利要求1所述的方法，其特征在于，针对所述多个文件中的每个文件，利用基于yara规则的恶意文件特征码对该文件进行检测，以判断该文件是否为恶意文件，包括：

获取多个公开的基于yara规则的恶意文件特征码，建立yara规则库；

针对所述多个文件中的每个文件，检测该文件中是否包含所述yara规则库中的恶意文件特征码，其中，在该文件包含所述yara规则库中的恶意文件特征码时，确定该文件是恶意文件。

5.根据权利要求1至4任一所述的方法，其特征在于，所述服务器与客户端通信连接；所述方法还包括：

接收所述客户端发送的所述目标Docker容器的原始镜像；

将所述第一检测结果、所述第二检测结果以及所述第三检测结果发送给所述客户端。

6.根据权利要求5所述的方法，其特征在于，所述服务器与数据库通信连接；所述方法还包括：

将所述第一检测结果、所述第二检测结果以及所述第三检测结果存入所述数据库，以使所述客户端通过所述数据库获得所述第一检测结果、所述第二检测结果以及所述第三检测结果。

7.一种智能化的Docker容器恶意文件检测装置，其特征在于，应用于服务器，所述装置包括：

第一获取模块，用于获取目标Docker容器的原始镜像中的多个文件，所述目标Docker容器为待检测的Docker容器；

第一检测模块，用于针对所述多个文件中的每个文件，利用基于yara规则的恶意文件特征码对该文件进行检测，以判断该文件是否为恶意文件，得到第一检测结果；

第二检测模块，用于针对所述多个文件中的每个文件，利用杀毒软件对该文件进行检测，以判断该文件是否为恶意文件，得到第二检测结果；

第二获取模块，用于获取所述目标Docker容器的原始镜像中的多个网页文件；

第三检测模块，用于针对所述多个网页文件中的每个网页文件，将该网页文件输入网页分类模型，以检测该网页是否为Webshell网页后门文件，得到第三检测结果。

8.根据权利要求7所述的装置，其特征在于，所述装置还包括：

第三获取模块，用于获取多个样本网页文件，所述多个样本网页文件中的每个样本网页文件携带标记，该标记表征该样本网页文件的静态特征，其中，所述多个样本网页文件中的一部分为Webshell网页后门文件；

训练模块，用于以所述多个样本网页文件为输入，对预设模型进行训练，得到所述网页分类模型，所述网页分类模型用于判断单个网页文件是否为Webshell网页后门文件。