[发明专利]基于SOAR处置主机挖矿病毒的系统和电子设备

说明书

本发明提供了一种基于SOAR处置主机挖矿病毒的系统和电子设备，包括：主机防护软件系统在主机资源占用异常时，收集占用主机资源的进程信息，将进程信息发送至沙盒系统和威胁情报系统；沙盒系统确定样本文件是否为恶意文件；威胁情报系统确定进程属性信息是否合法；主机防护软件管控中心根据沙盒系统发送的第一确定信息和威胁情报系统发送的第二确定信息确定进程信息是否为挖矿病毒的进程信息，在得到进程信息为挖矿病毒的进程信息时，下发处置策略至主机防护软件系统和网关防火墙系统，以使主机防护软件系统和网关防火墙系统对挖矿病毒进行处置。本发明通过安全编排自动响应的方式处置全网挖矿病毒，提高了安全运维效率，响应快。

技术领域

本发明涉及信息安全的技术领域，尤其是涉及一种基于SOAR处置主机挖矿病毒的系统和电子设备。

背景技术

目前，随着虚拟货币的持续火热，随之而来的挖矿病毒也日益泛滥。挖矿病毒是一种利用电脑CPU和GPU资源计算产生虚拟货币的恶意程序，会极大的占用CPU的计算资源，导致CPU的处理能力减弱。每个主机系统都存在被挖矿病毒利用的问题，主机系统一旦被挖矿病毒植入后，会造成主机系统CPU负载升高，并且挖矿病毒还会自动横向传播，从而造成全网计算机的计算资源被恶意盗用，降低正常业务的运行效率。所以，如何对主机挖矿病毒进行处置成为了亟待解决的问题。

目前，在对主机挖矿病毒进行处置时，一般先利用主机防护软件对主机进行扫描，当扫描到主机资源占用异常时，再用专杀工具(可以为杀毒软件)手工处置，进行人为的查杀。而当要对全网的主机系统都进行挖矿病毒的处置时，只能对每个主机系统进行逐一查杀，效率低，挖矿病毒的处置响应慢。

综上，现有的处置主机挖矿病毒的方法存下效率低下、响应慢的技术问题。

发明内容

本发明的目的在于提供一种基于SOAR处置主机挖矿病毒的系统和电子设备，以缓解现有的处置主机挖矿病毒的方法效率低下、响应慢的技术问题。

本发明提供的一种基于SOAR处置主机挖矿病毒的系统，包括：主机防护软件管控中心、主机防护软件系统、沙盒系统、威胁情报系统和网关防火墙系统；

部署在各个主机上的主机防护软件系统，用于监控主机资源是否占用异常，并在主机资源占用异常时，收集占用主机资源的进程信息，将所述进程信息中的样本文件发送至所述沙盒系统，以及将所述进程信息中的进程属性信息发送至所述威胁情报系统，其中，所述样本文件为与进程关联的文件；

所述沙盒系统，用于确定所述样本文件是否为恶意文件，并将确定得到的第一确定信息发送至所述主机防护软件管控中心；

所述威胁情报系统，用于确定所述进程属性信息是否合法，并将确定得到的第二确定信息发送至所述主机防护软件管控中心；

所述主机防护软件管控中心，用于根据所述第一确定信息和所述第二确定信息确定所述进程信息是否为挖矿病毒的进程信息，并在确定得到所述进程信息为挖矿病毒的进程信息时，下发处置策略至所述主机防护软件系统和所述网关防火墙系统，以使所述主机防护软件系统和所述网关防火墙系统对所述挖矿病毒进行处置。

进一步的，所述主机资源占用异常为：在预设周期内，主机平均占用率达到预设阈值。

进一步的，所述主机防护软件系统包括：资源监控模块、收集模块和发送模块；

所述资源监控模块，用于实时监控主机资源是否占用异常，并将监控结果发送至所述收集模块；

所述收集模块，用于在所述监控结果为主机资源占用异常时，收集占用主机资源的进程信息；

所述发送模块，用于将所述进程信息中的样本文件发送至所述沙盒系统，并将所述进程信息中进程属性信息发送至所述威胁情报系统，以及将主机资源占用异常告警发送至所述主机防护软件管控中心。