[发明专利]基于SOAR处置主机挖矿病毒的系统和电子设备

权利要求书

1.一种基于SOAR处置主机挖矿病毒的系统，其特征在于，包括：主机防护软件管控中心、主机防护软件系统、沙盒系统、威胁情报系统和网关防火墙系统；

部署在各个主机上的主机防护软件系统，用于监控主机资源是否占用异常，并在主机资源占用异常时，收集占用主机资源的进程信息，将所述进程信息中的样本文件发送至所述沙盒系统，以及将所述进程信息中的进程属性信息发送至所述威胁情报系统，其中，所述样本文件为与进程关联的文件；

所述沙盒系统，用于确定所述样本文件是否为恶意文件，并将确定得到的第一确定信息发送至所述主机防护软件管控中心；

所述威胁情报系统，用于确定所述进程属性信息是否合法，并将确定得到的第二确定信息发送至所述主机防护软件管控中心；

所述主机防护软件管控中心，用于根据所述第一确定信息和所述第二确定信息确定所述进程信息是否为挖矿病毒的进程信息，并在确定得到所述进程信息为挖矿病毒的进程信息时，下发处置策略至所述主机防护软件系统和所述网关防火墙系统，以使所述主机防护软件系统和所述网关防火墙系统对所述挖矿病毒进行处置。

2.根据权利要求1所述的系统，其特征在于，所述主机资源占用异常为：在预设周期内，主机平均占用率达到预设阈值。

3.根据权利要求1所述的系统，其特征在于，所述主机防护软件系统包括：资源监控模块、收集模块和发送模块；

所述资源监控模块，用于实时监控主机资源是否占用异常，并将监控结果发送至所述收集模块；

所述收集模块，用于在所述监控结果为主机资源占用异常时，收集占用主机资源的进程信息；

所述发送模块，用于将所述进程信息中的样本文件发送至所述沙盒系统，并将所述进程信息中进程属性信息发送至所述威胁情报系统，以及将主机资源占用异常告警发送至所述主机防护软件管控中心。

4.根据权利要求1所述的系统，其特征在于，所述进程属性信息包括：进程名称、样本文件特征值、进程外联的IP和进程外联的DNS地址。

5.根据权利要求1所述的系统，其特征在于，所述沙盒系统包括：文件运行模块和分析模块；

所述文件运行模块，用于模拟运行所述样本文件，以获取所述样本文件对应的行为信息，并将所述行为信息发送至所述分析模块；

所述分析模块，用于将所述行为信息与预设行为模型进行匹配，根据匹配结果确定所述样本文件是否为恶意文件。

6.根据权利要求1所述的系统，其特征在于，所述威胁情报系统包括：本地威胁情报系统和云端威胁情报系统；

所述本地威胁情报系统，用于存储所述进程属性信息；

所述云端威胁情报系统，用于确定所述进程属性信息是否合法。

7.根据权利要求6所述的系统，其特征在于，所述云端威胁情报系统包括：存储模块和对比模块；

所述存储模块，用于存储威胁情报信息；

所述对比模块，用于将所述进程属性信息与所述存储模块中存储的威胁情报信息进行对比，根据对比结果确定所述进程属性信息是否合法。

8.根据权利要求4所述的系统，其特征在于，所述主机防护软件系统还包括：查杀模块和禁止模块；

所述查杀模块，用于根据所述处置策略查杀所述挖矿病毒的进程；

所述禁止模块，用于根据所述处置策略禁止所述主机外联恶意IP和恶意DNS地址，其中，所述恶意IP为所述进程外联的IP，所述恶意DNS地址为所述进程外联的DNS地址。

9.根据权利要求8所述的系统，其特征在于，所述网关防火墙系统包括：拦截模块；

所述拦截模块，用于根据所述处置策略拦截所述主机外联所述恶意IP和所述恶意DNS地址。

10.一种电子设备，其特征在于，所述电子设备上部署有上述权利要求1至9中任一项所述的基于SOAR处置主机挖矿病毒的系统。